Principaux aspects pour les entreprises

Commission canadienne de la sécurité numérique et de la protection des données

Le projet de loi C-36 retire au CPVP sa compétence en matière de protection de la vie privée dans le secteur privé et la transfère à la Commission. Cette dernière administrera à la fois la LPVPDC et la Loi sur la sécurité numérique proposée dans le cadre du projet de loi C-34, sous la supervision d’un organe composé de cinq membres, qui comprend un commissaire à la protection de la vie privée et des données des consommateurs désigné et la Section de la protection de la vie privée et des données des consommateurs (la « Section »), composée du commissaire et d’au moins un autre membre de la Commission.

À la différence du régime établi par la LPRPDE, dans le cadre duquel le CPVP enquêtait sur les plaintes et pouvait formuler des recommandations et publier des conclusions, la Commission peut délivrer des ordonnances de conformité et imposer directement des SAP. De plus, au lieu d’être des agents du Parlement à l’instar du CPVP, les membres de la nouvelle Commission seraient nommés par le gouverneur en conseil et le commissaire serait nommé par le Conseil des ministres. Il s’agit d’une refonte majeure qui, conjuguée au mandat élargi de la Commission en matière de surveillance de la sécurité en ligne et des agents conversationnels utilisant l’IA en vertu du projet de loi C-34, conduirait probablement à une culture réglementaire plus interventionniste.

Pénalités, amendes et droit privé d’action

Aux termes de la LPVPDC, la Commission serait habilitée à imposer des SAP pouvant atteindre dix millions de dollars canadiens ou, si cette somme est plus élevée, 3 % des recettes globales brutes d’une organisation pour l’année précédente. Ces pénalités permettraient d’harmoniser le cadre fédéral applicable au secteur privé avec les modifications apportées à la législation québécoise en vertu de la loi 25, avec le Règlement général sur la protection des données (RGPD) de l’Union européenne et avec les lois en matière de protection de la vie privée modernisées en vigueur dans d’autres territoires.

En outre, les amendes pour les infractions à la LPVPDC pourraient atteindre vingt-cinq millions de dollars canadiens ou, si cette somme est plus élevée, 5 % des recettes globales brutes. Ces sommes sont considérables, mais la LPVPDC réserve la responsabilité pénale à une catégorie relativement restreinte de comportements, impliquant généralement le non-respect délibéré d’obligations clés relatives à la déclaration des failles de sécurité et à la tenue des registres connexe, l’entrave aux procédures réglementaires, les représailles à l’encontre des lanceurs d’alerte ou le non-respect des ordonnances réglementaires. La plupart des manquements à la conformité en matière de protection de la vie privée feraient plutôt l’objet de SAP.

La LPVPDC instaurerait un moyen de défense fondé sur la diligence qui empêcherait l’imposition d’une SAP lorsqu’une organisation démontre qu’elle a pris toutes les précautions voulues pour prévenir la contravention. Les éléments de preuve attestant de la diligence qui ne suffisent pas à établir une défense complète seraient pris en compte pour déterminer le montant d’une SAP. Dans ce contexte – et étant donné que l’objectif explicite des SAP est de promouvoir le respect de la LPVPDC et non de sanctionner – le fait que les organisations puissent démontrer qu’elles ont fait preuve de diligence constituerait un facteur déterminant. La LPVPDC prévoit également une règle d’exonération pour les organisations qui démontrent leur conformité avec un « programme de certification » approuvé par la Commission. Les modalités de ces programmes de certification seraient définies aux termes de règlements et de procédures d’approbation futurs; il n’existe actuellement aucun programme de certification approuvé.

La LPVPDC établirait par ailleurs un droit privé d’action permettant aux individus de réclamer des dommages-intérêts lorsqu’il est définitivement établi qu’une organisation a contrevenu à la LPVPDC ou à la suite de la conclusion de certains accords de conformité ou d’une condamnation définitive pour une infraction à la LPVPDC, sous réserve d’un délai de prescription de deux ans. Les actions pourraient être intentées devant la Cour fédérale ou la cour supérieure d’une province et s’ajouteraient aux causes d’action existantes prévues par d’autres lois fédérales et provinciales et en common law.

Il est important de souligner que, contrairement à ce que prévoit la LPRPDE, le droit d’intenter une action en dommages-intérêts en vertu de la LPVPDC s’étendrait à tout individu ayant subi une perte ou un préjudice en raison de la contravention ou de l’infraction, que cet individu ait ou non déposé la plainte réglementaire. Le droit privé d’action serait donc accessible à une catégorie potentiellement vaste d’individus touchés une fois les conditions préalables prévues par la loi remplies. Conjugué aux obligations de fond plus détaillées et contraignantes prévues par la LPVPDC et à un cadre d’application renforcé, le droit privé d’action est susceptible d’accroître de manière significative le risque de recours collectifs subséquents, dans la mesure où les plaignants sont en mesure de démontrer qu’ils ont subi des préjudices. Les organisations reconnues coupables d’avoir enfreint la LPVPDC pourraient donc non seulement se voir infliger des SAP importantes (ou, dans certains cas, des amendes), mais également s’exposer à une responsabilité civile considérable découlant de la même infraction.

Une approche plus prescriptive du consentement

Le cadre réglementaire régissant la collecte, l’utilisation ou la divulgation de renseignements personnels repose toujours sur le principe du consentement, avec certaines exceptions; toutefois, dans la LPVPDC, les conditions requises pour qu’un consentement soit valable sont plus prescriptives que l’approche fondée sur des principes prévue par la LPRPDE.

Les organisations seraient tenues de fournir aux individus concernés de l’information, dans un langage clair, indiquant les fins pour lesquelles les renseignements personnels sont recueillis, y compris la manière dont ils seront traités, les conséquences raisonnablement prévisibles de ce traitement et les types précis de renseignements personnels traités, ainsi que de l’information sur les tiers auxquels les renseignements personnels pourraient être communiqués.

Il est permis de présumer le consentement implicite d’un individu dans des circonstances appropriées, mais compte tenu du caractère sensible des renseignements personnels à recueillir, à utiliser ou à communiquer et des attentes raisonnables de cet individu, les organisations seraient généralement tenues d’obtenir un consentement explicite. Il serait également interdit aux organisations de subordonner la fourniture de produits ou de services à un consentement allant au-delà de ce qui est nécessaire, même si l’individu concerné donne son consentement. De même, tout consentement obtenu en utilisant des pratiques trompeuses ou mensongères ne serait pas valide.

Exceptions relatives au consentement

Outre les exceptions relatives au consentement reprises de la LPRPDE, la LPVPDC introduirait de nouvelles exceptions, y compris :

pour certaines activités d’affaires visées, comme la fourniture d’un produit ou d’un service demandé par l’individu concerné ou la protection de l’information, des systèmes ou des réseaux de l’organisation, à la condition qu’une personne raisonnable s’attende à la collecte ou à l’utilisation des renseignements en vue de l’activité en question et que les renseignements ne soient pas utilisés pour influencer le comportement ou les décisions de l’individu;
pour des intérêts légitimes, à la condition que ces intérêts soient plus importants que les effets négatifs raisonnablement prévisibles et qu’ils ne servent pas à influencer le comportement ou les décisions de l’individu;
à des fins de recherche, si les renseignements sont dépersonnalisés.

L’exception relative au consentement fondée sur l’intérêt légitime est similaire à celle introduite par le projet de loi C-27, mais elle imposerait également expressément aux organisations qui y recourent de procéder à une évaluation des facteurs relatifs à la vie privée. Bien qu’elle s’inspire clairement du RGPD, au lieu d’être introduite comme un fondement juridique autonome parallèle au consentement, la notion d’intérêt légitime constitue uniquement une exception à la règle générale du consentement. Il convient de souligner qu’aucune exception similaire n’existe dans les lois sur la protection de la vie privée dans le secteur privé de l’Alberta, de la Colombie-Britannique et du Québec, ce qui soulève des questions de compatibilité avec ces lois. Il sera intéressant de voir comment cette exception s’appliquera dans la pratique.

Nous notons également que la LPVPDC n’impose pas d’obligation générale de procéder à une évaluation des facteurs relatifs à la vie privée à l’instar du RGPD ou des lois québécoises, dans leur version modifiée par la loi 25. Le législateur s’attend peut-être à ce que l’approche plus prescriptive en matière de consentement prévue par la LPVPDC incite les organisations à recourir à l’exception fondée sur l’intérêt légitime, élargissant ainsi de fait les circonstances dans lesquelles une évaluation des facteurs relatifs à la vie privée doit être effectuée, sans pour autant en faire une obligation plus générale.

Évaluations dans le cadre des transferts à l’extérieur du Canada

À l’instar des exigences prévues par le RGPD et les lois québécoises sur la protection de la vie privée, dans leur version modifiée par la loi 25, la LPVPDC obligerait les organisations à effectuer une évaluation des facteurs relatifs à la vie privée, conformément aux exigences établies par le gouverneur en conseil, et à atténuer les risques liés à la vie privée avant de transférer des renseignements personnels à l’extérieur du Canada. Le projet de loi C-27 ne prévoyait pas d’exigence de cette nature. Il s’agit d’une nouvelle obligation importante pour toute entreprise souhaitant transférer des renseignements personnels à l’extérieur du Canada, y compris à des fournisseurs de services et à des sociétés membres de son groupe. Toute organisation utilisant des plateformes infonuagiques ou des solutions SaaS hébergées à l’étranger qui traitent ou stockent des renseignements personnels, comme des systèmes de paie, des logiciels de ressources humaines, des plateformes de planification des ressources, des outils de gestion des relations avec la clientèle ou des services d’IA générative, serait tenue de procéder à ces évaluations.

Droit à la suppression des renseignements

La LPVPDC instaure un droit exprès de demander le retrait (c’est-à-dire la suppression ou l’anonymisation) des renseignements personnels. Une organisation est tenue de se conformer à cette obligation « dès que possible » lorsque les renseignements ont été recueillis en contravention de la LPVPDC, lorsque le consentement a été retiré ou lorsque les renseignements ne sont plus nécessaires à la fourniture continue d’un produit ou d’un service. L’organisation doit également en informer les fournisseurs de services et veiller à ce que le retrait soit effectué en aval.

Cette obligation de procéder au retrait des renseignements et de s’assurer de leur retrait en aval signifie que les organisations doivent disposer de trois éléments dont elles ne disposent peut-être pas actuellement : des inventaires de données détaillés permettant de déterminer où sont conservés les renseignements sur des individus en particulier dans les systèmes internes et de tiers; des dispositions contractuelles avec les fournisseurs de services qui permettent et obligent effectivement le retrait sur remise d’un avis; et des processus internes pour traiter les demandes, les transmettre aux fournisseurs et confirmer leur exécution.

Protection de la vie privée des enfants

La LPVPDC introduirait un certain nombre de dispositions visant à renforcer la protection des renseignements personnels des enfants. La LPVPDC définit un enfant comme tout individu âgé de moins de 18 ans et considère par défaut que les renseignements personnels des enfants sont de caractère sensible, ce qui signifie qu’un consentement explicite serait requis pour les recueillir, les utiliser ou les divulguer, et que les organisations devraient mettre en œuvre des mesures de protection rigoureuses pour les protéger. En outre, la nouvelle autorité de réglementation doit prendre en compte « la protection des intérêts des enfants » lorsqu’elle exerce ses pouvoirs. Les conditions devant être remplies afin de refuser la demande de suppression des renseignements d’un enfant sont également plus strictes : l’exception reposant sur un « effet négatif excessif sur l’exactitude » ne s’applique pas aux renseignements personnels des enfants.

Toute organisation ayant des interactions avec un public multigénérationnel devra déterminer si elle collecte des renseignements concernant des enfants et, le cas échéant, déterminer la meilleure façon d’appliquer des normes plus strictes en matière de consentement et de protection.

Systèmes décisionnels automatisés

Les organisations qui utilisent des systèmes décisionnels automatisés pour établir des prévisions, formuler des recommandations ou prendre des décisions concernant des individus ayant des effets juridiques ou d’une importance similaire doivent se préparer à trois choses : premièrement, elles doivent rendre publique « une explication générale » de leur utilisation de ces systèmes; deuxièmement, à la demande d’un individu concerné, elles doivent indiquer le type de renseignements personnels utilisés, leur provenance ainsi que les motifs ou les principaux facteurs ayant mené au résultat; et troisièmement, elles doivent donner à l’individu l’occasion de présenter, par écrit, ses observations à un employé de l’organisation en mesure de réviser la décision. Cette troisième exigence distingue la LPVPDC du projet de loi C-27 et se rapproche très étroitement des exigences relatives au traitement automatisé introduites au Québec par la loi 25.

La LPVPDC donne une définition large des systèmes décisionnels automatisés, qui englobe toute technologie utilisant des systèmes basés sur des règles, l’analyse de régression, l’analytique prédictive, l’apprentissage automatique, l’apprentissage profond, des réseaux neuronaux ou d’autres techniques afin d’appuyer ou de remplacer le jugement de décideurs humains. Les organisations doivent noter que cette définition inclut les technologies qui ne font que faciliter le traitement, contrairement à la loi 25 du Québec, dont les exigences s’appliquent uniquement aux décisions fondées exclusivement sur un traitement automatisé.

Cela dit, le seuil d’application prévu par la LPVPDC est plus élevé que celui proposé par le projet de loi C-27, dont le seuil d’application était une « incidence importante » sur les individus. La LPVPDC s’applique en revanche uniquement lorsqu’une décision concernant un individu « pourrait avoir des effets juridiques pour lui ou pourrait, de façon similaire, avoir une incidence importante sur lui », une formulation inspirée de l’article 22 du RGPD. Cette disposition exclurait certaines utilisations de l’automatisation constituant un enjeu moindre, mais les systèmes décisionnels plus importants, comme que les systèmes de recrutement, de notation de crédit, de souscription d’assurances et d’évaluation des droits aux prestations fondés sur l’IA, seraient assujettis à ces exigences.

Mise à jour des définitions des termes « renseignement personnel » et « caractère sensible »

La définition de « renseignement personnel » figurant dans la LPVPDC reste conforme à la définition actuelle prévue par la LPRPDE en incluant tout « renseignements concernant un individu identifiable », mais elle inclut également expressément les « renseignements déduits concernant un individu identifiable ».

Le CPVP fait valoir depuis longtemps que les inférences constituent des renseignements personnels et a plaidé pour que cela soit explicitement précisé; de même, l’interprétation du caractère privé des renseignements personnels adoptée par la Cour suprême inclut les inférences et les hypothèses tirées d’autres renseignements; toutefois, c’est la première fois qu’une définition légale canadienne des renseignements personnels inclut expressément les inférences. Il convient de souligner que le libellé est neutre quant à la nature des renseignements pouvant servir à établir ces inférences, probablement en reconnaissance du fait que, dans de nombreux cas, les inférences concernant un individu peuvent être tirées des renseignements personnels d’autres individus ou d’autres types de données.

La LPVPDC introduit par ailleurs une définition de renseignements personnels « de caractère sensible » qui diffère de celle de la LPRPDE, selon laquelle tout renseignement peut être considéré comme sensible, selon le contexte.

La nouvelle définition laisse une latitude contextuelle similaire (« renseignements personnels pour lesquels, compte tenu des circonstances, un individu a des attentes élevées en matière de vie privée »), mais elle énumère également plusieurs catégories de renseignements qui seraient présumées de caractère sensible, dont les renseignements personnels concernant des enfants et ceux révélant l’origine raciale ou ethnique d’un individu, son orientation sexuelle, ses opinions politiques ou ses convictions religieuses ou philosophiques, son appartenance syndicale, et l’information génétique ou relative à la santé, ainsi que les renseignements biométriques permettant d’identifier de manière unique l’individu. Bon nombre de ces renseignements ont déjà été désignés comme étant de caractère sensible dans les lignes directrices et les conclusions du CPVP; la liste suit de très près la définition des données de catégories particulières prévue par le RGPD. Il convient de noter que les renseignements financiers ne figurent pas dans cette liste.

La vie privée en tant que droit fondamental

La LPVPC prévue par le projet de loi C-27 mentionnait un « droit à la vie privée », mais elle a été critiquée pour ne pas avoir clairement placé ce droit devant les besoins des organisations. Le projet de loi C-36 est plus ferme, du moins en principe : la vie privée y est décrite comme un « droit fondamental » des individus dans l’énoncé de l’objet de la LPVPDC.

Les tribunaux et la Commission considéreraient probablement ce droit comme un principe d’interprétation fondamental. Pour les entreprises, cela signifie en pratique que, lorsque la loi exige un équilibre entre le droit à la vie privée et les intérêts légitimes, les besoins opérationnels ou d’autres exigences raisonnables des organisations, le fait d’analyser une situation en considérant le droit à la vie privée comme un droit fondamental pourrait faire pencher la balance en faveur de la protection de la vie privée des individus. Les organisations doivent s’attendre à ce que les cas ambigus soient tranchés en faveur de la protection de la vie privée, en particulier lorsque des renseignements concernant des enfants ou d’autres renseignements de caractère sensible sont visés.

Projet de loi C-36 : une refonte des règles sur la protection de la vie privée dans le secteur privé canadien