Philippe Dufresne alerte sur 42 000 Violation De Données au Revenu
Plus de 42 000 violation de données ont été recensées à l’Agence du revenu du Canada depuis 2020. Philippe Dufresne a déposé un rapport spécial au Parlement et y relève des lacunes dans la prévention, la surveillance, la détection et la gestion des incidents. Pour les contribuables, le problème ne se limite pas au volume.
Les cas visent notamment l’accès et la modification sans autorisation de renseignements de contribuables. Le rapport dit aussi que l’Agence du revenu n’a pas été en mesure de fournir des détails sur chaque violation en raison des limites de ses systèmes de suivi et du volume global d’incidents. Dans la pratique, cela réduit la capacité à reconstituer chaque événement et à savoir comment il a été traité.
Philippe Dufresne et le Parlement
Le commissaire à la protection de la vie privée a aussi relevé que l’Agence du revenu n’avait pas instauré en temps opportun une authentification multifactorielle obligatoire. Il a ajouté que l’agence n’avait pas systématiquement eu recours aux méthodes considérées comme les meilleures pratiques. L’argument de fond n’est donc pas seulement le nombre d’incidents, mais la manière dont l’administration fiscale a géré l’accès aux données.
Agence du revenu et authentification
Le rapport dit également que l’Agence n’avait pas toujours pu expliquer de manière adéquate comment des pirates informatiques ont réussi à contourner les processus d’authentification. Le commissaire a formulé neuf recommandations d’amélioration. Huit ont été acceptées dans leur intégralité par l’administration fiscale, et une a été acceptée en partie.
42 000 dossiers depuis 2020
Pour les contribuables, le point le plus concret est la combinaison d’un volume élevé et d’un suivi incomplet des incidents. Le rapport place maintenant la charge sur l’Agence du revenu, qui doit montrer comment elle compte mieux prévenir, détecter et gérer les violations qui touchent des renseignements personnels. La question qui reste est celle de la mise en œuvre des recommandations acceptées en partie ou intégralement, et de ce qu’elles changeront réellement dans les systèmes de suivi.
