En juin 2022, le ministre de l’Innovation, des Sciences et de l’Industrie a déposé à la Chambre des communes le projet de loi C-27, Loi édictant la Loi sur la protection de la vie privée des consommateurs, la Loi sur le Tribunal de la protection des renseignements personnels et des données et la Loi sur l’intelligence artificielle et les données et apportant des modifications corrélatives et connexes à d’autres lois.
Le projet de loi C-27 représente la deuxième tentative du gouvernement du Canada de réformer les lois fédérales en matière de protection de la vie privée applicables aux activités commerciales. S’il est adopté, trois nouvelles lois fédérales seront édictées : la Loi sur la protection de la vie privée des consommateurs (la « LPVPC »), la Loi sur le Tribunal de la protection des renseignements personnels et des données (la « Loi sur le Tribunal ») et la Loi sur l’intelligence artificielle et les données (la « LIAD »). Il abrogerait par ailleurs la partie 1 de la Loi sur la protection des renseignements personnels et les documents électroniques de manière à en retirer le volet lié à la protection de la vie privée, et remplacerait le titre par le titre abrégé Loi sur les documents électroniques.
Lors d’un symposium qui s’est tenu récemment, le commissaire à la protection de la vie privée du Canada, Philippe Dufresne, a expliqué que le projet de loi C-27 représente une étape importante dans la modernisation des lois canadiennes sur la protection des renseignements personnels.[1] Il a souligné le fait que le droit à la vie privée est un droit fondamental et quasi constitutionnel, et a rappelé à l’auditoire que cela signifie qu’il faut traiter le droit à la vie privée comme une priorité, comme les autres droits de la personne.
La Loi sur le tribunal créera un nouveau tribunal chargé d’instruire les affaires relevant de la LPVPC, et la LIAD réglementera les échanges et le commerce internationaux et interprovinciaux en matière de systèmes d’intelligence artificielle.
Parmi les dispositions de la LPVPC, le consentement éclairé demeure la principale source d’autorité permettant aux organisations de recueillir des renseignements personnels.[2] Il comprend le droit de demander le retrait des renseignements personnels à la demande d’une personne[3], et précise également les « exceptions au consentement » pour la collecte, l’utilisation ou la communication des renseignements personnels dans le cadre de certaines activités commerciales et à des fins socialement bénéfiques.[4] La LPVPC impose des sanctions administratives pécuniaires s’il a été établi qu’une organisation a contrevenu à des dispositions de la loi.[5]
Le traitement des renseignements personnels des mineurs présente un intérêt pour le secteur de l’éducation, puisqu’ils sont considérés comme étant « de nature sensible ».[6] Étant donné qu’ils sont considérés comme « sensibles », les renseignements personnels des mineurs qui sont transférés par une commission scolaire à une organisation régie par la LPVPC doivent faire l’objet de mesures de protection supplémentaires.[7] Lorsqu’elles concluent un accord prévoyant le transfert de renseignements personnels appartenant à des mineurs, les commissions scolaires financées par une province doivent veiller, contractuellement ou autrement, à ce que l’organisation qui les reçoit offre à l’égard des renseignements sensibles le niveau de protection requis.[8]
En vertu de l’article 4a) de la LPVPC, un parent ou un tuteur est autorisé à donner son consentement au nom d’un enfant. Notamment, la LPVPC ne dicte pas l’âge auquel un enfant est considéré comme étant capable de fournir son consentement; le projet de loi prévoit plutôt qu’un enfant peut exercer un contrôle s’il a la volonté et la « capacité de le faire ».[9]
Si elle est adoptée, la LPVPC exigera également que les organisations commerciales qui fournissent aux commissions scolaires des services liés aux renseignements personnels des mineurs protègent ceux-ci au moyen de mesures de sécurité matérielles, organisationnelles et techniques, et que le degré de protection soit proportionnel à la mesure dans laquelle les renseignements sont de nature sensible.[10] Les renseignements personnels des mineurs étant explicitement considérés comme des « renseignements sensibles », leur protection devra être conforme à des normes plus strictes. En cas d’atteinte aux mesures de sécurité ayant trait à des renseignements personnels, la LPVPC imposera aux fournisseurs de services l’obligation d’informer l’organisation dont relèvent ces renseignements personnels, comme une commission scolaire.[11]
Si le projet de loi C-27 est adopté, les commissions scolaires et autres organisations du secteur de l’éducation devront travailler en étroite collaboration avec les fournisseurs de services pour veiller à ce que les accords existants soient conformes aux attentes de la LPVPC. Les commissions scolaires qui concluent de tels accords dans un avenir rapproché devraient envisager de négocier ces protections avant l’adoption du projet de loi C-27.
Nous nous efforcerons de tenir nos lecteurs informés de l’évolution de cette mesure législative.
[1] Philippe Dufresne, commissaire à la protection de la vie privée du Canada, Une vision pour la protection de la vie privée : Droits, confiance et intérêt public, en ligne (4 novembre 2022).
[2] Article 15.
[3] Article 55.
[4] Articles 18 à 52.
[5] Paragraphe 94(1).
[6] Article 2(2).
[7] Annonce – Le Commissariat à la protection de la vie privée met à jour les orientations concernant les renseignements sensibles (13 août 2021).
[8] Paragraphes 11(1) et 11(2)
[9] Article 4a).
[10] Article 57(1).
[11] Article 61.
