Suivi de la vérification du Commissariat à la protection de la vie privée sur la sécurité des renseignements personnels

Rapport final

Avril 2016

Acronymes et abréviations

CIPC

Centre d'information de la police canadienne

CPVP

Commissariat à la protection de la vie privée du Canada

CSSPO

Centre de service des systèmes de la Police opérationnelle

DPI

Dirigeant principal de l'Information

GRC

Gendarmerie royale du Canada

LCJ

Loi sur le casier judiciaire

PAG

Plan d'action de la gestion

PE

Protocole d'entente

PVR

Plan de vérification axé sur les risques

SCICTR

Services canadiens d'identification criminelle en temps réel

SDDA

Sous-direction du développement des applications

SDSM

Sous-direction de la sécurité ministérielle

SIRP

Système d'incidents et de rapports de police

SIRPP

Système d'incidents et de rapports de police protégé

Sommaire

En tant que service de police national, la GRC détient une grande quantité de renseignements personnels dans ses bases de données opérationnelles, ses bases de données administratives, ses bases de données du personnel et ses dossiers physiques. Dans l'exécution de son mandat, la GRC est tenue par la loi de protéger, conserver et, le cas échéant, de supprimer ces renseignements. En 2011, le Commissariat à la protection de la vie privée du Canada (CPVP) a effectué une vérification pour examiner les politiques, les systèmes, les contrôles administratifs et les mesures de protection qu'utilise la GRC pour protéger les renseignements personnels contenus dans les bases de données du Centre d'information de la police canadienne (CIPC) et du Système d'incidents et de rapports de police (SIRP). La vérification a relevé des lacunes dans la gestion des renseignements personnels entreposés dans ces bases de données. Le CPVP a formulé six recommandations, dont cinq visaient le SIRP, le système de signalement d'incidents principal de la GRC. Plus précisément, la vérification a révélé que des renseignements personnels étaient conservés plus longtemps que nécessaire dans le SIRP, la capacité de surveiller les opérations des utilisateurs et de faire enquête était limitée, les comptes d'utilisateur du SIRP ne faisaient pas l'objet d'examens réguliers, il n'existait aucun processus d'examen pour assurer le respect des politiques et des procédures régissant l'utilisation du SIRP, et il n'existait aucun processus pour retirer le droit d'accès aux dossiers liés aux condamnations ayant fait l'objet d'une réhabilitation (on parle maintenant de suspension du casier). La sixième recommandation portait sur le besoin de signer des ententes officielles avec les services externes ayant accès au CIPC.

En avril 2014, le commissaire a approuvé une vérification de la sécurité des renseignements personnels dans le cadre du Plan de vérification axé sur les risques (PVR) pour 2014-2017. Les objectifs de la mission comprenaient un suivi pour évaluer les progrès réalisés en fonction des recommandations formulées dans le rapport du CPVP de 2011 et un examen des contrôles semblables régissant l'utilisation du Système d'incidents et de rapports de police protégé (SIRPP).

La présente vérification permet de conclure que la GRC a effectivement donné suite à la majorité des constatations et recommandations du CPVP. Cependant, la GRC peut faire davantage pour renforcer la sécurité des renseignements personnels contenus dans ses bases de données opérationnelles en améliorant les activités de surveillance et de contrôle de la conformité du SIRP et du SIRPP. La GRC devrait aussi revoir les procédures existantes relatives aux dossiers ayant fait l'objet d'une suspension du casier judiciaire (réhabilitation), en ce qui a trait au caviardage des dossiers physiques, pour s'assurer que les divisions utilisent un processus efficace qui répond aux exigences prévues par les lois fédérales pertinentes.

La réponse de la direction contenue dans le présent rapport témoigne de la détermination des cadres supérieurs à donner suite aux constatations et aux recommandations qui ressortent de la vérification. Un plan d'action détaillé sera élaboré. Une fois ce plan approuvé, la Vérification interne de la GRC en surveillera la mise en œuvre.

Réponse de la direction à la vérification

Services de police contractuels et autochtones

Les Services de police contractuels et autochtones souscrivent aux constatations et aux recommandations dans le cadre du suivi de la vérification du Commissariat à la protection de la vie privée sur la sécurité des renseignements personnels. Des mesures ont été prises pour évaluer les pratiques existantes visant à surveiller l'accès des utilisateurs au SIRP et le respect des politiques régissant l'utilisation du SIRP, et un plan d'action sera élaboré pour renforcer les mesures prises pour réduire et atténuer les risques en matière d'accès non autorisé et de non-conformité. Il s'agira peut-être d'examiner la mise en œuvre éventuelle de processus automatisés ou manuels à l'échelle nationale ou divisionnaire. Un plan d'action détaillé sera élaboré d'ici juin 2016 et fera état d'échéances et de jalons précis que devra respecter la GRC.

Les Services de police contractuels et autochtones appuient la recommandation visant le retrait en temps voulu de données du SIRP de façon à respecter la Loi sur la protection des renseignements personnels. Cette recommandation exige la collaboration du sous-commissaire aux Services de police spécialisés, du dirigeant principal de l'Information et du sous-commissaire à la Police fédérale, de qui relèvent les politiques et la conformité du SIRPP depuis 2016. Une réunion sera convoquée d'ici avril 2016 pour confirmer auprès des divers intervenants leur contribution à l'élaboration du plan d'action et à l'établissement d'un outil d'examen du journal de transactions semblable à ce qui existe pour le SIRP.

Byron Boucher, s-comm. intérimaire
Services de police contractuels et autochtones

Services de police spécialisés

En général, les Services de police spécialisés (SPS) approuvent les constatations et les recommandations dans le cadre du suivi de la vérification du Commissariat à la protection de la vie privée sur la sécurité des renseignements personnels. Des mesures ont été prises pour aider les Services de police contractuels et autochtones à évaluer les exigences techniques pour la mise en place d'un processus d'examen visant la conformité des utilisateurs avec les politiques et procédures régissant l'utilisation du SIRP. En outre, les SPS travailleront directement avec les représentants de la Police fédérale pour activer et maintenir dans le SIRPP les fonctions de suppression qui existent dans le SIRP. Enfin, les SPS ont commencé à évaluer les possibilités d'améliorer le processus actuel de caviardage des dossiers physiques. De façon générale, les SPS ont entamé l'évaluation des besoins, des coûts et des défis connexes relativement à l'élaboration d'un plan d'action détaillé.

Peter Henschel, s.-comm.
Services de police spécialisés

1. Contexte

En tant que service de police national, la GRC détient une grande quantité de renseignements personnels dans ses bases de données opérationnelles, ses bases de données administratives, ses bases de données du personnel et ses dossiers physiques. Dans l'exécution de son mandat, la GRC est tenue par la loi de protéger, conserver et, le cas échéant, de supprimer ces renseignements.

On entend par « renseignements personnels » tout renseignement factuel ou subjectif au sujet d'une personne identifiable. Il peut s'agir de renseignements sous forme numérique sauvegardés dans des bases de données ou des systèmes de gestion de l'information ou de renseignements sous forme physique figurant dans des fichiers ou des dossiers. À la GRC, une quantité importante de renseignements personnels recueillis dans le cadre d'activités policières est entreposée sous forme numérique dans les systèmes opérationnels suivants : le Centre d'information de la police canadienne (CIPC), le Système d'incidents et de rapports de police (SIRP) et le Système d'incidents et de rapports de police protégé (SIRPP). Le CIPC est exploité par la GRC pour le compte de la collectivité canadienne d'application de la loi. Le CIPC fournit de l'information sur les crimes et les criminels. Il s'agit du seul système d'information national mettant en contact les partenaires du système de justice pénale et de l'application de la loi au pays et à l'étranger. Le SIRP est le principal système de gestion des dossiers opérationnels utilisé par la GRC dans toutes les provinces sauf la Colombie-Britannique.^{Note de bas de page 1} Le SIRP sert à conserver la trace de tous les aspects d'une enquête policière, depuis le signalement de l'incident jusqu'à la conclusion définitive si l'affaire est portée devant les tribunaux. Il contient de l'information sur les gens qui ont été en contact avec la police en tant que suspects, victimes, ou témoins. Le SIRPP est la base de données principale utilisée pour le stockage, la recherche et la gestion de renseignements touchant les enquêtes criminelles relatives à la sécurité nationale. On y enregistre aussi, au besoin, le renseignement criminel classifié et d'autres informations portant sur des dossiers de nature délicate.

La protection des renseignements personnels à la GRC est une responsabilité collective qu'assument activement divers groupes. Au moment du suivi, le Centre de service des systèmes de la Police opérationnelle (CSSPO), qui relève des Services de police contractuels et autochtones (SPCA), était chargé des politiques et de la gestion de l'accès des utilisateurs du SIRP et du SIRPP. Relevant du Secteur du dirigeant principal de l'Information (DPI), la Sous-direction de la gestion de l'information (SDGI) donne des conseils et des directives sur la disposition de dossiers et la conservation de dossiers ayant une valeur archivistique. Enfin, le Centre d'information de la police canadienne (CIPC), au sein des Services de police spécialisés (SPS), est responsable de la gestion du système du CIPC.

En 2011, le Commissariat à la protection de la vie privée (CPVP) a effectué une vérification pour examiner les politiques, les systèmes, les contrôles administratifs et les mesures de protection qu'utilise la GRC pour protéger les renseignements personnels contenus dans les bases de données du CIPC et du SIRP. La vérification avait relevé des lacunes dans la gestion des renseignements personnels qui y étaient entreposés. Plus précisément, la GRC n'avait pas conclu de protocoles d'entente (PE) avec tous les services externes ayant accès au CIPC pour régir l'utilisation du système et la protection de renseignements personnels qui y étaient enregistrés. En ce qui a trait au SIRP, les problèmes suivants avaient été relevés : des renseignements personnels y étaient conservés plus longtemps que nécessaire, les comptes d'utilisateur ne faisaient pas l'objet d'examens réguliers, la capacité de surveiller les opérations des utilisateurs et de faire enquête était limitée, et il n'existait aucun processus d'examen pour assurer le respect des politiques et des procédures régissant l'utilisation de renseignements personnels.

En avril 2014, le commissaire a approuvé une vérification de la sécurité des renseignements personnels dans le cadre du Plan de vérification axé sur les risques (PVR) pour 2014-2017. Les objectifs de la mission comprenaient un suivi pour évaluer les progrès réalisés en fonction des recommandations formulées dans le rapport du CPVP de 2011 et un examen des contrôles semblables régissant l'utilisation du SIRPP.

2. Objectif, portée et démarche

2.1 Objectif

La vérification visait à déterminer si les processus mis en place pour protéger, conserver et supprimer les renseignements personnels détenus à des fins opérationnelles assurent le respect des délais prescrits, s'ils sont efficaces et s'ils sont conformes aux politiques établies.

2.2 Portée

La vérification consistait à faire un suivi des mesures prises en réponse à la vérification effectuée par le CPVP en 2011. La vérification du CPVP portait sur la sécurité des renseignements personnels contenus dans le CIPC et le SIRP, mais cette vérification visait aussi les contrôles mis en place par la GRC pour protéger les renseignements personnels versés dans le Système d'incidents et de rapports de police protégé (SIRPP).

La vérification a été effectuée en fonction de la définition de renseignements personnels et des exigences législatives relatives à leur protection énoncées à l'article 6 de la Loi sur la protection des renseignements personnels. La vérification portait sur les renseignements personnels conservés à des fins opérationnelles en format électronique et papier. La vérification ne visait pas à confirmer si les renseignements personnels détenus par la GRC étaient exacts ou complets, ni à évaluer l'incidence éventuelle de ces renseignements sur la prise de décisions par la direction.

2.3 Méthode

La planification de la vérification a pris fin en juillet 2015. Au cours de cette phase, l'équipe de vérificateurs a procédé à des entrevues, à une revue générale des processus, à l'examen des politiques, directives et procédures pertinentes et à l'analyse des résultats de vérifications antérieures.

Les critères et les procédés de vérification ont été élaborés en fonction des constatations de vérifications antérieures et des exigences relatives au traitement de renseignements personnels prévues par la Loi sur la protection des renseignements personnels, la Loi sur le casier judiciaire et les politiques de la GRC. L'objectif et les critères de vérification sont présentés à l'Annexe A.

Au cours de la phase d'examen, qui s'est terminée en novembre 2015, les vérificateurs ont eu recours à diverses techniques, dont la conduite d'entrevues, l'examen de documents et l'observation physique. À la fin de la phase, l'équipe de vérificateurs s'est réunie avec le personnel pour valider les constatations et a informé la haute direction.

2.4 Énoncé de conformité

La mission de vérification est conforme aux Normes relatives à la vérification interne au sein du gouvernement du Canada, comme en font foi les résultats du programme d'assurance et d'amélioration de la qualité.

3. Constatatoins

La Vérification de certaines bases de données opérationnelles de la GRC effectuée en 2011 par le Commissariat à la protection de la vie privée (CPVP) avait relevé des lacunes dans la gestion des renseignements personnels entreposés dans les bases de données opérationnelles de la GRC. Le CPVP a formulé six recommandations, dont cinq visaient le SIRP, le système de signalement d'incidents principal de la GRC. Plus précisément, la vérification a révélé que des renseignements personnels étaient conservés plus longtemps que nécessaire dans le SIRP, la capacité de surveiller les opérations des utilisateurs et de faire enquête était limitée, les comptes d'utilisateur du SIRP ne faisaient pas l'objet d'examens réguliers, il n'existait aucun processus d'examen pour assurer le respect des politiques et des procédures régissant l'utilisation du SIRP, et il n'existait aucun processus pour retirer le droit d'accès aux dossiers liés aux condamnations ayant fait l'objet d'une réhabilitation (on parle maintenant de suspension du casier). La sixième recommandation portait sur le besoin de signer des ententes officielles avec les services externes ayant accès au CIPC.

La direction a accepté les constatations de la vérification et les recommandations formulées, et s'est engagée à prendre des mesures immédiates pour corriger les problèmes soulevés par le CPVP. Nous nous attendions donc à voir une amélioration des pratiques de gérance visant la protection des renseignements personnels. Plus précisément, nous recherchions les résultats suivants :

• la signature d'ententes officielles avec tous les services ayant accès au système du CIPC;
• l'examen régulier du droit d'accès et de l'activité des utilisateurs des bases de données opérationnelles de la GRC;
• l'examen régulier des opérations d'utilisateurs internes et externes du SIRP pour assurer le respect des politiques et des procédures;
• l'isolement ou le retrait (élimination) de renseignements du SIRP tel que prescrit par la loi.

Nous avons constaté que la GRC a donné suite à cinq des six recommandations formulées dans le rapport de vérification du CPVP de 2011. La recommandation visant l'adoption par la GRC d'un processus d'examen fournissant l'assurance que tous les utilisateurs respectent les politiques et les procédures régissant l'utilisation des renseignements personnels enregistrés dans le SIRP n'a pas encore été mise en œuvre. Outre les recommandations découlant de la vérification du CPVP, nous avons relevé d'autres possibilités d'amélioration : renforcer l'examen régulier des comptes d'utilisateur du SIRP, étendre les améliorations du SIRP à d'autres bases de données opérationnelles et élaborer une stratégie plus efficace pour l'isolement de renseignements personnels dans les dossiers physiques.

3.1 Centre d'information de la police canadienne

Lors de sa vérification de certaines bases de données opérationnelles de la GRC en 2011, le CPVP a constaté que la GRC avait élaboré et mis en œuvre des politiques et des procédures pour protéger les renseignements personnels des Canadiennes et Canadiens qui sont sauvegardés et consultés dans le système du CIPC. Puisque des partenaires externes et d'autres organismes d'application de la loi accèdent au CIPC, la GRC avait établi des protocoles d'entente (PE) pour leur souligner les modalités d'utilisation, y compris les dispositions de protection des renseignements personnels. Le CPVP a constaté que la GRC n'avait pas établi de PE officiels avec environ 25 % des services de police qui ont accès au CIPC. Le CPVP a recommandé que le CIPC établisse un échéancier clair concernant l'établissement de PE comprenant des dispositions sur la protection des renseignements personnels et les modalités d'utilisation, avec tous les services de police.^{Note de bas de page 2} La GRC a répondu que le CIPC négociait activement avec les derniers services de police (25 %) qui n'avaient pas encore signé de PE et que tous les PE seraient signés au 31 mars 2012.

Au moment du suivi, tous les utilisateurs et organismes externes, sauf un service de police, avaient signé un PE conformément aux politiques et procédures établies. En ce qui a trait au PE qui n'avait pas été signé, les personnes interviewées ont indiqué que le service de police maintient que la législation provinciale l'empêche de signer un PE avec une entité fédérale. Le CIPC poursuit les discussions avec les cadres supérieurs en vue de conclure le PE. En attendant que le PE soit signé, le CIPC continue de partager la version actuelle de l'entente avec le service de police en cause afin de respecter son obligation de communiquer les attentes de la GRC, les modalités d'utilisation et les dispositions de protection des renseignements personnels.

Les PE conclus avec les utilisateurs externes sont renouvelés aux quatre ans, ce qui permet au CIPC de confirmer périodiquement si l'organisme a toujours besoin d'accéder au système et de faire des mises à jour en cas de modification des politiques ou des procédures. Nous avons examiné les modèles de PE utilisés par le CIPC pour confirmer qu'ils communiquent efficacement les attentes de la GRC relatives au traitement de renseignements personnels. Nous avons aussi vérifié que les PE sont renouvelés de façon continue.

En ce qui a trait aux utilisateurs internes de la GRC, la vérification visait à déterminer si les employés recevaient une formation appropriée relative à leurs responsabilités quant aux politiques et aux procédures régissant le CIPC et, plus précisément, les dispositions de protection des renseignements personnels. La GRC a élaboré deux cours obligatoires, qui sont offerts régulièrement : le Cours sur les fonctions de consultation et de transmission de messages narratifs (pour les utilisateurs qui ont accès au système en mode lecture seule) et le Cours de mise à jour du CIPC (pour les utilisateurs qui contribuent directement à la mise à jour et à la tenue de renseignements et de dossiers). Le Cours sur les fonctions de consultation et de transmission de messages narratifs est offert en ligne aux organismes du CIPC par l'entremise du Réseau canadien du savoir policier (RCSP) et aux utilisateurs de la GRC par l'intermédiaire du système de gestion de l'apprentissage AGORA. En 2012, un total de 940 personnes ont suivi le cours; en 2013, il y a eu 651 inscriptions. Selon les rapports annuels du CIPC, le Cours de mise à jour du CIPC est offert aux utilisateurs internes et externes; en 2012 et en 2013, un total de 202 et de 343 utilisateurs respectivement ont suivi le cours.

Notre examen a confirmé que le CIPC a établi des processus pour bien communiquer aux utilisateurs les attentes relatives à la protection des renseignements personnels. Le CIPC a donné suite de façon satisfaisante à la recommandation du CPVP visant l'établissement avec tous les services de PE contenant des dispositions sur la protection de renseignements personnels et les attentes à leur égard.

3.2 Système d'incidents et de rapports de police

Examen des droits d'accès et de la conformité à la politique

Lors de sa vérification de 2011, le CPVP a examiné les contrôles d'accès pour déterminer si les renseignements personnels contenus dans le SIRP étaient bien protégés contre les atteintes à la vie privée. Le CPVP a constaté que les droits d'accès n'étaient pas toujours mis à jour ou révoqués en temps opportun lorsque les utilisateurs changent d'emploi.^{Note de bas de page 3} Le CPVP a indiqué que malgré la politique de la GRC exigeant la révocation du droit d'accès d'un utilisateur s'il n'est plus nécessaire ou après quatorze mois d'inactivité, il y avait au moment de la vérification plus de 1 000 utilisateurs dont les comptes actifs n'avaient pas servi depuis quatorze mois ou plus.^{Note de bas de page 4}

Le CPVP a recommandé que la GRC examine régulièrement l'état des comptes d'utilisateur du SIRP et qu'elle retire l'accès s'il n'est plus nécessaire. La GRC a répondu qu'elle prendrait immédiatement des mesures pour corriger la situation et qu'elle examinerait ses pratiques actuelles de formation des employés chargés d'examiner les comptes d'utilisateur du SIRP.

Au moment du suivi, les demandes d'accès au SIRP et au SIRPP provenant de la GRC et d'organismes partenaires étaient acheminées au CSSPO par l'entremise des coordonnateurs divisionnaires de la gestion des dossiers. Après avoir confirmé que les approbations voulues ont été obtenues et que l'utilisateur possède les certifications nécessaires, le CSSPO recommande au groupe de l'infrastructure à clés publiques (ICP), du Secteur du DPI, d'attribuer le droit d'accès. S'il s'agit d'un organisme partenaire, le CSSPO doit vérifier qu'un PE figure dans la documentation fournie par le coordonnateur. De plus, le groupe de la conformité législative externe au sein du CSSPO examine les lois et les ententes applicables à l'organisme en cause en cas de conflit éventuel.

Nous avons constaté que les contrôles liés à l'attribution de droits d'accès sont solides et que le CSSPO examine régulièrement les comptes inactifs, conformément à la politique du SIRP. Le CSSPO utilise les rapports pour dresser régulièrement la liste d'utilisateurs dont les comptes sont inactifs et recommande la suppression des comptes, au besoin.

Nous avons constaté qu'un processus semblable existe pour la suppression de comptes d'utilisateur du SIRPP qui sont inactifs.

Le fait de mener des examens plus fréquents et de supprimer les comptes inactifs donne suite à la recommandation du CPVP, mais le risque qu'un utilisateur sans besoin légitime de consulter certains dossiers opérationnels puisse continuer de ce faire persiste. Si un employé continue d'utiliser son compte pour consulter sans autorisation des dossiers, le compte demeure actif et n'est donc pas supprimé. Il faut donc des processus rigoureux pour confirmer le départ d'un employé et revalider régulièrement les besoins en matière d'accès pour assurer la conformité.

En examinant régulièrement l'état des comptes et en supprimant les comptes inactifs, la GRC a effectivement donné suite à la constatation du CPVP que le fait de laisser les droits d'accès aux utilisateurs qui ne sont plus autorisés à consulter le SIRP augmente le risque de consultations non autorisées.^{Note de bas de page 5} Cependant, il existe d'autres possibilités de limiter l'accès au SIRP et au SIRPP aux personnes dont l'accès est nécessaire pour effectuer les tâches professionnelles.

Outre l'examen des contrôles d'accès, le CPVP a examiné les capacités de journalisation des transactions dans le SIRP permettant à la GRC de relever les abus éventuels. Le CPVP a constaté que le SIRP permet de faire le suivi des opérations des utilisateurs dans les journaux de transactions, y compris les documents examinés et les modifications apportées. Cependant, la GRC ne surveille pas activement les opérations des utilisateurs puisqu'elle n'a pas recours à une méthode efficace permettant de réunir et d'examiner les entrées des journaux. Le CPVP a recommandé que la GRC active l'outil d'examen des journaux de transactions. La GRC a accepté la recommandation du CPVP et s'est engagée à activer l'outil de d'examen des journaux de transactions.

Nous avons constaté que l'outil d'examen des journaux de transactions a été activé et que les officiers responsables des Enquêtes criminelles (OREC) dans les divisions s'en servent pour examiner les abus éventuels par les utilisateurs internes et externes. Nous avons aussi constaté que le protocole régissant l'utilisation de l'outil a évolué. Par le passé, il fallait obtenir l'approbation de l'agent de la sécurité ministérielle, mais on a depuis donné plus de pouvoirs et de latitude aux OREC pour autoriser l'utilisation de l'outil. Depuis la mise en œuvre de l'outil, le CSSPO a indiqué qu'il reçoit régulièrement quelques demandes par semaine.

La Sous-direction du développement des applications, au sein du Secteur du DPI, a indiqué qu'une fonction semblable permettant l'examen des journaux de transactions n'a pas été activée dans le SIRPP. La GRC ne dispose donc pas d'une méthode efficace de relever et d'évaluer les abus éventuels. Les quelque 2 500 utilisateurs du SIRPP ont un accès illimité à tous les dossiers qui s'y trouvent. Il y a un nombre plus restreint d'utilisateurs, mais l'incidence éventuelle d'une atteinte à la sécurité est beaucoup plus sérieuse, étant donné la nature des renseignements que contient la base de données.

La vérification effectuée par le CPVP visait aussi à déterminer si la GRC a pris des mesures pour veiller à ce que les 23 services de police partenaires gèrent les renseignements personnels contenus dans le SIRP conformément aux politiques et aux procédures applicables. Le CPVP a constaté que la GRC a signé des PE avec les services de police partenaires, lesquels énoncent les modalités d'utilisation, y compris des dispositions sur la protection des renseignements personnels. Il a confirmé que les PE comprennent des clauses permettant à la GRC d'examiner l'utilisation du système par les services partenaires; cependant, la GRC n'a entrepris qu'un nombre limité d'examens. Le CPVP a recommandé que la GRC adopte un processus d'examen régulier pour confirmer que tous les utilisateurs, y compris les services partenaires, respectent les politiques et les procédures régissant l'utilisation du système. De tels examens permettraient de confirmer l'utilisation et la diffusion acceptable des renseignements contenus dans le SIRP et viseraient les clauses sur la sécurité, les exigences en matière de formation, les procédures de signalement d'incidents et les protocoles établis pour s'assurer que les renseignements contenus dans le SIRP servent uniquement à des fins légitimes d'application de la loi.

Dans sa réponse initiale à la vérification du CPVP, la GRC a indiqué que dans le cadre de son plan de refonte de la gestion de l'information, elle s'assurera que les utilisateurs du SIRP, tant à l'interne qu'à l'externe, fassent l'objet d'examens réguliers. Faute de ressources, la Sous-direction de la gestion de l'information a communiqué une nouvelle stratégie en septembre 2014, expliquant que plutôt d'établir un processus d'examen officiel, elle renforcerait les initiatives de formation et de sensibilisation pour assurer le respect des politiques et procédures par les utilisateurs.

Lors du suivi, les représentants du DPI ont indiqué que trois projets sont en cours visant la formation et la sensibilisation en matière de protection des renseignements personnels. Il s'agit entre autres de produire et de distribuer des ressources vidéo, d'élaborer du matériel de formation et d'envoyer aux employés un questionnaire pour évaluer leur niveau de connaissances. En février 2016, ces projets n'avaient pas été terminés, mais on prévoit les terminer en 2016.

Les initiatives actuelles du DPI visant le respect des politiques et procédures se limitent à augmenter les connaissances et la sensibilisation des utilisateurs internes par l'entremise d'outils de formation et de communication. Cependant, la constatation et la recommandation du CPVP visaient précisément la surveillance et la conformité via l'adoption d'un processus d'examen officiel permettant d'assurer le respect des politiques et procédures par les utilisateurs internes et externes.

En l'absence d'un processus d'examen rigoureux, la GRC ne peut garantir que les utilisateurs respectent les conditions d'utilisation et les dispositions de protection des renseignements personnels contenus dans le SIRP. Cela crée un risque organisationnel pour la GRC, en tant que responsable du système et des renseignements versés dans le SIRP.

La GRC a fait des progrès en matière de surveillance et de suppression des comptes inactifs, mais il existe d'autres possibilités de prévenir le risque d'accès non autorisé ou non légitime. La GRC a activé l'outil d'examen des journaux de transactions afin d'analyser régulièrement les opérations des utilisateurs dans le SIRP; il faudrait créer une fonction semblable dans le SIRPP. Enfin, la GRC devrait songer à intégrer une fonction d'examen à son processus de surveillance et de respect des politiques du SIRP.

Gestion des suspensions du casier

Lors de sa vérification de 2011, le CPVP a examiné si la GRC respectait les périodes de conservation prescrites par les lois fédérales dans sa gestion des renseignements personnels contenus dans le SIRP. Le CPVP a constaté que la GRC avait élaboré des politiques et des procédures, en vertu des lois en vigueur, précisant pendant combien de temps peuvent être conservés les renseignements et quand ils doivent être retirés. Cependant, le CPVP a constaté que les politiques n'étaient pas respectés et la GRC ne supprimait pas les dossiers du SIRP, tel que requis. Les renseignements qui auraient donc dû être éliminés au terme de la période de conservation prévue (selon la date de la sentence la plus longue imposée par suite de l'enquête) demeuraient accessibles dans la base de données. Le CPVP a recommandé que la GRC élimine les données du SIRP qui doivent l'être selon les périodes de conservation établies de façon à respecter la Loi sur la protection des renseignements personnels. La GRC était d'accord et s'est engagée à prendre des mesures immédiates.

La GRC a donné suite à la recommandation en 2012, éliminant la majorité des dossiers visés avant la fin de l'année. En 2013, un problème technique lors d'une mise à jour du système a causé un arriéré de plus d'un million de dossiers; cependant, nous avons confirmé que la Sous-direction du développement des applications a réglé le problème et que l'arriéré a été éliminé. Nous avons aussi constaté que la Sous-direction du développement des applications a pris des mesures pour éviter que les mises à jour ultérieures ne perturbent le processus d'élimination.

La vérification du CPVP a effectivement donné lieu à des changements au niveau de la suppression des dossiers du SIRP, mais notre examen a révélé que malgré des périodes de conservation semblables, les dossiers du SIRPP ne sont pas éliminés en temps opportun. Le SIRPP utilise la même plateforme que le SIRP et offre donc les mêmes fonctions de base; cependant, nous avons constaté que la fonction d'élimination dans le SIRPP n'a pas été activée. La GRC risque donc de ne pas respecter les dispositions de la Loi sur la protection des renseignements personnels.

Dans le cadre de son examen des procédures de suppression, le CPVP a constaté que la GRC n'avait établi aucun processus pour éliminer du SIRP les dossiers ayant fait l'objet d'une réhabilitation et les dossiers liés à des condamnations injustifiées. Le CPVP a fait remarquer que la non-suppression en temps voulu de ces renseignements risque de nuire à la vie privée des personnes en cause et de limiter leurs possibilités d'emploi, de voyage et de bénévolat.

La réhabilitation, ou la suspension du casier, permet que soient gardés à part les casiers judiciaires des personnes qui ont été déclarées coupables d'une infraction criminelle, mais qui ont fini de purger leur peine et ont démontré qu'elles sont maintenant des citoyens respectueux de la loi.^{Note de bas de page 6} On utilise aussi le terme « isolement ».

Le CPVP a recommandé que la GRC instaure des processus pour supprimer l'accès aux dossiers liés aux infractions ayant fait l'objet d'une réhabilitation et aux condamnations injustifiées qui se trouvent dans la base de données du SIRP. La GRC a accepté de prendre les mesures nécessaires.

Nous voulions donc confirmer que la GRC isole les renseignements liés aux personnes réhabilitées et aux condamnations injustifiées dans le SIRP et qu'elle limite l'accès à de tels renseignements dans les fichiers et dossiers papier.

Nous avons constaté que la Sous-direction de la gestion de l'information a élaboré des procédures détaillées sur le traitement des dossiers ayant fait l'objet d'une réhabilitation dans le SIRP. La Commission des libérations conditionnelles du Canada avise la GRC des suspensions de casiers judiciaires et des condamnations injustifiées par l'entremise des Services canadiens d'identification criminelle en temps réel (SCICTR). Les SCICTR isolent alors les dossiers visés dans le système du CIPC et en informent les divisions et les services de police partenaires qui ont contribué des renseignements aux dossiers isolés. Il incombe à ces organisations, à leur tour, d'isoler les renseignements et les dossiers pertinents dans les autres bases de données (le SIRP et le SIRPP). Selon les personnes interviewées, les SCICTR n'informent pas toujours promptement les divisions des suspensions de casiers judiciaires. Les divisions reçoivent habituellement une série d'avis à la fois, parfois avec plusieurs mois de retard.

À la réception d'avis des SCICTR, les coordonnateurs divisionnaires de la gestion de l'information consultent le SIRP et mettent les dossiers visés dans une zone protégée du système. Après la vérification du CPVP, la GRC a créé des profils d'accès spéciaux permettant uniquement aux utilisateurs identifiés de consulter les renseignements et les dossiers ainsi isolés. De manière générale, selon nos essais et nos discussions avec la direction, nous avons constaté que la GRC a donné suite à la recommandation du CPVP visant l'isolement des renseignements dans le SIRP. Le CPVP n'a pas examiné les procédures établies pour l'isolement de renseignements dans les dossiers physiques, mais nous nous y sommes penchés dans le cadre de notre suivi. Dans les quatre divisions que nous avons visitées, nous avons observé une variété de pratiques, dont certaines sont beaucoup plus efficaces que d'autres.

Des fichiers et dossiers opérationnels physiques peuvent être conservés au quartier général, dans les bureaux divisionnaires de la GI et dans les détachements – mais dans la plupart des cas, ils sont gardés dans les détachements. Les bureaux divisionnaires de la GI examinent et isolent les dossiers conservés par la division pour leurs clients, dont les groupes fédéraux (délits commerciaux, gestion des cas graves, sécurité frontalière). Les bureaux divisionnaires de la GI tentent toujours de traiter les suspensions de casiers dès leur réception, mais en raison des nombreuses tâches administratives à effectuer et du manque de ressources, les bureaux ont élaboré diverses stratégies d'atténuation des risques. Ils ont recours à des pratiques différentes, mais le but est toujours le même : veiller à ce que les renseignements isolés soient gardés à part des autres renseignements, conformément à la Loi sur le casier judiciaire. Certains bureaux divisionnaires de la GI procèdent à des examens minutieux pour déterminer les renseignements à isoler, tandis que d'autres se contentent d'un examen superficiel ou ne consultent même pas le dossier. Dans une division, où il n'existe aucun processus d'examen détaillé, des dossiers complets contenant des renseignements avec des liens éventuels à des infractions ayant fait l'objet d'une réhabilitation sont marqués et classés à part. Ces dossiers ne sont examinés en détail pour supprimer les renseignements isolés que si une personne de l'extérieur du bureau divisionnaire de la GI demande de les consulter. Cette pratique satisfait à l'exigence prévue par la Loi sur le casier judiciaire, et selon la nature du dossier et les ressources disponibles, il peut s'agir d'une pratique exemplaire à l'appui de l'administration efficace de ce processus.

En ce qui a trait aux détachements, il n'y a aucune surveillance ou contrôle à l'échelle divisionnaire ou nationale pour garantir qu'ils prennent les mesures nécessaires pour isoler les renseignements liés à des dossiers faisant l'objet de suspensions de casiers. Les gestionnaires divisionnaires se préoccupent de la capacité des détachements à bien gérer le processus, étant donné les autres fonctions essentielles qui leur incombent. Puisque la majorité des dossiers sont conservés dans les détachements, la situation présente des risques importants.

La GRC a donné suite à la recommandation visant l'isolement de renseignements liés aux personnes réhabilitées et aux condamnations injustifiées qui se trouvent dans le SIRP, mais il existe des possibilités d'accélérer le processus et d'améliorer l'efficacité et l'exhaustivité des méthodes utilisées pour isoler des renseignements dans les fichiers et dossiers physiques.

4. Recommandations

1. Le sous-commissaire aux Services de police contractuels et autochtones évalue et améliore, le cas échéant, les pratiques établies pour surveiller les droits d'accès au SIRP et les risques liés aux consultations non autorisées.
2. Le sous-commissaire aux Services de police contractuels et autochtones, en collaboration avec le sous-commissaire aux Services de police spécialisés et le dirigeant principal de l'Information, adopte un processus d'examen régulier pour assurer le respect des politiques et procédures régissant l'utilisation du SIRP.
3. Le sous-commissaire aux Services de police spécialisés, en collaboration avec le dirigeant principal de l'Information et le sous-commissaire aux Services de police contractuels et autochtones, assure l'élimination voulue des dossiers du SIRPP aux fins de conformité avec les dispositions de la Loi sur la protection des renseignements personnels. Il faudrait aussi prendre en considération l'amélioration de la capacité de surveillance des opérations des utilisateurs du SIRPP en activant un outil d'examen des journaux de transactions.
4. Le sous-commissaire aux Services de police spécialisés, en collaboration avec le dirigeant principal de l'Information, évalue les procédures existantes liées aux dossiers ayant fait l'objet d'une suspension du casier (réhabilitation), en ce qui a trait au caviardage des dossiers physiques, pour s'assurer que les divisions utilisent une méthode efficace qui satisfait aux exigences prévues par les lois fédérales.

5. Conclusion

En général, la GRC a effectivement donné suite à la majorité des constatations et des recommandations du CPVP. Cependant, il existe des possibilités de renforcer la sécurité des renseignements personnels contenus dans les bases de données opérationnelles de la GRC en améliorant les activités de surveillance et de contrôle de la conformité du SIRP.

La GRC devrait également assurer l'élimination des dossiers du SIRPP en temps voulu, conformément à la Loi sur la protection des renseignements personnels. Il faudrait aussi prendre en considération l'amélioration de la capacité de surveillance des opérations des utilisateurs du SIRPP en activant un outil d'examen des journaux de transactions.

Enfin, en ce qui a trait à la gestion de renseignements et de dossiers physiques liés aux personnes réhabilitées et aux condamnations injustifiées, la GRC devrait songer à améliorer les procédures existantes afin d'établir une méthode uniforme et simplifiée qui satisfait aux exigences prévues par les lois fédérales pertinentes.

Annexe A – Objectif et critères de vérification

Objectif : Déterminer si les processus mis en place pour protéger, conserver et supprimer les renseignements personnels assurent le respect des délais prescrits, s'ils sont efficaces et s'ils sont conformes aux politiques établies.

• Critère 1 :
  La GRC a établi et mis en œuvre des procédures régissant les droits d'accès et l'utilisation des renseignements personnels.
• Critère 2 :
  La GRC a établi et mis en œuvre des procédures, en fonction des politiques existantes, pour retirer les renseignements personnels ou les rendre inaccessibles.
• Critère 3 :
  Les mesures nécessaires sont prises pour satisfaire aux exigences techniques visant à assurer la sécurité des renseignements personnels.

Notes de bas de page

Date de modification :

2017-02-03