Subventions d’urgence du Canada et sécurité des comptes d’entreprises v1.0
Direction de l’observation des entreprises
Direction générale des recouvrements et de la vérification (DGRV)
Sur cette page
- Aperçu et lancement de l’évaluation des facteurs relatifs à la vie privée (ÉFVP)
- Résumé du projet, de l’initiative ou des modifications
- Détermination et classement du risque
Aperçu et amorce d’une évaluation des facteurs relatifs à la vie privée (ÉFVP)
Institution fédérale
Agence du revenu du Canada
Fonctionnaire responsable de l’ÉFVP
Tammy Myers
Sous-commissaire intérimaire
Direction générale des recouvrements et de la vérification
Responsable de l’institution fédérale ou délégué aux fins de l’article 10 de la Loi sur la protection des renseignements personnels
Anne Marie Laurin
Directice générale
Direction de l’accès à l’information et de la protection des renseignements personnels
Nom du programme ou de l’activité de l’institution fédérale
Observation en matière de déclaration
Catégories de documents spécifiques à l'institution ou ordinaire :
L’observation des sociétés et TPS/TVH, ARC DGRV 186
Validation des subventions d’urgence du Canada pour les entreprises, ARC DGRV 191
Fichier de renseignements personnels spécifiques à l'institution ou ordinaire :
L’observation des sociétés et TPS/TVH, ARC PPU 185
Validation des subventions d’urgence du Canada pour les entreprises, ARC PPU 184
Autorisation légale pour le programme ou l’activité
Loi de l’impôt sur le revenu
L’article 125.7 traite du calcul des impôts et des règles applicables aux sociétés.
L’article 150 traite de la collecte des renseignements personnels et de leur utilisation pour vérifier la conformité.
Le paragraphe 150(1) exige que les contribuables produisent une déclaration pour chaque année d’imposition.
Le paragraphe 164(3) traite des intérêts sur les sommes remboursées.
L’article 220 traite du devoir du ministre.
L’article 237 traite de la production et de l’autorisation de communiquer les numéros d’assurance sociale.
Le paragraphe 241(3.5) traite de l’autorisation de communiquer le nom des demandeurs en vertu de l’article 125.7 de la Loi de l’impôt sur le revenu.
Loi sur l’Agence du revenu du Canada
L’article 61 permet à l'ARC de conclure des ententes avec le gouvernement fédéral et les gouvernements provinciaux et territoriaux pour mener à bien des activités ou programmes administrés par l’ARC.
Le paragraphe 63(1) permet à l’ARC de conclure une entente avec le gouvernement d’une province ou d’un territoire ou un gouvernement autochtone pour l’administration d’une taxe, d’un impôt ou d’une autre mesure fiscale, ou modifier une telle entente, si celle-ci est conforme aux directives établies conjointement par le ministre du Revenu national et le ministre des Finances relativement à ce type d’entente.
Éléments de loi propres aux subventions d’urgence du Canada
Loi de l’impôt sur le revenu
L’alinéa 87(2)(g.6) traite des subventions d’urgence liées à la COVID-19.
Le paragraphe 152(3.4) traite des avis de détermination concernant la COVID-19.
Le paragraphe 163(2.9) traite des sociétés de personnes passibles d’une pénalité.
Le paragraphe 163(2.901) traite des pénalités liées à la COVID-19.
Le paragraphe 163(2.902) traite également des pénalités liées à la COVID-19.
Le paragraphe 164(1.6) traite des remboursements liés à la COVID-19.
Le paragraphe 164(1.61) traite des remboursements liés à la COVID-19 pour les sociétés de personnes.
Le paragraphe 164(3) traite des intérêts sur les sommes remboursées.
Réglementation de l’impôt sur le revenu
L’article 8901.1 traite des subventions pour le salaire et le loyer liées à la COVID-19
L’article 8901.2 donne des définitions
Résumé du projet, de l’initiative ou des modifications
Aperçu du programme ou de l’activité
Subventions d’urgence du Canada
Face à la pandémie de la COVID-19, l’ARC a créé la Division du programme de pandémie (DPP) pour fournir des services centralisés et un soutien opérationnel à la Direction de l’observation des entreprises. La DPP assiste les bureaux locaux au sujet des cinq subventions et programmes suivants :
- la Subvention salariale d’urgence du Canada, disponible du 15 mars 2020 au 23 octobre 2021
- la Subvention d’urgence du Canada pour le loyer, disponible du 27 septembre 2020 au 23 octobre 2021
- le Programme d’embauche pour la relance économique du Canada, disponible du 6 juin 2021 au 7 mai 2022
- le Programme de relance du tourisme et de l’accueil, disponible du 24 octobre 2021 au 7 mai 2022
- le Programme de relance pour les entreprises les plus durement touchées, disponible du 24 octobre 2021 au 7 mai 2022
Pour octroyer une subvention d’urgence du Canada, il faut faire une prévalidation, qui consiste à vérifier si les contribuables ont soumis leurs demandes correctement et avec exactitude. L'ARC explique aux contribuables comment demander les subventions et prend des mesures en faveur du respect des lois fiscales qu’elle a comme mandat de faire appliquer. Elle étudie les demandes initiales et les demandes de réévaluation des cinq subventions ci-dessus.
La DPP se fait soumettre des comptes en fonction des facteurs de risque qui figurent dans la demande, et elle sélectionne des comptes pour les projets de validation après paiement. Ce sont les facteurs de risque initiaux qui permettent de déterminer si la DPP ou la Direction générale de cotisation, de prestation et de service (DGCPS) valide un compte.
L’ARC recueille des renseignements personnels limités lors du processus de demande, qui comprend l’examen des livres et des registres comptables demandés aux contribuables et à leurs représentants. Elle vérifie ensuite ces renseignements en utilisant ses répertoires de données pour valider et traiter la demande. Par la suite, l’ARC utilise des renseignements personnels pour procéder à des vérifications et faire respecter les lois. Elle recueille les noms des employeurs, les numéros d’entreprise, les noms des représentants, des données financières, les coordonnées et les signatures d’attestation par voie électronique, par téléphone ou par lettre. Puis, elle utilise ces renseignements pour traiter la demande de subvention.
Sécurité des comptes d’entreprises
La Division de la sécurité et conformité des comptes d'entreprises (DSCCE) passe en revue les comptes d’entreprises de l’ARC et coordonne la réponse en cas d’activités non autorisées sur ces comptes lorsqu'elle soupçonne une violation par un tiers. En protégeant la sécurité et l'intégrité de ces comptes, elle aide à protéger les renseignements sensibles des contribuables et contribue grandement à ce que la population ait confiance envers le système fiscal canadien.
La DSCCE gère les dossiers liés aux comptes d'entreprises compromis lorsqu’un tiers a pu y accéder. Actuellement, sa charge de travail est constituée de comptes suspects portés à sa connaissance, mais des démarches sont en cours pour concevoir un système interne capable de signaler les cas de manière proactive selon certains paramètres. La DSCCE examine les comptes d’entreprises pour détecter des activités non autorisées et contacte les contribuables pour vérifier les renseignements et les informer des violations de comptes. Elle coordonne les mesures correctives et les mesures de contrôle avec les autres intervenants en se basant sur les politiques et procédures de l’ARC. Ces mesures peuvent viser la réparation ou la protection. Le programme consigne les dossiers et envoie aux contribuables des lettres d’avis formelles de violation. Au besoin, la DSCCE fait appel aux institutions financières pour qu’elles gèlent les fonds qui doivent lui être remboursés.
La portée de l’évaluation des facteurs relatifs à la vie privée
L’évaluation permet de déterminer quels sont les risques pour la vie privée qui découlent de l’utilisation des renseignements personnels :
- pour la validation, le deuxième examen et la post-validation des paiements et des comptes pour les cinq subventions et programmes énumérés au début de ce résumé;
- pour assurer la sécurité des comptes d’entreprises au sein de la DGRV.
Cette évaluation ne couvre pas le registre de la Subvention salariale d’urgence du Canada, ni l’administration et la prévalidation par la DGCPS des cinq subventions et programmes nommés plus haut. D’autres évaluations les couvrent.
Détermination et classement du risque
A) Type de programme ou d’activité
Enquêtes et application de l’observation/réglementation
Niveau de risque pour la vie privée : 3
Détails :
Subventions d’urgence du Canada
L’ARC utilise des renseignements personnels pour passer en revue les dossiers des candidats :
- afin qu’ils obtiennent les subventions auxquelles ils ont droit;
- pour vérifier s’ils remplissent toutes les exigences des subventions qu’ils demandent;
- pour vérifier s’ils sont admissibles aux subventions qu’ils demandent.
L’ARC peut aussi utiliser des renseignements personnels ou financiers pour vérifier si les demandes sont raisonnables. Elle s’en sert pour prendre des décisions concernant les demandes de subvention ou les comptes. La DPP examine les demandes sur dossier et n’effectue pas de visites sur place.
Ce programme utilise aussi les renseignements personnels pour évaluer les risques afin de détecter les demandes suspectes reçues de demandeurs ou de personnes ayant eu un accès non autorisé au compte en ligne d’une entreprise. Exemples de renseignements personnels : nom, coordonnées, numéro d’assurance sociale, date de naissance, adresse postale, revenu et renseignements sur le dépôt direct.
Sécurité des comptes d’entreprises
L’ARC utilise les renseignements personnels pour vérifier les comptes et rembourser les demandeurs et pour voir si un tiers non autorisé a accédé aux comptes. Elle vérifie également les renseignements personnels ou financiers pour voir si un tiers les a modifiés. L’ARC utilise les renseignements personnels pour contacter le contribuable légitime afin de confirmer les renseignements au dossier.
La DSCCE utilise les renseignements personnels pour évaluer les risques afin de détecter les demandes suspectes reçues de demandeurs ou d’un tiers non autorisé et de pouvoir transférer les dossiers à d’autres secteurs pour un examen plus approfondi. Exemples de renseignements personnels : nom, coordonnées, numéro d’assurance sociale, date de naissance, adresse postale, revenu et renseignements sur le dépôt direct.
B) Type de renseignements personnels en jeu et contexte
Numéro d’assurance sociale, renseignements médicaux ou financiers ou autres renseignements personnels de nature délicate ou dont le contexte est de nature délicate; renseignements personnels de mineurs ou de personnes inaptes ou impliquant un représentant agissant au nom de la personne
Niveau de risque pour la vie privée : 3
Détails :
Subventions d’urgence du Canada
L'ARC utilise les renseignements personnels pour étudier les demandes. Nécessaires pour vérifier les montants demandés, ces renseignements sont :
- le numéro d’entreprise et les renseignements figurant dans le compte, comme le nom, le numéro d’assurance sociale et l’adresse du propriétaire;
- les renseignements bancaires;
- les feuillets de renseignements fiscaux des employés, où figurent le numéro d’assurance sociale et des renseignements financiers;
- d’autres documents justificatifs, tels que les registres des ventes, les grands livres généraux, les revenus et les feuilles de calcul, qui contiennent des renseignements personnels ou financiers et qui aident à déterminer l’admissibilité aux subventions pour le loyer ou le salaire.
Sécurité des comptes d’entreprises
La DSCCE utilise les renseignements personnels pour examiner les cas lorsque des tiers non autorisés accèdent à des comptes. Nécessaires pour vérifier si un tiers a accédé au compte et pour protéger le compte contre un futur accès non autorisé, ces renseignements sont :
- le numéro d’entreprise et les renseignements figurant dans le compte, comme le nom, le numéro d’assurance sociale et l’adresse du propriétaire;
- les renseignements bancaires;
- les adresses IP;
- les feuillets de renseignements fiscaux des employés, où figurent le numéro d’assurance sociale et des renseignements financiers.
C) Partenaires de programme ou d’activité et participation du secteur privé
Avec d’autres institutions fédérales
Niveau de risque pour la vie privée : 2
Détails :
Subventions d’urgence du Canada
Pour procéder aux examens des subventions d’urgence du Canada, il est parfois nécessaire de communiquer des renseignements personnels :
- à d’autres programmes de l’ARC pour recouvrer les soldes impayés, effectuer des vérifications ou signaler des activités suspectes;
- à Statistique Canada pour l’analyse statistique;
- au ministère des Finances du Canada pour qu’il puisse élaborer ou évaluer la politique fiscale;
- à Services publics et Approvisionnement Canada pour fournir des fonds;
- au ministère de la Justice dans le cadre d’une demande judiciaire déposée devant la Cour fédérale pour contester les décisions concernant l’admissibilité aux subventions, ou dans le cadre de demandes d’examen pour dépôt tardif de demande.
Sécurité des comptes d’entreprise
Lors de l’examen, la DSCCE peut communiquer des renseignements personnels :
- à d’autres programmes de l’ARC pour aider à protéger les comptes d’entreprises ou pour signaler d’autres activités suspectes;
- aux institutions financières pour récupérer des fonds.
D) Durée du programme ou de l’activité :
Programme à long terme
Niveau de risque pour la vie privée : 3
Détails :
Programmes à court terme (subventions d’urgence du Canada)
La Subvention d’urgence du Canada pour le loyer, la Subvention salariale d’urgence du Canada, le Programme de relance du tourisme et de l’accueil, le Programme de relance pour les entreprises les plus durement touchées et le Programme d’embauche pour la relance économique du Canada étaient des programmes à court terme visant à atténuer les effets de la pandémie de COVID-19 sur les entités admissibles. Les périodes de demande de subventions ont expiré le 3 novembre 2022, et toutes ces subventions et programmes de relance sont terminés.
Programme à long terme (sécurité des comptes d’entreprises)
L’ARC a créé la DSCCE pour qu’il soit plus facile de repérer les comptes auxquels elle soupçonnait que des tiers non autorisés avaient accédé en raison d’activités suspectes. La DSCCE reçoit un financement permanent et n’a pas de date de fin.
E) Population du programme
Le programme concerne certaines personnes à des fins administratives externes.
Niveau de risque pour la vie privée : 3
Détails :
Subventions d’urgence du Canada
La Subvention d’urgence du Canada pour le loyer, la Subvention salariale d’urgence du Canada, le Programme de relance du tourisme et de l’accueil, le Programme de relance pour les entreprises les plus durement touchées et le Programme d’embauche pour la relance économique du Canada concernent les entreprises qui demandent les subventions.
Sécurité des comptes d’entreprises
La sécurité des comptes d’entreprises a une incidence sur les entreprises si l’ARC soupçonne qu’un tiers non autorisé a accédé à leurs comptes.
F) Technologie et vie privée
L'activité ou le programme (nouveau ou modifié) comporte-t-il la mise en œuvre d'un nouveau système électronique, d'un logiciel ou d'un programme d'application, y compris un collecticiel (ou logiciel de groupe) qui est utilisé pour soutenir le programme ou l'activité eu égard à la création, la collecte ou la manipulation de renseignements personnels?
Risque pour la vie privée : Non
Le programme, nouveau ou modifié, ou l’activité est-il une modification des anciens systèmes et services de la TI?
Risque pour la vie privée : Oui
Le programme, nouveau ou modifié, ou l’activité comprend la mise en œuvre d’une ou de plusieurs des technologies suivantes :
Méthode d’identification améliorée – cela comprend la technologie biométrique (c.-à-d. la reconnaissance de visage, l’analyse de la démarche, la lecture de l’iris, l’analyse des empreintes digitales, l’empreinte vocale, l’identification par radiofréquence (IRF), etc.) ainsi que la technologie « E-ZPass », les nouvelles cartes d’identité, y compris les cartes à bande magnétique, les « cartes intelligentes » (c.-à-d. des cartes d’identité dans lesquelles on a intégré une antenne ou une plage de contact qui est reliée à un microprocesseur et à une puce de mémoire ou une seulement à une puce de mémoire dotée d’une logique non programmable).
Risque pour la vie privée : Non
Utilisation de la surveillance – cela comprend les technologies de surveillance telles que les dispositifs d’enregistrement audio ou vidéo, l’imagerie thermique, les dispositifs de reconnaissance, l’IRF, la surveillance clandestine et l’interception, la surveillance assistée par ordinateur, y compris les pistes de vérification, la surveillance par satellite, entre autres.
Risque pour la vie privée : Oui
Utilisation de l’analyse automatisée des renseignements personnels, du rapprochement des renseignements personnels et des techniques de découverte des connaissances – afin de respecter la Directive sur l’ÉFVP, les institutions fédérales doivent déterminer les activités qui consistent à utiliser une technologie automatisée pour analyser, créer, comparer, déterminer ou extraire des éléments des renseignements personnels. De telles activités comprendraient le rapprochement de renseignements personnels, le couplage de dossiers, l’exploration et la comparaison de renseignements personnels, la découverte de connaissances, de même que le filtrage ou l’analyse de renseignements personnels. Ce genre d’activités consiste à recourir à une certaine forme d’intelligence artificielle et/ou d’apprentissage automatique pour découvrir des connaissances (renseignements), des tendances ou des modèles ou pour prédire des comportements
Risque pour la vie privée : Oui
G) Transmission des renseignements personnels
Les renseignements personnels sont transmis à l'aide de technologies sans fil
Niveau de risque pour la vie privée : 4
Détails :
Pour tous ses programmes, l’ARC recueille des renseignements personnels dans ses systèmes internes. Elle pourrait envoyer ces renseignements par voie électronique à d’autres organisations en utilisant des technologies de chiffrement approuvées par le gouvernement du Canada.
L’ARC peut utiliser des renseignements personnels dans un système ayant accès à d’autres systèmes et elle peut transférer ces renseignements vers des appareils portables sécurisés avec un chiffrement approuvé par l’ARC.
Certains employés utilisent des ordinateurs portables et des téléphones cellulaires fournis par l’ARC, qui respectent les normes de chiffrement et de sécurité du gouvernement du Canada. Le télétravail se fait avec un accès sécurisé à distance.
H) Le risque possible à l'individu ou à l'employé lors d'atteinte à la vie privée
Détails :
Le fait que des renseignements personnels soient compromis peut causer un préjudice financier au particulier ou à l'employé concerné qui peut aussi être victime de vol d’identité, et des tiers peuvent utiliser ses renseignements financiers ou personnels sans qu’il le sache ou qu’il y consente.