Protéger les renseignements personnels - Un impératif : La stratégie fédérale visant à répondre aux préoccupations suscitées par la USA PATRIOT Act et le flux de données transfrontière

6. Mesures de suivi – Les prochaines étapes

La gestion des risques est un processus continu. Par conséquent, le travail qu’effectue le gouvernement du Canada en ce qui a trait à la USA PATRIOT Act et à la question plus vaste du flux de données transfrontière ne prendra pas fin avec la publication de ce rapport.

On veillera à ce que les institutions fédérales poursuivent la surveillance des risques et à ce qu’elles se dotent de mesures d’atténuation des risques et de stratégies pour éliminer ceux‑ci.

Voici une liste de mesures que prendra le gouvernement à court (d’ici six mois), moyen (de six mois à un an) et long (d’un à deux ans) termes.

Institutions fédérales

Les institutions fédérales sont tenues de s’assurer, de façon continue, que leurs stratégies d’atténuation des risques associés à la USA PATRIOT Act sont en place et qu’elles ont pris des mesures concrètes pour déterminer et minimiser les risques éventuels d’entrave à la protection des renseignements, lorsqu’elles évaluent leurs besoins futurs en fait de marché.

1. Le Secrétariat

En cours et d’ici six mois

1.1 Poursuivre les rencontres avec les sept institutions fédérales ayant déterminé que certains de leurs marchés entraient dans la catégorie « risque moyen à élevé », afin d’évaluer si les plans de mise en œuvre correspondent aux risques déterminés dans les évaluations globales de l’institution.
1.2 Fournir des conseils et un soutien d’ordre général à toutes les institutions, en ce qui a trait aux plans ministériels de gestion des risques.
1.3 Offrir aux spécialistes en sécurité du gouvernement des conseils au sujet de la USA PATRIOT Act et d’autres lois étrangères similaires à la suite des modifications apportées récemment à la Norme de sécurité et de gestion des marchés qui relève de la Politique du gouvernement sur la sécurité.

De six mois à un an

1.4 Entreprendre une évaluation pangouvernementale à peu près un an après la diffusion de ce rapport, afin de déterminer :
- le degré de succès de la mise en œuvre des mesures recommandées dans le document d’orientation;
- si les risques découlant de la USA PATRIOT Act et du flux de données transfrontière ont diminué, sont restés les mêmes ou ont augmenté depuis la première évaluation.
1.5 Diffuser des directives aux institutions fédérales sur les ententes de partage des renseignements pour aborder la question plus vaste de la façon dont s’effectue le partage des renseignements personnels des Canadiens et des Canadiennes avec les autres gouvernements au Canada et à l’étranger. On s’assurera ainsi que le traitement des renseignements personnels des Canadiens et des Canadiennes est assujetti à des normes de protection au moins égales à celles qu’imposent les lois et politiques fédérales pour le partage d’information entre gouvernements au Canada et à l’étranger.
1.6 Proposer des pratiques exemplaires pour ce qui est d’intégrer la protection des renseignements personnels dans les concepts, au moyen de solutions technologiques et architecturales, telles que l’utilisation du chiffrement, la séparation des bases de données et les pistes de vérification fondées sur les consultations avec d’autres gouvernements et le secteur privé.
1.7 Élaborer, de concert avec la collectivité de la vérification interne, un guide de vérification interne relativement à l’évaluation de la protection des renseignements personnels dans les marchés.

D’un à deux ans

1.8 Concevoir, élaborer et faire connaître un cadre de gestion de la protection des renseignements personnels permettant d’établir la vision et la stratégie du gouvernement du Canada en matière de protection des renseignements personnels. Le cadre fournira la base sur laquelle ériger une infrastructure complète de gestion et de responsabilisation quant aux risques menaçant la protection des renseignements personnels, qui permettra d’établir le juste équilibre entre le droit à la vie privée des personnes et l’obligation de prendre en compte d’autres objectifs d’intérêt public et de respecter les mandats des programmes. Au bout du compte, il permettra la mise en place de normes élevées en matière de protection des renseignements personnels. Ces travaux seront accomplis en partenariat avec le Commissariat à la protection de la vie privée du Canada.

2. Industrie Canada

D’ici six mois

2.1 Collaborer avec le Commissariat à la protection de la vie privée du Canada en vue d’élaborer des outils et de cibler des occasions d’accroître la sensibilisation des entreprises et du public en général à l’égard des questions entourant le flux de données transfrontière.

D’un à deux ans

2.2 Diriger les travaux concernant le projet récemment annoncé de Partenariat nord-américain pour la sécurité et la prospérité (PNASP), une entente trilatérale liant les gouvernements du Canada, du Mexique et des É.-U. Le Cadre de principes communs en matière de commerce électronique avec le Mexique et les États‑Unis, conclu en juin 2005 dans le cadre du PNASP, comporte un élément de travail concernant la protection des renseignements personnels et le flux de données transfrontière. Les points de discussions possibles incluent des approches communes relatives à la protection des renseignements personnels, à l’équilibre entre la protection de la vie privée et la sécurité, et au besoin de transparence et de surveillance en ce qui a trait à l’utilisation des renseignements personnels aux fins de la sécurité nationale et de l’application de la loi.
2.3 En 2006, un comité parlementaire se chargera de réviser la LPRPDE. Dans le cadre de cette révision, on aura l’occasion de se pencher sur l’efficacité de la LPRPDE à prendre en compte diverses questions et préoccupations exprimées au sujet de la protection des renseignements personnels.

3. Ministère de la Justice Canada

D’un à deux ans

3.1 Le ministère de la Justice Canada poursuivra son examen et évaluation continus de la législation en matière de protection des renseignements personnels, et notamment de la Loi sur la protection des renseignements personnels. Advenant que le gouvernement du Canada décide que la Loi sur la protection des renseignements personnels doit être révisée, le ministère de concert avec le Secrétariat et d’autres intervenants détermineront si la Loi refondue devra définir les responsabilités et les exigences éventuelles de ceux qui transfèrent des renseignements personnels à l’extérieur de la fonction publique et à l’étranger.
3.2 Afin de tenter de résoudre la question plus large à savoir comment les renseignements personnels des Canadiens et des Canadiennes sont partagés avec d’autres gouvernements à l’intérieur du Canada et à l’étranger, le ministère de la Justice Canada travaillera en étroite collaboration avec le Secrétariat pour faire en sorte que ce dernier élabore et rende public un document d’orientation stratégique sur les ententes de partage d’information et d’ententes contractuelles en conformité avec les mesures de protection des renseignements personnels pertinentes.

4. Travaux publics et Services gouvernementaux Canada

D’ici six mois

4.1 Communiquer et rendre disponibles les clauses types et les conseils en matière de marché à l’intention de tous les agents d’approvisionnement de TPSGC.
4.2 Sensibiliser davantage à la USA PATRIOT Act et à la question du flux de données transfrontière, en intégrant un cours sur la sécurité en matière de marché des agents d’approvisionnement au module actuel portant sur la protection des renseignements personnels.

5. École de la fonction publique du Canada

De six mois à un an

5.1 Élaborer et offrir des cours et des modules de formation visant à accroître la sensibilisation au sujet de la protection des renseignements personnels, du flux de données transfrontière et de la passation des marchés, auprès des employés de tous niveaux et de toutes les collectivités de praticiens (y compris les spécialistes de la technologie de l’information, les spécialistes de la protection des renseignements personnels, les gestionnaires de programmes ministériels, les spécialistes en matière de politiques). Un programme similaire a été entrepris relativement à la gestion de l’information au gouvernement.