Consulter le guide complet »
Protection des renseignements personnels
La protection de la vie privée est importante pour les Canadiens. Les progrès technologiques permettent aux organisations de recueillir, de stocker, de transférer et de divulguer plus de renseignements personnels sur les consommateurs et leurs employés que jamais auparavant. Cette accumulation de renseignements personnels augmente les risques pour les organisations qui font des affaires dans le pays.
À l'ère des médias sociaux, de l'informatique nuagique, des réseaux mondiaux et de la circulation internationale des données, les incidents d'atteinte à la sécurité des données et de vol d'identité font souvent les manchettes au Canada, surtout depuis l'apparition des actions collectives pour remédier aux atteintes à la vie privée. De ce fait, la protection de la vie privée devient une préoccupation de politique publique de plus en plus pressante.
Le Canada a adopté une loi fédérale générale sur la protection de la vie privée qui s'applique au secteur privé. De plus, certaines provinces ont adopté des lois sur la protection de la vie privée, tant générales que propres à des industries spécifiques au sein du secteur privé.
- Le paysage de la protection de la vie privée au Canada
- Employeurs
- Déclarations d'atteintes à la vie privée
- Transferts transfrontaliers et externalisation
- Application de la loi
- Règlement général sur la protection de la vie privée
1. Le paysage de la protection de la vie privée au Canada
a. Fédéral
Au Canada, la loi fédérale intitulée Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) réglemente la collecte, l'utilisation et la communication des renseignements personnels dans le secteur privé. Le terme « renseignements personnels » est défini au sens large dans la Loi comme tout « renseignement concernant un individu identifiable », qu'il soit public ou privé, à quelques exceptions près.
La LPRPDE s'applique aux activités d'entreprises dans des ouvrages, des installations, des entreprises et des secteurs d'activités fédéraux et ainsi qu'aux organisations du secteur privé qui recueillent, utilisent ou communiquent des renseignements personnels dans le cadre d'activités commerciales dans des provinces qui n'ont pas de loi essentiellement similaire. L'application de la LPRPDE aux renseignements personnels sur les employés se limite aux organisations exerçant des activités d'entreprises dans des ouvrages, des installations, des entreprises et des secteurs d'activités fédéraux, par exemple :
- Les lignes aériennes
- Les aéroports
- Les banques
- Les diffuseurs
- Les télécommunications
- Les chemins de fer interprovinciaux
- Le transport interprovincial ou international par camion, par bateau ou par d'autres moyens de transport
- L'énergie nucléaire
- Le forage en mer
- Activités liées à la navigation maritime
La LPRPDE est une loi qui s'applique à la collecte de renseignements personnels, quelle que soit la technologie utilisée. Elle s'applique à tous les renseignements personnels qui circulent au-delà des frontières provinciales ou nationales dans le cadre de transactions commerciales.
La conformité à la LPRPDE est assujettie à une norme prépondérante de caractère raisonnable selon laquelle les organisations ne peuvent recueillir, utiliser et communiquer des renseignements personnels « qu'à des fins qu'une personne raisonnable estimerait acceptables dans les circonstances ». Cette exigence s'applique même si la personne a consenti à la collecte, à l'utilisation ou à la communication de ses renseignements personnels.
La Loi ne s'applique pas dans les provinces qui ont adopté une loi sur la protection des renseignements personnels que le gouvernement fédéral juge « essentiellement similaire » à la LPRPDE. À l'heure actuelle, seules l'Alberta, la Colombie-Britannique et le Québec ont adopté des lois « essentiellement similaires » en matière de protection de la vie privée. Toutefois, la LPRPDE continue de s'appliquer aux entreprises qui exercent des activités d'entreprises dans des ouvrages, des installations, des entreprises et des secteurs d'activités fédéraux dans ces provinces, ainsi qu'aux transactions interprovinciales et internationales effectuées par toute organisation assujettie à la LPRPDE dans le cadre de ses activités commerciales.
De plus, les dépositaires de renseignements sur la santé, comme les médecins, le personnel infirmier et les hôpitaux, en Ontario, au Nouveau-Brunswick, en Nouvelle-Écosse et à Terre-Neuve-et-Labrador, sont exemptés de la LPRPDE en ce qui a trait aux renseignements personnels sur la santé, car ces provinces disposent de lois portant spécifiquement sur la protection ces renseignements, lesquelles ont été jugées « essentiellement similaires » à la LPRPDE. Les organisations qui exercent leurs activités à l'échelle interprovinciale ou internationale sont tenues de se conformer aux lois provinciales et fédérales sur la protection des renseignements personnels. Il est à noter que d'autres provinces canadiennes disposent aussi de lois qui n'ont pas encore été jugées « essentiellement similaires » à la LPRPDE, signifiant que la loi portant spécifiquement sur la santé et la LPRPDE sont toutes deux potentiellement applicables au sein de ces provinces.
b. Provincial
L'Alberta, la Colombie-Britannique et le Québec ont adopté des lois générales sur la protection des renseignements personnels dans le secteur privé, intitulées Personal Information Protection Act (PIPA) en Alberta et en Colombie-Britannique, et Loi sur la protection des renseignements personnels dans le secteur privé au Québec.
Bien que ces lois provinciales soient en principe semblables à la LPRPDE, il existe d'importantes différences dans les détails. Ces lois s'appliquent généralement à toutes les organisations du secteur privé pour la collecte, l'utilisation et la communication de renseignements personnels (pas seulement en ce qui concerne les activités commerciales) ainsi qu'aux renseignements personnels des employés. La Loi sur la protection des renseignements personnels du Québec s'applique également à la collecte, à l'utilisation et à la communication de renseignements personnels sur la santé par le secteur privé.
c. Aperçu de la législation
Toutes les lois canadiennes sur la protection des renseignements personnels, y compris la LPRPDE, reflètent les dix principes suivants énoncés dans les Lignes directrices de l'Organisation de coopération et de développement économiques, créées au début des années 1980 :
- Responsabilité
- Détermination des fins de la collecte des renseignements
- Consentement
- Limitation de la collecte
- Limitation de l'utilisation, de la communication et de la conservation
- Exactitude
- Mesures de sécurité
- Transparence
- Accès aux renseignements personnels
- Possibilité de porter plainte à l'égard du non-respect des principes
Tel qu'il est indiqué à la section « Fédéral » ci-dessus, la norme de caractère raisonnable est considérée comme la règle primordiale de la législation canadienne sur la protection de la vie privée. On ne peut contourner cette norme en obtenant consentement à une collecte, à une utilisation ou à une communication objectivement déraisonnable de renseignements personnels. Dans la plupart des cas, les organisations doivent obtenir le consentement explicite ou implicite de l'individu pour recueillir, utiliser ou communiquer les renseignements personnels de celui-ci.
Les quatre principales lois régissant le secteur privé appliquent des principes semblables :
- Les renseignements personnels ne peuvent être recueillis, utilisés ou communiqués qu'au su et avec le consentement de la personne.
- La collecte de renseignements personnels doit se limiter à ce qui est nécessaire aux fins déterminées.
- Les renseignements personnels doivent être obtenus par des moyens justes et licites.
Selon les lignes directrices publiées par le Commissariat à la protection de la vie privée (le CPVP) le 1er janvier 2019, l'obtention d'un consentement valable exigera une plus grande transparence quant à la façon dont les données sont recueillies, utilisées et communiquées. Le CPVP a également souligné que le « consentement explicite » est celui qui s'applique par défaut, alors que le consentement implicite suffira uniquement dans certains cas bien précis.
Dans leurs politiques en matière de protection de la vie privée, les organisations sont tenues d'indiquer précisément les renseignements personnels qui seront recueillis; de nommer les tiers auxquels les renseignements personnels seront communiqués; et d'expliquer, en termes clairs, compréhensibles et précis, les fins auxquelles les renseignements personnels seront recueillis, utilisés ou communiqués. Les organisations devraient établir une distinction entre les fins qui sont essentielles à la prestation d'un service et celles qui ne le sont pas. Si elles sont présentées comme obligatoires, la collecte, l'utilisation ou la communication de renseignements personnels doivent être essentielles à la fourniture du produit ou du service. Le consommateur doit avoir le droit de faire un choix en lien avec la collecte, l'utilisation et la communication non essentielles de renseignements personnels. En outre, les organisations doivent expliquer les risques de préjudice et autres conséquences qui persistent après l'application de mesures d'atténuation en vue de minimiser les risques.
Les organisations doivent également permettre aux individus de déterminer à quel point et quand ils souhaitent obtenir de l'information détaillée, et leur donner le choix de dire oui ou non.
Les renseignements personnels doivent être protégés par des mesures de protection adaptées au degré de sensibilité de l'information. Par exemple, les renseignements très sensibles, comme les données financières, doivent recevoir un niveau de sécurité proportionnellement élevé qui devrait inclure des mesures de protection physique, organisationnelle et technologique. De plus, les particuliers doivent avoir facilement accès aux données sur les politiques et pratiques d'une organisation en matière de protection des renseignements personnels.
L'Alberta, la Colombie-Britannique (pour certaines bases de données désignées), le Manitoba, le Nouveau-Brunswick, Terre-Neuve-et-Labrador, la Nouvelle-Écosse, l'Ontario, la Saskatchewan, l'Île-du-Prince-Édouard, les Territoires du Nord-Ouest et le Yukon disposent de lois régissant expressément la collecte, l'utilisation et la communication des renseignements personnels sur la santé. Toutes les provinces et tous les territoires du Canada ont adopté des lois qui régissent la collecte, l'utilisation et la communication des renseignements personnels dans le secteur public. Dans la mesure où des organisations du secteur privé passent des contrats avec des organismes publics et obtiennent ou reçoivent des renseignements personnels qui sont sous la « garde et le contrôle » de ces organismes publics, la législation du secteur public s'appliquera en vue de régir le traitement de ces renseignements, et l'organisation du secteur privé doit être consciente du potentiel de demandes d' « accès à l'information » pouvant avoir une incidence sur les renseignements.
Dans certains secteurs de l'industrie, des exigences supplémentaires s'appliquent selon la nature du consentement demandé. Par exemple, plusieurs provinces, dont l'Ontario et la Nouvelle-Écosse, imposent des exigences relatives à la taille des caractères pour les demandes de consentement et d'avis préalable à l'obtention d'un rapport de bureau de crédit.
2. Employeurs
Conformément aux limites constitutionnelles imposées à la législation fédérale, la LPRPDE ne s'applique qu'aux renseignements sur l'emploi des employés d'organisations sous réglementation fédérale, comme les banques, les compagnies aériennes et les entreprises de télécommunications. Les lois provinciales sur la protection des renseignements personnels s'appliquent aux renseignements sur les employés hors de ces secteurs. Il est important de noter que la Loi sur la protection des renseignements personnels dans le secteur privé du Québec n'exclut pas expressément de la portée de sa définition les renseignements sur le « statut professionnel ou d'emploi », tels que le nom, le titre ou l'adresse professionnelle ou le numéro de téléphone au travail.
En vertu de la PIPA de l'Alberta et de la PIPA de la Colombie-Britannique, les employeurs sont autorisés à recueillir, à utiliser ou à communiquer des « renseignements personnels sur les employés » sans avoir à obtenir le consentement de l'employé, si cela est raisonnablement nécessaire pour établir une relation de travail, la gérer ou y mettre fin. La LPRPDE ne contient pas de disposition semblable sur la collecte, l'utilisation et la communication de renseignements personnels en milieu de travail.
Toutefois, la LPRPDE permet de se fier au consentement implicite si la collecte, l'utilisation ou la communication des renseignements est faite à des fins qu'une personne raisonnable estimerait acceptables dans les circonstances. Là encore, la notion de caractère raisonnable est essentielle pour déterminer si un employeur est tenu d'obtenir un consentement explicite.
3. Déclarations d'atteintes à la vie privée
Le Canada et ses provinces ont introduit des exigences obligeant les organisations à aviser proactivement les personnes ou les organismes de réglementation compétents en cas d'une atteinte à la protection des données. La LPRPDE, la PIPA et la Health Information Act de l'Alberta, la Personal Health Information Privacy and Access Act du Nouveau-Brunswick, la Personal Health Information Privacy Act de Terre-Neuve-et-Labrador, la Personal Health Information Act de la Nouvelle-Écosse et la Loi de 2004 sur la protection des renseignements personnels sur la santé de l'Ontario, la Health Information Act de l'Île-du-Prince-Édouard et la Health Information Privacy and Management Act du Territoire du Yukon exigent toutes la communication obligatoire d'un avis en cas d'atteinte à la protection des données.
Depuis le 1er novembre 2018, la LPRPDE a rendu obligatoires les avis en cas d'atteinte à la protection des données et oblige les organisations à conserver des dossiers sur toutes les violations de leurs mesures de sécurité.
L'Alberta a été la première administration canadienne à exiger la notification obligatoire des atteintes à la vie privée dans le secteur privé (non lié à la santé). Toute organisation assujettie à la PIPA de l'Alberta est tenue d'aviser le commissaire à l'information et à la protection de la vie privée de la province si des renseignements personnels sous le contrôle de l'organisation sont perdus, consultés ou communiqués sans autorisation, ou si elle a subi une atteinte à la vie privée de quelque façon que ce soit, lorsque l'atteinte risque réellement de causer un préjudice important à une personne en raison de la violation. Dans ces circonstances, le défaut d'aviser le commissaire d'une violation constitue une infraction.
L'obligation de notification n'est déclenchée que si le seuil de préjudice est atteint, lequel est défini comme suit : « lorsqu'une personne raisonnable considérerait qu'il existe un risque réel de préjudice important pour une personne ». Le commissaire a interprété l'expression « préjudice important » comme signifiant « un préjudice matériel... ayant des conséquences ou des effets non triviaux ». Il peut s'agir, par exemple, d'une perte financière, d'un vol d'identité, d'un préjudice physique, d'une humiliation ou d'une atteinte à la réputation professionnelle ou personnelle d'une personne.
De plus, le commissaire exige qu'un « risque réel de préjudice important » soit plus que « purement spéculatif » et pas simplement « hypothétique ou théorique ». Une atteinte liée à des renseignements personnels de nature très délicate, comme les renseignements financiers, est plus susceptible de répondre à cette norme et d'exiger une déclaration.
Si une atteinte à la protection des données franchit le seuil de « risque réel de préjudice important » et qu'elle est signalée de façon appropriée, le commissaire examinera les renseignements fournis par l'organisation pour déterminer si les personnes touchées doivent être avisées de l'atteinte à la protection des données. Dans l'affirmative, le commissaire peut ordonner à l'organisation (ce qu'il fait habituellement) d'aviser les personnes selon la forme et les modalités prescrites par les règlements de la PIPA.
Les règles de la LPRPDE visant la divulgation et notification des atteintes à la sécurité des données exigent que les organismes, en cas de fuites de données, signalent tout incident au Commissariat à la protection de la vie privée du Canada (le Commissariat) et notifient les personnes touchées, ainsi que toute autre organisation ou gouvernement qui pourrait réduire le risque de préjudice. La divulgation et la notification seront requises dans tous les cas où il est raisonnable de croire qu'une atteinte à la protection des données présente un « risque réel de préjudice grave à l'endroit d'un individu ». En vertu de la LPRPDE, un « préjudice grave » vise notamment la lésion corporelle, l'humiliation, le dommage à la réputation ou aux relations, la perte financière, le vol d'identité, l'effet négatif sur le dossier de crédit, le dommage aux biens ou leur perte, et la perte de possibilités d'emploi ou d'occasions d'affaires ou d'activités professionnelles. La Loi détermine l'existence d'un « risque réel de préjudice important » en tenant compte de la sensibilité des renseignements personnels visés par la violation, de la probabilité que les renseignements personnels soient mal utilisés et de tout autre facteur prescrit par règlement.
De plus, la Loi modifie la LPRPDE pour créer des infractions pour non-respect des obligations relatives aux atteintes à la sécurité des données. Une fois cet article entré en vigueur, l'organisation qui omet de signaler et d'enregistrer une infraction ou qui entrave les efforts du commissaire pour enquêter sur une plainte ou effectuer une vérification est passible d'une amende pouvant atteindre 10 000 $ pour une infraction sommaire ou 100 000 $ pour un acte criminel.
4. Transferts transfrontaliers et externalisation
Les transferts transfrontaliers et l'externalisation des renseignements personnels canadiens à l'étranger sont devenus des sujets très importants au Canada. Cette attention s'est concentrée en grande partie sur le fait que les autorités américaines pourraient utiliser la USA Patriot Act pour obtenir les renseignements personnels de Canadiens s'ils se trouvent aux États-Unis ou s'ils sont accessibles depuis les États-Unis.
La LPRPDE et les lois provinciales connexes n'interdisent pas le transfert de renseignements personnels hors du Canada. Toutefois, les lois sur la protection des renseignements personnels dans le secteur public de la Colombie-Britannique et de la Nouvelle-Écosse imposent des restrictions aux organismes publics (et aux organisations qui traitent les renseignements personnels en leur nom) en ce qui a trait au transfert de renseignements personnels. De plus, les organismes de réglementation de la protection de la vie privée ont statué que les personnes concernées doivent être avisées de tels transferts et doivent également recevoir un avis indiquant que ces renseignements personnels peuvent faire l'objet de demandes d'accès de la part de gouvernements, de tribunaux, de responsables de l'application des lois et d'autorités nationales de sécurité à l'étranger, conformément aux lois étrangères.
En outre, à Terre-Neuve-et-Labrador ainsi qu'en Nouvelle-Écosse, les lois sur la protection des renseignements personnels dans le secteur de la santé imposent certaines restrictions aux dépositaires de renseignements sur la santé (et aux organisations qui traitent les renseignements personnels sur la santé en leur nom) en ce qui a trait au transfert hors province de renseignements personnels sur la santé.
La LPRPDE exige qu'une organisation assure un « niveau de protection comparable » lorsque les renseignements personnels sont traités par une tierce partie par « voie contractuelle ou autre ». Ainsi, si une organisation transfère des renseignements personnels à un tiers, le transfert doit être « raisonnable » aux fins pour lesquelles les renseignements ont été initialement recueillis, les renseignements doivent être protégés par voie contractuelle et l'organisation doit être transparente quant à ses pratiques de traitement des renseignements, y compris en avisant les personnes concernées. Cette règle s'applique peu importe que le tiers se trouve au Canada ou à l'étranger. De plus, la Loi sur la protection des renseignements personnels du Québec oblige les organisations à tenir compte des risques potentiels associés au transfert de renseignements personnels hors Québec. Si ces renseignements ne bénéficient pas d'une protection adéquate, ils ne doivent pas être transférés.
La PIPA de l'Alberta impose explicitement des obligations aux organisations qui font appel à des fournisseurs de services hors du Canada pour recueillir, utiliser, communiquer ou stocker des renseignements personnels. Les organisations sont tenues d'aviser les personnes concernées qu'elles vont transférer leurs renseignements personnels à un fournisseur de services hors du pays et d'inclure dans les politiques de l'organisation des renseignements sur ses pratiques d'externalisation.
Ayant récemment conclu processus de consultation officielle (qui a pris fin le 23 septembre 2019) portant sur la question du transfert d'information à des fins de traitement, y compris les transferts transfrontaliers entre organisations, le CPVP a envisagé de demander des modifications législatives à cet égard. Le CPVP s'est penché sur la question de savoir si le consentement préalable devrait être exigé pour toutes les « communications » de renseignements entre organisations, y compris les transferts entre les organisations et leurs fournisseurs de services, et si ces transferts devraient être considérés comme une « communication » plutôt qu'une « utilisation » des renseignements, ce qui représenterait un changement dans les lignes directrices de longue date du CPVP.
Au final, le CPVP a conclu que ses lignes directrices pour le traitement transfrontalier des données à caractère personnel demeureront inchangées.
5. Application de la loi
En plus de la publicité négative, la violation de la législation sur la protection de la vie privée entraîne des conséquences juridiques et financières. Une partie lésée, qu'il s'agisse d'un particulier ou d'une organisation, doit suivre la procédure de l'ombudsman pour déposer une plainte auprès de l'autorité provinciale concernée ou du Commissariat à la protection de la vie privée (CPVP) fédéral.
Le rôle du CPVP est de faciliter le règlement de ces plaintes par persuasion, négociation et médiation. Le CPVP peut décider d'enquêter sur la plainte et de produire un rapport contenant des recommandations non exécutoires fondées sur les conclusions. Le CPVP peut également entreprendre une enquête s'il le juge nécessaire, même en l'absence de plainte. Dans la conduite de l'enquête, le CPVP dispose d'une gamme de pouvoirs, dont celui d'exiger la production de preuves.
Une fois que le CPVP a terminé son enquête et produit un rapport, le CPVP ou le plaignant peut déposer une demande auprès de la Cour fédérale en vue d'exiger l'application de la LPRPDE ou des dommages-intérêts en vertu de celle-ci. Le CPVP peut également imposer une amende pour non-respect de certaines dispositions de la LPRPDE.
En vertu de la PIPA de l'Alberta et de la PIPA de la Colombie-Britannique, le commissaire provincial à la protection de la vie privée compétent a le pouvoir, après enquête, d'ordonner à l'organisation de corriger la situation. Ces ordonnances sont exécutoires devant les tribunaux et constituent le fondement des actions civiles. Au Québec, les ordonnances de la Commission d'accès à l'information peuvent être portées en appel devant la Cour supérieure du Québec.
Le CPVP peut conclure des ententes de conformité avec des organisations qui, à son avis, ont enfreint ou sont sur le point d'enfreindre les dispositions de la LPRPDE. Ces ententes peuvent comprendre toute modalité que le commissaire juge nécessaire pour assurer la conformité à la LPRPDE. Si une organisation partie à une telle entente la viole, le commissaire est autorisé à demander à la Cour fédérale de rendre une ordonnance de conformité ou de tenir une audience. Toutefois, le fait d'être partie à une entente de conformité ne met pas l'organisation à l'abri des poursuites intentées par des particuliers ou des poursuites pour infraction à la LPRPDE.
6. Le Règlement général sur la protection des données
Le Règlement général sur la protection des données (« RGPD ») de l'Union européenne (« UE ») est entré en vigueur le 25 mai 2018. Les entreprises du Canada ont le devoir de déterminer si elles sont ou non visées par le RGPD, et le cas échéant, prendre les mesures requises afin de s'y conformer.
Le RFPD s'applique aux organisations suivantes :
- celles ayant un établissement (filiale ou succursale) dans un pays de l'UE (ou de l'Espace économique européen [EEE]), pour ce qui concerne tous les traitements de données à caractère personnel de cet établissement (en qualité de responsable du traitement ou de sous-traitant, telles que ces expressions sont définies dans le RFPD); et
- celles qui, bien que n'ayant pas d'établissement dans l'UE (ou l'EEE), traiteront (en qualité de responsable du traitement ou de sous-traitant) des données à caractère personnel de personnes physiques qui se trouvent dans l'UE (ou l'EEE) dans le cadre de l'offre de biens ou de services à ces personnes ou du suivi de leur comportement, pour ce qui concerne ces traitements uniquement.
Se conformer au RFPD signifie, avant tout, veiller à ce que les traitements de données à caractère personnel concernés obéissent aux principes suivants, le cas échéant, en fonction des référentiels adoptés par l'autorité du pays concerné :
- licéité, loyauté, transparence;
- limitation des finalités;
- minimisation des données
- exactitude
- limitation à la conservation
- intégrité et confidentialité
- responsabilité
En savoir plus sur les services de Gowling WLG en droit de la vie privée. »