Le Commissariat à la protection de la vie privée indique que plus de 42 000 violations de données ont été recensées à l'Agence du revenu du Canada depuis 2020, dans des cas d'accès ou de modification sans autorisation de renseignements personnels de contribuables.

Dans un rapport spécial déposé au Parlement, le commissaire à la protection de la vie privée, Philippe Dufresne, a souligné des lacunes dans les mesures de prévention, de surveillance, de détection et de gestion des violations mises en place par l'Agence du revenu.

M. Dufresne a constaté que l'Agence n'était pas en mesure de fournir des détails sur chaque violation confirmée en raison des limites de ses systèmes de suivi et du volume global d'incidents.

Le bureau du commissaire a indiqué que l'Agence n'avait pas instauré une authentification multifactorielle obligatoire en temps opportun et n'avait pas systématiquement eu recours aux méthodes considérées comme étant les meilleures pratiques.

Il a également noté que l'agence n'avait pas toujours pu expliquer de manière adéquate comment les pirates informatiques ont réussi à contourner les processus d'authentification.

Le commissaire a formulé neuf recommandations d'amélioration, dont huit ont été acceptées dans leur intégralité et une en partie par l'administration fiscale.