Annexes

Annexe A: Exemple de résultats relatifs aux services de protection de l'enfance

Recourir aux Normes relatives aux données contre le racisme pour repérer et surveiller les répercussions à différentes étapes d’un programme, d’un service ou d’une fonction aide les organisations du secteur public à comprendre où risquent de se manifester les éventuels obstacles ou désavantages systémiques en lien avec la race. Rendez-vous sur le site de l’Association ontarienne des sociétés de l’aide à l’enfance pour consulter un exemple de parcours typique dans le système de protection de l’enfance.

Annexe B: Mesures de sécurité

Les organisations devraient mettre en œuvre les mesures administratives, techniques et physiques qui s’imposent pour sécuriser les renseignements personnels, notamment les mesures de protection suivantes : 

1. Mesures de protection administrative
   • Élaborer, consigner par écrit et mettre en œuvre des plans, des politiques et des procédures relatifs à la gestion de la sécurité, dont la gestion de l’accès par les utilisateurs, les contrôles et l’autorisation d’accès.
   • Élaborer, consigner par écrit et mettre en œuvre des protocoles d’intervention et de gestion des incidents de sécurité.
   • Élaborer, consigner par écrit et mettre en œuvre un plan de gestion relatif aux fournisseurs de services tiers qui définit les exigences de sécurité auxquelles ces derniers doivent se conformer, comme des dispositions de contrat, des ententes de confidentialité, des exigences de formation et d’éducation, des dispositions régissant le recours à la sous-traitance, des exigences de vérification et la bonne gestion des renseignements personnels créés, reçus, conservés ou détruits pour le compte de l’organisation du secteur public.
   • Définir des mesures de reddition de comptes conformément à la Norme 2 pour veiller à ce que les règles de sécurité soient définies, consignées par écrit et mises en œuvre de manière uniforme.
   • S’assurer que les employés, les responsables, les consultants et les agents ont la formation voulue en matière de sécurité pour qu’ils comprennent les mesures de sécurité exigées, comme un bon cryptage, de bonnes procédures de manipulation des renseignements, des mécanismes de défense contre le mauvais usage de mots de passe, l’hameçonnage, les maliciels et les rançongiciels (conformément à la Norme 3).
   • Élaborer un plan de contingence pour retrouver, protéger et récupérer les renseignements personnels en cas de catastrophe naturelle ou de panne d’électricité.
   • Surveiller et évaluer l’application des plans, politiques et procédures en matière de sécurité, notamment les protocoles d’intervention et de gestion des incidents de sécurité et, lorsqu’il le faut, les actualiser et les réviser.
2. Mesures de protection physique
   • Limiter l’accès physique aux locaux de l’organisation du secteur public, en particulier aux lieux où les renseignements personnels sont utilisés et stockés (p. ex. les systèmes informatiques, les postes de travail, etc.).
   • Restreindre l’accès aux utilisateurs autorisés de renseignements personnels (c.-à-d. utiliser des cartes et une clé d’accès, des insignes d’identité, filtrer et superviser les visiteurs, etc.).
3. Mesures de protection technique
   • Restreindre l’accès aux seules personnes physiques à qui on a accordé des droits d’accès au moyen de puissants mécanismes d’authentification et d’accès comme :
     • des mécanismes de journalisation, de vérification et de surveillance détaillées;
     • des mots de passe et des systèmes de cryptage forts;
     • la vérification de l’identité préalable à l’accès.
   • Enregistrer et examiner au moyen de mécanismes de journalisation, de vérification et de surveillance détaillées l’activité des systèmes informatiques contenant ou utilisant des renseignements personnels.
   • Protéger les renseignements personnels contre une altération ou une destruction mal faite au moyen de mesures comme :
     • la gestion des correctifs et des changements;
     • des pare-feu, des anti-virus, des anti-pourriels et des anti-logiciels espions;
     • des protections contre les codes malveillants;
     • des évaluations du risque de menaces.
   • Protéger contre l’accès non autorisé les renseignements personnels transmis par un réseau de communications électroniques (c.-à-d. veiller à sécuriser la transmission de renseignements personnels).

Annexe C: Techniques d’anonymisation des renseignements personnels

Il importe de souligner qu’il existe différents niveaux d’anonymisation. Le niveau qui convient dépend du contexte (c.-à-d. le type de renseignements, l’utilisation ou la divulgation qui en sera faite, etc.). En outre, l’anonymisation ne réduit pas à zéro le risque de désanonymisation. En fait, elle permet de produire des ensembles de données pour lesquels le risque de désanonymisation est très faible.

Classification et traitement des renseignements aux fins d’anonymisation

L’« anonymisation » consiste à enlever ou à transformer des renseignements personnels contenus dans un dossier ou un ensemble de données de sorte que, dans les circonstances, on ne puisse vraisemblablement les utiliser, seuls ou avec d’autres renseignements, pour identifier un particulier.

Les identifiants directs

sont les renseignements qui peuvent servir à identifier un particulier, par exemple les noms, les adresses postales, les numéros de téléphone, les adresses électroniques, les adresses de protocole Internet et tout autre numéro d’identification, caractéristique ou code uniques.

Le masquage

est l’enlèvement de renseignements classés identifiants directs ou leur remplacement par des renseignements pseudonymes ou cryptés (c.-à-d. une clé d’identification unique) permettant de rétablir le lien à l’ensemble de données d’origine, lorsque cela est indiqué. Les ensembles de données contenant des identifiants directs masqués s’appellent des ensembles de données pseudonymes.

Les identifiants indirects ou quasi-identifiants

sont des renseignements qui peuvent être utilisés, seuls ou combinés avec d’autres renseignements, habituellement par une personne ayant les connaissances préalables, pour désanonymiser un particulier dans un ensemble de données. Citons notamment le sexe, les dates de certains événements (p. ex. naissance, mariage), les revenus, le niveau de scolarité, la langue, etc. Lorsqu’on classe des renseignements personnels « quasi-identifiants », il faut comprendre quels autres renseignements ou données existent, à quel point une personne est motivée à désanonymiser un particulier et ce qu’elle sait d’un ou de plusieurs particuliers figurant dans l’ensemble de données.

Techniques d’anonymisation

Il existe plusieurs techniques d’anonymisation qu’on peut appliquer à des quasi-identifiants, comme l’enlèvement, la suppression, la généralisation ou la transformation des renseignements personnels. On peut appliquer les techniques d’anonymisation à une donnée simple (c.-à-d. une variable précise pour un particulier donné), à une variable précise pour tous les particuliers ou à tout le dossier d’un particulier donné, selon le niveau de risque de désanonymisation. Les organisations devraient appliquer les techniques nécessaires pour anonymiser les renseignements personnels tout en conservant l’utilité des données sur l’identité autochtone et la race.

L’anonymisation des renseignements personnels suppose l’application de différentes techniques aux identifiants directs ou indirects dans le but de réduire le risque de désanonymisation à un niveau assez faible pour qu’il soit acceptable. Parmi ces techniques, mentionnons :

Le masquage

enlèvement de renseignements personnels classés identifiants directs ou remplacement de ces identifiants directs par des renseignements pseudonymes ou cryptés.

L’enlèvement

enlèvement d’une variable d’un ensemble de données.

La suppression

enlèvement ou non-indication des valeurs d’un segment ou d’une variable de nature délicate pour un ou des particuliers donnés ou suppression de tous les renseignements personnels concernant un ou des particuliers de l’ensemble de données.

La généralisation

réduction de la précision des valeurs d’une variable, notamment par l’indication de tranches d’âge au lieu de l’âge exact (10‑14 ans, 15‑19 ans, etc.).

La troncation des valeurs extrêmes supérieures ou inférieures

restriction de la fourchette supérieure ou inférieure d’une variable.

La fusion de catégories ou la combinaison de variables

fusion de deux catégories de variables ou plus ou combinaison de deux variables permettant de créer une nouvelle variable.

L’échantillonnage

divulgation d’un échantillon aléatoire de taille suffisante pour permettre des déductions logiques, plutôt que de toutes les données d’origine.

La permutation

appariement de cas particuliers à un identifiant indirect, puis permutation des valeurs de variables clés entre les cas, ce qui permet de limiter le risque de divulgation.

La perturbation

ajout d’une variation aléatoire ou d’une erreur stochastique à une variable.

Modèles de divulgation

Il se peut que les organisations doivent envisager divers modèles pour l’utilisation et la divulgation de données afin de recherche, en y appliquant les mécanismes de contrôle nécessaires en matière d’anonymisation et de sécurité.

Les modèles de divulgation suivants représentent de multiples façons de mettre des données à la disposition du public. Ils vont de la divulgation restreinte (non publique) à l’ouverture (divulgation publique) :

Divulgation non publique (restreinte)

Les données sont mises à la disposition d’utilisateurs autorisés seulement et ces derniers doivent respecter des conditions précises relatives à la confidentialité et à la sécurité des données (c.-à-d. serments de confidentialité, conventions d’échanges de données). Les renseignements personnels sont masqués et des mesures de contrôle de sécurité sont en place (c.-à-d. des mécanismes de contrôle administratif, technique ou physique protégeant la vie privée et la confidentialité des renseignements utilisés).

Divulgation quasi publique (semi-restreinte)

Les données sont publiées conformément à des mécanismes de contrôle d’accès, comme l’obligation de s’enregistrer ou le consentement à des restrictions ou à des conditions de publication de données (p. ex. serments de confidentialité). Les renseignements personnels sont anonymisés et des mécanismes de contrôle de sécurité sont en place (c.-à-d. des mécanismes de contrôle administratif, technique ou physique protégeant la vie privée et la confidentialité des renseignements utilisés).

Divulgation publique (ouverture)

Les données sont rendues publiques dans le respect de mécanismes de contrôle, de conditions ou de limites d’accès public minimaux. Les utilisateurs peuvent être tenus de consentir à des conditions d’utilisation aux termes d’une licence ouverte. Les renseignements personnels sont entièrement anonymisés.

Utilisation des ensembles de données de statistique canada comme références

Les catégories raciales de l’Ontario figurant dans les Normes se comparent comme suit aux groupes de population de Statistique Canada :

Tableu 2. Tableau de conversion des données recueillies sur les catégories raciales

Les Faits saillants en tableaux – Immigration et diversité ethnoculturelle de Statistique Canada contiennent des catégories dérivées pour les indications de races multiples. Pour établir convenablement les références, il importe de connaître la méthodologie appliquée par Statistique Canada aux particuliers qui choisissent plus d’une catégorie de population; par exemple, un particulier qui s’identifie à la catégorie noire et blanche est classé seulement dans la catégorie noire de la variable « Minorité visible » et, de manière générale, dans la catégorie « minorité visible ». Les particuliers qui indiquent de multiples ascendances non blanches sont classés sous « Minorités visibles multiples » ou « MV n.i.a. »

Lorsque cela est faisable, les organisations du secteur public devraient utiliser des fichiers de microdonnées qui contiennent des données désagrégées relatives à des réponses multiples. Les données désagrégées permettent aux analystes et aux chercheurs d’étudier les combinaisons particulières de réponses multiples dans la catégorie « minorité visible » et d’appliquer une méthodologie uniforme aux données afin de référence et d’analyse. Les microdonnées ne sont consultables que par les Centres de données de recherche de Statistique Canada ou par abonnement.

Lorsqu’on se sert des groupes de population de Statistique Canada comme référence, il importe de comprendre les différences dans la manière dont la race est formulée et catégorisée dans les Normes de l’Ontario, comparativement aux « groupes de population » de Statistique Canada (voir le tableau 3).

Tableau 3. Comparaisons entre les Normes et la démarche de Statistique Canada

La démarche de l’Ontario a pour objectif de saisir la race et la racialisation vécue en Ontario afin de détection et de surveillance du racisme systémique. Cela suppose notamment de poser aux Autochtones des questions sur la diversité raciale existant dans leurs populations, outre leur identité autochtone. Les résultats du recensement de 2016 pour l’Ontario montrent qu’environ 80 % des sujets interrogés ayant une ascendance autochtone (Premières Nations, Métis et Inuits) ont également indiqué des origines non autochtones.

Annexe E: Utilisation des indices de disproportion et de disparité raciales

Selon la question à laquelle il faut répondre, il se peut qu’un de ces deux indices (disproportion ou disparité) convienne mieux que l’autre. Par exemple, le résultat souhaité en matière d’équité pourrait être que les particuliers de groupes raciaux précis soient représentés dans un programme ou un service donné dans la même proportion que dans la population générale. Dans ce cas, c’est l’indice de disproportion raciale qu’il convient d’utiliser pour évaluer la possibilité d’une surreprésentation ou d’une sous-représentation de groupes raciaux dans un service, un programme ou une fonction.

Par contre, l’indice de disproportion raciale ne permet pas de répondre à la question de savoir si des particuliers ayant reçu des services d’une organisation du secteur public sont traités équitablement ou ont des résultats équitables dans le cadre d’un programme, d’un service ou d’une fonction.

Si le résultat souhaité en matière d’équité est que les particuliers soient traités de la même manière ou aient les mêmes résultats dans le cadre d’un programme, d’un service ou d’une fonction donnée, quelle que soit leur race, alors c’est l’indice de disparité raciale qui convient le mieux pour repérer et surveiller toute iniquité raciale possible.

Dans certains contextes, on peut utiliser à la fois l’indice de disproportion raciale et l’indice de disparité raciale pour évaluer les différences de résultats dans le cadre d’un programme ou d’un service et pour comprendre les iniquités ou les obstacles raciaux systémiques.

Par exemple, lorsqu’on démontre, au moyen de l’indice de disproportion raciale, que les enfants racialisés sont surreprésentés dans le système de protection de l’enfance, il est possible de savoir, au moyen de l’indice de disparité raciale, s’il y a égalité d’accès à des visites familiales supervisées pour les enfants placés sous protection.

Utilisation des indices de disproportion et de disparité pour la détection des iniquités raciales

Un indice de disproportion ou de disparité de 1 indique une représentation égale ou la parité dans les résultats d’un programme, d’un service ou d’une fonction donnés. Tout nombre supérieur ou inférieur à 1 indique une inégalité.

Par exemple, si les enfants du groupe A constituent 10 % de la population générale mais 20 % des enfants placés sous protection, l’indice de disproportion est de 2. Cela signifie que les enfants du groupe A sont surreprésentés dans le système de protection de l’enfance et qu’ils sont deux fois plus susceptibles d’être placés sous protection que leur proportion dans la population générale permet de prévoir.

Inversement, si les élèves du groupe A constituent 15 % de la classe terminale d’une école secondaire mais seulement 7 % des élèves diplômés de cette classe terminale, alors l’indice de disproportion est de 0,47. Cela signifie que les élèves du groupe A sont sous-représentés parmi les élèves diplômés d’une classe terminale et qu’ils ont la moitié moins de chances de terminer leurs études secondaires que leur proportion dans la classe terminale permet de prévoir.

Les indices de disparité peuvent également être représentés par des taux. Par exemple, si le taux d’homicide est de 5 pour 100 000 pour le groupe A et de 1 pour 100 000 pour le groupe B, l’indice de disparité serait alors de 5. Cela voudrait dire que le taux d’homicide pour le groupe A est 5 fois supérieur à celui du groupe B.

Autres types d’analyses faites au moyen des indices de disproportion et de disparité

On peut facilement adapter les équations de disproportion et de disparité aux analyses intersectionnelles de la race et d’autres facteurs comme l’identité autochtone, l’origine ethnique, la religion ou d’autres catégories sociodémographiques.

Ainsi, on peut comparer les enfants du groupe A de religion X aux enfants du groupe B de religion X, ou les personnes de sexe masculin du groupe A avec les personnes de sexe masculin du groupe B, ou encore les personnes de sexe féminin du groupe A aux personnes de sexe féminin du groupe B.

On peut faire des matrices de disproportion et de disparité pour évaluer les tendances systémiques dans les résultats pour différents événements dans le cadre d’un programme ou d’un système. La représentation d’un groupe racial ou de disparités entre groupes à un point de décision particulier du système ou du programme peut être comparée à leur représentation ou à leurs disparités à un point de décision antérieur.

Examinez l’exemple de résultats dans le système de protection de l’enfance présenté précédemment. Voyez ci-dessous le tableau montrant comment faire une matrice de disproportion pour analyser un cheminement et des résultats précis pour le groupe A. Dans l’exemple de tableau ci-dessous, la proportion d’enfants du groupe A dans la population générale est de PA. Le repère de comparaison à chaque point de décision est la proportion d’enfants du groupe A à un point de décision antérieur.

Tableau 4. Exemple de matrice de disproportion

On peut également faire des matrices de disparité pour analyser les tendances systémiques dans les résultats de différents groupes à différentes étapes d’un programme, d’un service ou d’une fonction. Voyez ci-dessous le tableau montrant comment faire une matrice de disparité pour comparer le groupe A au groupe B dans un cheminement précis et dans les résultats. La proportion d’enfants du groupe A et du groupe B dans la population générale est de P_A et de P_B respectivement.

Tableau 5. Exemple de matrice de disparité raciale