Rapport annuel sur l’application de la loi sur la protection des renseignements personnels
Du 1er avril 2022 au 31 mars 2023
Introduction
Ce rapport est préparé en vertu de l’article 72 de la Loi sur la protection des renseignements personnels et est déposé au Parlement par la ministre de la Santé conformément à l’article susmentionné. Le rapport présente la façon dont les Instituts de recherche en santé du Canada (IRSC) ont rempli leur rôle à l’égard de la Loi durant l’exercice financier commençant le 1er avril 2022 et se terminant le 31 mars 2023.
La Loi sur la protection des renseignements personnels fournit aux Canadiens et Canadiennes le droit légal d’accès aux renseignements personnels détenus par le gouvernement, sous réserve de certaines limites et exceptions bien précises, ainsi que la protection contre l’utilisation et la divulgation non autorisées de ces renseignements.
Les IRSC ont été créés en 2000 et sont régis par la Loi sur les Instituts de recherche en santé du Canada en tant qu’organisme du gouvernement du Canada chargé d’investir dans la recherche en santé. Comme énoncé dans la Loi, le mandat des IRSC est :
« d’exceller, selon les normes internationales reconnues de l’excellence scientifique, dans la création de nouvelles connaissances et leur application en vue d’améliorer la santé de la population canadienne, d’offrir de meilleurs produits et services de santé, et de renforcer le système de santé au Canada ».
Les IRSC sont le plus important bailleur de fonds de la recherche en santé au pays. Composés de 13 instituts « virtuels » et de trois portefeuilles d’activités, les IRSC offrent leadership et soutien à plus de 15 000 chercheurs et stagiaires de premier ordre dans tous les domaines de recherche en santé et provenant de toutes les régions du Canada.
Structure organisationnelle
Les IRSC sont dirigés par un président et un conseil d’administration composé d’au plus 18 membres nommés par le gouverneur en conseil. Le conseil d’administration définit l’orientation stratégique et les objectifs globaux. Il se charge également de la création, du maintien ou de l’abolition des instituts de recherche en santé, ainsi que de la définition de leur mandat. Conformément à la loi, le conseil d’administration est chargé des attributions suivantes : établir l’orientation stratégique et les objectifs; évaluer leur rendement et approuver leur budget; établir un processus d’évaluation par les pairs pour les projets de recherche proposés aux IRSC; approuver le financement des projets de recherche; autoriser les dépenses supplémentaires en vue de réaliser la mission des IRSC; établir des politiques; régler toute autre question qu’il estime liée aux activités des IRSC.
Le Bureau de l’accès à l’information et de la protection des renseignements personnels (AIPRP), qui fait partie de la Direction des politiques stratégiques des IRSC, administre pour les IRSC les dispositions de la Loi sur l’accès à l’information et de la Loi sur la protection des renseignements personnels, et rend des comptes au président des IRSC. Il est composé d’une coordonnatrice principale, d’un analyste principal et d’une agente. De plus, en 2022-2023, les IRSC ont retenu les services d’un consultant. Le Bureau de l’AIPRP a les responsabilités suivantes :
- gérer toute réponse aux demandes officielles et aux demandes de renseignements reçues en vertu des deux lois;
- élaborer des politiques, des lignes directrices et des procédures quant à l’application des exigences législatives de l’organisme par rapport aux deux lois;
- bien faire connaître les deux lois, offrir des formations, des conseils et de l’orientation afin d’assurer que le personnel et la direction comprennent leurs rôles et responsabilités;
- surveiller la conformité aux deux lois;
- effectuer des évaluations des facteurs relatifs à la vie privée;
- coordonner la production de rapports sur les atteintes à la vie privée;
- préparer des rapports annuels aux fins de dépôt;
- mettre à jour le chapitre d’Info Source sur les IRSC chaque année.
Les IRSC n’ont conclu aucune entente de service en vertu du paragraphe 73.1 de la Loi sur la protection des renseignements personnels au cours de l’exercice 2021-2022.
Délégation des pouvoirs
Le président des IRSC, désigné comme responsable de l’organisme en vertu de la Loi sur l’accès à l’information, exerce les pouvoirs qui lui sont confiés par la Loi, comme l’application d’exemptions et d’exclusions.
En vertu de l’article 73 de la Loi, le président délègue à la vice-présidente directrice, au vice-président associé à la gouvernance et aux relations externes, au directeur général des Politiques stratégiques, à la coordonnatrice principale de l’AIPRP, l’analyste principale et à un agent en matière d’AIPRP ses attributions prévues par la Loi (voir l’annexe A - Ordonnance de délégation de pouvoir).
Points saillants du rapport statistique 2022-2023
Les IRSC recueillent et gèrent une grande quantité de renseignements personnels dans le cadre de l’évaluation de milliers de demandes de subventions et de bourses de recherche, qu’ils octroient en fonction du mérite accordé aux demandes lors de l’évaluation par les pairs.
a. Demandes officielles
Au cours de la période visée par le rapport, soit du 1er avril 2022 au 31 mars 2023, les IRSC ont reçu cinq demandes en vertu de la Loi sur la protection des renseignements personnels. Quatre demandes ont été fermées au cours de l’exercice financier, et une demande a été transférée au prochain exercice. Sur les 4 demandes traitées, 3 l’ont été dans les 30 premiers jours suivant leur réception et 1 demande a été traitée dans un délai de 61 à 120 jours. Une demande a mené à une divulgation complète des renseignements demandés, une à une divulgation partielle, et deux demandes n’ont donné lieu à aucune mention (voir l’annexe B - Rapport statistique). En tout, 848 pages ont été traitées et 657 pages ont été divulguées en 2022-2023. Au cours de cette période, 75 % des demandes (3) ont été traitées dans le délai prévu par la Loi. Une demande n’a pu être traitée à temps en raison de la charge de travail. Le nombre de demandes reçues au cours des cinq dernières années a oscillé entre zéro et seize. Bien que le nombre de demandes reçues en 2022-2023 soit faible, la complexité des dossiers était importante.
b. Demandes officieuses
Les IRSC ont répondu à plus de 40 demandes officieuses en 2022-2023, toutes reçues par des employés des IRSC. Aucune demande officieuse extérieure à l’organisation n’a été reçue
Au cours des cinq dernières années, une hausse constante du volume de demandes officieuses a été constatée. Toutes les demandes officieuses reçues durant l’exercice 2022-2023 provenaient d’unités opérationnelles et concernaient l’évaluation de documents organisationnels et l’interprétation de la Loi sur la protection des renseignements personnels, principalement en lien avec l’exécution des programmes et la prestation de services. Ces demandes ne paraissent pas dans le rapport statistique à l’annexe B.
c. Demandes de correction des renseignements personnels
Au cours de l’exercice 2022-2023, les IRSC n’ont reçu aucune demande de correction de renseignements personnels.
d. Consultations
Au cours de l’exercice 2022-2023, le Bureau de l’AIPRP des IRSC n’a reçu aucune demande de consultation provenant d’une source externe.
Les gestionnaires et le personnel des IRSC ont demandé et obtenu l’avis de la coordonnatrice de l’AIPRP régulièrement pour des cas où ils devaient tenir compte de questions relatives à la protection des renseignements personnels dans leurs programmes ou leurs activités. Les IRSC ont procédé à la révision et à la rédaction de nombreux avis de confidentialité en 2022-2023. Des évaluations approfondies des pratiques au sein de l’organisation se poursuivent, éclairées par le Bureau de l’AIPRP.
e. Coûts
Au cours de l’exercice 2022-2023, le Bureau de l’AIPRP a engagé des frais salariaux de 145 750 $ pour appliquer la Loi sur la protection des renseignements personnels. Étant donné qu’il est difficile de faire un suivi de tous les coûts opérationnels liés à l’application de la Loi, les statistiques sur les ressources humaines et les coûts ne sont que des estimations prudentes. Presque tous les coûts sont attribuables aux salaires et comprennent une fraction des salaires des directeurs, des gestionnaires et des employés qui ont collaboré aux travaux liés à la Loi.
Activités de formation
Au cours de l’exercice 2022-2023, une formation sur l’AIPRP a été donnée au personnel de tous les niveaux lors de huit séances personnalisées. Bien que celles-ci aient surtout été axées sur la protection des renseignements personnels, elles ont également abordé des concepts clés relatifs à l’accès à l’information et à la gestion de celle-ci. Ces séances ont été présentées afin d’améliorer les connaissances, les compétences et le point de vue de tous les employés concernant l’accès à l’information et la protection des renseignements personnels. Le Bureau de l’AIPRP continue d’élaborer des outils éducatifs et d’offrir des séances de formation aux employés des IRSC. Il s’agit d’une priorité clé pour 2023-2024.
Politiques, lignes directrices et procédures
Bien qu’aucune mise à jour importante n’ait été apportée aux politiques, aux lignes directrices ou aux procédures en vigueur en matière d’accès à l’information, les IRSC ont pris le temps de mesurer l’efficacité des processus de collecte, d’utilisation et de divulgation des renseignements personnels.
Initiatives et projets visant à améliorer la protection de la vie privée
Dans le cadre d’un vaste processus dirigé par le Secrétariat du Conseil du Trésor, les IRSC sont en voie d’obtenir une nouvelle solution logicielle qui permettra d’améliorer considérablement et d’automatiser le traitement des demandes. En outre, le Bureau de l’AIPRP des IRSC a obtenu un nouveau logiciel afin de fournir des dossiers de réponse aux demandeurs dans des formats accessibles, en particulier à ceux qui utilisent des lecteurs d’écran.
Au cours de l’exercice 2022-2023, les IRSC ont fait appel à des services de consultation pour traiter les demandes d’AIPRP, lesquels se sont avérés efficaces pendant les périodes occupées.
Plaintes et enquêtes
Les IRSC ont reçu une plainte relative à la vie privée au cours de la période visée par le rapport. La plainte a été reportée à l’exercice 2023-2024.
Atteintes substantielles à la vie privée
Il n’y a eu aucune atteinte substantielle à la vie privée pendant la période visée par le rapport.
Évaluation des facteurs relatifs à la vie privée
En 2022-2023, les IRSC n'ont mené aucune évaluation des facteurs relatifs à la vie privée (ÉFVP).
Communication de renseignements pour des raisons d'intérêt public
Les IRSC n’ont communiqué aucun renseignement pour des raisons d’intérêt public au titre des paragraphes 8(2) et 8(5) de la Loi sur la protection des renseignements personnels pendant la période visée par le rapport.
Processus de surveillance
Le Bureau de l’AIPRP surveille le temps passé à traiter les demandes et applique la Loi sur la protection des renseignements personnels au moyen de comptes rendus verbaux hebdomadaires, et un rapport d’étape écrit est présenté chaque semaine au cabinet de la ministre de la Santé à titre informatif. On discute de tout problème important avec le président et la Direction des communications, au besoin.
- Date de modification :