Le présent rapport rend compte des constatations de l'Évaluation des facteurs relatifs à la vie privée (EFVP) visant le Programme de funérailles et d'inhumation (PFI). Le 18 juin 2009, les modifications à la Loi sur les allocations aux anciens combattants ont reçu la sanction royale en vue de l'élargissement du Programme des allocations aux anciens combattants (AAC) et des avantages connexes, dont ceux qui relèvent du Programme de funérailles et d'inhumation, de sorte que soient admis les anciens combattants alliés et d'autres personnes à titre de bénéficiaires admissibles. L'élargissement du programme et les modifications qui y ont été apportées ont été l'occasion de soumettre le Programme de funérailles et d'inhumation à une évaluation des facteurs relatifs à la vie privée (EFVP). Cette EFVP rend compte du Programme de funérailles et d'inhumation au 23 novembre 2009.
Le Programme de funérailles et d'inhumation permet à Anciens Combattants Canada (ACC) d'offrir une aide financière afin que les anciens combattants et d'autres personnes admissibles puissent avoir des funérailles et être inhumés dans la dignité. Le Fonds du Souvenir est une société sans but lucratif qui administre des services funéraires, d'inhumation et de gravure de pierre tombale pour le compte d'ACC. Cet organisme de bienfaisance enregistré est au service des anciens combattants depuis sa création en 1909, et il a été constitué à ce titre en vertu d'une charte fédérale adoptée en 1921. Grâce au financement du fédéral, il a commencé à offrir des services d'aide aux anciens combattants admissibles d'un océan à l'autre. En 1995, des changements ont été apportés aux programmes actuels de services de funérailles, d'inhumation et de gravure de pierre tombale. Le Fonds du Souvenir a obtenu le mandat d'administrer uniquement le Programme de funérailles et d'inhumation pour le compte d'ACC.
À propos de l'Évaluation des facteurs relatifs à la vie privée (EFVP)
La présente Évaluation des facteurs relatifs à la vie privée reflète une évaluation de l'ensemble du Programme de funérailles et d'inhumation.
Anciens Combattants Canada (ACC) tient à protéger les renseignements personnels de tous les clients et a pris les mesures appropriées pour veiller à ce que le Programme de funérailles et d'inhumation respecte les principes de la Loi sur la protection des renseignements personnels, du règlement connexe, ainsi que la Politique sur la protection de la vie privée du Secrétariat du Conseil du Trésor, qui régissent la collecte, l'utilisation, la divulgation, la correction, la protection, la conservation et le déclassement des renseignements personnels.
L'EFVP porte sur la façon dont les renseignements personnels sont recueillis, utilisés et communiqués pendant toute la durée du cycle de vie du Programme de funérailles et d'inhumation. Les EFVP se fondent sur les dix principes universels relatifs à la protection de la vie privée et résultent des exigences de la Loi sur la protection des renseignements personnels. L'EFVP visant le Programme de funérailles et d'inhumation a révélé cinq risques éventuels liés à la protection des renseignements personnels.
Risque 1 – Avis de protection des renseignements personnels (Niveau de risque : faible)
Problème
Le formulaire de demande de prestations en matière de funérailles et d'inhumation ne comporte aucun avis de protection des renseignements personnels. Par conséquent, les exigences en matière de protection des renseignements personnels voulant que le client soit informé au sujet de la collecte, de l'utilisation et de la divulgation de ses renseignements personnels, ne sont pas respectées.
Plan de gestion
Le formulaire de demande de prestations en matière de funérailles et d'inhumation contiendra dorénavant un avis de protection des renseignements privés.
Risque 2 – L'adresse courriel du client est recueillie dans le formulaire de demande (Niveau de risque : faible)
Problème
Le formulaire de demande de prestations en matière de funérailles et d'inhumation recueille l'adresse courriel des demandeurs (l'exécuteur testamentaire ou le survivant). La Direction générale de la sécurité et des services immobiliers d'ACC n'a pas autorisé l'utilisation des courriels pour communiquer avec les clients.
Plan de gestion
ACC s'engage à mettre en place des mesures de protection des renseignements personnels des clients admissibles au Programme de funérailles et d'inhumation. Pour le moment, ACC acceptera le risque associé à la collecte des adresses courriel des demandeurs et aux communications par courriel. Toutefois, des options seront explorées afin de minimiser les risques associés à la cueillette des courriels et aux communications par courriel (p. ex. informer les clients au sujet des risques associés à la communication par courriel), et l'option qui convient le mieux sera mise en œuvre par le secteur de programme.
Risque 3 – Utilisation secondaire relevée et qui n'a pas été notée dans le fichier de renseignements personnels (Niveau de risque : faible)
Problème
Lorsqu'une décision favorable est prise par les responsables du Programme de funérailles et d'inhumation, une copie de la lettre du client concernant cette décision est envoyée au service des Décorations et Citations qui vérifiera la possibilité de remise de médailles. Actuellement, cette utilisation secondaire des renseignements ne figure pas dans la liste du nouveau fichier de renseignements personnels du Programme de funérailles et d'inhumation.
Plan de gestion
Une mise à jour du fichier de renseignements personnels sur les funérailles et l'inhumation sera effectuée afin d'y inclure cette utilisation secondaire.
Risque 4 – Les systèmes électroniques d'ACC ne comportent aucune fonction de déclassement (Niveau de risque : faible)
Problème
Le système électronique d'ACC, c'est-à-dire le Réseau de prestation des services aux clients (RPSC), n'est pas doté des fonctions nécessaires au déclassement des documents. Par conséquent, les renseignements ne sont pas gérés intégralement du début à la fin de leur cycle de vie conformément aux exigences législatives et à celles des organismes centraux. Bien que ce problème ne présente aucun risque immédiat pour la sécurité des renseignements de la clientèle, cette pratique constitue une infraction manifeste aux lois et aux politiques de protection des renseignements personnels et de gestion de l'information.
Plan de gestion
Il s'agit là d'un risque ministériel qui ne concerne pas uniquement le Programme de funérailles et d'inhumation. En ce moment, on a mis au point un plan d'action qui énonce les tâches de haut niveau à exécuter pour corriger la situation. On a réalisé, par rapport à ce plan d'action, des progrès comme l'établissement de périodes de conservation des renseignements des clients d'ACC, et l'élaboration d'une proposition en vue du classement par ordre de priorité des technologies de l'information. Pour assurer la poursuite des progrès, ACC élaborera un plan d'action plus détaillé qui comprendra des estimations des coûts, qui sera porté à l'attention de la direction et qui servira à la planification des activités.
Risque 5 – Évaluation de la menace et des risques (EMR) pour la protection des renseignements personnels (Niveau de risque : faible)
Problème
Aucune évaluation de la menace et des risques (EMR) n'a été exécutée à l'égard du Programme de funérailles et d'inhumation, ce qui peut entraîner des lacunes relativement à la détermination et la protection de l'information sensible.
Plan de gestion
Le recours aux locaux à bureaux actuels, à des processus déjà utilisés et au personnel en place a pour effet d'affaiblir la probabilité d'un incident de la sécurité ou d'une atteinte à la vie privée. Le Programme de funérailles et d'inhumation, étant en oeuvre depuis longtemps, les pratiques et les procédures sont bien établies et bien comprises, et le respect de la vie privée des clients est assuré. Pour le moment, ACC acceptera le risque et surveillera la situation. Si la situation devait changer (c.-à-d. les processus, les systèmes, etc.), on réévaluera l'approche.
Conclusion
Bien que la présente EFVP ait fait ressortir un certain nombre de risques liés à la protection des renseignements personnels, on a mis au point des plans de gestion qui correspondent au niveau de risque.