Évaluation des facteurs relatifs à la vie privée du GC

Cette page constitue un résumé public de l'évaluation des facteurs relatifs à la vie privée (PIA) préparée par l'éditeur du logiciel (Realizer Services Inc.) pour AccessPoint, en conformité avec la Directive sur l'évaluation des facteurs relatifs à la vie privée du Secrétariat du Conseil du Trésor du Canada (SCT). Elle documente les fonds de renseignements personnels, les flux de renseignements, les risques pour la vie privée et les mesures de protection intégrées au produit.

Le PIA de l'éditeur couvre les sections techniques et architecturales et vise à aider les institutions fédérales canadiennes à compléter leur propre PIA. L'institution déployante complète les détails institutionnels (aperçu institutionnel, calendriers de conservation, ententes de partage de renseignements et approbation), puis soumet le PIA complété au SCT et au Commissariat à la protection de la vie privée du Canada (CPVP). Le PIA complet est offert aux clients sur demande — voir la remarque finale.

Pour l'architecture technique complète, consultez la page Architecture technique. Pour la correspondance des contrôles de sécurité ITSG-33, consultez la page Référence des contrôles de sécurité du GC.

Objet et portée

AccessPoint est une plateforme de gestion de l'accès à l'information et de la protection de la vie privée qui aide les institutions gouvernementales à administrer leurs programmes d'accès et de protection de la vie privée en conformité avec la Loi sur l'accès à l'information (ATIA), la Loi sur la protection des renseignements personnels et les régimes provinciaux ou internationaux équivalents. Sa fonction principale est la gestion des demandes d'accès des personnes concernées et des demandes d'accès à l'information — l'ensemble du cycle de vie, de la réception à l'assignation, en passant par la collecte de documents, l'examen, le caviardage et l'assemblage des réponses.

Au-delà du traitement des demandes, AccessPoint prend également en charge l'ensemble du programme de protection de la vie privée : les évaluations des facteurs relatifs à la vie privée (évaluations PIA/AIA/sécurité), la gestion des incidents et des atteintes à la vie privée (y compris les flux de travail de notification des atteintes), les plaintes et appels, un registre des risques liés à la vie privée et un registre des engagements, ainsi que le registre des activités de traitement (ROPA). Ces modules traitent des catégories additionnelles de renseignements personnels et sont couverts par les mêmes mesures de protection, rôles, registre d'audit et garanties de résidence des données que le cœur de la gestion des demandes.

Processus opérationnel : réception (un SAO crée la demande) → assignation (les détenteurs de dossiers reçoivent des instructions épurées, sans RPI du demandeur) → collecte de documents → examen et caviardage → assemblage de la réponse → clôture (le délai de rétention commence).

Personnes concernées : les demandeurs; les employés de l'institution (SAO, Administrator) dont les actions sont consignées dans la piste d'audit; les détenteurs de dossiers (Custodian) et les contributeurs (Contributor), qui n'ont pas accès aux RPI du demandeur; les tiers dont les RPI peuvent figurer dans les documents examinés; les personnes concernées décrites au niveau de la catégorie dans le ROPA et les évaluations; les personnes touchées par un incident de confidentialité; les plaignants et les parties à une plainte; ainsi que les personnes-ressources de consultation.

Autorité légale : la collecte et l'utilisation reposent principalement sur l'ATIA (art. 4, 6, 9 et 19) et sur la Loi sur la protection des renseignements personnels (art. 4, 5, 7, 8(2)(m), ainsi que le droit d'accès de la personne concernée).

Inventaire des renseignements personnels

Renseignements personnels recueillis et traités

Renseignements personnels NON recueillis

AccessPoint ne recueille ni ne traite : les numéros d'assurance sociale; les renseignements financiers (comptes bancaires, cartes de crédit); les dossiers médicaux ou de santé en tant que données structurées (ils peuvent toutefois figurer dans les documents examinés); les données biométriques; les renseignements sur le casier judiciaire; les données de localisation; ou les témoins de connexion et identifiants de suivi.

Remarque : les adresses IP et les chaînes user agent ne sont capturées que dans des contextes limités (signature d'attestation et journalisation de l'accès aux documents) à des fins d'audit judiciaire, comme indiqué ci-dessus. Le comportement de navigation général et l'empreinte numérique des appareils ne sont pas recueillis.

Renseignements personnels sensibles dans les documents

Les documents recueillis dans le cadre du processus ATIA peuvent contenir toute catégorie de renseignements personnels, y compris des RPI sensibles concernant des tiers. AccessPoint n'analyse ni n'indexe le contenu des documents — il les stocke, les prévisualise et facilite leur caviardage. La classification et l'exemption des RPI contenus dans les documents sont effectuées par des SAO formés, à l'aide des outils d'examen intégrés.

Capture de dossiers Microsoft 365 (activation facultative, contrôlée par une bascule de fonctionnalité) : un Custodian peut capturer ses propres dossiers Microsoft 365 — courriels Outlook, calendrier Outlook, OneNote, discussions Teams, listes Microsoft ou historique d'interactions Copilot — à titre de document pertinent. La capture utilise toujours la propre identité déléguée de l'utilisateur connecté et se limite aux données de cet utilisateur (la récupération Copilot est de type application uniquement, puisqu'aucune permission Graph déléguée n'existe pour cette fonction, mais elle est toujours limitée côté serveur à l'ID d'objet Entra propre de l'utilisateur connecté — jamais à l'ensemble du locataire). Le contenu capturé est converti en PDF et intègre le flux normal d'examen et de caviardage. La capture du calendrier exclut par défaut les éléments marqués Privé/Personnel/Confidentiel.

Analyse des flux de renseignements personnels

Le parcours des notifications illustre le contrôle « aucun RPI du demandeur transmis à l'éditeur » :

Event (e.g., assignment created)
        │
        ▼
  API Notification Dispatch Service
        │
        ├── PII Filter: strips requestor PI for Custodian/Contributor templates
        │
        ├──► Email: Graph Mail.Send → Institution's shared mailbox → Recipient
        │    (via managed identity or institution's app registration)
        │
        └──► Teams: API → Realizer Platform API → Graph TeamsActivity.Send → Recipient
             (sends: user ID, activity type, actor name, request number, preview text — NO requestor PI)

Évaluation des risques pour la vie privée

Scores par domaine de risque

Selon le cadre normalisé du SCT :

Niveau de risque global : modéré — un niveau standard pour un programme administratif traitant les RPI de personnes externes, atténué par des contrôles techniques robustes (chiffrement, RBAC, filtrage des RPI, souveraineté des données).

Mesures de protection techniques et administratives

Authentification et contrôle d'accès

Chiffrement

Sécurité réseau

Surveillance et audit

Mesures de protection administratives

Les Administrator attribuent les rôles via les Paramètres; les changements de rôle prennent effet immédiatement. Une politique d'accès aux applications restreint Mail.Send à la seule boîte aux lettres partagée désignée. Les changements de configuration sont appliqués via des packs de configuration versionnés, avec journalisation d'audit des installations. La formation du personnel, la politique d'utilisation acceptable et les procédures d'intervention en cas d'atteinte sont déterminées par l'institution.

Services tiers et partage de données

Point clé : aucun RPI du demandeur, contenu de document ou détail de demande n'est transmis à Realizer Services ou à toute autre partie externe. Tout le traitement des documents (conversion, caviardage) s'effectue dans l'App Service propre de l'institution.

Fichiers de renseignements personnels applicables

Les institutions doivent confirmer les FRP applicables et déterminer si de nouveaux FRP sont requis pour leur déploiement particulier.

Disponibilité du PIA complet

L'évaluation complète des facteurs relatifs à la vie privée — y compris l'inventaire complet des renseignements personnels, l'analyse détaillée de la collecte, de l'utilisation, de la communication, de la rétention et de l'exactitude, les autorités légales et les diagrammes de flux de données — est offerte aux clients et clients potentiels sur demande. Les institutions déployantes s'en servent comme fondement technique et architectural pour leur propre PIA, en complétant l'aperçu institutionnel, les calendriers de conservation, les ententes de partage de renseignements et l'approbation, avant de le soumettre au SCT et au Commissariat à la protection de la vie privée.