Les gouvernements fédéral et provinciaux du Canada changent la façon dont le secteur public canadien externalise le traitement de l’information. Par conséquent, chaque organisation qui offre des services de traitement de données ou d’impartition semblables aux gouvernements, aux ministères, aux organismes et aux sociétés d’État du Canada devrait examiner attentivement : (i) ses propositions et ses contrats pour s’assurer qu’ils ont été mis à jour pour tenir compte des changements apportés aux diverses lois, aux énoncés de politique et aux modèles d’ententes sur l’accès à l’information et la protection des renseignements personnels du Canada dans le secteur public; et (ii) leurs opérations et leurs offres de services pour s’assurer qu’ils sont conformes aux nouvelles lois, déclarations de politique et exigences contractuelles.
Bien que leurs objectifs soient similaires, il existe des variations importantes dans la portée et la nature des approches adoptées par les gouvernements fédéral et provinciaux du Canada pour faire face à la menace perçue que certaines lois étrangères, telles que la Loi sur l’unité et le renforcement de l’Amérique en fournissant les outils appropriés nécessaires pour intercepter et entraver le terrorisme1(USA PATRIOT Act), peut réduire considérablement la protection et la confidentialité des renseignements du Canada lorsqu’ils sont traités à l’étranger ou par une entité contrôlée par une entité étrangère ou affiliée à elle.
Avant de décrire les approches actuellement adoptées par les gouvernements du Canada, de la Colombie-Britannique et de l’Alberta, il est utile d’examiner d’abord la genèse et la portée de la USA PATRIOT Act.
À la suite des attentats du 11 septembre 2001 contre New York et Washington, D.C., le Congrès américain a adopté une série d’amendements à diverses lois américaines connues collectivement sous le nom de USA PATRIOT Act. À bien des égards, semblable à la Loi sur le Service canadien du renseignement de sécurité2, la USA PATRIOT Act accorde de vastes pouvoirs aux organismes américains pour acquérir (souvent en secret) des renseignements personnels détenus par des entreprises américaines et des sociétés étrangères affiliées à des sociétés américaines, même à l’extérieur du territoire des États-Unis. Divers syndicats et d’autres groupes se sont dits préoccupés par le fait que les filiales canadiennes de sociétés mères américaines pourraient être considérées comme des sociétés liées aux États-Unis assujetties à la USA PATRIOT Act, de sorte que leurs dossiers puissent être accessibles au gouvernement américain en vertu de la USA PATRIOT Act. Bien qu’il n’y ait aucun cas connu de matérialisation d’un tel risque et bien qu’il existe diverses ententes de coopération mutuelle en place entre les organismes d’application de la loi du Canada et des États-Unis en vertu desquelles les comportements criminels et terroristes peuvent faire l’objet d’une enquête et l’échange de renseignements pertinents, le problème persiste, ce qui a suscité des préoccupations dans de nombreuses administrations canadiennes quant à l’opportunité de sous-traiter les renseignements personnels recueillis au Canada à des sous-traitants de données aux États-Unis (ou dans d’autres administrations ayant des renseignements semblables la législation).
Comme dans le cas de la protection de la vie privée dans le secteur privé, les gouvernements fédéral et provinciaux du Canada adoptent chacun leur propre approche pour régler les problèmes soulevés par la USA PATRIOT Act et des lois étrangères similaires. Par exemple, le Secrétariat fédéral du Conseil du Trésor a récemment publié un document d’orientation stratégique intitulé « Taking Privacy into Account Before Making Contracting Decisions »3 (« Policy Document ») et un document de stratégie intitulé « Privacy Matters: The Federal Strategy to Address Concerns About the USA PATRIOT Act and Transborder Data Flows »4 (« Strategy Paper »). De plus, l’Alberta a proposé des modifications à sa Freedom of Information and Protection of Privacy Act5 (« Alberta FOIPPA ») et la Colombie-Britannique a déjà modifié sa Freedom of Information and Protection of Privacy Act6 (« BC FOIPPA »).
Chacun de ces gouvernements a choisi une approche différente à l’égard des défis perçus de la USA PATRIOT Act. Le gouvernement fédéral semble avoir choisi l’approche la plus douce, avec un document d’orientation plutôt qu’une modification législative. La réponse de la Colombie-Britannique a été la plus sévère, adoptant des modifications législatives qui ont conduit à des résultats inattendus et parfois indésirables et l’Alberta a cherché à modérer les problèmes de l’approche de la Colombie-Britannique tout en adoptant une solution législative.
Le Secrétariat du Conseil du Trésor du Canada a publié le document de stratégie et le document de politique très attendus le 28 mars 2006, le premier expliquant la stratégie qui sous-tend la réponse fédérale et le second fournissant des conseils et une orientation aux organismes du gouvernement fédéral en ce qui concerne leurs activités de sous-traitance dans le cadre desquelles l’information est traitée ou consultée par des organismes du secteur privé.
Le document de stratégie explique la décision du gouvernement fédéral de ne pas apporter de modifications à la Loi sur la protection des renseignements personnels parce qu’une telle mesure pourrait encourager d’autres gouvernements étrangers à faire de même, étouffant ainsi les avantages économiques pour le Canada du travail imparti à des fournisseurs canadiens.
Le gouvernement fédéral considère l’impartition comme un « moyen essentiel d’offrir des services plus souples et mieux adaptés aux Canadiens ». 7 Dans un commentaire qui pourrait avoir été adressé aux provinces qui ont modifié ou envisagent de modifier leurs lois sur l’accès à l’information et la protection de la vie privée dans le secteur public, le document de stratégie explique que le gouvernement fédéral doit respecter les accords commerciaux internationaux qui ne lient pas les gouvernements provinciaux. 8 Pour ce qui est de l’impact économique, le Canada serait l’un des quatre pays du monde qui ont le plus profité de l’impartition à l’étranger. 9
Dans le cadre de la stratégie du gouvernement fédéral, une évaluation des activités de passation de marchés entreprises par les 160 institutions fédérales assujetties à la Loi sur la protection des renseignements personnels du gouvernement fédéral a été entreprise. Dans le cadre de cette évaluation, le comité interministériel chargé de l’examen a classé tous les ministères fédéraux comme présentant un risque faible, moyen ou élevé d’exposition potentielle de renseignements personnels à la USA PATRIOT Act et à des lois étrangères similaires, et a déterminé que les ministères les plus à risque étaient :
Les organisations qui fournissent ou cherchent à fournir des activités d’impartition à ces organismes seront bien avisées d’être particulièrement sensibles aux questions de protection de la vie privée soulevées à l’égard de ces activités et d’aborder clairement et de respecter ou de dépasser les exigences et les attentes de l’agence en matière de protection de la vie privée et de sécurité des données.
L’examen a également mis en évidence le fait que de nombreuses institutions fédérales ont déjà utilisé des clauses restrictives précises dans leurs contrats pour régler les problèmes de protection de la vie privée et de sécurité des données qui peuvent survenir dans le contexte de certaines activités d’impartition. Le rapport a révélé que certaines des mesures les plus efficaces déjà en place comprenaient : 11
De plus, le rapport indiquait que de nombreuses institutions fédérales élargiront leurs pratiques actuelles pour inclure également12
Le document de politique a été délivré à toutes les institutions du gouvernement fédéral assujetties à la Loi sur la protection des renseignements personnels et fournit des conseils à ceux-ci, et il guidera les fonctionnaires fédéraux à l’avenir. Il comprend un processus étape par étape pour identifier, évaluer et soupeser les facteurs de risque d’atteinte à la vie privée afin d’aider à prendre des décisions éclairées sur la passationde marchés 13 que tout fournisseur de services est bien avisé de prendre également en compte lors de l’élaboration de sa réponse à une DP ou à un projet d’accord. Le processus étape par étape comprend :
Étape 1.0 :
Analyser si un marché proposé est conforme à la Loi sur la protection des renseignements personnels, aux politiques du Conseil du Trésor sur la protection des renseignements personnels, s’il satisfait à un critère d’atteinte à la vie privée et si l’évaluation des facteurs relatifs à la vie privée (EFVP) ou l’EFVP préliminaire appropriée a été effectuée;
Étape 2.0 :
Évaluer les risques d’atteinte à la vie privée en tenant compte des lois des pays étrangers et de l’application possible des accords commerciaux internationaux;
Étape 3.0 :
Intégrer la protection de la vie privée dans les contrats à l’étape de la DP et de l’ER; et
Étape 4.0 :
Pour les DP et les contrats comportant des renseignements personnels, atténuer les risques en tenant compte des questions suivantes :
De plus, le document de politique contient quelques exemples de dp et de clauses contractuelles pour les situations à risque élevé14 et une liste de vérification en 33 points de la protection de la vie privée des points à prendre en compte au cours des étapes préliminaires de planification et de mise en œuvre du processus de passation de marchés gouvernementaux. 15
En mettant l’accent sur une solution contractuelle plutôt que législative, le gouvernement fédéral a cherché à trouver un équilibre entre les exigences concurrentes de la protection des renseignements du Canada contre les gouvernements étrangers et la protection de l’industrie canadienne de l’impartition contre les représailles étrangères si le Canada exigeait que tous les renseignements ne soient traités qu’au Canada et seulement par des organisations sous contrôle canadien.
Cela dit, comme l’approche fédérale consiste à s’attaquer aux risques perçus de la USA PATRIOT Act par le biais de leurs contrats avec leurs fournisseurs de services, les organisations qui cherchent à fournir des services d’impartition au gouvernement fédéral sont bien avisées de tenir compte des pratiques exemplaires actuelles et élargies identifiées dans le document de stratégie et le document de politique fédéral, et de mettre à jour leurs réponses aux demandes de propositions, des ententes et des activités pour les régler.
Heureusement, les constatations et la stratégie du document de stratégie et du document de politique fédéraux indiquent où et comment le gouvernement fédéral concentrera son attention sur cette question.
Note de la rédaction : La partie II de cet article traitera des réponses de la Colombie-Britannique et de l’Alberta à la USA PATRIOT Act et de son effet sur l’impartition du secteur public.
1 Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism Act of 2001, Pub. L No. 107-56, 115 Stat. 272 (2001). 2 Loi sur le Service canadien du renseignement de sécurité, L.R.C. 1985, ch. C-23, telle que modifiée. 3 Disponible à l’adresse :