Foire aux questions : Résultats de l'évaluation approfondie de la USA PATRIOT ACT

1. Qu'est-ce que la USA PATRIOT Act et en quoi est-elle liée à la protection de la vie privée et des renseignements personnels ?
2. Pourquoi la protection des renseignements personnels est-elle une priorité ?
3. Devrais-je m'inquiéter qu'on puisse avoir accès à mes renseignements personnels en vertu de la USA PATRIOT Act ?
4. Comment mes dossiers personnels pourraient-ils être accessibles en vertu de la USA PATRIOT Act ? 
5. Si les renseignements personnels sont plus vulnérables quand ils sont à l'extérieur du Canada, pourquoi ne pas éviter d'avoir recours à des fournisseurs ayant des liens avec les autres pays ?
6. Y a-t-il des cas où des renseignements personnels sur des Canadiens ont été divulgués en vertu de la USA PATRIOT Act ?
7. Y a-t-il d'autres lois semblables à la USA PATRIOT Act ?
8. Quand le gouvernement a-t-il examiné la passation de ses marchés et quels ont été les résultats de cet examen ?
9. Quelles mesures le gouvernement a-t-il prises pour faire passer les ministères et organismes à risque élevé à une catégorie de risque plus faible ?
10. Les institutions étaient-elles prêtes à transiger avec les risques potentiels cernés par l'examen ?
11. D'autres pratiques additionnelles ont-elles été mises en place pour atténuer encore les risques ?
12. Au sein du gouvernement fédéral, qui est responsable de garantir que les contrats du gouvernement tiennent compte de l'accès aux renseignements personnels par d'autres lois étrangères ?
13. Quelles autres mesures les institutions fédérales mettent-elles en place pour atténuer les risques potentiels ?
14. Qui est responsable de protéger mes renseignements personnels ?
15. Existe-t-il des lois que le gouvernement fédéral doit appliquer afin de protéger les renseignements personnels sous son contrôle ?
16. Qu'en est-il du secteur privé ?
17. Existe-t-il un organisme au Canada chargé de veiller à mes droits relatifs à la protection de la vie privée ?
18. Que puis-je faire pour protéger mes renseignements personnels ?

1. Qu'est-ce que la USA PATRIOT Act et en quoi est-elle liée à la protection de la vie privée et des renseignements personnels ?

• La USA PATRIOT Act (Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism Act) [Unifiant et renforçant l'Amérique en offrant les outils appropriés nécessaires à l'interception et à l'obstruction des actes terroristes] a été adoptée aux États-Unis en octobre 2001 à titre de mesure antiterroriste.
• Cette loi permet aux autorités policières des États-Unis, aux fins des enquêtes antiterroristes, d'obtenir une ordonnance d'un tribunal leur donnant accès aux dossiers personnels de toute personne à l'insu de cette dernière.
• En vertu de cette loi, les autorités américaines auraient accès à l'information sur les citoyens des autres pays, dont le Canada, si elle est physiquement aux États-Unis ou accessible électroniquement. Il est donc possible pour les autorités policières d'obtenir de l'information sur des Canadiens dont les renseignements pourraient être échangés en vertu d'un contrat entre le gouvernement fédéral et une société américaine.

2. Pourquoi la protection des renseignements personnels est-elle une priorité ?

• La vie privée est depuis longtemps un droit fondamental au Canada. Plusieurs sondages d'opinions révèlent que les Canadiens se préoccupent de la protection de leurs renseignements personnels. Le gouvernement du Canada, reconnu mondialement comme chef de file dans la création de lois et politiques en matière de protection de la vie privée, partage ces préoccupations et est un défenseur de la protection de la vie privée des Canadiens.

3. Devrais-je m'inquiéter qu'on puisse avoir accès à mes renseignements personnels en vertu de la USA PATRIOT Act ?

• Les chances que cela se produise sont minces.

4. Comment mes dossiers personnels pourraient-ils être accessibles en vertu de la USA PATRIOT Act ?

• Les technologies de l'information d'aujourd'hui, comme l'Internet, permettent aux organisations et aux personnes l'échange facile et rapide d'information. Le transfert de renseignements au-delà des frontières, y compris les renseignements personnels et délicats, s'appelle « flux de données transfrontière ».
• Les flux de données transfrontières sont de plus en plus courants à mesure que les sociétés et les gouvernements profitent de l'impartition à l'étranger.
• Dans l'économie mondiale d'aujourd'hui, les fournisseurs peuvent être n'importe où dans le monde. Même si on choisit un fournisseur intérieur, il peut avoir des bureaux situés dans d'autres pays.
• Lorsqu'un fournisseur est choisi pour administrer des renseignements personnels et qu'une partie de son exploitation, y compris les sous-traitants, est à l'extérieur du Canada, les lois de l'autre pays (ou des autres pays) peuvent s'appliquer aux renseignements conservés ou accessibles électroniquement dans le pays étranger. Si on engage une société des États-Unis ou ayant des liens avec les États-Unis, la USA PATRIOT Act pourrait s'appliquer. 

5. Si les renseignements personnels sont plus vulnérables quand ils sont à l'extérieur du Canada, pourquoi ne pas éviter d'avoir recours à des fournisseurs ayant des liens avec les autres pays ?

• Les institutions du gouvernement fédéral ont des stratégies de gestion du risque pour examiner tous les aspects de la passation des marchés. Lorsque des renseignements très délicats sont en jeu, on donne la priorité au maintien de ces renseignements sous le contrôle du gouvernement ou à l'intérieur des frontières canadiennes.
• Cela dit, le recours à des fournisseurs entre pays fait maintenant partie essentielle de l'économie mondiale. Même si le Canada a recours à des fournisseurs des autres pays, ces autres pays font également appel aux sociétés canadiennes. Cela a augmenté la prospérité puisqu'un emploi sur quatre est lié au commerce international. Les Canadiens bénéficient également de l'approvisionnement mondial des produits et services.
• Le gouvernement du Canada est obligé de donner accès à certaines passations de marchés aux sociétés des autres pays en vertu de plusieurs accords internationaux, dont l'Accord de libre-échange nord-américain (ALÉNA) et l'Organisation mondiale du commerce.  Les sociétés canadiennes ont également accès aux marchés des autres pays.

6. Y a-t-il des cas où des renseignements personnels sur des Canadiens ont été divulgués en vertu de la USA PATRIOT Act ?

• Le gouvernement fédéral ne connaît aucun cas semblable jusqu'ici.

7. Y a-t-il d'autres lois semblables à la USA PATRIOT Act ?

• Comme les flux de données transfrontières sont mondiaux, la question ne se limite pas à la USA PATRIOT Act. Il y a dans le monde d'autres lois qui donnent accès aux renseignements personnels pour la lutte contre le terrorisme et d'autres activités criminelles. Par conséquent, le gouvernement du Canada a décidé que les mesures en vue de protéger la vie privée doivent avoir une portée très large et ne pas se limiter pas à la seule USA PATRIOT Act.  

8. Quand le gouvernement a-t-il examiné la passation de ses marchés et quels ont été les résultats de cet examen ?

• L'examen a été lancé à la fin de 2004 et achevé à l'été 2005.
• Le SCT a demandé aux institutions fédérales qui sont régies par la Loi sur la protection des renseignements personnels d'évaluer leurs ententes d'impartition quant aux risques potentiels que les Américains aient accès aux renseignements personnels en vertu de la USA PATRIOT Act.
• La plupart des 160 institutions fédérales, plus de 80 pour cent, évaluent leurs ententes comme ne présentant aucun risque, ou un risque faible, parce que les renseignements ou bien sont traités seulement par le gouvernement fédéral même ou par une société en exploitation au Canada seulement.
• Pour les autres institutions, le risque de l'impartition de certaines ententes était jugé « faible à moyen » (19 institutions) à cause d'un lien potentiel avec un fournisseur à l'extérieur du Canada, et « moyen à élevé » (sept institutions) à cause des renseignements traités à l'extérieur du Canada.

9. Quelles mesures le gouvernement a-t-il prises pour faire passer les ministères et organismes à risque élevé à une catégorie de risque plus faible ?

• Seulement sept des 160 institutions évaluées se sont elles-mêmes classées dans la catégorie de risque moyen à élevé. Ces institutions ont déjà commencé à prendre les mesures en vue d'atténuer les risques, comme le recours aux dispositions contractuelles et à la vérification et la séparation des banques de données. De plus, les préoccupations seront traitées plus à fond au moment du renouvellement des contrats.
• Le SCT a publié un document d'orientation pour aider les institutions fédérales à prendre une décision avant de s'engager dans une impartition qui comporte des renseignements sensibles, personnels ou autres, que ce soit au Canada ou à l'étranger.
• Le gouvernement a demandé aux sept institutions qui ont évalué le risque moyen à élevé de produire une mise à jour de leur plan de gestion de ces risques et de faire rapport sur les risques qui ont été réglés depuis le dépôt de leur première évaluation.
• En outre, le gouvernement a mis en place des rapports trimestriels sur la mise en œuvre des plans de ces sept institutions.
• Nous avons également demandé des rapports d'étapes trimestriels sur les engagements pris par certains ministères clés (comme Industrie Canada et le ministère de la Justice) qui jouent un rôle dans la stratégie globale du gouvernement.

10. Les institutions étaient-elles prêtes à transiger avec les risques potentiels cernés par l'examen ?

• Dans la plupart des cas, oui. L'examen a révélé que plusieurs stratégies et meilleures pratiques étaient déjà en place pour faire face aux défis que comportent les flux de données transfrontières d'aujourd'hui.
• Les meilleures pratiques existantes comprennent la séparation des renseignements personnels des autres renseignements dont disposent les sous-traitants; les pistes de vérification qui font le suivi serré du traitement des renseignements; l'approbation par le gouvernement de toute impartition de marché; la signature d'ententes de non divulgation et le recours à la technologie de chiffrement permettant la consultation des données aux seuls responsables du gouvernement.
• Certaines institutions qui transigent avec des renseignements particulièrement délicats s'assurent que ces renseignements ne sortent jamais des locaux du gouvernement.

11. D'autres pratiques additionnelles ont-elles été mises en place pour atténuer encore les risques ?

• Oui, plusieurs institutions ont rapporté avoir mis en place des mesures d'atténuation supplémentaires afin de se protéger de toute divulgation non autorisée présente et future.
• Ces pratiques élargies comprennent des processus internes d'examen de toutes les nouvelles ententes d'impartition et le contrôle des contrats en vertu desquels les sociétés étrangères ont accès aux renseignements délicats, personnels et autres.

12. Au sein du gouvernement fédéral, qui est responsable de garantir que les contrats du gouvernement tiennent compte de l'accès aux renseignements personnels par d'autres lois étrangères ?

• Le Secrétariat du Conseil du Trésor du Canada (SCT) est responsable de coordonner le plan d'action du gouvernement quant aux risques associés au traitement des renseignements personnels dans les contrats.  Chaque institution du gouvernement du Canada est toutefois responsable de cerner et d'évaluer les risques inhérents à ses activités d'impartition et d'élaborer ses propres stratégies internes en vue de les atténuer ou de les gérer.  Le SCT donne une orientation et des conseils en matière de protection de la vie privée et de passation de marchés pour assister les institutions.

13. Quelles autres mesures les institutions fédérales mettent-elles en place pour atténuer les risques potentiels ?

• Les institutions élaborent des démarches de gestion afin de réduire les risques liés aux lois étrangères, démarches qui seront incorporées au cadre de gestion du risque ministériel global.
• Le SCT a préparé un document d'orientation pour les institutions fédérales. Ce document comporte une liste de vérification sur la protection de la vie privée et des conseils directs pour tenir compte de la protection de la vie privée avant de passer des marchés. Il comporte également des conseils sur l'élaboration de dispositions relatives à la protection de la vie privée particulières qui peuvent être utilisées dans les demandes de propositions (DP) et les contrats.
• Les programmes de formation de la fonction publique comporteront un module de sensibilisation aux risques.
• On explorera des solutions technologiques afin de protéger les flux de données.

14. Qui est responsable de protéger mes renseignements personnels ?

• La protection des renseignements personnels n'est pas la seule responsabilité du gouvernement fédéral. Tous les paliers de gouvernement, les organismes privés et les Canadiens eux-mêmes partagent cette responsabilité.

15. Existe-t-il des lois que le gouvernement fédéral doit appliquer afin de protéger les renseignements personnels sous son contrôle ?

• Oui, chaque institution fédérale est imputable en vertu de lois fédérales qui s'appliquent aux opérations de leurs programmes et services.
• Une de ces lois qui régit la plupart des institutions fédérales est la Loi sur la protection des renseignements personnels.Cette loi a été adoptée en 1983 afin de limiter la cueillette, l'utilisation et la divulgation des renseignements personnels et plus de 160 institutions fédérales doivent en appliquer les dispositions.
• Un arrêté en conseil du 31 août 2005 a amené dix autres institutions, ou sociétés de la Couronne, sous la juridiction de la Loi sur la protection des renseignements personnels.
• D'autres lois fédérales, la Loi de l'impôt sur le revenu, la Loi sur la statistique, la Loi sur l'assurance-emploi, la Loi sur la sécurité de la vieillesse et la Loi sur le régime de pensions du Canada, ajoutent une couche supplémentaire à la protection de la vie privée.
• Les provinces ont des lois, des politiques et des procédures de protection de la vie privée semblables à celles du gouvernement fédéral mais adaptées à leurs propres circonstances.

16. Qu'en est-il du secteur privé ?

• La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDÉ) régit les renseignements personnels utilisés par les sociétés du secteur privé dans la plupart des provinces et dans tous les territoires.
• La LPRPDÉ s'applique à tout organisme engagé dans des activités commerciales de cueillette, d'utilisation et de divulgation des renseignements personnels.
• En vertu de cette loi, toute personne a le droit de savoir pourquoi une entreprise veut cueillir ses renseignements personnels.
• Dans les provinces qui ont une loi sur la protection de la vie privée semblable à la LPRPDÉ, une loi provinciale régit les opérations du secteur privé qui en relèvent à l'intérieur de leurs frontières.

17. Existe-t-il un organisme au Canada chargé de veiller à mes droits relatifs à la protection de la vie privée ?

• Le Commissaire à la protection de la vie privée veille aux droits à la protection de la vie privée des Canadiens. Le Commissaire peut faire enquête sur toute plainte logée en vertu de la Loi sur la protection des renseignements personnels et de la LPRPDÉ. Le Commissaire agit également à titre de défenseur des droits à la protection de la vie privée, effectue la recherche et publie l'information sur les meilleures pratiques en matière de protection de la vie privée.

18. Que puis-je faire pour protéger mes renseignements personnels ?

• Vous avez le droit de savoir et de demander à quelle fin une société ou un organisme cueille, utilise ou divulgue vos renseignements personnels comme votre nom, votre âge, vos dossiers médicaux, votre statut social et votre revenu. Vous avez également le droit de vérifier vos renseignements personnels et d'en corriger toute inexactitude.
• Si vous êtes inquiet de la façon qu'on traite vos renseignements personnels, vous pouvez vous plaindre auprès du Bureau du Commissaire à la protection de la vie privée ou au commissaire provincial ou territorial (selon l'organisme qui a soulevé l'inquiétude). Pour obtenir plus d'information sur le Bureau du Commissaire à la protection de la vie privée, visitez son site Web