L’Agence des services frontaliers du Canada (ASFC) a compromis les données personnelles des utilisateurs de l’application ArriveCan, notamment en permettant inutilement à des entreprises d’y avoir accès, conclut le Commissaire à la protection de la vie privée.

Dans son rapport déposé jeudi, le commissaire Philippe Dufresne détaille plusieurs lacunes dans le développement de l’application utilisée durant la pandémie pour numériser les renseignements des voyageurs et accélérer les processus à la frontière.

Rappelons que la mise en œuvre de cette application devait coûter au départ moins de 100 000 $, mais elle a finalement coûté près de 60 millions de dollars et avait impliqué l'octroi d'un contrat de plus de 8 millions de dollars à l’entreprise GC Strategies, formée de seulement deux personnes.

Sur les 13 entreprises ayant travaillé sur le projet, sept avaient besoin d’accéder aux données des utilisateurs. L’ASFC a toutefois donné à toutes les compagnies les mêmes autorisations pour accéder à ces données.

Même si les six autres entreprises n’ont pas accédé aux renseignements personnels des voyageurs, le Commissariat se dit préoccupé par la situation.

Le Commissariat note aussi que l’AFSC n’a pas vérifié la conformité d’une entreprise en matière de vie privée dans un délai raisonnable.

La dernière inspection d’une entreprise à cet effet, nommée liste de vérification des exigences relatives à la sécurité (LVERS), avait été effectuée quatre ans avant l’octroi du contrat pour ArriveCan.

Bien qu'il n'existe actuellement aucune restriction quant au temps écoulé entre la signature d'une LVERS et l'attribution d'un contrat, le Commissariat est d'avis qu'un délai aussi important pourrait compromettre l'exactitude et la fiabilité de l'évaluation de sécurité, surtout si le paysage de sécurité évolue, peut-on lire dans le rapport.

L’AFSC a aussi permis à une entreprise dont la cote de sécurité n’était pas à jour de travailler sur le projet pendant un an et demi, s’exposant à des risques accrus d'atteinte à la vie privée.

Le rapport note aussi que les descriptions de tâches étaient parfois si vagues que les entreprises n'étaient généralement pas au courant des travaux ou des projets précis auxquels leurs ressources contractuelles étaient affectées.

Dans un communiqué, le Commissariat indique avoir transmis des recommandations à l’ASFC au sujet de ces lacunes.

Malgré tout, tous les fournisseurs ont respecté les exigences en matière de sécurité, souligne M. Dufresne dans son rapport, et aucun d’entre eux n’a consulté ou utilisé de manière inappropriée les données des voyageurs canadiens.

Le commissaire estime donc que l’ASFC a respecté la loi et que la plainte qui a mené au déclenchement de son enquête est non fondée.

Vers une enquête publique?

À l'image de Québec avec la commission Gallant, le Canada pourrait lui aussi lancer une enquête publique sur les ratés informatiques des projets gouvernementaux.

Mercredi soir, à Ottawa, les membres du Comité sur les comptes publics ont voté en faveur d’une motion du Bloc québécois demandant au gouvernement de mettre en place une enquête publique et indépendante sur les dépassements de coûts dans les projets informatiques fédéraux.

L’enquête devrait se pencher sur le système de paye Phénix, du système de gestion des pensions fédérales de la Sécurité de la vieillesse CURAM, ainsi que sur l’application ArriveCan.

Tous les parlementaires du Comité, libéraux, conservateurs et bloquiste, ont voté en faveur de la motion.