« La « responsabilité » est un principe universel de protection de la vie privée. Ce principe stipule qu'une organisation est responsable des renseignements personnels dont elle a le contrôle et qu'elle devrait désigner une ou plusieurs personnes qui devront veiller à ce que les principes énoncés soient respectés. »

Il est important d'élaborer. Les réponses qui ne sont pas suffisamment détaillées soulèveront vraisemblablement d'autres questions au moment de l'examen. Il n'est pas nécessaire d'élaborer en long et en large -les réponses courtes qui vont droit au but fournissent souvent plus d'information que les longues notes qui sont plus vagues. Assurez-vous de fournir des détails qui sont pertinents par rapport à la question.

Rappelez-vous également que vous ne pourrez peut-être pas répondre à toutes les questions. Les ÉFVP peuvent être réalisées sans qu'il soit nécessaire de remplir tout le questionnaire. Compte tenu de la nature itérative de l'ÉFVP, vous devrez vraisemblablement participer à la mise à jour de votre rapport d'ÉFVP au fil du temps.

En répondant au questionnaire, vous pouvez également établir des renvois pour certaines de vos réponses et « copier-coller » l'information d'une section du rapport à une autre.

Questions

1.1 A-t-on désigné un responsable de l'ÉFVP? Veuillez indiquer le nom et le titre de la personne responsable dans la colonne « Commentaires ».

Notes pour la question 1.1 :

Bien que le sous-ministre ou le chef de l'institution soit responsable de l'ÉFVP, il est important de préciser le secteur, le groupe ou l'individu qui est chargé de réaliser l'ÉFVP et qui sera la personne-ressource pour cette ÉFVP (normalement le spécialiste des ÉFVP).
Une personne ou un groupe doit être responsable de l'ÉFVP.

1.2 A-t-on établi la responsabilité pour la garde et le contrôle des renseignements personnels?

Notes pour la question 1.2 :

Précisez quelles sont les institutions qui doivent répondre aux questions en vertu de la Loi sur l'accès à l'information ou de la Loi sur la protection des renseignements personnels pour les renseignements qui font l'objet de l'ÉFVP.
Précisez quelle est l'institution chargée de la saisie des données qui seront recueillies et quelle est l'institution qui contrôle le serveur dans lequel les données seront emmagasinées.
Précisez quelle est l'institution chargée de veiller à ce que les mesures de sécurité appropriées soient prises pour protéger les données.
S'il y a accord de collaboration, copiez-collez la clause qui porte sur la garde et le contrôle des renseignements personnels.

1.3 A-t-on documenté le champ de responsabilité du gardien des renseignements personnels?

Notes pour la question 1.3 :

Le gardien des renseignements personnels est habituellement l'agent de programme (non l'agent de la TI) qui est chargé de prendre les décisions opérationnelles concernant une activité.
Si la responsabilité a été documentée, assurez-vous d'inclure des renvois à la documentation en question.
Précisez quelles sont les institutions qui doivent répondre aux questions en vertu de la Loi sur l'accès à l'information ou de la Loi sur la protection des renseignements personnels pour les renseignements qui font l'objet de l'ÉFVP.
Précisez quelle est l'institution chargée de la saisie des données qui seront recueillies et quelle est l'institution qui contrôle le serveur dans lequel les données seront emmagasinées.
Précisez quelle est l'institution chargée de veiller à ce que les mesures de sécurité appropriées soient prises pour protéger les données.
S'il y a accord de collaboration, copiez-collez la clause qui porte sur la garde et le contrôle des renseignements personnels.

1.4 A-t-on précisé de manière mesurable les objectifs de rendement du gardien, et a-t-on prévu un examen du rendement et de la conformité?

Notes pour la question 1.4 :

Les « objectifs de rendement » désignent normalement les responsabilités du gardien du programme, particulièrement la gestion globale des fichiers de renseignements personnels, y compris les responsabilités relatives à la protection de ces renseignements.
- Précisez s'il existe une piste de vérification qui spécifie qui a eu accès aux renseignements personnels et à quel moment.
- Précisez comment les personnes qui ont le droit d'accès aux données et celles à qui ces renseignements sont communiqués seront recensées.
- Précisez les besoins en formation établis pour le gardien des renseignements personnels, y compris l'autorisation de sécurité requise.
- Précisez la période de conservation et de retrait des renseignements personnels.

1.5 Est-ce que des tiers ou des entreprises privées prennent part à la garde ou au contrôle des renseignements personnels?

Notes pour la question 1.5 :

Les tiers pourraient être des organisations du secteur privé, des organismes sans but lucratif ou d'autres gouvernements (p. ex. gouvernements étrangers).
Tenez compte du rôle joué par les tiers dans la garde ou le contrôle des renseignements personnels. Décrivez leur participation, les activités concernées, les règles qui s'appliquent et le régime en place à l'égard de la protection des renseignements personnels (cette information n'est pas souvent incluse dans l'ÉFVP). S'il existe des projets d'entente avec les tiers, joignez-les à votre ÉFVP.
Si des tiers prennent part à la garde ou au contrôle des renseignements personnels, vous devriez songer à effectuer une ÉFVP intergouvernementale. Consultez vos conseillers juridiques et si vous devez en réaliser une, vous devrez plutôt remplir le questionnaire B.
Si vous répondez « oui », fournissez la liste de tous les tiers qui participent. Précisez quels sont ceux qui s'occupent de la collecte des renseignements personnels (même s'ils ne prennent pas part à la garde ou au contrôle de ces renseignements par l'institution fédérale), ceux qui communiquent ces renseignements à l'institution fédérale ou aux parties que vise l'accord de collaboration et ceux qui reçoivent les renseignements personnels de l'institution fédérale ou des parties que vise l'accord de collaboration.
Assurez-vous que le projet d'accord contient des clauses relatives à la protection des renseignements personnels et à la sécurité.
Si vous répondez « non », vous n'avez pas à fournir d'autres détails.

1.6 Si des tiers ou des entreprises privées y prennent part, disposez-vous d'un accord qui établit les exigences en matière de respect de la vie privée?

Notes pour la question 1.6 :

Pour répondre à cette question, tenez compte des protocoles d'entente (PE) et des lettres d'accord.
Si l'un ou l'autre de ces accords s'applique, faites-y référence dans votre réponse. Vous pouvez joindre une copie de ces documents à votre rapport d'ÉFVP.
Si vous devez préparer un PE, selon la nature des renseignements concernés, assurez-vous d'avoir bien répondu aux questions relatives à la collecte directe effectuée auprès de la personne concernée (dans la mesure du possible), à l'avis donné à cette personne concernant les fins pour lesquelles ces renseignements ont été recueillis et à la preuve du consentement obtenu pour l'utilisation et la communication des renseignements personnels, le cas échéant.

1.7 Si vous avez répondu oui à la question 1.5, est?ce que les exigences de la Loi sur la protection des renseignements personnels et les documents électroniques s'appliquent si la proposition fait appel au secteur privé?

Notes pour la question 1.7 :

Consultez vos conseillers juridiques sur cette question. Si la participation du secteur privé fait l'objet d'un contrat avec l'institution fédérale, il est probable que le rôle de la partie contractante sera régi par la Loi sur la protection des renseignements personnels. S'il s'agit plutôt d'une relation sans lien de dépendance, la LPRPDE pourrait s'appliquer. Si le tiers ne participe pas à une « activité commerciale », il est possible que la LPRPDE ne s'applique pas. Vos conseillers juridiques pourraient devoir consulter le tiers pour déterminer quelles sont les lois en matière de protection de la vie privée qui s'appliquent à lui.
« Activité commerciale » désigne toute transaction, toute action ou tout comportement de nature commerciale, y compris la vente, le troc ou la location de listes de donateurs, de membres ou de collecteurs de fonds.
Nota - Les parties assujetties à la LPRPDE peuvent recueillir les renseignements personnels dont elles ont besoin pour des fins qu'une personne raisonnable considérerait appropriées dans les circonstances, pourvu que cette collecte soit effectuée après qu'un avis approprié ait été donné à la personne concernée et que celle-ci ait donné son consentement. Pour leur part, les institutions fédérales peuvent recueillir des renseignements personnels uniquement si ces renseignements ont un lien direct avec leurs programmes ou leurs activités et si ces derniers s'appuient sur le fondement juridique voulu. Cette différence explique pourquoi la LPRPDE est souvent décrite comme « fondée sur le consentement » alors que la Loi sur la protection des renseignements personnels est parfois décrite comme « fondée sur le pouvoir ». Même si la collecte de renseignements personnels par un tiers est conforme à la LPRPDE ou aux lois provinciales en matière de respect de la vie privée, l'institution fédérale doit s'assurer que la réception de ces renseignements est conforme à la Loi sur la protection des renseignements personnels.

1.8 Est-ce qu'on communiquera au ministère les résultats des vérifications régulières et des contrôles de conformité aux exigences en matière de respect de la vie privée qui s'appliquent à toutes les parties en cause?

Notes pour la question 1.8 :

Tenez compte de la partie qui effectuera les vérifications et les contrôles de conformité et à quelle fréquence ils seront effectués.
Dans le protocole d'entente, précisez si les vérifications seront fournies à l'institution fédérale, à sa demande. Prenez soin de préciser que le ministre pourrait, à sa discrétion, rendre publics les résultats de ces vérifications.

1.9 Est-ce qu'on a tenu compte des exigences de la Politique sur la protection des renseignements personnels du Conseil du Trésor?

Notes pour la question 1.9 :

Normalement, la réponse devrait être « oui », bien que dans certains cas, il pourrait y avoir absence de conformité (particulièrement en ce qui a trait à la politique sur le couplage des données) ou des ambiguïtés dans la politique, ce qui ferait en sorte qu'il soit difficile de répondre « oui ».
Assurez-vous de citer les articles de la politique qui s'appliquent.
S'il y a des aspects pour lesquels vous ne respectez pas la politique, citez les exemples et expliquez ce que vous avez l'intention de faire.

1.10 Est-ce que des lois ou des politiques se rapportant au programme comportent des exigences en matière de gestion des renseignements personnels qui concernent la proposition?

Notes pour la question 1.10 :

Citez des sections précises des lois ou des politiques qui s'appliquent au programme, le cas échéant.

Sujets de discussion :

Dans cette section, ajoutez des notes supplémentaires ou des commentaires sur l'une ou l'autre des questions précédentes. Assurez-vous de mentionner la question à laquelle vous répondez.

Utilisation des questionnaires d'analyse des facteurs relatifs à la vie privée

Questionnaire A - Programmes et services fédéraux - Principe 2 : Collecte de renseignements personnels