Portail de recherche – Sommaire de l’évaluation des facteurs relatifs à la vie privée des organismes

Introduction

La transition des services de prestation des programmes au Portail de recherche par le Conseil de recherches en sciences naturelles et en génie du Canada (CRSNG) et le Conseil de recherches en sciences humaines du Canada (CRSH) (les organismes) vise à moderniser la technologie existante et à remplacer les systèmes qu’utilisent actuellement les organismes pour gérer les subventions.

Objectifs

Les organismes ont réalisé conjointement une évaluation des facteurs relatifs à la vie privée (EFVP) pour s’acquitter des obligations qu’ils ont en vertu de la Loi sur la protection des renseignements personnels et des politiques, des directives, des normes et des lignes directrices du Secrétariat du Conseil du Trésor (SCT) du Canada concernant la protection de la vie privée, la gestion de l’information et la sécurité. Cette évaluation visait aussi à examiner les facteurs énumérés dans le document du Commissariat à la protection de la vie privée du Canada intitulé  Nos attentes : un guide pour la présentation d’évaluations des facteurs relatifs à la vie privée au Commissariat à la protection de la vie privée du Canada.

L’évaluation avait comme objectif de cerner les risques pour la protection des renseignements personnels que posent le Portail de recherche et les outils du système de gestion des relations avec la clientèle (SGRC) ainsi que d’éclairer les recommandations pour réduire ces risques à un niveau acceptable.

Description

Des milliers de demandes de subventions et de bourses administrées par les deux organismes seront présentées et traitées, en partie, au moyen du Portail de recherche, et ce, sur l’ensemble du cycle opérationnel de neuf des 79 possibilités de financement des organismes (c.-à-d. la demande, l’évaluation, l’octroi de la subvention ou de la bourse, etc.).

La mise en œuvre du Portail de recherche n’a pas changé de façon significative les programmes et les activités des organismes. Aucun nouveau renseignement personnel n’est collecté, utilisé ou divulgué par le Portail de recherche et le SGRC. Ces nouveaux systèmes offrent plutôt aux organismes un moyen plus efficace et harmonisé de gérer les processus de demande, d’évaluation, de décision et de financement.

Détermination et catégorisation des domaines de risque

Selon la présente EFVP, les organismes ont recours à des pratiques exemplaires en matière de protection des renseignements personnels et se conforment raisonnablement aux exigences de la Loi sur la protection des renseignements personnels et des politiques, des directives et des lignes directrices connexes du SCT. Des domaines de risque ont été cernés et classés en catégories selon le niveau du risque éventuel (le niveau 1 représentant le risque éventuel le plus faible et le niveau 4, le plus élevé) associé à la collecte et à l’utilisation des renseignements personnels au moyen du Portail de recherche. Voici les niveaux de risque relevés.

• Type de programme ou d’activité
  Niveau 2 : administration d’un programme ou d’une activité et de services
  
  Renseignements détaillés
  les renseignements personnels collectés au moyen du Portail de recherche doivent être utilisés principalement à des fins administratives (c.-à-d. pour prendre des décisions au sujet d’une personne identifiable). Ils servent principalement à recevoir et à évaluer les demandes, à administrer le processus d’évaluation du début (demandes) à la fin (décisions), à communiquer avec les candidats et les autres participants au processus d’évaluation, ainsi qu’à attribuer et à surveiller le financement.
  
  En plus de servir à des fins administratives, l’information peut aussi être utilisée à des fins non administratives pour réaliser des activités de planification, d’établissement de statistiques, d’évaluation, d’établissement de relations externes, de communication et de production de rapports.
  
  
• Type de renseignements personnels visés et contexte
  Niveau 2 : renseignements personnels qui ne sont pas de nature délicate contextuelle après la date de la collecte et qui sont fournis par une personne qui consent à ce que des renseignements personnels détenus par une autre source soient aussi utilisés
  
  Renseignements détaillés
  le Portail de recherche effectue la collecte et la gestion de renseignements personnels sur les candidats, les partenaires, les tierces parties, les évaluateurs et les membres de comité. Dans la plupart des cas, les renseignements personnels sont d’abord collectés, avec le consentement de la personne, par une organisation chargée de l’administration (p. ex. l’université), qui transmet ensuite la demande à l’organisme approprié.
  
  
• Partenaires d’un programme ou d’une activité et secteur privé
  Niveau 3 : avec d’autres universités ou une combinaison des administrations fédérale, provinciales ou territoriales et municipales; et Niveau 4 : avec des organisations du secteur privé, des organisations internationales ou des gouvernements étrangers
  
  Renseignements détaillés
  certains intervenants (p. ex. des évaluateurs et des membres de comité) d’organisations externes (p. ex., des établissements d’enseignement postsecondaire et des organisations intersectorielles) peuvent être choisis pour participer à l’évaluation des demandes. C’est pourquoi les organismes ont élaboré l’ Accord sur les conflits d’intérêts et la confidentialité pour les membres des comités d’évaluation, les évaluateurs externes et les observateursconformément à la  Politique sur les conflits d’intérêts et la confidentialité des organismes fédéraux de financement de la recherche. La politique des organismes exige que ces intervenants respectent les normes les plus élevées en matière de comportement éthique, afin de conserver et d’accroître la confiance du public dans la capacité des organismes d’agir dans l’intérêt du public.
  
  
• Durée du programme ou de l’activité
  Niveau 3 : programme ou activité à long terme
  
  Renseignements détaillés
  le Portail de recherche a été élaboré en vue d’être utilisé jusqu’à ce qu’une solution subséquente complète émane du projet du nouveau Portail de recherche dans quelques années.
  
  
• Participants aux programmes
  Niveau 3 : les agents de programme peuvent utiliser les renseignements personnels à des fins administratives externes, ce qui touche certaines personnes.
  
  Renseignements détaillés
  les organismes utilisent les renseignements personnels transmis au moyen du Portail de recherche principalement à des fins administratives.
  
  Avant d’accéder au Portail de recherche, les personnes doivent lire et accepter les modalités générales et le principe de transparence, qui contient un énoncé sur la sécurité et des liens vers les énoncés respectifs des organismes sur l’utilisation et la divulgation des renseignements personnels.
  
  
• Technologie et protection de la vie privée
  une application conçue sur mesure et le logiciel SharePoint de Microsoft seront utilisés pour le Portail de recherche, et le logiciel Dynamics CRM 2011 de Microsoft sera utilisé pour le SGRC
  
  Renseignements détaillés
  les deux applications ont été configurées par les organismes pour appuyer l’administration des programmes de financement, notamment la collecte et le traitement des renseignements personnels, l’attribution et la gestion des fonds et la production de rapports subséquents.
  
  
• Transmission des renseignements personnels
  Niveau 4 : les renseignements personnels sont transmis à l’aide de la technologie sans fil.
  
  Renseignements détaillés 
  au moment de la réalisation de la présente EFVP, aucun énoncé de sensibilité ni évaluation des menaces et des risques n’avaient été réalisés pour le Portail de recherche et le SGRC. Cependant, une évaluation des menaces et des risques est prévue pour l’exercice 2015-2016.

Selon le sommaire, l’utilisation actuelle du Portail de recherche et du SGRC par les organismes représente un risque modéré pour la protection de la vie privée des personnes.

Conclusion

Plusieurs mesures d’atténuation ont été élaborées en réponse aux principaux risques cernés pour la protection de la vie privée. Lorsqu’elles auront été mises en œuvre, elles contribueront à améliorer les mesures et les processus de protection et la conformité globale aux politiques, directives, normes et lignes directrices pertinentes. Un grand nombre de risques sont activement gérés. Lorsque les risques résiduels relatifs à la vie privée auront été entièrement atténués, le Portail de recherche présentera probablement un risque minimal pour la vie privée des personnes.

Prochaines étapes

Un plan d’action détaillé sera élaboré en 2015-2016 et les mesures d’atténuation seront mises en œuvre conformément à l’échéancier établi.