Agence spatiale canadienne
www.asc-csa.gc.ca
Liens de la barre de menu commune
Contenu de la page
Sommaire de l’évaluation des facteurs relatifs à la vie privée (EFVP) du Système de recrutement des astronautes (SRA)
Le Système de recrutement des astronautes (SRA), ci-après désigné l'application en ligne, a permis aux postulants de la campagne de recrutement des astronautes de l'Agence spatiale canadienne de soumettre via l'Internet les renseignements personnels nécessaires pour postuler. La campagne complète de recrutement a duré environ un an. Cependant, le système n'a été disponible sur l'Internet que pendant moins de 3 mois. Il était accessible à partir du site Web de l'Agence spatiale canadienne (ASC).
L'application en ligne a été développée pour rendre le processus de sélection plus efficace. La mise en place du système de l'application en ligne a éliminé l'utilisation d'un formulaire imprimé, ce qui a réduit la manipulation et le temps requis pour traiter et examiner les applications et favoriser les tris informatisés par ordre de mérite.
Les avantages majeurs de l'application en ligne incluent :
- une amélioration de l'efficacité et de la précision du processus, tant au niveau des premiers filtres face à un très grand nombre de postulants qu'au niveau de l'emmagasinage et la sécurité des données tout au long du processus;
- une portée plus étendue puisque les applications peuvent être remplies et soumises de tout endroit où l'Internet est disponible;
- la production en temps réel de rapports sur le traitement pour les recruteurs de l'ASC.
Le nombre et le type des renseignements personnels recueillis par l'application en ligne sont les mêmes que ce que l'ASC recueillerait par un formulaire imprimé, si ce mode d'application avait été retenu et sont semblables aux renseignements personnels recueillis par n'importe quel employeur pour une demande d'emploi. Le projet de mise en œuvre du Système de recrutement des astronautes ne change ni n'augmente la cueillette, l'usage ou la divulgation de renseignements personnels tels qu'ils le seraient sur un formulaire papier.
Une Évaluation des facteurs relatifs à la vie privée (ÉFVP) a été conduite préalablement à la mise en œuvre de l'application en ligne. Le but de cette évaluation était :
- de s'assurer que la mise en application du Système de recrutement des astronautes avait pris en considération tous les aspects relatifs aux renseignements dans la conception du système;
- d'évaluer le processus administratif de l'ASC directement relié à la mise en œuvre de l'application en ligne en ce qui a trait à la conformité avec La Loi sur la protection des renseignements personnels et les dix principes du respect de la confidentialité;
- d'identifier les risques d'entrave à la vie privée et de proposer des stratégies et des plans d'actions pour mitiger la réalisation de ces risques et atténuer les dommages s'ils devaient se réaliser.
La portée de l'évaluation s'est limitée à la cueillette des renseignements personnels pour l'application en ligne et à leur usage dans le cadre de la campagne de recrutement et après la conclusion de celle-ci. L'évaluation comprenait également les processus de rétention et de destruction des applications au SRA.
L'évaluation des facteurs relatifs à la vie privée a mené à la conclusion que l'application en ligne, les processus administratifs de l'ASC, les procédures et politiques de gestion de l'information relatives aux renseignements personnels sont en conformité avec La Loi sur la protection des renseignements personnels et les dix principes du respect de la confidentialité ainsi que la Politique sur la protection des renseignements personnels du Secrétariat du Conseil du Trésor (SCT). Le personnel du programme est formé et informé de leur responsabilité quant à l'usage, la divulgation et la protection des renseignements personnels.
L'architecture du système de l'application en ligne a été conçue en vue d'assurer la sécurité des renseignements personnels des postulants lors du transit et là où ils sont situés. L'accès au système par les usagers internes de l'ASC sera contrôlé et limité à ceux qui possèdent l'autorisation obtenue après vérification de la fiabilité, qui auront acquis les qualifications nécessaires de recruteur, et qui ont un besoin administratif, logistique ou programmatique de connaître ces renseignements.
L'avis de confidentialité et consentement avec lequel les postulants en ligne doivent être d'accord avant de donner leurs renseignements personnels est en conformité avec les directives du SCT. Il énonce clairement les droits de la protection des renseignements personnels du postulant et l'usage qui sera fait de ces renseignements personnels.
Quatre risques d'entrave à la vie privée furent identifiés et jugés comme étant faibles. Ces risques et les plans d'action correspondants pour atténuer les dommages sont les suivants:
1. Risque : La sécurité liée à l'emmagasinage des données personnelles servant à la sélection des postulants est compromise par leur accès illicite par des tiers.
Atténuation : Les données seront toutes emmagasinées dans les locaux de l'ASC sur des serveurs situés dans la salle des serveurs, laquelle dispose d'un accès restreint.
2. Risque : La sécurité liée aux formulaires d'applications, lesquels contiennent des renseignements personnels, et au processus de sélection est compromise par leur accès illicite par des tiers.
Atténuation : Pour minimiser le risque de divulgation de l'information ou d'atteinte à l'intégrité des informations contenues dans la base de données du système, les mécanismes suivants ont été mis en place :
- Utilisation de connexions sécurisées (chiffrées) entre nos serveurs et les ordinateurs des candidats (https).
- Obligation d'utiliser un mot de passe de 8 caractères minimum contenant obligatoirement des chiffres et des lettres.
- Journalisation (log) de tous les accès faits aux formulaires via le Web (date, heure et adresse IP).
- Journalisation de toutes les modifications faites par les candidats via le Web (donc possibilité de retracer les changements faits depuis la création du dossier).
- Mise en place de plusieurs mécanismes de détection d'intrusion ou de tentatives d'intrusion au moyen notamment de sondes.
- Ajout d'un mécanisme de « captcha » (image avec des caractères que les candidats doivent retranscrire) pour modifier un dossier via le Web afin d'éviter que des malfaiteurs programment des scripts pour deviner des mots de passe suite à des essais automatisés.
- Journalisation des accès des membres du comité de sélection et des changements qu'ils apportent au dossier (advenant qu'un candidat soit rejeté sur la base d'information qu'il aurait mal inscrite et que le membre du comité de sélection modifierait).
- Des tests de pénétration (hacking) ont été menés par l'agent de la sécurité informatique de l'ASC sur les formulaires Web. Les failles trouvées ont été corrigées.
- Restriction des informations personnelles accessibles aux employés chargés d'assurer le support technique (centre d'appel) des candidats. Ceux-ci ont néanmoins la cote de fiabilité approfondie.
Les renseignements personnels générés par le processus de recrutement, après la phase d'utilisation du système de recrutement, seront en format papier et conservés selon la politique de sécurité de l'information en vigueur à l'ASC.
3. Risque : Le niveau restreint de connaissances sur les exigences de protection des renseignements personnels pour les huit membres de l'équipe rapprochée devant traiter ces renseignements personnels et pour les agents contractuels retenus à cette fin.
Atténuation : Le chef de projet et le gestionnaire de projet feront le nécessaire, avec la participation de la coordonnatrice - accès à l'information et protection des renseignements personnels de l'ASC pour sensibiliser les membres de l'équipe rapprochée ainsi que les agents contractuels aux exigences de protection des renseignements personnels, en conformité avec les directives du SCT. Dans le cas de ces derniers, une clause sera ajoutée au contrat à cet égard.
4. Risque : Le personnel des technologies de l'information de l'ASC, qui développe, gère et maintient les systèmes ainsi que les algorithmes, modules et logiciels afférents, possèdent suffisamment de connaissances pour représenter un risque d'utilisation inappropriée volontaire ou par inadvertance pour le SRA.
Atténuation : La Direction de la gestion de l'information de l'ASC a reconnu le besoin et mis en place une formation préalable sur la protection des renseignements personnels pour ces personnes en plus d'avoir exigé et obtenu des cotes de sécurité au moins de niveau « secret » pour tous ces gens. D'autre part, même au sein du personnel technique, des restrictions d'accès s'appliqueront de manière à ce que l'accès aux données des candidats soit restreint au maximum. Dans les faits, seuls les 3 employés du groupe de la gestion des bases de données auront accès aux données. Les autres accès seront accordés via des comptes dans le système, notamment pour l'analyste qui a participé à la conception du système et qui devra assurer des tâches de support. Tous ces employés ont la cote sécuritaire « secrète ».
Cette Évaluation des facteurs relatifs à la vie privée (ÉFVP) a été présentée au Commissariat à la protection de la vie privée du Canada tel que requis au paragraphe 7 de la Politique d'évaluation des facteurs relatifs à la vie privée du Secrétariat du Conseil du Trésor du Canada.
Nous incluons ici un extrait des résultats de l'examen de cette ÉFVP du Commissariat à la protection de la vie privée du Canada.
...« Nous comprenons que vous acceptez toutes les recommandations que le CPVP a émises dans le cadre de l'analyse de l'ÉFVP. Nous comprenons également que vous nous enverrez le lien Internet du sommaire de l'ÉFVP et que vous ferez référence à notre analyse sur le site Internet de l'Agence.
Nous comprenons également que vous conserverez les renseignements personnels des candidats ayant fait application dans le cadre du processus de recrutement en 2008 pour une période de deux ans suivant la divulgation des résultats du processus de sélection. Bien que nous proposions une autre approche, cette décision est la vôtre et nous la respectons.
Ceci met fin à notre analyse de l'ÉFVP et par conséquent nous fermerons donc le dossier du Projet de recrutement des astronautes 2008. Nous profitons de l'occasion pour vous remercier de votre collaboration tout au long du processus de l'ÉFVP et nous vous en sommes très reconnaissants... »
