Vérification des nouvelles technologies d’enquête

Cadre stratégique

Il n’existe actuellement aucun cadre législatif visant la GGTE. La Loi sur l’identification par les empreintes génétiques a été adoptée avant l’émergence de cette technique, et au moment de la vérification, les tribunaux canadiens n’avaient encore examiné aucun dossier où la GGTE avait été utilisée. Un cadre ou un mode de fonctionnement organisationnel pour le recours à la GGTE est toutefois en voie d’élaboration sous la direction du Bureau national des normes et pratiques d’enquête (BNNPE) des SPCA. [CAVIARDÉ] Aucune politique divisionnaire n’a encore été élaborée puisque le recours à la GGTE est limité et que la politique nationale n’a pas encore été publiée.

Les situations où la GGTE est utilisée ne sont pas déclarées, ni suivies, ni surveillées. La GRC ne peut donc pas confirmer combien de fois la GGTE a été utilisée, par qui et pour quelles raisons. Selon les propos recueillis lors des entrevues, la documentation consultée et les données financières examinées, l’équipe de vérification estime que la GGTE a probablement été utilisée [CAVIARDÉ], dans [CAVIARDÉ] divisions que [CAVIARDÉ] incluses dans l’étude de cas.

Bien que son personnel ne possède aucune expertise ni formation en GGTE, la GRC peut obtenir des services de cette nature auprès de laboratoires et de fournisseurs externes. Jusqu’à maintenant, une formation limitée sur la recherche généalogique à des fins judiciaires a été donnée à certains analystes de la GRC, mais cette expertise n’a pas encore été développée à l’interne.

Évaluations d’impact

Un article du Globe and Mail ^{note de bas 13} publié le 6 décembre 2020 présente une citation du CPVP disant qu’il n’avait pas reçu d’EFVP de la GRC concernant la GGTE et qu’il avait demandé qu’une telle évaluation soit réalisée. Le BNNPE a rempli le questionnaire d’EFVP et l’a soumis à AIPRP de la GRC, qui a demandé une EFVP complète. Au moment de la vérification, l’EFVP n’avait pas encore été amorcée. En octobre 2022, le BNNPE a fait savoir qu’il était sur le point d’engager des ressources externes pour mener cette EFVP et d’autres EFVP requises au sein des SPCA, étant donné le manque de personnel possédant l’expertise voulue dans ce domaine.

À l’heure actuelle, les considérations liées à l’ACS Plus et à l’EDI ne sont pas examinées pour l’utilisation de la GGTE dans des dossiers divisionnaires individuels, mais les employés des centres de décision qui ont été interviewés ont exprimé leur intention de les intégrer à l’EFVP visant la GGTE.

Considérations juridiques et éthiques

Devant l’absence de lois régissant la GGTE, les enquêteurs font attention de ne pas outrepasser les limites de la Loi sur l’identification par les empreintes génétiques, de la Loi sur la protection des renseignements personnels et de la Charte canadienne des droits et libertés. Dans certaines divisions, les procureurs de la couronne sont consultés au sujet des dossiers en cours dans le cadre desquels s’effectuent des analyses d’ADN suspect, tandis que dans d’autres, les procureurs de la couronne peuvent seulement être consultés après la conclusion des enquêtes.

[CAVIARDÉ] Pour la suite des choses, le BNNPE propose de faire appel aux équipes du soutien aux questions juridiques des divisions et de consulter les procureurs de la couronne pour obtenir un avis juridique sur un dossier particulier. La politique provisoire de la GRC sur la GGTE spécifie par ailleurs que les résultats d’une recherche de généalogie génétique ne doivent pas constituer les principaux ou uniques motifs justifiant l’arrestation d’une personne, ni les principaux éléments de preuve justifiant le dépôt d’accusations criminelles.

Les types de dossiers où il y a recours à la GGTE sont menés selon le cadre établi pour la gestion des cas graves. Les considérations juridiques et éthiques pertinentes sont intégrées à ce cadre et font donc déjà partie du processus d’enquête suivi dans les dossiers individuels pour lesquels on en vient à utiliser la GGTE.

Transparence

Une certaine transparence a été constatée dans la mesure où des communiqués de presse divisionnaires ont annoncé que l’utilisation de la GGTE avait permis d’élucider des dossiers de restes humains non identifiés. Toutefois, du point de vue organisationnel, la GRC n’a pas communiqué de façon proactive avec le public pour l’informer du mode et des circonstances d’utilisation de la GGTE, et elle n’a pas consulté les principaux intervenants qui pouvaient être touchés par l’emploi de cette technique.

Pratiques d’acquisition

L’acquisition de services de GGTE ne se fait pas au moyen de contrats ou d’autres documents officiels, mais en obtenant des estimations de prix par courriel et en réglant la facture avec une carte d’achat, puisque les coûts initiaux approximatifs se situent bien en deçà de la limite de 10 000 $ fixée pour l’obtention de services sans contrat écrit. L’autorisation de l’achat de services de GGTE se fait au sein de la section ou peut être demandée à l’officier responsable des enquêtes criminelles de la division, selon les limites applicables aux pouvoirs financiers. Dans les [CAVIARDÉ] dossiers examinés, l’équipe de vérification a trouvé les pièces justificatives appropriées concernant les transactions relatives à la GGTE (estimations de prix, factures, relevés de compte de carte de crédit et registres) et a constaté que les employés ayant approuvé les dépenses (en vertu des articles 32 et 34 de la Loi sur la gestion des finances publiques [LGFP ]) avaient les pouvoirs financiers requis. La seule lacune à cet égard tenait au fait que la personne ayant autorisé l’engagement des dépenses (en vertu de l’article 32 de la LGFP) ne l’avait pas fait par écrit, mais avait communiqué cette décision verbalement à l’équipe d’enquête.

Dans un dossier donné, les coûts peuvent dépasser l’estimation initiale lorsqu’on doit acheter des services supplémentaires après avoir obtenu les résultats des travaux initiaux d’extraction et d’analyse d’ADN et de recherche généalogique. Ces services supplémentaires peuvent faire en sorte qu’on franchisse la limite de 10 000 $ fixée pour l’acquisition de services au moyen d’une carte d’achat sans contrat écrit. Cela peut aussi arriver lorsque l’enquêteur ne tient pas compte du taux de change applicable à une acquisition faite avec une carte d’achat lorsqu’il calcule le coût estimatif des services de GGTE. Les personnes interviewées ont mentionné deux situations où la limite de 10 000 $ avait été dépassée involontairement et où le bureau régional de la Gestion générale avait exigé l’établissement de contrats rétroactifs ainsi que la présentation de formulaires de justification du recours à un fournisseur exclusif. Les situations en question s’étaient toutefois produites en dehors de la période visée par la vérification.

Risques liés aux tiers

À l’heure actuelle, la GRC ne fournit pas certains services de criminalistique comme la GGTE en raison de l’absence de dispositions législatives en la matière, des ressources limitées dont elle dispose et de leur manque d’expertise dans le domaine. Les enquêteurs font donc appel à des laboratoires privés pour combler les lacunes et faire avancer leurs enquêtes.

Les analyses effectuées par les laboratoires judiciaires de la GRC sont entièrement distinctes de celles que font les laboratoires privés. En raison des exigences législatives en vigueur, les profils génétiques établis à l’extérieur de la GRC ne peuvent pas être comparés à ceux qui se trouvent dans les fichiers de la BNDG, et l’inverse est vrai aussi. Le recours à la GGTE suscite donc le risque que des échantillons d’ADN soient entièrement utilisés pour réaliser des analyses externes. De plus, aucune comparaison directe ne pourrait se faire en pareille situation, puisque dans les analyses de GGTE, on n’examine pas les mêmes parties de l’ADN qu’avec les méthodes d’analyse traditionnelles utilisées dans les laboratoires de la GRC.

Les laboratoires qui offrent des services de généalogie génétique ou d’extraction d’ADN à partir d’échantillons dégradés ou fragmentés se trouvent à l’étranger (aux États-Unis et en Europe), et certains confient une partie du travail à des sous-traitants. Jusqu’à maintenant, aucune évaluation n’a été faite en ce qui concerne les exigences de sécurité à respecter et les mesures de protection à prendre à l’égard des données génétiques et des pièces à conviction dans les cas où des services de GGTE sont obtenus auprès de ces fournisseurs étrangers, qui sont assujettis aux lois et règlements de leurs pays respectifs. Parce que l’acquisition de ces services ne se fait pas au moyen de contrats officiels à l’heure actuelle, il n’existe aucune entente formelle sur la protection des renseignements personnels, des données et des pièces à conviction. De plus, la plupart des personnes interviewées n’ont mentionné aucune consultation avec les Acquisitions et la Sécurité ministérielle de la GRC.

Conclusion – GGTE

Faute de dispositions législatives, de cadre de fonctionnement et de politiques, il n’existe aucune directive précisant de quelle façon, dans quelles circonstances et pour quels types de dossiers la GGTE peut être utilisée. Les enquêteurs sont donc laissés à eux-mêmes pour décider comment procéder, ce qu’ils font souvent en consultant leurs pairs, les laboratoires de la GRC et les fournisseurs de services de GGTE. Aucune surveillance n’étant assurée, la GRC ne connaît pas la fréquence d’utilisation de cette technique et n’est pas en mesure de s’assurer qu’elle s’emploie de façon appropriée. La politique provisoire en la matière vise à combler cette lacune.

L’absence de lois, de politiques et d’EFVP continue de faire planer l’incertitude et l’ambiguïté en ce qui concerne les répercussions de la GGTE sur les plans du droit, de la protection de la vie privée et de l’éthique. De plus, il y aurait moyen d’établir des paramètres relatifs à l’ACS Plus et à l’EDI pour le recours à la GGTE.

Il serait également possible d’apporter des améliorations en veillant à ce que la GRC informe le public de l’utilisation générale qu’elle fait de la GGTE et à ce qu’elle consulte les principaux intervenants qui risquent d’être touchés par l’emploi de cette technique. Une stratégie comme celle qui a été mise en œuvre pour l’initiative des caméras d’intervention pourrait aussi s’appliquer au dossier de la GGTE.

Les pratiques d’acquisition pourraient être renforcées par des mesures de consultation et de formation pour éviter l’utilisation de méthodes d’achat inadéquates, l’établissement de contrats rétroactifs, le fractionnement de marchés et la non-conformité aux exigences visant les achats auprès d’un fournisseur unique. Aucune évaluation n’a été effectuée quant à la gestion des données, de l’information et des pièces à conviction ni quant aux questions de sécurité et de respect de la vie privée, et aucune mesure de protection appropriée n’a été convenue formellement par écrit avec les fournisseurs de services étrangers.

Devant l’absence de politiques et de directives officielles, les enquêteurs font preuve d’une grande prudence dans le choix des dossiers pour lesquels ils auront recours à la GGTE, et ils ne s’engagent que rarement dans cette voie. Ils ont constaté l’utilité de la technique pour les enquêtes et sont conscients des risques qu’elle suscite pour le respect de la vie privée et sur le plan juridique. Ils espèrent pouvoir continuer à l’utiliser afin d’obtenir des réponses pour les familles des victimes et des personnes disparues.

Pourquoi ces constatations sont importantes

L’établissement d’un cadre, d’une politique et de directives peut aider à faire en sorte que les enquêteurs utilisent la GGTE dans les circonstances approuvées et que l’organisation soit en mesure d’en suivre l’utilisation et d’exercer la surveillance nécessaire pour s’assurer qu’elle est employée de façon appropriée. Ceci est particulièrement important étant donné l’absence de dispositions législatives en la matière.

La réalisation d’une EFVP peut aider à déterminer et à atténuer les répercussions négatives que les programmes et les activités peuvent avoir sur le respect de la vie privée des personnes, ainsi qu’à renforcer les liens de confiance avec la population canadienne en montrant que l’organisation fait preuve d’une diligence raisonnable et qu’elle se conforme aux exigences des lois et politiques applicables.

Il est important de tenir compte des considérations liées à l’ACS Plus et à l’EDI pour comprendre l’effet que la GGTE aura sur différents groupes de femmes, d’hommes et de personnes de diverses identités de genre et pour éviter ou pallier les inégalités et les répercussions involontaires qui peuvent découler de l’utilisation de cette technique.

La communication ouverte avec le public et la consultation des intervenants touchés amélioreraient la responsabilisation et la transparence, tout en montrant que la GRC veille à maintenir un équilibre entre, d’une part, les avantages opérationnels des NTE et, d’autre part, les droits et les attentes des Canadiens et des Canadiennes.

Finalement, l’emploi de pratiques de gestion, de protection et de confidentialité inadéquates en ce qui concerne les données, l’information et les pièces à conviction peut nuire aux enquêtes, porter atteinte à la vie privée des personnes et enfreindre la loi.

Aspects sur lesquels la direction doit se pencher

• Cadre et politique pour l’évaluation, l’adoption et l’utilisation de la GGTE.
• Évaluation des considérations liées au respect de la vie privée, à l’ACS Plus et à l’EDI.
• Transparence et consultation des intervenants touchés.
• Acquisition de services auprès de tiers situés à l’étranger, en portant une attention particulière aux éléments suivants :
  • le recours à des mesures d’acquisition qui correspondent au coût prévu et qui respectent la politique sur les acquisitions;
  • l’établissement d’exigences et de conditions formelles par écrit;
  • les pratiques de gestion, de protection et de confidentialité relatives aux données, à l’information et aux pièces à conviction.

Cadre stratégique

Il existe un cadre régissant l’adoption et l’utilisation de SAT, lequel comprend le Règlement de l’aviation canadien de Transports Canada, la politique de la GRC sur les SAT (chapitre 25.7 du Manuel des opérations), le manuel national sur l’utilisation des SAT, ainsi que les MFN et les directives émanant du programme national des SAT. Il existe aussi des suppléments divisionnaires, mais ils présentent certaines lacunes, puisque certains d’entre eux datent d’avant l’établissement de la politique nationale ou n’y sont pas harmonisés.

La politique de la GRC établit les exigences relatives à la formation, à l’accréditation et aux heures de vol des pilotes de SAT, ainsi que celles qui concernent l’entretien des SAT. D’après les commentaires recueillis lors des entrevues et la documentation fournie, cette politique est respectée en général, mais il peut être difficile d’atteindre le nombre d’heures de vol qu’elle exige. Les attentes énoncées dans la politique de la GRC sont plus élevées que celles de la politique de Transports Canada, qui ne fixe aucune exigence minimale quant aux heures de vol. Des dispositions informelles ont été mises en place pour réduire le nombre d’heures de vol exigé en attendant que la politique de la GRC soit mise à jour.

Bien que la version actualisée de la politique ait été rédigée, sa publication n’est prévue qu’après la réalisation de la nouvelle EFVP, ce qui fera persister les lacunes dans les consignes actuelles. [CAVIARDÉ]

Respect de la vie privée

À la suite d’une EFVP réalisée en 2018, le CPVP a exprimé des préoccupations et formulé des recommandations qui seront prises en compte dans la prochaine EFVP et dans la mise à jour de la politique sur les SAT, mais les dates d’achèvement de ces travaux restent à déterminer.

Voici les questions soulevées par le CPVP en 2019 qui restent à régler :

• L’EFVP de 2018 sur les SAT a dressé une liste incomplète des éléments de renseignements personnels que les SAT peuvent capter, tels que le visage d’une personne, la couleur de sa peau et d’autres caractéristiques physiques ou particularités qu’elle présente.
• Cette EFVP n’a pas coté de façon appropriée le caractère délicat de ces éléments, d’autant plus que les images et les vidéos sont enregistrées en temps réel.

L’actualisation de l’EFVP se fait sous la direction du centre de décision responsable des SAT, soit le Programme national de la sécurité routière et Technologies opérationnelles des SPCA. [CAVIARDÉ]

Les définitions de l’intelligence artificielle (IA) et de l’apprentissage automatique (AA) présentent des lacunes, et il en va de même pour la compréhension qu’on a de ces notions. À mesure que la technologie évolue, la GRC pourrait se tourner vers des SAT dotés de capacités d’IA. Bien que les personnes interviewées aient affirmé ne pas faire usage de capacités d’IA à l’heure actuelle, l’emploi de telles capacités est envisagé, et si la GRC décide de s’en prévaloir, cela pourrait créer des risques liés à l’ACS Plus, à l’EDI, au respect de la vie privée et à la perception du public quant à la transparence dont fait preuve la GRC.

Considérations juridiques

Les coordonnateurs divisionnaires du programme des SAT se tiennent au fait des considérations juridiques liées à l’utilisation de SAT et s’assurent d’obtenir les autorisations judiciaires requises à cette fin. Les pilotes de SAT suivent la politique nationale sur l’usage de drones (avec ou sans mandat), et les coordonnateurs divisionnaires encouragent les services qui demandent l’utilisation d’un SAT à communiquer avec l’Équipe du soutien aux questions juridiques de leur division pour obtenir des conseils sur des situations précises et sur les mandats qu’il peut être nécessaire d’obtenir à leur égard.

Gestion de l’information

Les éléments qui peuvent présenter des lacunes sur le plan de la GI sont le traitement des données enregistrées sur les cartes mémoire SD (Secure Digital) des SAT, la transmission de l’information aux enquêteurs et la suppression des fichiers des cartes mémoire SD après leur sauvegarde sur d’autres supports de stockage. Parce que la politique sur les SAT ne donne pas de consignes sur la GI et que la politique sur la GI n’aborde pas explicitement la gestion des données des SAT, les enquêteurs principaux et les utilisateurs de SAT ne connaissent peut-être pas les exigences en matière de GI qui s’appliquent aux données captées par les SAT.

Il y a des failles dans les procédures de sécurité pour la collecte, la transmission, le stockage et l’élimination des renseignements personnels. Les personnes montrées dans les images pourraient subir une atteinte au respect de leur vie privée si celles-ci étaient perdues ou traitées incorrectement. Une telle atteinte peut notamment engendrer une responsabilité légale, ébranler la confiance à l’égard du traitement des renseignements personnels, compromettre une enquête criminelle et causer des pertes financières à l’organisation si une poursuite est engagée. Les SPCA ont affirmé que la version actualisée de la politique devrait donner des consignes plus précises à ces égards.

Pratiques d’acquisition

Dans l’ensemble, l’acquisition de SAT est conforme aux pratiques d’acquisition acceptées, mais le processus comporte certains risques. Les achats à faible coût n’atteignent pas le seuil fixé pour les transactions devant être examinées par les Acquisitions de la GRC, et la manière dont les tiers gèrent l’information captée par les SAT peut susciter des risques.

Les acquisitions de moins de 10 000 $ se font souvent avec une carte d’achat, tandis que celles de plus de 10 000 $ se font par l’intermédiaire du bureau régional ou national des Acquisitions, ou de Services publics et Approvisionnement Canada. Les coordonnateurs divisionnaires du programme des SAT aident les clients à bien évaluer leurs besoins, compte tenu du fait qu’il n’est pas toujours nécessaire d’obtenir un appareil haut de gamme et tous les accessoires offerts. La sélection des drones se fonde sur les capacités dont le client a besoin pour assurer le succès des missions. Les divisions déterminent leurs propres besoins pour les achats individuels, qui se fondent sur des recherches, des dossiers de décision et des consultations, ainsi que sur les autorisations obtenues auprès des coordonnateurs divisionnaires, du gestionnaire du programme national, des chefs de service ou des officiers responsables des enquêtes criminelles. Le plafond de 10 000 $ fixé pour les achats sans contrat et la complexité des processus d’acquisition applicables aux achats de plus de 10 000 $ figurent parmi les problèmes mentionnés. Il a également été question de situations où il avait été difficile d’obtenir l’autorisation d’acheter des SAT parce que la direction ne comprenait pas en quoi ce serait avantageux pour le programme.

On constate par ailleurs un manque d’uniformité quant à savoir si les contrats relatifs aux SAT devraient être traités comme des marchés relatifs à la TI et donc être préapprouvés par la TI. [CAVIARDÉ] divisions incluses dans l’étude de cas suivaient le processus de Demande d’approbation préalable de biens et services TI (formulaire 3868). On a demandé à des dirigeants divisionnaires de l’Informatique et à des sections des acquisitions de TI de partout dans l’organisation s’ils considéraient les SAT comme des biens de TI et si leur achat nécessitait l’approbation du formulaire 3868, et la plupart [CAVIARDÉ] ont répondu par la négative. Il y aurait lieu d’examiner les répercussions dans une perspective d’intégration organisationnelle et de gestion des biens.

Risques liés aux tiers

Les SAT sont souvent achetés auprès de fournisseurs tiers à l’étranger; par exemple, certains de ces appareils sont fabriqués en Chine (dont ceux de marque DJI). L’application qui fait fonctionner le SAT appartient au fournisseur tiers. Il est donc possible qu’elle enregistre et stocke les données automatiquement. [CAVIARDÉ] Fait notable, le Pentagone a inscrit DJI sur sa liste noire le 21 octobre 2022 ^{note de bas 14} pour des raisons de sécurité nationale. Le Federal Bureau of Investigation et le Department of Homeland Security ont reconnu qu’ils continuaient d’acheter et d’utiliser des drones fabriqués en Chine, mais ont toutefois insisté sur le fait qu’ils tentent de trouver des solutions de rechange.

Certaines incohérences ont été constatées en ce qui concerne l’autorisation d’achats auprès de fournisseurs tiers. Une division a noté que la Sécurité ministérielle lui refusait parfois des demandes qui étaient pourtant approuvées ailleurs, et une autre division a souligné que certains secteurs refusent d’acheter des drones fabriqués en Chine parce qu’ils ne respectent pas les exigences de sécurité. [CAVIARDÉ]

Les contrats de plus de 10 000 $ ne comprennent pas de dispositions sur la protection des données et des renseignements personnels à moins que des exigences de sécurité ne soient établies. Les contrats examinés ne comportaient aucune disposition sur la protection des données, et la plupart des personnes interviewées n’ont pas mentionné que les processus d’acquisition comprenaient la consultation du Programme de GI-TI et de la Sécurité ministérielle au sujet des mesures de protection des données et de respect de la vie privée. Les acquisitions de moins de 10 000 $ peuvent se faire sans contrat écrit, au moyen d’une carte d’achat. Le cas échéant, il n’existe aucun document écrit précisant la manière dont le fournisseur gérera les données de la GRC auxquelles il peut avoir accès.

Considérations liées à l’ACS Plus et à l’EDI

Bien que les considérations liées à l’ACS Plus et à l’EDI soient prises en compte dans les présentations au Conseil du Trésor visant des projets à coût élevé et qu’elles puissent être incluses dans les EFVP, elles ne sont pas intégrées aux processus d’acquisition de SAT (qu’il s’agisse d’achats inférieurs ou supérieurs à 10 000 $). Les personnes interviewées ont affirmé qu’au moment d’acheter un SAT, elles cherchent à obtenir la meilleure technologie possible, en fonction des besoins de la mission. Rien dans les dossiers d’acquisition examinés n’indiquait que des considérations liées à l’ACS Plus, à l’EDI ou à l’éthique avaient été étudiées.

Conclusion – SAT

Le cadre régissant l’adoption et la gestion des SAT est le plus étoffé de ceux qui ont été examinés dans les trois études de cas effectuées lors de la vérification, car la politique est en place, une EFVP a été réalisée et le personnel reçoit soutien et orientations de la part du programme national des SAT et de ses coordonnateurs divisionnaires. Bien que la GRC utilise des SAT depuis plus de 10 ans, le programme des SAT et les capacités connexes n’ont pas été mis en œuvre de façon uniforme dans les divisions, certaines n’ayant acquis leur premier SAT qu’au cours des quatre dernières années.

Des mesures se prennent pour donner suite aux préoccupations du CPVP dans le cadre des travaux d’actualisation de la politique et de l’EFVP sur les SAT. [CAVIARDÉ]

La connaissance des facteurs de risque liés à l’ACS Plus, à l’EDI et à la transparence pourrait être améliorée à l’échelon divisionnaire. Ces facteurs ne sont pas examinés à l’heure actuelle.

Bien que les modalités d’acquisition de SAT soient conformes aux pratiques acceptables, il peut y avoir certains risques liés à la possibilité que des tiers aient accès aux données de la GRC captées au moyen de SAT.

Pourquoi ces constatations sont importantes

La passation de marchés avec des fournisseurs tiers qui peuvent avoir accès aux données ou aux transmissions en direct de la GRC peut créer un risque d’atteinte au respect de la vie privée et avoir une incidence sur les enquêtes.

Il y a lieu de continuer à évaluer les considérations liées à l’ACS Plus, à l’EDI, au respect de la vie privée, à l’IA et à la transparence qui entourent l’utilisation de SAT afin de réduire le plus possible les risques juridiques et la méfiance du public.

Le public porte un grand respect à l’opinion du CPVP. Le défaut de donner suite aux préoccupations et aux recommandations de ce dernier a terni et continuera de ternir l’image de l’organisation.

Aspects sur lesquels la direction doit se pencher

• Mise à jour de l’EFVP concernant les SAT
• Actualisation de la politique sur les SAT en fonction des recommandations du CPVP
• Actualisation des suppléments divisionnaires au besoin pour les harmoniser à la politique nationale sur les SAT
• Consultation de la Sécurité ministérielle, du Programme de GI-TI et de GGC sur les contrats avec des tiers et les exigences de protection des données (pour les achats inférieurs et supérieurs à 10 000 $)
• Détermination de la pertinence de considérer les SAT comme des biens de TI et d’exiger la présentation du formulaire 3868 aux fins d’approbation

Gestion du projet St. ROCH

L’évaluation des besoins réalisée avant et pendant le stade de l’initiative pilote a tenu compte des considérations liées à la pertinence, au financement et à la planification de la mise en œuvre de l’outil, des considérations d’ordre juridique et éthique, ainsi que des considérations relatives à l’ACS Plus et à l’EDI. Ces éléments ont tous été rigoureusement documentés.

Le projet est conforme au programme de modernisation et à la Stratégie sur la police numérique de la GRC. Il respecte aussi les protocoles du gouvernement du Canada en ce qui concerne les nouveaux projets de GI-TI. Une structure de gestion de projet a été établie à son égard. Les documents relatifs au cadre d’adoption et de gestion de la plateforme font par ailleurs état de consultations menées avec des partenaires internes et externes, dont le Groupe des cinq, le Secrétariat du Conseil du Trésor et le CPVP.

[CAVIARDÉ] Le tout s’est fait avec la participation Services publics et Approvisionnement Canada, dans le cadre d’un processus d’appel d’offres, conformément aux spécifications et normes pertinentes, aux pratiques d’acquisition acceptées et aux principes de gestion de projet.

Des données sur le rendement de la plateforme St. ROCH ont été mesurées et présentées tout au long de son développement, et leur mesure se poursuivra pendant que le projet progresse vers l’état de programme. Un mécanisme de suivi financier est établi pour le projet St. ROCH.

Toutes les exigences fonctionnelles et techniques établies pour le stade d’initiative pilote et les exigences en matière d’infrastructure établies pour le stade de projet ont été remplies. Les spécifications techniques et les mises en œuvre logicielles sont bien définies.

Au moment de la vérification, le projet St. ROCH n’avait pas encore atteint l’état de programme. Par conséquent, les mécanismes de gouvernance, les politiques, les MFN, les exigences de formation, les normes de rendement, les modalités d’évaluation continue et les exigences de surveillance sont toujours en voie d’élaboration et nécessiteront d’autres travaux. Il y a toutefois lieu de se pencher sur certaines considérations liées à l’utilisation et à la maintenance de la plateforme St. ROCH dans l’immédiat et dans l’avenir. L’équipe du projet continue à apporter des correctifs et assure la maintenance du système pendant son passage de l’état de projet à celui de programme. Les considérations juridiques, éthiques et liées à l’ACS Plus et à l’EDI sont surveillées continuellement pendant le développement du système. Les risques résiduels ont été déterminés et font l’objet d’une surveillance.

Gestion de l’information

Le cadre de GI établi pour la plateforme St. ROCH aborde la collecte des données et de l’information, l’accès à celles-ci ainsi que leur utilisation, leur protection, leur conservation et leur élimination. Des programmes et des protocoles de maintenance ont également été établis à son égard.

La propriété des données est associée aux fichiers à un niveau granulaire lorsque les données sont entrées dans le système et elle est maintenue pendant toute la période de conservation des données. La plateforme St. ROCH doit permettre de vérifier la conformité des données saisies en cours d’enquête avec les conditions énoncées dans les autorisations judiciaires, et les Services de criminalistique numérique, au sein des Services d’enquêtes techniques de la GRC, sont chargés de veiller au respect de ces conditions pendant le traitement des données.

Les données et l’information contenues dans le système sont utilisées dans le cadre d’enquêtes, et des MFN sont établies relativement à leur communication. [CAVIARDÉ] L’élimination des données et de l’information se fait conformément aux codes et aux paramètres de conservation établis pour la Déclaration uniforme de la criminalité.

Évaluation des facteurs relatifs à la vie privée

En 2019, le CPVP a conseillé à la GRC de poursuivre les discussions avec son service d’AIPRP quant à la possibilité de réaliser une EFVP sur le projet St. ROCH, et de procéder à cette évaluation s’il y avait lieu de le faire.

L’équipe de vérification a examiné les documents témoignant de la réflexion sur la nécessité d’effectuer une EFVP, ainsi que les commentaires du CPVP. Elle a constaté, en particulier, que les responsables du projet St. ROCH avaient consulté l’équipe d’AIPRP de la GRC précédemment et que cette démarche initiale leur avait laissé l’impression suivante :

1. il n’est pas nécessaire de réaliser une EFVP, car aucune modification ne sera apportée à l’information de la Police fédérale recueillie par des moyens moins efficaces dans le cadre d’enquêtes criminelles légitimes;
2. la réalisation d’une EFVP ne se fait pas à l’égard d’un outil et est seulement requise lorsque de nouveaux dépôts de données sont créés;
3. l’intention est d’utiliser les fichiers de renseignements personnels qui existent déjà pour l’information que la GRC est autorisée à recueillir relativement à ses activités d’enquête.

Au lieu de réaliser une EFVP officielle, la GRC a accepté de produire une évaluation de la menace et des risques pour le respect de la vie privée afin de cerner les préoccupations relatives à la protection des renseignements personnels et de prendre les mesures d’atténuation pertinentes. De plus, si l’on détermine plus tard qu’une EFVP doit être réalisée, la GRC veillera à ce que ce soit fait avant la mise en œuvre intégrale de la plateforme St. ROCH.

Au moment de la vérification, aucune décision n’avait encore été prise sur la nécessité de réaliser une EFVP.

Évaluation de l’incidence algorithmique

L’équipe du projet St. ROCH a été l’un des premiers groupes à adopter le processus d’évaluation de l’incidence algorithmique (EIA). Elle collabore depuis quelques années avec le Secrétariat du Conseil du Trésor à la réalisation de son EIA, qui consiste notamment à évaluer de façon continue l’AA et les modèles de données élaborés et utilisés lors de l’initiative pilote et des phases du projet visant la plateforme St. ROCH. De plus, la réalisation de l’EIA est présentée comme un facteur qui contribuera à l’atteinte de l’objectif d’harmonisation avec les normes d’architecture du gouvernement du Canada en matière de collecte de données et avec les exigences du Conseil d’examen de l’architecture intégrée du gouvernement du Canada. Les données doivent être recueillies au moyen de pratiques conformes à l’éthique, dans le but d’en faire une utilisation appropriée axée sur les citoyens et les entreprises, et leur collecte doit s’effectuer dans l’exécution du mandat prescrit de la GRC, qui est de protéger les Canadiens et les Canadiennes. Il faudra continuer à collaborer avec le Secrétariat du Conseil du Trésor afin de rédiger l’EIA, puis afin de la modifier régulièrement au fur et à mesure que le processus évoluera au sein du gouvernement du Canada selon les politiques du Secrétariat du Conseil du Trésor.

Le CPVP a aussi exprimé l’avis que la GRC devrait continuer à collaborer avec le Secrétariat du Conseil du Trésor afin de produire une EIA, et continuer à surveiller les modèles de données utilisés pour l’AA.

Passage de l’état de projet à celui de programme

À mesure que le projet St. ROCH progresse vers l’état de programme, les risques peuvent s’accroître avec l’augmentation du nombre d’utilisateurs et la variation probable des pratiques adoptées à l’échelle divisionnaire ou locale quant à l’utilisation de la plateforme.

La formation est encore en voie d’élaboration, mais il a été souligné que le budget du projet tient compte des outils nécessaires au développement, au déploiement, à la maintenance et au soutien de la plateforme St. ROCH, et qu’il prévoit aussi une importante formation sur mesure pour les développeurs et les utilisateurs. Au moment de la vérification, un rapport d’analyse des besoins en formation avait été présenté relativement au projet St. ROCH et approuvé par le directeur des Services nationaux d’apprentissage.

Il sera important de faire preuve de prudence et de continuer à surveiller la mise en œuvre de la plateforme au moyen de contrôles internes appropriés, tels qu’une politique, des lignes directrices, de la formation, des MFN et des mécanismes de suivi.

Conclusion – plateforme St. ROCH

Une stratégie globale est en place pour orienter la planification, la conception, la mise en œuvre et la gestion du projet St. ROCH. À mesure qu’il progresse vers l’état de programme et après l’atteinte de ce stade, il sera essentiel d’évaluer de façon continue les considérations relatives à l’intelligence artificielle (IA) et au respect de la vie privée.

L’équipe du projet St. ROCH devrait poursuivre ses discussions avec l’équipe d’AIPRP de la GRC quant à la possibilité de réaliser une EFVP, et procéder à cette évaluation si elle est jugée nécessaire.

De plus, comme l’a conseillé le CPVP en 2019, la GRC devrait continuer à collaborer avec le Secrétariat du Conseil du Trésor afin de produire une EIA, et continuer à surveiller les modèles de données utilisés pour l’apprentissage automatique (AA). Ce sera particulièrement important pendant le passage de l’état de projet à celui de programme. Il en va de même pour la surveillance des nouvelles capacités et fonctionnalités.

Pour ce qui est de l’élaboration de la politique et de la formation, toutes les exigences fonctionnelles et techniques établies pour le stade d’initiative pilote et les exigences en matière d’infrastructure établies pour le stade de projet ont été remplies. La GRC devrait continuer à surveiller les considérations juridiques, éthiques et liées à l’ACS Plus et à l’EDI pendant le développement du système. À mesure que le projet avancera et avant que la plateforme soit mise à la disposition des divisions, il faudra voir à l’élaboration de la politique et des MFN ainsi qu’à la prestation de la formation.

Pourquoi ces constatations sont importantes

En 2019, le CPVP a conseillé à la GRC de poursuivre les discussions avec son service d’AIPRP quant à la possibilité de réaliser une EFVP sur le projet St. ROCH, et de procéder à cette évaluation s’il y avait lieu de le faire. Si aucune EFVP ou EIA n’est effectuée, il se peut que les risques pour le respect de la vie privée et ceux associés à l’intelligence artificielle (IA) et à l’apprentissage automatique (AA) ne soient pas bien compris, qu’ils ne soient pas relevés et que les mesures d’atténuation pertinentes ne soient pas mises en place.

À mesure que le projet St. ROCH progresse vers l’état de programme, les risques peuvent s’accroître avec l’augmentation du nombre d’utilisateurs et la variation probable des pratiques adoptées à l’échelle divisionnaire ou locale quant à l’utilisation de la plateforme. Les puissantes capacités de la plateforme suscitent des risques inhérents associés notamment à la création de liens entre les données et à la possibilité d’accéder à des quantités massives de données. Puisque bon nombre des liens entre les données se créent par l’application des principes de l’AA et de la science des données, il y aurait lieu d’exiger la participation d’une personne à la prise de décisions, comme le prévoient les modèles d’IA avec intervention humaine.

Il sera important de faire preuve de prudence et de continuer à surveiller la mise en œuvre de la plateforme au moyen de contrôles internes appropriés, tels qu’une politique, des lignes directrices, de la formation, des MFN et des mécanismes de suivi. De plus, à mesure que la plateforme St. ROCH sera dotée de nouvelles capacités et permettra de créer de nouveaux liens, il sera essentiel d’exercer une surveillance continue afin de gérer et d’atténuer les risques.

Aspects sur lesquels la direction doit se pencher

• Prise d’une décision, en consultation avec l’AIPRP de la GRC et le CPVP, quant à la nécessité de réaliser une EFVP
• Achèvement de l’EIA
• Travaux d’achèvement de la politique, de la formation et des MFN avant que la plateforme St. ROCH soit mise à la disposition des divisions