Projet de loi C-36 : Nouvelle proposition visant à moderniser le cadre législatif canadien régissant la protection de la vie privée dans le secteur privé

Le 15 juin dernier, le gouvernement fédéral a présenté le projet de loi C-36 qui représente le changement le plus important apporté à la loi canadienne sur la protection de la vie privée dans le secteur privé depuis plus de 25 ans.

S’il est adopté, le projet de loi édictera la Loi visant à protéger la vie privée et les données des consommateurs (LPVPDC) et remplacera les dispositions sur la protection de la vie privée de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE). Il s’agit là de la troisième tentative du gouvernement fédéral au cours des dernières années pour réformer le cadre de protection de la vie privée dans le secteur privé; en effet, ce projet de loi fait suite au projet de loi C 11 en 2020 et au projet de loi C 27 en 2022 qui sont tous deux morts au feuilleton avant d’être adoptés.

Le projet de loi C-36 reprend plusieurs idées de ces propositions antérieures, tout en introduisant une nouvelle structure réglementaire et en accordant une importance accrue à la protection des renseignements personnels des enfants, aux transferts de données à l’extérieur du Canada et à l’utilisation responsable des données.

Éléments clés

Le projet de loi proposé :

  • Reconnaît la vie privée comme un droit fondamental tout en continuant de reconnaître le droit légitime des organisations d’utiliser des renseignements personnels à des fins commerciales appropriées.

  • Exige des organisations qu’elles maintiennent des programmes de gestion de protection des renseignements personnels, proportionnés au volume et au caractère sensible des renseignements personnels qui relèvent d’elles.

  • Renforce les exigences en matière de consentement valable. Les organisations auront à expliquer, dans un langage clair, quels seront les renseignements personnels qui seront recueillis, comment ils seront utilisés ou communiqués, les conséquences raisonnablement prévisibles de leur collecte, de leur utilisation ou de leur communication ainsi que le nom des tiers ou les catégories de tiers auxquels les renseignements personnels pourraient être communiqués.

  • Considère les renseignements personnels des enfants comme sensibles et oblige le nouvel organisme de réglementation à tenir compte de l’intérêt supérieur des enfants dans l’exercice de ses pouvoirs.

  • Permet aux Canadiens de demander la suppression ou l'élimination de leurs renseignements personnels dans certaines circonstances et leur déplacement entre les organisations lorsqu'un cadre réglementaire relatif à la mobilité des données s'applique.

  • Établit des exigences plus claires concernant les renseignements dépersonnalisés et anonymisés, les systèmes de décision automatisés et les transferts de renseignements personnels hors du Canada.

  • Autorise l'approbation de codes de pratique et de programmes de certification conçus pour aider les organisations à mettre en œuvre la loi.

 

Consentement et publicité ciblée par centres d’intérêt  

Le projet de loi C-36 continue d’exiger un consentement valide pour la collecte, l’utilisation ou la communication des renseignements personnels à moins qu’une exception précise ne s’applique.   Le consentement doit être obtenu expressément, bien qu’il soit approprié de présumer le consentement implicite d’une personne compte tenu des attentes raisonnables de cette dernière et du caractère sensible des renseignements personnels en cause.

Le projet de loi comporte des exceptions pour certaines activités commerciales nécessaires et pour des activités dans lesquelles une organisation a un intérêt légitime. Point particulièrement important pour la publicité numérique, aucune de ces deux exceptions ne serait applicable lorsque des renseignements personnels sont recueillis ou utilisés dans le but d'influencer le comportement ou les décisions d'une personne.

Il faudra porter une attention soutenue à cette formulation à mesure que le projet de loi avancera dans le processus parlementaire. La publicité ciblée par centres d’intérêt repose sur des données pour inférer les intérêts d’une personne et pour sélectionner des annonces susceptibles d’être plus pertinentes pour elle. Les règles de consentement proposées, combinées aux exigences du projet de loi relatives à la transparence, à la responsabilisation et à l’utilisation à des fins appropriées, seront particulièrement importantes pour les organisations qui œuvrent dans l’écosystème de la publicité numérique.  

 

Une nouvelle structure d’application et de surveillance

Le projet de loi C-36 prévoit la création de la nouvelle Commission canadienne de la sécurité numérique et de la protection des données, en remplacement des fonctions de longue date du Commissariat à la protection de la vie privée du Canada en matière d’application de la loi dans le secteur privé. Un nouveau poste de Commissaire à la protection de la vie privée et des données des consommateurs – créé au sein de cette nouvelle Commission – assurera la surveillance et l’application de la LPVPDC.

La Commission disposera de pouvoirs lui permettant d’édicter des ordonnances et d’imposer des sanctions administratives pécuniaires pouvant atteindre 10 millions $ ou 3 % des recettes globales brutes d’une organisation, selon le montant le plus élevé. Les infractions les plus graves pourront donner lieu à des sanctions pécuniaires pouvant atteindre 25 millions $ ou 5 % des recettes globales brutes de l’organisation, selon le montant le plus élevé.

 

Ce que les participants au programme de la DAAC doivent savoir  

Le projet de loi C-36 n'en est qu'au début de son processus législatif et pourrait être modifié au fur et à mesure de son étude par le Parlement. D'importantes modalités d'application seraient également établies ultérieurement par le biais de règlements et de directives réglementaires.

La DAAC examine attentivement le projet de loi, y compris ses répercussions éventuelles sur le programme Choix de pub et sur ses directives et outils. Le programme Choix de pub aide déjà les organisations participantes à offrir aux consommateurs transparence, choix et responsabilité en matière de publicité ciblée par centres d’intérêt. À mesure que le cadre canadien régissant la protection des renseignements personnels dans le secteur privé évoluera, ces mécanismes pratiques demeureront importants. Cependant, certains aspects du programme pourront devoir évoluer en fonction de la loi.

Nous continuerons de suivre l’évolution du projet de loi C-36 et tiendrons les participants du programme informés de tout développement significatif.

Les organisations intéressées à savoir comment le programme Choix de pub peut contribuer à faciliter la conformité et à renforcer la confiance des consommateurs peuvent communiquer avec la DAAC à info (at) daac.ca.

Lectures suggérées

DAACprivé