Pr\u00e9sent\u00e9 le 15\u00a0juin 2026, le projet de loi\u00a0C-36[1]<\/a> vise l\u2019adoption de la Loi visant \u00e0 prot\u00e9ger la vie priv\u00e9e et les donn\u00e9es des consommateurs<\/em><\/a> (la \u00ab\u2009LPVPDC\u2009<\/strong>\u00bb). La LPVPDC marque une nouvelle \u00e9tape dans la volont\u00e9 du gouvernement f\u00e9d\u00e9ral de moderniser la l\u00e9gislation canadienne en mati\u00e8re de protection de la vie priv\u00e9e afin de l\u2019adapter aux exigences d\u2019une \u00e9conomie de plus en plus ax\u00e9e sur les donn\u00e9es. Il s\u2019agit de la troisi\u00e8me initiative majeure visant \u00e0 r\u00e9former la Loi sur la protection des renseignements personnels et les documents \u00e9lectroniques <\/em>(la \u00ab\u2009LPRPDE<\/strong>\u2009\u00bb) apr\u00e8s l\u2019\u00e9chec du projet de loi\u00a0C-11 en 2020 et du projet de loi\u00a0C-27 en 2022. Contrairement au projet de loi\u00a0C-27, qui r\u00e9unissait la r\u00e9forme du droit de la protection de la vie priv\u00e9e et l\u2019adoption d\u2019un cadre r\u00e9glementaire complet applicable \u00e0 l\u2019intelligence artificielle, le projet de loi\u00a0C-36 vise principalement \u00e0 moderniser les lois du Canada en mati\u00e8re de protection de la vie priv\u00e9e. Plusieurs dispositions de ce projet de loi, notamment celles relatives aux m\u00e9canismes automatis\u00e9s de prise de d\u00e9cision, auront des r\u00e9percussions importantes sur les organisations qui optent pour l\u2019utilisation d\u2019outils d\u2019IA.<\/p>\n\n\n\n Dans la continuit\u00e9 de ses pr\u00e9d\u00e9cesseurs, le projet de loi C-36 cherche \u00e0 aller au-del\u00e0 des grands principes de protection de la vie priv\u00e9e et \u00e0 \u00e9tablir un cadre plus d\u00e9taill\u00e9 visant \u00e0 r\u00e9gir la mani\u00e8re dont les organisations recueillent, utilisent, communiquent et g\u00e8rent les renseignements personnels.<\/p>\n\n\n\n Le d\u00e9p\u00f4t du projet de loi\u00a0C-36 s\u2019inscrit dans le cadre d\u2019une initiative f\u00e9d\u00e9rale plus large visant \u00e0 r\u00e9glementer le paysage num\u00e9rique au Canada, aux c\u00f4t\u00e9s des projets de loi\u00a0C-34 et C-22. Le projet de loi\u00a0C-34 a pour objectif de donner plein effet \u00e0 la Loi sur les m\u00e9dias sociaux s\u00e9curitaires<\/em>, en instaurant de nouvelles exigences de s\u00e9curit\u00e9 pour les m\u00e9dias sociaux et les services des agents conversationnels aliment\u00e9s par l\u2019IA, et de cr\u00e9er la Commission canadienne de la s\u00e9curit\u00e9 num\u00e9rique charg\u00e9e d\u2019administrer ce nouveau cadre. Le projet de loi\u00a0C-22 (Loi concernant l\u2019acc\u00e8s l\u00e9gal) a pour objectif de modifier plusieurs lois, notamment le Code criminel et la Loi sur le Service canadien du renseignement de s\u00e9curit\u00e9, afin d\u2019instaurer un r\u00e9gime actualis\u00e9 pour encadrer l\u2019acc\u00e8s l\u00e9gal aux renseignements \u00e9lectroniques. Pour une vue d\u2019ensemble de la nouvelle strat\u00e9gie canadienne en mati\u00e8re d\u2019IA et de donn\u00e9es<\/a>, veuillez consulter l\u2019article que nous avons publi\u00e9 r\u00e9cemment.<\/p>\n\n\n\n Bien que les changements structurels soient importants, notamment la mise en place d\u2019un nouvel organisme de r\u00e9glementation, c\u2019est-\u00e0-dire la Commission canadienne de la s\u00e9curit\u00e9 num\u00e9rique et de la protection des donn\u00e9es (la \u00ab\u2009Commission<\/strong>\u2009\u00bb), les r\u00e9percussions r\u00e9elles du projet de loi C-36 r\u00e9sident dans l\u2019adoption d\u2019un cadre plus formel de conformit\u00e9 en mati\u00e8re de protection de la vie priv\u00e9e, document\u00e9 et r\u00e9glement\u00e9.<\/p>\n\n\n\n En vertu de la LPRPDE, les organisations disposent d\u2019une certaine souplesse pour interpr\u00e9ter les grands principes de protection de la vie priv\u00e9e et les appliquer gr\u00e2ce \u00e0 leurs politiques internes et \u00e0 l\u2019exercice de leur jugement. Le projet de loi C-36 r\u00e9duit cette souplesse en imposant des exigences l\u00e9gales explicites en mati\u00e8re de gouvernance, de documentation et de transparence.<\/p>\n\n\n\n Dans la pratique, la conformit\u00e9 devient plus structur\u00e9e, plus codifi\u00e9e et plus visible. Les organisations devront se conformer aux r\u00e8gles \u00e9tablies et \u00eatre en mesure de d\u00e9montrer, au moyen de documents justificatifs, les mesures mises en place pour y parvenir. Ces dispositions t\u00e9moignent d\u2019un resserrement important des attentes \u00e0 l\u2019\u00e9gard des organisations, en s\u2019\u00e9loignant de la souplesse qui pr\u00e9valait sous le r\u00e9gime de la LPRPDE.<\/p>\n\n\n\n Le projet de loi C-36 d\u00e9finit clairement les obligations relatives \u00e0 la gouvernance de la protection de la vie priv\u00e9e. Les organisations seront tenues de respecter ce qui suit :<\/p>\n\n\n\n Le projet de loi C-36 impose \u00e9galement des limites plus claires \u00e0 l\u2019\u00e9gard de l\u2019utilisation des renseignements personnels. Les organisations seront tenues de fournir des explications claires r\u00e9dig\u00e9es en langage clair pour l\u2019obtention du consentement, et le consentement expr\u00e8s sera la r\u00e8gle par d\u00e9faut, \u00e0 moins que le consentement implicite ne soit jug\u00e9 appropri\u00e9 dans certaines circonstances.<\/p>\n\n\n\n M\u00eame si ces principes existaient d\u00e9j\u00e0, le projet de loi C-36 franchit une \u00e9tape suppl\u00e9mentaire en exigeant des organisations qu\u2019elles documentent la fa\u00e7on dont elles parviennent \u00e0 leurs d\u00e9cisions. Les d\u00e9cisions fond\u00e9es uniquement sur un jugement informel pourraient ne plus \u00eatre suffisantes.<\/p>\n\n\n\n Le projet de loi applique cette m\u00eame approche tout au long de ses dispositions, en imposant notamment ce qui suit :<\/p>\n\n\n\n Ces exigences t\u00e9moignent du r\u00f4le central qu\u2019occupent d\u00e9sormais la documentation et la formalisation des processus dans l\u2019atteinte de la conformit\u00e9.<\/p>\n\n\n\n Le projet de loi C-36 modernise le r\u00e9gime juridique en y int\u00e9grant plusieurs concepts adapt\u00e9s aux r\u00e9alit\u00e9s actuelles de l\u2019environnement des donn\u00e9es, tout en \u00e9largissant le cadre r\u00e9glementaire pour suivre l\u2019\u00e9volution des pratiques en mati\u00e8re de donn\u00e9es et des technologies.<\/p>\n\n\n\n \u00c0 l\u2019image du projet de loi\u00a0C-27, la LPVPDC pr\u00e9voit un traitement distinct des renseignements anonymis\u00e9s et des renseignements d\u00e9personnalis\u00e9s. Les renseignements anonymis\u00e9s \u00e9tant exclus du champ d\u2019application de la loi, seuls les renseignements d\u00e9personnalis\u00e9s demeurent vis\u00e9s par la LPVPDC, qui en encadre l\u2019utilisation au moyen de r\u00e8gles pr\u00e9cises, notamment des restrictions applicables aux tentatives de r\u00e9identification.<\/p>\n\n\n\n Les organisations qui utilisent de tels syst\u00e8mes seraient tenues au respect des exigences de transparence et d\u2019acc\u00e8s pr\u00e9vues par la LPVPDC, notamment \u00e0 l\u2019obligation de fournir, sur demande, aux particuliers concern\u00e9s une explication des d\u00e9cisions automatis\u00e9es ayant des r\u00e9percussions importantes sur eux.<\/p>\n\n\n\n Les renseignements personnels relatifs aux enfants sont express\u00e9ment reconnus pour leur caract\u00e8re particuli\u00e8rement sensible et pour le fait qu\u2019ils m\u00e9ritent une plus grande protection.<\/p>\n\n\n\n Les particuliers auraient le droit de demander la suppression de renseignements personnels dans certaines circonstances, d\u2019exercer leurs droits d\u2019acc\u00e8s et de modification, et de demander le transfert de leurs renseignements personnels \u00e0 une autre organisation, les modalit\u00e9s en mati\u00e8re de mobilit\u00e9 des donn\u00e9es devant \u00eatre \u00e9tablies ult\u00e9rieurement par r\u00e8glement.<\/p>\n\n\n\n Le projet de loi C-36 fait une distinction claire entre les organisations qui contr\u00f4lent les renseignements personnels et les fournisseurs de services qui traitent ces renseignements en leur nom. La LPVPDC d\u00e9finit express\u00e9ment le terme \u00ab fournisseur de services \u00bb et autorise les organisations \u00e0 transf\u00e9rer des renseignements personnels \u00e0 des fournisseurs de services sans consentement suppl\u00e9mentaire de la part des particuliers concern\u00e9s. Les organisations conservent leur responsabilit\u00e9 \u00e0 l\u2019\u00e9gard des renseignements personnels transf\u00e9r\u00e9s \u00e0 des fournisseurs de services. Toutefois, ces fournisseurs sont express\u00e9ment reconnus comme des acteurs distincts en vertu de la loi et doivent respecter des obligations directes, notamment en ce qui concerne la protection des renseignements et la d\u00e9claration de toute atteinte aux mesures de s\u00e9curit\u00e9.<\/p>\n\n\n\n Il est important de noter que, si un fournisseur de services recueille, utilise ou communique des renseignements personnels transf\u00e9r\u00e9s \u00e0 des fins autres que celles pour lesquelles ils ont \u00e9t\u00e9 transf\u00e9r\u00e9s, le fournisseur de services se trouve alors tenu de respecter l\u2019ensemble des obligations que la LPVPDC impose \u00e0 l\u2019\u00e9gard de ces renseignements.<\/p>\n\n\n\n Bien que le consentement demeure la r\u00e8gle par d\u00e9faut, le projet de loi C-36 reconna\u00eet que les organisations peuvent parfois utiliser des renseignements personnels sans avoir obtenu le consentement. Cette orientation illustre un virage vers un cadre permettant de soutenir certaines activit\u00e9s commerciales courantes tout en r\u00e9duisant la d\u00e9pendance exclusive au consentement.<\/p>\n\n\n\n La plus marquante de ces mesures est l\u2019adoption d\u2019une exception fond\u00e9e sur l\u2019\u00ab int\u00e9r\u00eat l\u00e9gitime \u00bb dans certaines activit\u00e9s commerciales. Dans une situation d\u2019int\u00e9r\u00eat l\u00e9gitime, les organisations pourraient traiter des renseignements personnels sans consentement si leurs besoins commerciaux ont pr\u00e9s\u00e9ance par rapport \u00e0 toute r\u00e9percussion n\u00e9gative raisonnablement pr\u00e9visible pour le particulier concern\u00e9.<\/p>\n\n\n\n Cette souplesse s\u2019accompagne toutefois de certaines conditions. Avant d\u2019utiliser des renseignements sans consentement, les organisations doivent s\u2019assurer de ce qui suit :<\/p>\n\n\n\n Il est important de souligner que les organisations qui invoquent cette exception doivent proc\u00e9der \u00e0 une \u00e9valuation des r\u00e9percussions sur la vie priv\u00e9e, distinguer les risques et les r\u00e9duire au minimum, documenter leur analyse justifiant le recours \u00e0 l\u2019exception et ajouter \u00e0 leurs politiques publiques de confidentialit\u00e9 une description de toute activit\u00e9 entreprise en se pr\u00e9valant de l\u2019exception fond\u00e9e sur l\u2019int\u00e9r\u00eat l\u00e9gitime.<\/p>\n\n\n\n Dans la pratique, les d\u00e9cisions prises en vertu de cette exception devraient \u00eatre soigneusement analys\u00e9es et document\u00e9es.<\/p>\n\n\n\n D\u2019autres exceptions relatives \u00e0 la pr\u00e9vention de la fraude, \u00e0 la recherche, \u00e0 l\u2019emploi, aux activit\u00e9s commerciales et aux situations d\u2019urgence s\u2019inscrivent \u00e9galement dans ce m\u00eame cadre structur\u00e9.<\/p>\n\n\n\n La Commission sera charg\u00e9e d\u2019administrer et de faire respecter la LPVPDC ainsi que la Loi sur la s\u00e9curit\u00e9 num\u00e9rique<\/em>, et un commissaire \u00e0 la protection de la vie priv\u00e9e et des donn\u00e9es des consommateurs sera d\u00e9sign\u00e9 pour diriger l\u2019application de la loi. Cette disposition repr\u00e9sente une restructuration importante du mod\u00e8le d\u2019application de la loi en mati\u00e8re de protection de la vie priv\u00e9e au Canada, du fait que la surveillance de la protection de la vie priv\u00e9e dans le secteur priv\u00e9 a \u00e9t\u00e9 retir\u00e9e au Commissariat \u00e0 la protection de la vie priv\u00e9e du Canada (le \u00ab CPVP<\/strong> \u00bb) et transf\u00e9r\u00e9e \u00e0 la nouvelle commission. Le CPVP sera maintenu, mais concentrera d\u00e9sormais ses efforts principalement sur la protection de la vie priv\u00e9e dans le secteur public.<\/p>\n\n\n\n Cette refonte institutionnelle traduit l\u2019intention du Parlement d\u2019int\u00e9grer l\u2019application de la loi en mati\u00e8re de protection de la vie priv\u00e9e \u00e0 une r\u00e9glementation plus large en mati\u00e8re de s\u00e9curit\u00e9 num\u00e9rique sous l\u2019autorit\u00e9 d\u2019un seul organisme de r\u00e9glementation. Elle marque \u00e9galement une rupture avec le mod\u00e8le traditionnel canadien de la LPRPDE, dans le cadre duquel le CPVP agissait en tant qu\u2019agent ind\u00e9pendant du Parlement charg\u00e9 d\u2019enqu\u00eater sur les plaintes relatives \u00e0 la protection de la vie priv\u00e9e dans le secteur priv\u00e9 et de formuler des conclusions non contraignantes.<\/p>\n\n\n\n Les dispositions d\u2019application propos\u00e9es par la LPVPDC repr\u00e9sentent une augmentation importante de la responsabilit\u00e9 des entreprises en cas de non-conformit\u00e9. En effet, la commission aura le pouvoir de rendre des ordonnances de conformit\u00e9 ex\u00e9cutoires et d\u2019imposer d\u2019importantes sanctions administratives p\u00e9cuniaires :<\/p>\n\n\n\n La LPVPDC instaure \u00e9galement un droit d\u2019action priv\u00e9, permettant aux particuliers de r\u00e9clamer directement des dommages-int\u00e9r\u00eats devant les tribunaux en cas de violation de cette loi. Ceci repr\u00e9sente un changement important par rapport \u00e0 la LPRPDE, en vertu de laquelle les particuliers n\u2019\u00e9taient pas en mesure de poursuivre directement les organisations pour atteinte \u00e0 la vie priv\u00e9e.<\/p>\n\n\n\n Le projet de loi C-36 a encore un long cheminement \u00e0 parcourir sur le plan l\u00e9gislatif, mais son objectif est clair. Un cadre juridique formel et r\u00e9glement\u00e9 en mati\u00e8re de protection de la vie priv\u00e9e pourrait voir le jour et les organisations devraient s\u2019y pr\u00e9parer en examinant les points suivants :<\/p>\n\n\n\n D\u00e9terminez la personne qui, au sein de votre organisation, est responsable de la conformit\u00e9 en mati\u00e8re de protection des renseignements personnels, de la surveillance et de la pr\u00e9paration des rapports. Les r\u00f4les en mati\u00e8re d\u2019imputabilit\u00e9 en interne doivent \u00eatre clairement \u00e9tablis.<\/p>\n\n\n\n V\u00e9rifiez si les programmes actuels de gestion de la protection de la vie priv\u00e9e r\u00e9pondent aux exigences du projet de loi\u00a0C-36, notamment en mati\u00e8re d\u2019imputabilit\u00e9, de processus document\u00e9s, de conformit\u00e9 des proc\u00e9dures de traitement et de rapports \u00e0 pr\u00e9senter aux autorit\u00e9s de r\u00e9glementation.<\/p>\n\n\n\n V\u00e9rifiez si vos formulaires de consentement sont r\u00e9dig\u00e9s de mani\u00e8re claire et compr\u00e9hensible et s\u2019ils sont adapt\u00e9s pour la collecte, l\u2019utilisation ou la communication des renseignements personnels. Les organisations devraient \u00e9galement \u00e9valuer si certaines activit\u00e9s doivent faire l\u2019objet d\u2019une analyse de l\u2019int\u00e9r\u00eat l\u00e9gitime d\u00fbment document\u00e9e.<\/p>\n\n\n\n V\u00e9rifiez les accords conclus avec les fournisseurs de services afin de vous assurer qu\u2019ils pr\u00e9voient des obligations de protection et que l\u2019utilisation des renseignements personnels par ces derniers y est clairement encadr\u00e9e.<\/p>\n\n\n\n Les organisations qui utilisent des outils aliment\u00e9s par l\u2019IA ou des algorithmes doivent recenser les situations dans lesquelles des d\u00e9cisions automatis\u00e9es importantes sont prises et v\u00e9rifier qu\u2019elles disposent des \u00e9l\u00e9ments n\u00e9cessaires pour fournir des justifications compr\u00e9hensibles lorsqu\u2019elles sont exig\u00e9es.<\/p>\n\n\n\n Les organisations devraient \u00e9galement \u00e9valuer les secteurs op\u00e9rationnels susceptibles de faire l\u2019objet d\u2019un examen minutieux, notamment les transferts transfrontaliers de donn\u00e9es, la r\u00e9ponse \u00e0 toute atteinte aux mesures de s\u00e9curit\u00e9 et la transparence concernant l\u2019utilisation des donn\u00e9es.<\/p>\n\n\n\n Le projet de loi C-36 va au-del\u00e0 du cadre juridique souple pr\u00e9vu dans la LPRPDE pour l\u2019instauration d\u2019un syst\u00e8me plus structur\u00e9 assorti de m\u00e9canismes d\u2019application renforc\u00e9s. La souplesse du r\u00e9gime est en partie pr\u00e9serv\u00e9e, mais elle repose toutefois sur l\u2019obligation pour les organisations de documenter clairement leurs d\u00e9cisions et de les justifier.<\/p>\n\n\n\n Le principal message \u00e0 retenir est simple : sous le r\u00e9gime du projet de loi C-36, la conformit\u00e9 doit \u00eatre d\u00e9montr\u00e9e et pas simplement affirm\u00e9e. L\u2019enjeu pour les organisations ne consiste plus uniquement \u00e0 d\u00e9montrer le bien-fond\u00e9 de leurs pratiques, mais \u00e0 s\u2019assurer d\u2019\u00eatre document\u00e9es, encadr\u00e9es et suffisamment robustes pour r\u00e9pondre aux attentes des organismes de r\u00e9glementation. Nous poursuivrons notre veille l\u00e9gislative sur le projet de loi C-36 tout au long de son examen par le Parlement et nous vous tiendrons inform\u00e9s de toute \u00e9volution susceptible d\u2019avoir une incidence importante sur votre organisation. Pour toute question concernant le projet de loi ou pour un examen de vos pratiques en mati\u00e8re de protection de la vie priv\u00e9e, communiquez avec un avocat de notre \u00e9quipe Protection de la vie priv\u00e9e et cybers\u00e9curit\u00e9<\/a><\/p>\n\n\n\nPourquoi est-ce important\u2009?<\/h2>\n\n\n\n
Quand les principes souples c\u00e8dent la place \u00e0 des r\u00e8gles explicites<\/h2>\n\n\n\n
\n
\n
\u00c9largissement du champ d\u2019application\u00a0: pratiques en mati\u00e8re de donn\u00e9es et technologies \u00e9mergentes<\/h2>\n\n\n\n
Renseignements anonymis\u00e9s ou d\u00e9personnalis\u00e9s<\/h3>\n\n\n\n
Syst\u00e8mes de prise de d\u00e9cision automatis\u00e9s<\/h3>\n\n\n\n
Renseignements personnels relatifs aux enfants<\/h3>\n\n\n\n
Droits des particuliers<\/h3>\n\n\n\n
Fournisseurs de services<\/h3>\n\n\n\n
Int\u00e9r\u00eat l\u00e9gitime et traitement sans consentement<\/h2>\n\n\n\n
\n
Nouveaux pouvoirs d\u2019application de la loi par la Commission et droit d\u2019action priv\u00e9<\/h2>\n\n\n\n
\n
Que faire maintenant\u2009?<\/h2>\n\n\n\n
Structures de gouvernance<\/h3>\n\n\n\n
Programmes de gestion de la protection de la vie priv\u00e9e<\/h3>\n\n\n\n
Libell\u00e9 des formulaires de consentement<\/h3>\n\n\n\n
Contrats avec les fournisseurs de services<\/h3>\n\n\n\n
Syst\u00e8mes automatis\u00e9s de prise de d\u00e9cision<\/h3>\n\n\n\n
Transferts transfrontaliers, r\u00e9ponse \u00e0 toute atteinte aux mesures de s\u00e9curit\u00e9 et transparence<\/h3>\n\n\n\n
Conclusion<\/h2>\n\n\n\n
\n\n\n\n