Rapport annuel au Parlement 2025-2026 sur l'application de la Loi sur la protection des renseignements personnels

Sur cette page

À propos de l’Agence du revenu du Canada

Rendement

Initiatives et projets d'amélioration continue

Formation et sensibilisation

Gestion de la protection des renseignements personnels

Gestion des atteintes à la vie privée

Évaluation des facteurs relatifs à la vie privée

Résumé des principaux enjeux et des mesures prises à l'égard des plaintes

Surveillance de l'observation

Divulgation d'intérêt public

Conclusion

Annexe A : Sommaires des évaluations des facteurs relatifs à la vie privée effectuées

Annexe B : Arrêté sur la délégation

ISSN 2563-3473

Introduction

Conformément à l’article 72 de la Loi sur la protection des renseignements personnels, le responsable de chaque institution fédérale présente au Parlement un rapport sur l’application de cette loi.

Ce rapport est présenté au Parlement sous l’autorité du ministre du Revenu national. Il décrit la façon dont l’Agence du revenu du Canada a appliqué la Loi sur la protection des renseignements personnels et s’est acquittée des obligations qui en découlent entre le 1^er avril 2025 et le 31 mars 2026. Il traite également des tendances émergentes, de l’exécution des programmes et des secteurs d’intérêt pour l’année à venir.

Loi sur la protection des renseignements personnels

La Loi sur la protection des renseignements personnels protège les renseignements personnels des particuliers en établissant des exigences strictes concernant la collecte, la conservation, l’utilisation, l’élimination et la communication de ces renseignements par les institutions fédérales. Elle donne également aux particuliers et à leurs représentants autorisés le droit d’y accéder (à quelques exceptions près), de demander qu’ils soient corrigés et d’y faire ajouter des annotations.

Les processus officiels prévus par la Loi ne remplacent pas les autres moyens d’obtenir des renseignements du gouvernement fédéral. L’Agence encourage les particuliers et leurs représentants à obtenir leurs renseignements au moyen de ses options de libre_-service en ligne, comme Mon dossier et Représenter un client. Elle encourage également les particuliers, les entreprises et les autres groupes à consulter l’information communiquée de façon proactive sur canada.ca/fr ou à utiliser ses lignes téléphoniques automatisées sans frais.

À propos de l'Agence du revenu du Canada

L’Agence du revenu du Canada encourage l’observation des lois et des règlements fiscaux au Canada et en assure le respect. Elle joue ainsi un rôle important dans le bien-être économique et social de la population canadienne. Pour ce faire, elle administre des programmes fiscaux pour le gouvernement du Canada et pour la plupart des provinces et territoires. Elle administre aussi divers programmes de prestations et de mesures incitatives socioéconomiques offerts au moyen du régime fiscal.

De plus, l’Agence est habilitée à échanger des renseignements avec les provinces, les territoires et d’autres organismes gouvernementaux. Moyennant des frais, elle peut aussi administrer des services à la demande de ces partenaires. L’Agence n’a eu aucune filiale en propriété exclusive durant la période visée par le rapport. Elle n’a pas non plus conclu d’entente de services en vertu de l’article 73.1 de la Loi sur la protection des renseignements personnels pour fournir à d’autres institutions gouvernementales relevant de la responsabilité du ministre du Revenu national des services liés aux demandes de renseignements personnels.

Compte tenu de son statut d’organisme ayant des pouvoirs uniques, l’Agence a une structure de gouvernance plus complexe que la plupart des ministères. Comme les autres ministères, elle compte un ministre, un commissaire et premier dirigeant, et un commissaire délégué. Elle dispose aussi d’un Conseil de direction et d’un ombudsman des contribuables.

Le ministre du Revenu national rend compte au Parlement de l’ensemble des activités de l’Agence, y compris l’application et l’exécution de la Loi de l’impôt sur le revenu et de la Loi sur la taxe d’accise.

Le Conseil de direction est établi en vertu de la Loi sur l’Agence du revenu du Canada. Il se compose de 15 administrateurs nommés par le gouverneur en conseil, dont 11 sont nommés par les provinces et les territoires. Les quatre autres membres sont le président, le commissaire de l’Agence et deux administrateurs nommés par le gouvernement du Canada.

Le Conseil est responsable de superviser :

• l’organisation et l’administration de l’Agence;
• la gestion des ressources, des services, des biens, du personnel et des contrats de l’Agence;
• l'élaboration du Plan d'entreprise;
• l'approbation du Rapport sur les résultats ministériels de l'Agence et de ses états financiers vérifiés.

À titre de premier dirigeant de l’Agence, le commissaire est responsable de l’application quotidienne des lois régissant les programmes qui relèvent des pouvoirs délégués au ministre du Revenu national. Il rend compte au ministre, le conseille et l’aide à exercer les pouvoirs, les fonctions et les responsabilités que lui confère la loi. 

Le commissaire est aussi membre d'office du Conseil. Il est responsable :

• de l'administration quotidienne de l'Agence;
• de la supervision du personnel;
• de la mise en œuvre des politiques de gestion.

Le commissaire est appuyé par le commissaire délégué. Ensemble, ils veillent à ce que les activités de l’Agence appuient sa vision : être une administration fiscale et de prestations de calibre mondial, digne de confiance, juste et utile.

L’Agence est composée de 13 directions générales fonctionnelles et de 4 bureaux régionaux dans l’ensemble du pays :

Directions générales

• Affaires publiques
• Appels
• Cotisation, prestation et service
• Finances et administration
• Informatique
• Politique législative et affaires réglementaires
• Programmes d’observation
• Recouvrements et vérification
• Ressources humaines
• Sécurité
• Service, innovation et intégration
• Services juridiques
• Vérification, évaluation et risques

Régions

• Atlantique
• Ontario
• Ouest
• Québec

Chef de la protection des renseignements personnels

La sous-commissaire de la Direction générale des affaires publiques est la chef de la protection des renseignements personnels de l’Agence. À ce titre, elle exerce un vaste mandat visant à assurer la protection des renseignements personnels à l’Agence. Pour remplir ce mandat, la chef :

• supervise les décisions liées à la protection des renseignements personnels, y compris les évaluations des facteurs relatifs à la vie privée;
• défend les droits en matière de protection des renseignements personnels, notamment, en gérant les atteintes à la vie privée à l’interne, conformément à la loi et aux politiques applicables;
• présente à la haute direction un rapport trimestriel sur l’état de la gestion de la protection des renseignements personnels à l’Agence.

Conseil exécutif de la sécurité et de la protection des renseignements personnels de l’ARC

Ce Conseil compte 18 cadres supérieurs clés. La chef de la protection des renseignements personnels et l’agent de sécurité de l’Agence assurent conjointement la présidence du Conseil. Durant la période visée par le rapport, le Conseil s’est réuni à quatre reprises.

Le mandat du Conseil est le suivant :

• favoriser une approche horizontale pour superviser les activités de gouvernance, de gestion et d’atténuation des risques liés à la sécurité et à la protection des renseignements personnels à l’Agence;
• agir à titre de comité directeur et conseiller l’organisation sur l’orientation à prendre sur les questions de sécurité et de protection des renseignements personnels;
• recommander des plans d’action aux régions, aux directions générales, au Bureau du commissaire et au Conseil de direction.

Comité des directeurs généraux sur la sécurité et la protection des renseignements personnels 

Il s’agit d’un comité au niveau des directeurs généraux coprésidé par la Direction générale des affaires publiques et la Direction générale de la sécurité. Durant l’exercice, le Comité s’est réuni à cinq reprises.

Le mandat du Comité consiste à :

• appuyer le Conseil exécutif de la sécurité et de la protection des renseignements personnels de l’Agence;
• assurer la surveillance des risques et des enjeux liés à la sécurité et à la protection des renseignements personnels et fournir une orientation à cet égard.

Direction de l’accès à l’information et de la protection des renseignements personnels

La Direction de l’accès à l’information et de la protection des renseignements personnels (AIPRP) aide l’Agence à respecter les exigences législatives de la Loi sur l’accès à l’information et de la Loi sur la protection des renseignements personnels. Pour remplir ce mandat, la direction :

• répond aux demandes présentées en vertu de la Loi sur l’accès à l’information et de la Loi sur la protection des renseignements personnels;
• répond aux demandes de renseignements et de consultation, aux plaintes et aux demandes de divulgation informelle;
• conseille et oriente les membres du personnel de l’Agence concernant la gestion et la protection adéquate des renseignements personnels sous le contrôle de l’Agence;
• examine et, au besoin, publie des renseignements à divulguer de façon proactive, y compris les titres des notes d’information et les documents des comités;
• offre des séances de formation et de sensibilisation sur l’AIPRP;
• coordonne le processus d’évaluation relatifs à la vie privée au sein de l’Agence, notamment en fournissant au personnel des conseils spécialisés sur les répercussions en matière de protection des renseignements personnels et sur les moyens d’éviter et d’atténuer les risques;
• supervise les activités de gestion des atteintes à la vie privée notamment en fournissant au personnel les conseils, les outils et le soutien nécessaires pour identifier, contenir et atténuer les risques liés aux atteintes à la vie privée;
• élabore et met à jour les procédures, les pratiques et les instruments de politique d’entreprise liés à la Loi sur l’accès à l’information et à la Loi sur la protection des renseignements personnels;
• communique avec le Secrétariat du Conseil du Trésor du Canada et les commissariats à l’information et à la protection de la vie privée du Canada concernant les plaintes, les enquêtes et les exigences législatives ainsi qu’en matière de politiques;
• remplit les obligations de l’Agence en matière de planification et de production de rapports, notamment les rapports annuels de l’Agence au Parlement sur l’application de la Loi sur l’accès à l’information et de la Loi sur la protection des renseignements personnels;
• produit plusieurs rapports qui présentent des statistiques clés sur l’inventaire des demandes d’AIPRP de l’Agence et des indicateurs de rendement clés en matière de protection des renseignements personnels pour évaluer, superviser et améliorer les programmes d’AIPRP de l’Agence.

La directrice générale et chef adjointe de la protection des renseignements personnels de la Direction de l’AIPRP détient l’ensemble des pouvoirs délégués par le ministre du Revenu national selon la Loi sur l’accès à l’information et la Loi sur la protection des renseignements personnels. Elle est aussi responsable :

• de gérer et de coordonner le programme d’AIPRP;
• de diriger les initiatives de planification stratégique et de développement;
• d’appuyer la sous-commissaire de la Direction générale des affaires publiques et chef de la protection des renseignements personnels de l’Agence dans la gouvernance de l’AIPRP.

Le personnel de la direction est principalement situé à Ottawa, à Montréal et à Vancouver. Durant l’exercice 2025-2026, la direction comptait 207 équivalents temps plein et 3 consultants qui appuyaient l’application de la Loi sur l’accès à l’information et de la Loi sur la protection des renseignements personnels à l’Agence.

L’organigramme suivant illustre la structure de la Direction de l’AIPRP.

Changements organisationnels

Durant l’exercice 2025-2026, la direction a apporté des ajustements organisationnels ciblés pour renforcer sa capacité à respecter les obligations prévues par la Loi sur l’accès à l’information et la Loi sur la protection des renseignements personnels. En parallèle, elle a poursuivi ses initiatives de modernisation et d’amélioration de la prestation des services. Ces changements visaient à répondre à la complexité croissante des demandes et à la hausse du volume des dossiers en attente, en simplifiant des processus, en optimisant des ressources et en renforçant l’assurance de la qualité.

Pour atteindre cet objectif, la Direction de l’AIPRP a réaffecté certaines fonctions essentielles entre ses divisions : 

• La Division des politiques d’accès à l’information et de protection des renseignements personnels a élargi son mandat pour y ajouter le traitement des plaintes en matière d’accès à l’information et de protection des renseignements personnels. Cette nouvelle responsabilité, jumelée aux activités de politiques, de gouvernance et d’assurance de la qualité renforcera l’observation et facilitera l’identification des enjeux systémiques.
• La Division de la transformation opérationnelle et du soutien a regroupé les activités de réception des demandes d’AIPRP sous la Section du soutien aux programmes et de la réception, améliorant ainsi la coordination, l’efficacité et la surveillance.
• La Division de l’accès, des opérations et des analyses s’est recentrée sur les activités essentielles de traitement des demandes, ce qui favorise une plus grande spécialisation et une meilleure efficacité.

L’organigramme suivant présente la nouvelle structure de la Direction de l’AIPRP.

Figure 1 : Structure organisationnelle de la Direction de l’AIPRP

Délégation des responsabilités en vertu de la Loi sur la protection des renseignements personnels

En tant que responsable de l’Agence, le ministre du Revenu national doit veiller au respect :

• de la Loi sur la protection des renseignements personnels;
• du Règlement sur la protection des renseignements personnels;
• des politiques connexes du Secrétariat du Conseil du Trésor du Canada.

Le paragraphe 73(1) de la Loi autorise le ministre à déléguer certaines de ses attributions à des fonctionnaires de l’Agence.

Le 7 octobre 2025, l’honorable François­ Philippe Champagne, ministre du Revenu national, a signé l’arrêté sur la délégation de l’Agence actuellement en vigueur en vertu de la Loi sur la protection des renseignements personnels. Le document précise les dispositions de la Loi et de ses règlements que le ministre a déléguées à divers postes au sein de l’Agence.

La directrice générale et chef adjointe de la protection des renseignements personnels, les directeurs, les directeurs adjoints, les gestionnaires, les examinateurs et les conseillers techniques, les analystes et les analystes principaux de la Direction de l’AIPRP sont autorisés à exercer certaines attributions du ministre prévues par la Loi et les règlements connexes. 

Pour l’arrêté sur la délégation et l'annexe, voir « Annexe B – Arrêté sur la délégation ».

Rendement

Cette section du rapport présente le rendement de la Direction de l’AIPRP durant la période visée. Certains totaux peuvent dépasser 100 % en raison de l’arrondissement.

Environnement opérationnel

En tant qu’administratrice principale des lois fiscales fédérales, provinciales et territoriales, l’Agence gère l’un des plus importants dépôts de renseignements personnels de la fonction publique du Canada. Elle recueille et gère également les renseignements personnels de son effectif de plus de 50 000 personnes. La population canadienne confie ses renseignements personnels à l’Agence, qui accorde la plus grande importance à leur protection.

La Direction de l’AIPRP traite l’un des plus grands volumes de demandes et de pages parmi les institutions fédérales. Selon les plus récentes statistiques du Secrétariat du Conseil du Trésor du Canada, durant l’exercice 2024-2025, l’Agence a traité le quatrième plus grand nombre de demandes et le septième plus grand volume de pages parmi les institutions fédérales assujetties à la Loi sur la protection des renseignements personnels.

Le nombre de demandes reçues par l’Agence en vertu de la Loi sur la protection des renseignements personnels durant l’exercice 2025-2026 (3 347) était inférieur de 67 % par rapport à l’exercice précédent (10 027). Cette baisse importante s’explique principalement par un changement durable des comportements à la suite de la mise en œuvre du projet de réacheminement accéléré. Pour en savoir plus sur le projet de réacheminement accéléré, veuillez consulter la section Initiatives et projets d’amélioration continue. La baisse du nombre de demandes réacheminées dans le cadre de cette initiative (5 751 demandes de moins, passant de 5 959 durant l’exercice 2024-2025 à 208 durant l’exercice 2025-2026) représente environ 86 % de la baisse globale des demandes reçues en vertu de la Loi sur la protection des renseignements personnels durant la période visée par le rapport.

Durant la période visée, 716 demandes ont été réacheminées des voies officielles vers des voies informelles, ce qui représente une hausse de 21 % par rapport à l’exercice précédent (593). Ces demandes réacheminées facilitent l’accès aux renseignements personnels grâce à des modes de prestation de services plus efficaces. Ils témoignent d’une évolution continue de la façon dont la population obtient ses renseignements auprès de l’Agence.

L’Agence a traité 72 % moins de demandes durant l’exercice 2025-2026 (3 019) qu’au cours de l’exercice précédent (10 728). Cette baisse reflète à la fois la baisse du nombre de demandes formelles reçues et la complexité accrue des demandes restantes. Comme les demandes les plus simples continuaient d’être réacheminées vers des options de libre-service, la direction traitait des demandes plus complexes qui exigeaient plus de temps. Cette situation, combinée à des défis opérationnels persistants, notamment la réduction des effectifs et les pressions soutenues liées aux retards accumulés, a également contribué à cette baisse. De plus, la transition vers le système ATIPXpress et les travaux d’optimisation en cours ont continué d’avoir une incidence sur les délais de traitement. Les problèmes de stabilité liés aux mises à jour du système ont entraîné des difficultés, accentuant ainsi les pressions opérationnelles auxquelles la Direction de l’AIPRP fait face. Bien que des gains d’efficacité à long terme soient toujours attendus, ces perturbations ont continué de nuire au rendement global de la direction.

Le graphique suivant présente la tendance des demandes reçues et traitées, ainsi que les pages examinées en vertu de la Loi sur la protection des renseignements personnels au cours des cinq dernières années.

Figure 2 : Tendance des demandes en vertu de la Loi sur la protection des renseignements personnels

Observation et délais de traitement

Durant la période visée, la Direction de l’AIPRP a traité 3 019 demandes. Parmi celles‑ci, 2 333 demandes (77 %) ont été traitées dans les délais prévus par la loi. Autrement dit, ces demandes ont été traitées dans les 30 jours civils ou dans un délai prolongé. Il s’agit d’une baisse de 13 % par rapport à l’exercice précédent.

Le graphique suivant présente les délais de traitement des 3 019 demandes traitées au cours de l’exercice 2025-2026.

Figure 3 : Délai de traitement des demandes en vertu de la Loi sur la protection des renseignements personnels

Répartition des demandes traitées

Le tableau suivant présente la répartition des 3 019 demandes traitées en vertu de la Loi sur la protection des renseignements personnels

Tableau 1 : Répartition des demandes traitées en vertu de la Loi sur la protection des renseignements personnels

Demandes ouvertes et plaintes liées aux périodes de rapport précédentes

À la fin de l’exercice, l’Agence comptait 1 497 demandes en suspens, dont 27 % avaient été reçues avant l’exercice 2025-2026. Parmi ces demandes, 364 respectaient les délais prévus par la Loi et 1 133 les dépassaient.

Le tableau ci-dessous indique le nombre de demandes reportées par l’Agence à la prochaine période visée par le rapport, réparties selon l’exercice au cours duquel la demande a été reçue.

Tableau 2 : Demandes actives reçues en vertu de la Loi sur la protection des renseignements personnels par exercice financier

À la fin de l’exercice, l’Agence comptait 57 plaintes ouvertes auprès du Commissariat à la protection de la vie privée du Canada. Le tableau suivant présente le nombre de plaintes reportées par l’Agence à la prochaine période, réparties selon l’exercice au cours duquel la plainte a été reçue. L’Agence maintient une relation de collaboration avec le Commissariat à la protection de la vie privée du Canada et a soumis ses observations concernant les plaintes les plus anciennes dans le tableau. 

Tableau 3 : Plaintes actives reçues en vertu de la Loi sur la protection des renseignements personnels reçues par exercice financier

Pour en savoir plus sur les plaintes, consultez la section « Résumé des principaux enjeux et des mesures prises à l’égard des plaintes ».

Motifs des prolongations

La Loi sur la protection des renseignements personnels fixe les délais de réponse aux demandes de renseignements personnels. Elle permet toutefois de prolonger ces délais dans les situations suivantes : 

• le respect du délai entraverait sérieusement le fonctionnement de l’institution;
• une consultation est nécessaire auprès d’une institution fédérale ou d’un autre tiers;
• les documents doivent être traduits ou convertis dans un autre format.

Parmi les 3 019 demandes traitées durant l’exercice 2025-2026, 713 (24 %) ont fait l’objet d’une prolongation. Dans 703 de ces cas (99 %), la prolongation était attribuable à la charge de travail et au fait que le respect du délai initial de 30 jours aurait sérieusement entravé le fonctionnement de l’Agence. Les 10 autres prolongations étaient nécessaires pour traduire des documents ou les convertir dans un autre format.

Consultations réalisées pour d’autres institutions

Durant la période visée, la Direction de l’AIPRP n’a reçu ni traité de demandes de consultation provenant d’autres institutions gouvernementales ou organisations. 

Consultations internes

Durant la période visée, l’Agence a traité 304 demandes de consultation interne liées à la protection des renseignements personnels, soit une baisse de 11 % par rapport à la période précédente. Pour répondre à ces demandes, la direction a examiné 4 220 pages. Ces examens internes étaient de nature informelle et ne relevaient pas de la Loi sur la protection des renseignements personnels.

Le graphique suivant présente l’évolution du nombre de demandes de consultation interne liées à la protection des renseignements personnels reçues au cours des cinq dernières années.

Figure 4 : Évolution du nombre de demandes de consultation interne liées à la protection des renseignements personnels

Initiatives et projets d'amélioration continue

Durant l’exercice 2025-2026, la Direction de l’AIPRP a mis en œuvre des changements clés qui ont amélioré sa productivité et son efficacité. Ces changements comprenaient les initiatives et projets suivants.

Outils d'amélioration continue

Pour mieux soutenir les directions générales et les régions responsables du traitement des demandes, la direction a mis en place cinq nouveaux outils visant à renforcer la collaboration, la transparence et la surveillance. Ensemble, ces outils simplifient les communications, améliorent notre connaissance de la situation et renforcent notre engagement commun à fournir des réponses de grande qualité et en temps opportun.

Portail de collaboration

Cet espace de travail centralisé et convivial permet aux personnes-ressources de l’AIPRP à l’Agence d’effectuer le suivi des demandes, d’échanger des documents en toute sécurité et de collaborer tout au long du processus.

Tableau de bord des tâches Power BI

Ce tableau de bord fournit des indicateurs en temps réel sur les tâches actives. Il permet aux gestionnaires des enjeux et aux chefs de cabinet de superviser et de faire le suivi des tâches liées à l’AIPRP à l’échelle de l’Agence.

Arbre décisionnel pour la création de documents

Il offre aux bureaux de première responsabilité une méthode structurée et efficace pour évaluer les demandes pouvant nécessiter la création de nouveaux documents, notamment les demandes de renseignements statistiques. Cet outil vise à déterminer clairement s’il faut créer de nouveaux documents pour répondre à une demande précise. Il est accessible à l’ensemble du personnel de l’Agence.

Approche coordonnée avec les sous-commissaires pour les demandes complexes

Cette approche permet d’établir une orientation commune dès le début du traitement des demandes d’AIPRP complexes qui ne concernent pas la clientèle. Elle vise notamment les demandes de grande portée, celles qui mobilisent plusieurs directions générales, qui exigent des discussions ou qui contiennent des renseignements de nature très délicate, comme des documents sous embargo ou des documents confidentiels du Cabinet. Cette approche facilite la récupération et la transmission rapides des documents.

Calculatrice de prolongation améliorée

Cet outil tient compte de plusieurs facteurs susceptibles d’influencer le traitement des demandes pour estimer la durée appropriée des prolongations. Il permet ainsi de fournir aux demandeurs des délais de traitement plus précis et une plus grande transparence.

Projet pilote de réacheminement accéléré

S’appuyant sur l’initiative lancée durant l’exercice 2024-2025, la Direction de l’AIPRP a continué de réacheminer les demandes vers le service en ligne sécurisé Mon dossier de l’Agence lorsque les renseignements demandés étaient les suivants :

• des preuves de revenu des 10 dernières années d’imposition ayant fait l’objet d’une cotisation;
• des avis de cotisation;
• des renseignements sur les prestations.

Grâce à cette mesure, l’Agence a réduit de 74 % le volume de demandes de renseignements fiscaux reçues au cours de l’exercice 2025-2026. Elle continuera de réacheminer ces types de demandes au cours de l’exercice 2026-2027 et cherchera d’autres possibilités de divulgation par l’intermédiaire de ses canaux de service.

Amélioration du système de gestion des cas d'AIPRP

Durant la période visée, les employés ont commencé à utiliser les fonctionnalités améliorées du système de gestion des cas ATIPXpress, notamment des outils d’intelligence artificielle qui facilitent l’examen des documents et aident à repérer les renseignements pouvant nécessiter un caviardage. En améliorant l’efficacité des processus, ces outils devraient contribuer à réduire les délais de traitement. Les gains découlant de ces améliorations devraient commencer à se manifester durant l’exercice 2026-2027.

Plan stratégique de la Direction de l’AIPRP

Le Plan stratégique de la Direction de l’AIPRP pour 2024-2027 décrit les principes directeurs et les 4 priorités stratégiques de la direction.

Les priorités sont les suivantes :

• continuer de respecter les obligations prévues par la Loi sur l’accès à l’information et la Loi sur la protection des renseignements personnels en matière de demandes  de renseignements, tout en améliorant la productivité;
• améliorer le programme d’AIPRP en mettant en œuvre des technologies numériques et des initiatives d’amélioration continue, dont l’intelligence artificielle;
• veiller à la sécurité et à la protection des renseignements personnels des contribuables, tout en respectant l’engagement de l’Agence envers un gouvernement transparent et ouvert;
• renforcer le leadership et faire évoluer la culture organisationnelle pour maintenir un effectif solide et mobilisé partout au pays, dans un milieu de travail diversifié, sain et inclusif.

Formation et sensibilisation

Formation

Voici un résumé des activités de formation en matière d’AIPRP menées par l'Agence durant l'exercice 2025-2026.

Formation obligatoire

En 2023, l’Agence a rendu obligatoire le cours COR502, Cours de base sur l’accès à l’information et à la protection des renseignements personnels, offert par l’École de la fonction publique du Canada. Les membres du personnel doivent suivre ce cours tous les cinq ans afin de maintenir leurs connaissances à jour. Cette exigence permet à l’ensemble du personnel de recevoir la formation nécessaire en matière d’AIPRP pour répondre adéquatement aux demandes et pour protéger et gérer les renseignements personnels.

Cette formation obligatoire répond à l’exigence du Secrétariat du Conseil du Trésor du Canada selon laquelle l’ensemble du personnel du gouvernement fédéral doit recevoir une formation sur les obligations prévues par la Loi sur l’accès à l’information et la Loi sur la protection des renseignements personnels. Ce cours remplace les séances d’information et de sensibilisation à l’AIPRP offertes sur une base volontaire.

Depuis 2023, 48 048 employés ont suivi le cours, dont 2 843 durant l’exercice 2025-2026. Au total, 98 % du personnel a suivi cette formation, dépassant ainsi l’objectif de 90 % fixé par l’Agence.

Stratégie de formation à la gestion de la protection des renseignements personnels

Cette stratégie soutient le développement des connaissances et des compétences en matière de protection des renseignements personnels au sein de la Direction de l’AIPRP. Elle aide le chef de la protection des renseignements personnels à renforcer la surveillance de la protection des renseignements personnels à l’Agence.

S’appuyant sur les bases établies par la Stratégie de formation et de sensibilisation à la protection des renseignements personnels et à l’accès à l’information de l’Agence pour 2020-2021, la stratégie actuelle présente une approche renouvelée pour la période 2025-2027. Elle vise également à accroître la sensibilisation aux obligations en matière de protection des renseignements personnels et à renforcer la capacité du personnel en matière de gestion de la protection des renseignements personnels, d’évaluation des risques et d’observation de la loi.

Durant la période visée, dix séances de formation ont été offertes sur des sujets comme :

• les principes d’équité dans le traitement de l’information;
• l’interaction entre les dispositions de confidentialité de la Loi de l’impôt sur le revenu et les exigences de la Loi sur la protection des renseignements personnels.

Ces séances ont favorisé une application plus uniforme des principes de protection des renseignements personnels et accru la capacité à identifier et à atténuer les risques qui y sont liés.

Téléconférences semestrielles avec les bureaux de première responsabilité

Durant la période visée, 715 employés de l’Agence ont participé à 2 téléconférences nationales avec les bureaux de première responsabilité pour les appuyer dans leur rôle de personne-ressources en matière d’AIPRP. Ces téléconférences ont permis d’assurer une sensibilisation continue et une application uniforme des processus à l’échelle de l’Agence. Elles ont également permis de fournir des renseignements sur le portail de collaboration ATIPXpress.

Formation ciblée

La Direction de l’AIPRP a offert une formation ciblée en matière d’accès à l’information à plus de 200 participants de 2 directions générales distinctes de l’Agence. Adaptée aux défis propres à chaque secteur, cette formation a permis d’améliorer leur capacité à mieux traiter les demandes d’AIPRP ainsi qu’à renforcer la transparence et l’observation.

Malgré une réduction du nombre de séances de formation durant l’exercice 2025-2026, l’Agence a continué d’appuyer les bureaux de première responsabilité et les experts en la matière afin qu’ils respectent leurs obligations en matière d’AIPRP. Ce soutien comprenait la mise à jour d’outils en ligne et l’accès à une équipe de consultation offrant des conseils sur les exigences législatives.

Accroître la sensibilisation

Plan de sensibilisation à la protection des renseignements personnels

L’Agence a mis en œuvre son quatrième plan annuel de sensibilisation à la protection des renseignements personnels pour renforcer davantage la culture de protection des renseignements personnels et sensibiliser les employés à leurs responsabilités à l’égard des politiques d’entreprise et des processus organisationnels. Le plan comprenait 12 activités ciblées portant sur des sujets clés, comme :

• la collecte de renseignements personnels des employés;
• l’utilisation de renseignements personnels avec l’intelligence artificielle;
• les renseignements sur les atteintes à la vie privée.

Ces initiatives ont contribué à accroître la sensibilisation et à favoriser une application plus uniforme des exigences en matière de protection des renseignements personnels à l’Agence.

Flash info de l’AIPRP

Durant l’exercice 2025-2026, L’Agence a continué de promouvoir le Flash d’info de l’AIPRP auprès de son personnel. Ce bulletin présente des mises à jour sur les politiques, les règlements en matière d’AIPRP, ainsi que sur les changements à venir annoncés par le Secrétariat du Conseil du Trésor du Canada et des bureaux des Commissariats à la protection de la vie privée et à l’information du Canada. Au cours de la période visée, 3 bulletins ont été diffusés auprès d’un nombre croissant d’abonnés, qui compte maintenant plus de 800 employés. Ces bulletins ont contribué à accroître la  sensibilisation et la mobilisation à l’égard de l’AIPRP.

Semaine de la protection des données

Chaque année, l’Agence souligne la Semaine de la protection des données, une initiative internationale qui vise à sensibiliser la population aux répercussions de la technologie sur le droit à la vie privée et à l’importance de valoriser et de protéger les renseignements personnels. Le thème de cette année était « L’IA et la protection des renseignements personnels : bâtir la confiance ensemble ». L’Agence a profité de cette semaine de sensibilisation pour promouvoir l’utilisation responsable de l’intelligence artificielle (IA) et rappeler l’importance de prioriser la protection des renseignements personnels, grâce à des communications internes, des infographies et un questionnaire sur les connaissances en matière de protection des renseignements personnels.

Semaine de sensibilisation à la protection de la vie privée

Cette initiative mondiale vise à sensibiliser la population aux enjeux liés à la vie privée et à l’importance de protéger ses renseignements personnels. À cette occasion, les employés de l’Agence ont été invités à participer à une séance conjointe organisée par le Commissariat à la protection des renseignements personnels du Canada et le Secrétariat du Conseil du Trésor du Canada intitulée « Le cycle de vie lié à la protection de la vie privée : conseils pour minimiser les risques en matière de vie privée et protéger les renseignements personnels ».

Gestion de la protection des renseignements personnels

Politiques, lignes directrices et procédures

Instruments de politique d'entreprise

Politiques sur la protection des renseignements personnels

Durant la période visée par le rapport, trois instruments de politique d’entreprise liés à la protection des renseignements personnels ont été examinés et mis à jour dans le cadre du cycle d’examen obligatoire de cinq ans pour tenir compte de l’évolution des exigences législatives et des politiques. Les mises à jour comprenaient des directives renforcées sur l’évaluation des facteurs relatifs à la vie privée, l’utilisation de l’IA et les considérations contractuelles liées aux renseignements personnels.

Les instruments de politique d’entreprise mis à jour sont les suivants :

• la Politique sur la protection des renseignements personnels;
• la Directive sur les pratiques relatives à la protection de la vie privée;
• les Procédures concernant les évaluations de la protection des renseignements personnels.

Gouvernance de l'intelligence artificielle et directives relatives à la protection des renseignements personnels

Durant la période visée, l’Agence a renforcé son approche de gestion des renseignements personnels dans le contexte de l’intelligence artificielle pour appuyer son adoption responsable et une gestion efficace des risques. Les efforts ont porté sur le renforcement de la gouvernance et de la sensibilisation de la haute direction grâce à la participation au Comité de gouvernance de l’intelligence artificielle, ainsi que sur l’élaboration de directives et de communications ciblées pour accompagner le déploiement d’outils d’intelligence artificielle générative. De plus, les employés ont reçu des conseils en temps opportun pour prendre des décisions éclairées quant aux répercussions de l’utilisation de l’intelligence artificielle.

Contrats, ententes et accords d'échange de renseignements

L’Agence intègre des exigences en matière de protection des renseignements personnels, de confidentialité et de sécurité dans les contrats, les ententes et les accords d’échange de renseignements qui concernent les renseignements personnels. Ces mesures visent à ce que les renseignements personnels soient utilisés uniquement aux fins autorisées et soient protégés tout au long de leur cycle de vie.

Les exigences contractuelles comprennent des dispositions régissant la collecte, l’utilisation, la communication, la conservation, la protection et l’élimination des renseignements personnels. Les entrepreneurs doivent protéger les renseignements personnels conformément à la Loi sur la protection des renseignements personnels et, s’il y a lieu, aux dispositions de confidentialité de la Loi de l’impôt sur le revenu et de la Loi sur la taxe d’accise. Les renseignements personnels demeurent la propriété du gouvernement du Canada. À la fin ou à la résiliation d’un contrat, les entrepreneurs doivent remettre les renseignements personnels à l’Agence et ne peuvent pas en conserver des copies.

L’Agence intègre également des exigences en matière de sécurité et de cybersécurité dans les contrats portant sur des renseignements de nature délicate. Ces exigences comprennent :

• le filtrage de sécurité et les autorisations de sécurité des installations;
• les restrictions d’accès à l’information basées sur les besoins opérationnels;
• les mesures de contrôle de la sous-traitance;
• l’obligation de signaler les incidents réels ou présumés liés à la protection des renseignements personnels ou à la cybersécurité;
• la mise en œuvre de mesures pour contenir et atténuer les risques identifiés. 

De plus, les dispositions contractuelles de sécurité renvoient aux exigences en matière de sécurité pour la protection des renseignements de nature délicate publiées par l’Agence. Ces exigences établissent des procédures détaillées que les entrepreneurs doivent suivre pour assurer la sécurité du traitement, du stockage, de la transmission et de la protection des renseignements de nature délicate, y compris les procédures de signalement des incidents de sécurité et liés à la protection des renseignements personnels.

Les ententes d’échange de renseignements et les accords de collaboration écrits comprennent des dispositions qui encadrent : 

• l’utilisation et la divulgation autorisées des renseignements;
• les mesures de confidentialité et de sécurité;
• les pratiques de gestion de l’information;
• les exigences de conservation et d’élimination des renseignements;
• les procédures d’avis d’atteinte à la vie privée;
• les restrictions visant l’utilisation secondaire ou la divulgation.

Les ententes exigent également que l’accès aux renseignements soit limité au personnel autorisé qui a besoin de les connaître et que les renseignements personnels soient protégés conformément aux exigences législatives et aux politiques applicables.

Pour soutenir le respect des exigences en matière de protection des renseignements personnels, la Direction de l’AIPRP est consultée lors de l’élaboration des ententes et des accords d’échange de renseignements. De plus, elle effectue des examens pour s’assurer que les accords visant des renseignements personnels comportent des mesures de protection des renseignements personnels appropriées.

Collecte des numéros d'assurance sociale

Durant l’exercice 2025-2026, l’Agence n’a entrepris aucune nouvelle collecte ni aucune nouvelle utilisation compatible des numéros d’assurance sociale.

Collaboration avec le commissariat à la protection de la vie privée du Canada

Durant la période visée, l’Agence a poursuivi sa collaboration avec le Commissariat à la protection de la vie privée du Canada dans le cadre de plusieurs réunions tenues au niveau de la haute direction. Les discussions ont porté sur les enquêtes en cours, la gestion des atteintes à la vie privée et d’autres enjeux plus vastes en matière de protection des renseignements personnels touchant les deux organisations. Ce dialogue soutenu a renforcé la collaboration et la transparence, tout en favorisant une compréhension commune des risques émergents et des attentes en matière de protection des renseignements personnels. Cette collaboration a également eu des retombées au-delà du niveau de la haute direction en favorisant une coopération et une communication efficaces entre les employés responsables de la gestion de la protection des renseignements personnels, des enquêtes et du règlement des plaintes.

Gestion des atteintes à la vie privée

L’une des pierres angulaires du régime fiscal canadien est la confiance que les contribuables accordent à l’Agence pour protéger leurs renseignements personnels. L’Agence prend très au sérieux l’intégrité et la protection des renseignements des contribuables et a mis en place des contrôles rigoureux pour prévenir les atteintes à la vie privée. Malgré l’efficacité de ces contrôles, des atteintes à la vie privée peuvent parfois se produire. Une gestion efficace des atteintes est essentielle pour maintenir la confiance de la population dans l’intégrité du régime fiscal.

L’Agence enquête sur tous les incidents internes et externes concernant des renseignements potentiellement compromis. Lorsqu’une atteinte à la vie privée survient, la Direction de l’AIPRP travaille en étroite collaboration avec les parties concernées pour la contenir et la gérer, évaluer ses répercussions sur les personnes touchées et déterminer les mesures correctives à prendre afin d’éviter qu’une situation semblable ne se reproduise.

S’il y a lieu, l’Agence protège de façon proactive les comptes des contribuables, informe les personnes touchées par une atteinte à la vie privée et offre des services de protection du crédit pour mieux protéger leurs renseignements personnels.

L’Agence applique les instruments de politique du Secrétariat du Conseil du Trésor du Canada pour déterminer quelles atteintes à la vie privée atteignent le seuil d’une atteinte substantielle à la vie privée^{Note de bas de page 1} . Une fois l’enquête terminée, elle doit aviser le Commissariat à la protection de la vie privée du Canada et le Secrétariat du Conseil du Trésor du Canada des atteintes substantielles à la vie privée.

Cette année, l’Agence a signalé 9 931 atteintes substantielles à la vie privée. Parmi celles-ci :

• 14 concernaient l’accès non autorisé ou la divulgation de renseignements sur les contribuables par des employés de l’Agence;
• 1 concernaient du courrier mal acheminé;
• 8 concernaient des incidents de sécurité, y compris la perte et la divulgation inappropriée de renseignements personnels;
• 9 908 concernaient l’utilisation non autorisée des renseignements personnels d’un contribuable par un tiers.

La baisse du nombre d’atteintes substantielles à la vie privée signalées au Commissariat à la protection de la vie privée du Canada et au Secrétariat du Conseil du Trésor du Canada durant l’exercice 2025-2026 s’explique par le nombre inhabituellement élevé d’atteintes substantielles à la vie privée signalées durant l’exercice 2024-2025. Cette hausse découlait du signalement rétroactif de 31 393 atteintes à la vie privée résultant de l’utilisation non autorisée de renseignements sur les contribuables par un tiers entre mai 2020 et novembre 2023.

Bien que le nombre d’atteintes substantielles à la vie privée signalées ait diminué durant l’exercice, il demeure supérieur aux niveaux observés avant l’exercice 2024‑2025. Cela reflète un nombre plus élevé d’incidents liés à l’utilisation non autorisée de renseignements personnels sur les contribuables par un tiers, alors que les améliorations continues apportées aux processus et aux systèmes permettent de mieux identifier et signaler ces incidents. Pour en savoir plus, consultez la section « Utilisation non autorisée des renseignements personnels d’un contribuable par un tiers ».

Accès non autorisé ou divulgation par des employés de l’Agence

Cette année, la Direction générale de la sécurité de l’Agence a signalé à la Direction de l’AIPRP 65 incidents liés au traitement inapproprié des renseignements personnels par des employés de l’Agence.

L’Agence traite avec le plus grand sérieux les incidents liés à la mauvaise gestion de renseignements de nature délicate ou à leur accès non autorisé. En plus d’intervenir lorsqu’un incident survient, l’Agence a mis en place des mesures préventives rigoureuses, notamment la formation du personnel, le Système de gestion électronique de la fraude de l’Agence et des contrôles d’accès stricts pour réduire le risque d’atteintes avant qu’elles ne surviennent.

Lorsqu’un incident survient, l’Agence traite rapidement et de manière appropriée les cas confirmés d’inconduite et signale aux autorités compétentes tout incident lié à une activité criminelle présumée. De plus, tous les employés de l’Agence sont assujettis au Code d’intégrité et de conduite professionnelle. Ceux qui enfreignent le Code peuvent faire l’objet de mesures disciplinaires, comme l’examen de leur cote de sécurité ou leur licenciement.

Courrier mal acheminé et incidents de sécurité

Durant l’exercice 2025-2026, l’Agence a enregistré 924 atteintes à la vie privée attribuables au courrier mal acheminé, c’est-à-dire au courrier qui a été mal adressé ou envoyé par erreur à la mauvaise personne. Ces incidents représentent seulement 0,001 % des 74 millions d’envois postaux que l’Agence traite chaque année.

De plus, 228 atteintes à la vie privée à l’Agence découlaient d’incidents de sécurité, notamment de la perte, du vol ou de la divulgation inappropriée de renseignements personnels.

Utilisation non autorisée des renseignements personnels d’un contribuable par un tiers

Les atteintes à la vie privée causées par l’utilisation non autorisée des renseignements personnels d’un contribuable par un tiers surviennent lorsqu’un acteur malveillant externe utilise des éléments de renseignements personnels (par exemple, un nom ou un numéro d’assurance sociale), probablement obtenus de sources externes, pour tenter d’accéder aux renseignements d’un contribuable détenus par l’Agence, de les modifier ou d’en créer de nouveaux. Durant l’exercice 2025-2026, l’Agence a enregistré 9 908 atteintes à la vie privée attribuables à l’utilisation non autorisée de renseignements d’un contribuable par un tiers.

Depuis 2020, l’Agence a mis en œuvre diverses améliorations de ses systèmes, des mesures de sécurité, des processus, ainsi que des changements organisationnels et de gouvernance pour mieux détecter, analyser et atténuer les incidents résultant de l’utilisation non autorisée des renseignements personnels d’un contribuable par un tiers.

Dès qu’elle repère une activité suspecte dans un compte, elle en informe la personne touchée et prend des mesures pour protéger son compte. Une fois l’atteinte à la vie privée confirmée, elle lui envoie un avis officiel et lui offre, au besoin, une protection du crédit.

Pour en savoir plus sur l’exception prévue à la section 4.2.8 de la Politique sur la protection de la vie privée, consultez la section « Surveillance de l’observation ».

Mesures d’atténuation des atteintes à la vie privée

L’Agence évalue et améliore constamment ses processus et ses systèmes internes pour mieux protéger les renseignements des contribuables. Elle limite l’accès de ses employés aux seuls renseignements nécessaires à l’exercice de leurs fonctions et examine régulièrement leurs droits d’accès aux systèmes de l’Agence.

De plus, l’Agence a mis en œuvre des mesures de sécurité supplémentaires, comme l’authentification multifacteur, pour protéger les renseignements personnels des contribuables et leur permettre d’utiliser ses services en ligne en toute confiance et de façon sécurisée.

La vigilance des contribuables demeure également un élément essentiel de la sécurité des comptes. L’Agence rappelle à l’ensemble des contribuables de changer régulièrement leur mot de passe et de surveiller leur compte en ligne pour repérer toute activité suspecte, comme des changements non sollicités aux coordonnées ou aux renseignements bancaires, des changements de représentant ou d’administrateur, ou des déclarations produites en leur nom ayant donné lieu à des remboursements.

Enquêtes du Commissariat à la protection de la vie privée du Canada

Le 15 février 2024, le Commissariat à la protection de la vie privée du Canada a présenté un rapport spécial au Parlement sur les conclusions et les recommandations de son enquête sur la divulgation et la modification non autorisées de renseignements personnels détenus par l’Agence et Emploi et Développement social Canada à la suite de cyberattaques.

Durant l’exercice 2025-2026, le Commissariat à la protection de la vie privée du Canada a confirmé que l’Agence avait mis en œuvre toutes les mesures prévues dans son plan d’action de la direction en réponse aux recommandations formulées par le Commissariat.

Le rapport spécial au Parlement est accessible à la page Enquête sur la communication et la modification non autorisées de renseignements personnels détenus par l’Agence du revenu du Canada et Emploi et Développement social Canada découlant de cyberattaques.

Le 29 octobre 2024, le Commissariat à la protection de la vie privée du Canada a lancé une enquête supplémentaire visant l’Agence à la suite de cyberattaques qui ont entraîné plus de 30 000 atteintes à la vie privée depuis 2020. L’Agence a pris et continuera de prendre des mesures décisives pour donner suite à toute constatation et recommandation découlant des enquêtes sur ses pratiques de gestion de la protection des renseignements personnels durant l’exercice 2026-2027. Ces travaux seront mis en évidence dans le prochain rapport annuel au Parlement.

Évaluations des facteurs relatifs à la vie privée

Durant l’exercice 2025-2026, l’Agence a réalisé 14 évaluations des facteurs relatifs à la vie privée. Elle a également examiné un nombre important d’initiatives afin d’évaluer les répercussions possibles sur la vie privée, notamment un volume croissant de projets faisant appel à l’intelligence artificielle, qui représente un secteur d’activité important et en pleine croissance. Ces examens portaient sur des listes de vérification relatives à la protection des renseignements personnels, des présentations au Secrétariat du Conseil du trésor du Canada, des évaluations des menaces et des risques, des solutions d’applications locales ainsi que des accords de collaboration écrits.

L’Agence a publié les sommaires des évaluations des facteurs relatifs à la vie privée réalisées à la page Sommaire d’évaluations des facteurs relatifs à la vie privée.

Les sommaires des évaluations des facteurs relatifs à la vie privée réalisées durant l'exercice 2025-2026, figurent à l’annexe A.

Résumé des principaux enjeux et des mesures prises à l'égard des plaintes

L’Agence communique régulièrement avec les commissariats à l’information et à la protection de la vie privée du Canada afin de simplifier les processus et d’appliquer la méthode Lean dans une démarche d’amélioration continue pour fermer les dossiers de plainte le plus rapidement possible. Durant la période visée, l’Agence a collaboré avec ces bureaux en mettant l’accent sur le règlement des plaintes dès l’étape de résolution précoce.

L’Agence a traité les plaintes en :

• communiquant une nouvelle date d’engagement raisonnable au bureau du commissaire concerné lorsqu’elle ne répondait pas à une demande dans les délais prescrits;
• appliquant des prolongations en temps opportun;
• élaborant des processus et des procédures efficaces pour s’assurer que les bureaux de première responsabilité transmettent les documents à la Direction de l’AIPRP en temps opportun;
• menant des enquêtes approfondies pour confirmer que des recherches raisonnables de documents ont été effectuées et en fournissant au commissariat concerné une justification détaillée des recherches effectuées, de leurs résultats et au besoin, de l’absence des documents visés;
• examinant l’analyse des documents pour déterminer si une exemption doit être maintenue ou si les renseignements doivent être divulgués. À la suite de cet examen, si l’Agence constate qu’une exemption a été mal appliquée, elle fournit une trousse de divulgation supplémentaire au commissariat concerné et au plaignant;
• analysant les motifs du refus d’une demande afin de préciser les renseignements requis ou les mesures à prendre pour donner suite à la demande initiale;
• fournissant une nouvelle copie des documents dans le format demandé.

Durant l’exercice 2025-2026, l’Agence a reçu 124 plaintes en vertu de la Loi sur la protection des renseignements personnels et en a traité 95. À la fin de l’exercice, 57 plaintes étaient toujours actives.

Le graphique suivant présente le nombre de plaintes reçues et traitées depuis l’exercice 2023-2024.

Figure 5 : Plaintes en vertu de la Loi sur la protection des renseignements personnels

Le graphique suivant présente la répartition des plaintes traitées durant l’exercice.

Figure 6 : Traitement des plaintes au cours de l’exercice

De plus, la Direction de l’AIPRP a reçu une plainte à résolution rapide et 10 plaintes officielles liées à la protection des renseignements personnels du Commissariat à la protection de la vie privée du Canada au nom de particuliers. Ces plaintes ne concernaient pas les demandes présentées en vertu de la Loi sur la protection des renseignements personnels, mais plutôt la gestion des renseignements personnels. Elles portaient sur les enjeux suivants :

• l’exactitude des renseignements personnels (1);
• la collecte non autorisée de renseignements personnels (1);
• la divulgation non autorisée de renseignements personnels (8);
• l’utilisation non autorisée de renseignements personnels (1).

Parmi ces plaintes :

• une est toujours en cours de traitement;
• une a été abandonnée;
• trois ont été jugées non fondées;
• six ont été résolues.

Pour connaître la définition des catégories de disposition utilisées par le Commissariat à la protection de la vie privée du Canada, consultez la page Types de dispositions.

Surveillance de l'observation

Rapports

La Direction de l’AIPRP utilise une combinaison d’outils de gestion des cas, de rapports sur le rendement et d’analyses de données pour surveiller l’inventaire des demandes d’AIPRP. Les activités de surveillance portent sur le volume des demandes, l’observation, les plaintes et l’état général des demandes d’AIPRP à l’Agence.

Durant la période visée, la direction a continué de renforcer ses capacités de production de rapports et d’analyse grâce à ATIPXpress et Power BI. Ces outils fournissent des renseignements en temps opportun sur le rendement opérationnel et favorisent une surveillance proactive. Ils contribuent également à cerner les pressions émergentes, à gérer les inventaires et à faire face aux risques d’inobservation.

La surveillance s’effectue de façon continue, et les rapports opérationnels sont examinés régulièrement par les gestionnaires de la Direction de l’AIPRP. De plus, les cadres de l’Agence ont désormais accès à des données opérationnelles et à des tableaux de bord en temps réel, ce qui leur permet de suivre le rendement, de repérer les pressions émergentes et d’agir rapidement pour respecter les délais prévus par la loi. La direction présente chaque mois des rapports à la haute direction lors des réunions du Comité de gestion de l’Agence, présidées par le commissaire.

Exception à la section 4.2.8 de la Politique sur la protection de la vie privée

Durant l’exercice, l’Agence a demandé une prolongation d’un an de l’exception à la section 4.2.8 de la Politique sur la protection de la vie privée du Secretariat du conseil du trésor du Canada. Cette section exige que les institutions fédérales signalent les atteintes substantielles à la vie privée au Secretariat du Conseil du trésor du Canada et au Commissariat à la protection de la vie privée du Canada au plus tard 7 jours après avoir établi qu’une atteinte est substantielle.

Compte tenu du nombre élevé de cas confirmés et de l’ampleur constante de cette charge de travail, il demeurait impossible de respecter ce délai de signalement. La prolongation de cette exception permet à l’Agence de signaler à chaque trimestre les atteintes à la vie privée résultant de cas individuels d’utilisation non autorisée de renseignements personnels sur les contribuables par un tiers.

L’exception s’applique uniquement aux atteintes à la vie privée découlant de l’utilisation non autorisée de renseignements sur les contribuables par un tiers qui ne peuvent pas être liées à un stratagème ou à un événement précis décelé par l’Agence. Lorsqu’une atteinte à la vie privée pouvait peut être liée à un stratagème ou à un événement précis, l’Agence a continué de la signaler conformément aux exigences de la politique. Ces cas étant moins fréquents, leur volume demeurait plus facile à gérer.

Divulgation d'intérêt public

Durant l’exercice 2025-2026, l’Agence n’a effectué aucune divulgation en vertu de l’alinéa 8(2)m) de la Loi sur la protection des renseignements personnels et n’a transmis aucun avis écrit au Commissariat à la protection de la vie privée du Canada en vertu du paragraphe 8(5).

Conclusion

Malgré les pressions continues sur le programme d’AIPRP et le contexte en constante évolution en matière de protection des renseignements personnels, l’Agence a poursuivi le renforcement de l’application de la Loi sur la protection des renseignements personnels durant l’exercice 2025-2026. L’Agence s’est adaptée aux changements importants dans le nombre de demandes et les exigences de traitement, tout en continuant d’apporter une grande importance à la protection des renseignements personnels et à l’amélioration de la prestation des services.

Des initiatives clés, notamment la mise en œuvre continue du projet de réacheminement accéléré et l’introduction de nouveaux outils numériques et d’analyse, ont contribué à rendre le traitement des demandes plus efficace et à accroître le recours aux options de service informelles. En parallèle, des améliorations apportées à la gouvernance, à la formation et aux pratiques de gestion de la protection des renseignements personnels ont renforcé l’approche de l’Agence en la matière de protection des renseignements personnels.

À l’avenir, l’Agence continuera de faire progresser les priorités énoncées dans son plan stratégique et :

• d’améliorer le programme d’AIPRP grâce à la divulgation proactive et continuer à faire progresser la modernisation, la transformation et l’innovation des processus d’AIPRP en mettant en œuvre et en tirant parti des technologies numériques, y compris l’intelligence artificielle;
• de poursuivre sa collaboration avec le Commissariat à la protection de la vie privée du Canada dans le cadre de son enquête sur les cyberattaques qui ont entraîné plus de 30 000 atteintes à la vie privée depuis 2020;
• d’appuyer la Direction générale de la vérification, de l’évaluation et des risques de l’Agence lors de ses deux vérifications internes portant sur les contrats et les atteintes à la vie privée;
• de tirer parti du financement obtenu dans le cadre d’un dossier d’affaires afin de renforcer la conformité à la Loi sur l’accès à l’information et la Loi sur la protection des renseignements personnels, d’accroître la capacité opérationnelle et d’atténuer les pressions liées aux inventaires et à la charge de travail. 

Annexe A : Sommaires des évaluations des facteurs relatifs à la vie privée effectuées

Vous pouvez trouver les 14 sommaires d’évaluations des facteurs relatifs à la vie privée effectuées à la page Sommaires d’évaluation des facteurs relatifs à la vie privée.

Allocation canadienne pour enfants et prestations connexes V3

Cette évaluation porte sur l’administration de l’allocation canadienne pour enfants et des prestations et crédits fédéraux, provinciaux et territoriaux connexes. Elle a été mise à jour pour tenir compte de nouvelles prestations et initiatives, ainsi que de l’utilisation de l’automatisation robotisée des processus.

Validation des prestations canadiennes d’urgence, des prestations canadiennes de relance économique et de la prestation canadienne pour les travailleurs en cas de confinement, et activités d’observation V2

Cette évaluation porte sur les activités de validation visant à confirmer que les personnes admissibles on reçu la prestation liée au COVID19 appropriée et que tout paiement en trop est enregistré. Elle a été mise à jour pour inclure l’intégration d’un nouveau dépôt de documents et l’utilisation de l’automatisation robotisée des processus.

Subventions d’urgence du Canada et sécurité des comptes d’entreprise V1

Cette évaluation porte sur les activités du programme des subventions d’urgence du Canada liées à la validation des versements associés à cinq subventions, à leur second examen et leur validation après paiement, ainsi que sur la sécurité des comptes de programmes et d’entreprises.

Allocations spéciales pour enfants V2

Cette évaluation porte sur l’administration d’une prestation mensuelle non imposable versée pour les enfants de moins de 18 ans qui sont sous la garde d’organismes approuvés par le gouvernement (comme les familles d’accueil ou les établissements d’accueil). Elle a été mise à jour pour tenir compte des mesures d’allègement liées à la COVID 19 qui ont touché le programme des allocations spéciales pour enfants.

Renseignements d’entreprise sur les recouvrements et la vérification V2

Cette évaluation couvre un large éventail de produits et d’activités de renseignements d’entreprise, notamment des rapports opérationnels et de rendement, la modélisation prédictive, les services de recherche et d’analyse, ainsi que des initiatives de production axées sur les technologies émergentes. Elle a été mise à jour pour inclure de nouvelles solutions de surveillance des systèmes.

Programme communautaire des bénévoles en matière d’impôt V3

Cette évaluation couvre le rôle du Programme communautaire des bénévoles en matière d’impôt à titre de coordonnateur et de superviseur de la participation des organismes et des bénévoles au programme. Elle a été mise à jour pour inclure le Service d’assistance de renvoi et de renseignements aux clients, les centres de services du Nord et un projet pilote de visibilité virtuelle.

Programme des crédits d’impôt pour films et produits multimédias V3

Cette évaluation porte sur le programme des crédits d’impôt pour films et produits multimédias, qui administre divers crédits d’impôt pour films et produits multimédias à l’échelle fédérale et provinciale. Elle a été mise à jour pour inclure un partenariat avec le ministère du Patrimoine canadien et l’intégration d’un nouvel outil de communication.

Crédit pour la TPS/TVH et prestations et crédits connexes V3

Cette évaluation porte sur l’administration et l’application du crédit pour la taxe sur les produits et services / taxe de vente harmonisée, ainsi que sur les prestations et crédits fédéraux, provinciaux et territoriaux connexes. Elle a été mise à jour pour tenir compte des changements apportés aux crédits applicables, de l’utilisation de l’automatisation robotisée des processus et du processus de demande numérique.

Programmes de vérification de l’observation fiscale du secteur international, des grandes entreprises et des contribuables à valeur nette élevée V2

Cette évaluation porte sur les programmes de vérification de l’observation fiscale liés à l’impôt national et international, à l’inobservation à l’étranger, à la planification fiscale agressive et à l’évitement fiscal. Elle a été mise à jour pour tenir compte de la modernisation des outils de vérification et de renforcement des règles de divulgation obligatoire.

Observation des non-déclarants V2

Cette évaluation porte sur l’administration du programme des non-déclarants, y compris l’élaboration de la charge de travail, afin de faire appliquer les exigences de production imposées aux particuliers, aux entreprises, aux sociétés et aux fiducies en vertu de la Loi de l’impôt sur le revenu. Elle a été mise à jour pour tenir compte des améliorations apportées aux systèmes, de divers projets visant l’observation des exigences de production ainsi que des activités liées à l’économie numérique.

Programme des retenues d’impôt des non-résidents de la partie XIII V3

Cette évaluation porte sur la charge de travail liée au programme des retenues d’impôt des non-résidents de la partie XIII, notamment les obligations de retenue, de versement et de déclaration prévues à la partie XIII de la Loi de l’impôt sur le revenu. Elle a été mise à jour pour tenir compte des services sécurisés en ligne et des améliorations apportées aux systèmes.

Direction des petites et moyennes entreprises V2

Cette évaluation porte sur les activités de la Direction des petites et moyennes entreprises, qui est responsable des activités d’observation fiscale visant les petites et moyennes entreprises, y compris les vérifications et les activités d’exécution prévues par la Loi de l’impôt sur le revenu et les lois connexes. Elle a été mise à jour pour tenir compte de nouvelles initiatives, notamment l’élargissement des exigences en matière de déclaration des fiducies, le Programme d’observation de la taxe sur les logements sous-utilisés ainsi que l’analyse de données provenant de sources ouvertes et de l’effectif.

Déclarations de revenus des fiducies V3

Cette évaluation porte sur le programme de cotisation des déclarations de revenus des fiducies, qui administre et traite les déclarations de renseignements et de revenus des fiducies en vertu de la Loi de l’impôt sur le revenu. Elle a été mise à jour pour tenir compte de l’élargissement des exigences en matière de déclaration et du nouvel échange de renseignements avec le ministère de la Justice.

Programme de la taxe sur les logements sous-utilisés V1

Cette évaluation porte sur le programme de la taxe sur les logements sous-utilisés, qui applique une taxe sur la propriété de logements résidentiels vacants ou sous-utilisés au Canada. Cette taxe vise principalement les propriétaires non-résidents et non‑Canadiens.

Annexe B : Arrêté sur la délégation

Annexe de l’arrêté sur la délégation en vertu de la Loi sur la protection des renseignements personnels

Vous trouverez ci-dessous la liste des postes autorisés à exercer les attributions du ministre du Revenu national, en sa qualité de responsable de l’ARC selon les dispositions de la Loi sur la protection des renseignements personnels et de son règlement.

Commissaire

• Autorité absolue

Commissaire délégué

• Autorité absolue

Sous-commissaire de la Direction générale des affaires publiques et chef de la protection des renseignements personnels

• Autorité absolue

Directeur général de la Direction de l’accès à l’information et de la protection des renseignements personnels, Direction générale des affaires publiques

• Autorité absolue

Directeur de la Direction de l’accès à l’information et de la protection des renseignements personnels, Direction générale des affaires publiques

• Autorité absolue

Directeurs adjoints de la Direction de l’accès à l’information et de la protection des renseignements personnels, Direction générale des affaires publiques

• Autorité absolue, à l’exception de l’alinéa 8(2)j), de l’alinéa 8(2)m), du paragraphe 8(5) et du paragraphe 72(1)

Gestionnaires, réviseurs et conseillers techniques de la Direction de l’accès à l’information et de la protection des renseignements personnels, Direction générale des affaires publiques

• Autorité absolue, à l’exception de l’alinéa 8(2)j), de l’alinéa 8(2)m), du paragraphe 8(5), du paragraphe 9(1), du paragraphe 9(4), de l’article 10, du paragraphe 33(2) et du paragraphe 72(1)

Analystes principaux et analystes de la Direction de l’accès à l’information et de la protection des renseignements personnels, Direction générale des affaires publiques

• Autorité seulement en vertu du paragraphe 14a), de l’article 15, du paragraphe 16(1), de l’alinéa 17(2)b), et de l’alinéa 17(3)b)