Points clés
- Le 7 octobre 2026, le commissaire à la protection de la vie privée Philippe Dufresne a déclaré au Comité permanent de la sécurité publique et nationale que les enquêtes de sécurité fédérales doivent passer quatre tests : nécessité, proportionnalité, efficacité et intrusion minimale.
- Il a nommé trois points chauds : vérifications en sources ouvertes, tests polygraphiques et maintien des cotes. Il a aussi révélé que le Commissariat enquête sur l’utilisation du polygraphe par le gouvernement depuis janvier 2025.
- La Loi sur la protection des renseignements personnels, a-t-il dit, ne présente « aucun obstacle général » à la collecte liée aux enquêtes; l’article 4 permet la collecte directement liée à un programme en cours. Autrement dit, le consentement et la loi ne sauveront pas un programme bâclé. La documentation du test en quatre volets est ce qui vous protège.
Ce que Dufresne a réellement dit au Parlement
Une cote de sécurité valide est une condition d’emploi au gouvernement du Canada, et parfois une condition d’obtention d’un contrat gouvernemental. Les candidats consentent à la collecte, à l’utilisation et à la communication de leurs renseignements personnels, l’ampleur de la collecte suivant le niveau de cote. Le commissaire a décrit les deux rôles du Commissariat : employeur qui applique les exigences à son propre personnel, et organisme de réglementation qui surveille la gestion des renseignements personnels des employés par les institutions fédérales, enquête sur les plaintes et conseille le gouvernement sur ses politiques.
Puis le passage qui concerne tout le monde hors de la fonction publique fédérale. Le Commissariat alimente les réflexions du SCT sur la Directive sur les enquêtes de sécurité, qui fixe les paramètres du filtrage des détenteurs et demandeurs de cotes. La demande du commissaire n’est pas de réduire les enquêtes, mais de faire des enquêtes qui montrent leurs devoirs : tester chaque collecte contre la nécessité, la proportionnalité, l’efficacité et l’intrusion minimale. Il a pressé le SCT de fournir des directives détaillées sur l’évaluation et l’atténuation des risques, pas seulement les paramètres généraux.
Notez la nuance qu’il a attachée au test : les moyens doivent produire des renseignements exacts (c’est le volet efficacité) et il ne doit exister aucun moyen moins attentatoire à la vie privée pour obtenir le même résultat. Exactitude et retenue, jumelées. Ce jumelage est tout l’enjeu.
Les trois points chauds qu’il a nommés
Dufresne n’a pas parlé dans le vague. Voici les trois pratiques où le test en quatre volets sera le plus difficile à réussir :
| Pratique | Pourquoi le Commissariat la surveille | La question à poser à votre propre programme |
|---|---|---|
| Vérifications en sources ouvertes | Les contrôles de médias sociaux ramassent des renseignements personnels vastes, sans contexte, parfois faux ou périmés | Ce contrôle produit-il des renseignements exacts sur l’aptitude? |
| Tests polygraphiques | L’exactitude est contestée; le Commissariat enquête sur l’utilisation du polygraphe par le gouvernement depuis janvier 2025 | Pouvez-vous démontrer que la technique fonctionne pour votre objectif? |
| Maintien des cotes de sécurité | La surveillance continue transforme une collecte ponctuelle en contrôle permanent | Est-elle liée à un risque actuel et précis? |
Le passage sur le polygraphe mérite un deuxième regard. Le commissaire a rappelé au comité que la loi lui permet d’ouvrir une enquête dès qu’il existe des motifs raisonnables; il en mène une sur les polygraphes depuis janvier 2025. Il a dit qu’il avait hâte d’en partager les conclusions. Toute organisation qui utilise le polygraphe, ou qui envisage de le faire, devrait surveiller ce qui sortira.
Le consentement est plus faible qu’on ne le croit ici
Les candidats consentent à la collecte liée à l’enquête, comme l’a dit Dufresne. Mais dans un contexte d’emploi, où la cote est une condition du poste, le consentement n’est pas vraiment donné librement, et la suite de la déclaration le dégonfle en douceur. Le fondement juridique est plutôt l’article 4 de la Loi sur la protection des renseignements personnels : la collecte est permise lorsqu’elle est directement liée à un programme ou à une activité en cours, et la loi ne présente « aucun obstacle général » à la collecte ni à la communication liées aux enquêtes, selon ses mots.
Cette phrase devrait mettre les professionnels de la vie privée légèrement mal à l’aise, d’une façon productive. La loi n’est pas l’écran derrière lequel on se cache; l’écran, c’est le test en quatre volets. Si votre programme collecte large sans rien documenter, l’article 4 ne vous sauvera pas. Il signifie simplement que la loi n’a jamais été votre principal risque. Une plainte au Commissariat, et la question de l’efficacité, si.
Pourquoi cela dépasse la fonction publique
Le mandat de Dufresne s’arrête aux institutions fédérales. La logique, non. Les banques, les exploitants d’infrastructures essentielles et les entrepreneurs fédéraux mènent des programmes de filtrage de même forme. Le test en quatre volets voyage bien parce qu’il ne concerne pas vraiment la Loi sur la protection des renseignements personnels. Il concerne une collecte défendable.
Lisez la déclaration comme un organisme de réglementation qui prépare une future enquête. Pour chaque élément de données d’une vérification d’antécédents : nécessaire (lié au risque réel du rôle, pas au modèle de formulaire?), proportionné (calibré sur les accès du poste?), efficace (produit-il des renseignements exacts sur lesquels on peut fonder une décision?), minimalement intrusif (existe-t-il un moyen plus étroit de répondre à la même question?). Si vous ne pouvez répondre aux quatre par écrit, vous avez une lacune, et cette déclaration est l’avis de ce à quoi elle sera jugée.
Mesure concrète : passez votre modèle de vérification d’antécédents au crible des quatre volets de Dufresne avant qu’un organisme de réglementation, ou un tribunal, ne le fasse pour vous. Pour chaque élément (vérification d’identité, casier judiciaire, solvabilité, balayage en sources ouvertes, références), écrivez une ligne de justification par volet : pourquoi nécessaire, pourquoi proportionné aux accès du rôle, la preuve qu’il est exact, et l’option moins intrusive que vous avez envisagée puis écartée. Liez la profondeur de la collecte à la sensibilité du poste, par écrit. Et surveillez l’enquête sur le polygraphe : ses conclusions redéfiniront la barre d’efficacité pour les techniques de détection de la tromperie.