Depuis février 2017, le comité permanent de l'accès à l'information, de la protection des renseignements personnels et de l'éthique de la Chambre des communes (le « Comité  ») passe en revue la Loi sur la protection des renseignements personnels et les documents électroniques (« LPRPDE  »). Plus tôt cette année, le comité a publié son rapport intitulé « Vers la protection de la vie privée dès la conception : « Examen de la Loi sur la protection des renseignements personnels et les documents électroniques » (le « Rapport  ») qui détaillait ses recommandations de révision de la législation. Le gouvernement du Canada a récemment répondu au rapport.

Rapport du comité

Au cours de l'année de revue, le comité a tenu de nombreuses rencontres publiques et entendu de nombreux intervenants, y compris le Commissaire de la protection de la vie privée du Canada, monsieur Daniel Therrien, qui a fait des recommandations au comité dans quatre grandes sous-catégories, à savoir le consentement, la réputation, les pouvoirs d'application du Commissariat à la protection de la vie privée du Canada (le « CPC  ») et la protection adéquate offerte par la LPRPDE.

Les recommandations de mise à jour de la LPRPDE sont fortement influencées par le Règlement général en matière de protection des données de l'Union européenne, (le « RGPD  ») qui est entré en vigueur en mai cette année. Parmi les 19 recommandations se trouvaient les suivantes : 

  • La protection des renseignements personnels, en particulier une fois affichés en ligne, car ils peuvent devenir permanents et avoir un effet dévastateur sur la réputation. À cette fin, le comité a recommandé que la LPRPDE comporte un mécanisme de droit à l'effacement qui, au minimum, offrirait aux jeunes le droit de faire retirer les renseignements affichés en ligne, soit par eux-mêmes soit par le biais de l'organisme;
  • La création d'un mécanisme donnant le droit de déréférencement (le processus qui permet de s'assurer que les renseignements ne figurent plus dans les résultats des moteurs de recherche), en particulier dans le cas des renseignements personnels affichés en ligne par une personne lorsqu'elle était mineure;
  • L'inclusion du droit à la portabilité des renseignements, permettant à la personne de transférer ses renseignements à un autre fournisseur de services afin qu'ils puissent être réutilisés;
  • L'importance de la « protection de la vie privée dès la conception » (qui encourage de mettre l'accent sur la protection de la vie privée dès l'étape de conception des services) et la recommandation de modifier la LPRPDE pour faire de la protection de la vie privée dès la conception un de ses principes fondamentaux.

Il y avait également plusieurs recommandations ayant trait au caractère adéquat du RGPD, dont la recommandation pour le gouvernement du Canada de collaborer avec ses homologues de l'UE en vue de déterminer quels changements, s'il y a lieu, doivent être apportés à la LPRPDE afin de s'assurer qu'elle conserve son caractère adéquat conformément au RGPD.

L'accent a été mis sur la question du consentement, y compris des recommandations que le consentement soit renforcé et précisé dans la mesure du possible afin de s'assurer que l'utilisateur donne un consentement valable et que le consentement positif soit la valeur par défaut pour toute utilisation des renseignements personnels à des fins secondaires. En reconnaissance du fait que les jeunes sont de grands utilisateurs de la technologie de l'information et constituent un groupe particulièrement vulnérable, le rapport a également encouragé le gouvernement du Canada à envisager d'appliquer des règles de consentement spécifiques aux mineurs ainsi que des règlements régissant la collecte, l'utilisation et la divulgation des renseignements personnels des mineurs.

Finalement, le rapport a recommandé que la LPRPDE soit modifiée pour donner des pouvoirs d'application au Commissaire de la protection de la vie privée du Canada, y compris le droit de rendre des ordonnances et d'imposer des amendes en cas de non-conformité. À l'heure actuelle, les instruments d'application dont dispose le Commissariat comprennent les divulgations faites dans l'intérêt public, les ententes de conformité et la possibilité de demander audience à la Cour fédérale; le Commissariat ne peut pas, par contre, rendre d'ordonnances ou imposer d'amendes. Plusieurs témoins ont soutenu ce pouvoir, remarquant qu'il sert à augmenter la conformité, en particulier parmi les petites et moyennes entreprises, et qu'il pourrait créer une jurisprudence qui serait bénéfique à ce secteur dans son ensemble. De façon semblable, le comité à recommandé que le Commissaire de la protection de la vie privée se voit accorder de vastes pouvoirs de vérification et d'enquête autonome. Ceci permettrait au Commissariat de se concentrer sur les domaines où il existe des menaces nouvelles et graves, dans le contexte de la nouvelle technologie en constante évolution, plutôt que de faire enquête sur chaque plainte. 

Réponse du gouvernement du Canada

Dans sa lettre de réponse, monsieur Navdeep Bains, ministre de l'Innovation, des Sciences et du Développement économique, a reconnu que la protection de la vie privée demeure une valeur et une préoccupation fondamentale pour les Canadiens et a signalé que le gouvernement du Canada partage le point de vue du Comité sur le fait qu'il est nécessaire d'apporter des changements au régime de protection de la vie privée au Canada. Le gouvernement envisage de faire participer les Canadiens dans le cadre d'une discussion à l'échelle nationale sur les données et les questions numériques, en vue d'explorer la façon dont le Canada peut mener et réussir dans une économie propulsée par les données et la numérisation tout en assurant le maintien du respect des droits individuels.

Le gouvernement du Canada s'est penché sur plusieurs des recommandations, groupées sous les quatre mêmes thèmes : le consentement, la réputation en ligne, le pouvoir d'application du Commissaire de la vie privée et les répercussions du RGPD de l'UE. 

Consentement

Le gouvernement partage l'avis du comité selon lequel le consentement doit demeurer un élément fondamental de la LPRPDE et que le régime de consentement doit être renforcé et précisé. Le gouvernement s'engage à maintenir l'approche fondée sur les principes de la LPRPDE et hésite à apporter des changements spécifiques à un secteur, tels que la recommandation du Comité d'élargir la portée de l'exception au consentement qui existe à l'heure actuelle relativement à la divulgation de renseignements personnels ayant trait à la prévention des activités reliées au crime financier.

Le gouvernement a déclaré que de récents incidents liés à l'utilisation involontaire de renseignements personnels provenant des médias sociaux soulignent le besoin d'étudier de façon approfondie les répercussions potentielles d'une redéfinition des renseignements « accessibles au public ». Le gouvernement reconnaît que la question est particulièrement critique en ce qui a trait aux renseignements personnels des mineurs, mais fait également mention des défis que constitue le fait d'appliquer des protections spécifiques aux mineurs dans la législation fédérale, en raison du fait que cela entraîne de façon inhérente la définition d'une personne mineure, qui est du ressort des provinces.

Réputation en ligne et respect de la vie privée

Le Commissariat a publié plus tôt cette année son Ébauche d'énoncé de position sur la réputation en ligne, et a soutenu que la LPRPDE contient déjà une protection semblable au droit à l'oubli européen, ou « droit d'effacer ». Dans son rapport, le comité recommandait que la LPRPDE comporte un mécanisme de droit d'effacement.

Dans sa réponse, le gouvernement reconnaît le travail du Commissariat; cependant, en raison des vastes répercussions potentielles du droit d'effacement et du droit de déréférencement dans de nombreux domaines, dont la liberté d'expression et le domaine public, et étant donné que la LPRPDE ne s'applique que dans les contextes commerciaux où interviennent des renseignements personnels, le gouvernement estime qu'il doit déterminer si la LPRPDE est le meilleur instrument juridique pour répondre à ces questions.

Pouvoirs d'application du Commissaire de la protection de la vie privée

Le gouvernement est d'accord avec le comité sur le fait qu'il est temps d'examiner la façon dont le modèle d'application de la LPRPDE peut être amélioré. Pour ce faire, le gouvernement doit étudier d'autres modèles d'application et de conformité et examiner les répercussions potentielles sur le mandat global du Commissariat, les principes de justice fondamentale et les risques à contrario qui sont associés à une augmentation des pouvoirs d'application.

Le gouvernement a l'intention d'étudier plus en détail toute la gamme d'options pour assurer la conformité à la LPRPDE.

Répercussion du RGPD

Le gouvernement a soutenu les recommandations du Comité en ce qui a trait au maintien de la protection adéquate offerte par le Canada. Les responsables travaillent en étroite collaboration avec la Commission européenne, avec une revue de la protection adéquate prévue d'ici 2020. Le gouvernement a signalé que l'UE avait opté pour la notion d'« équivalence essentielle » dans le RGPD pour examiner le degré de protection adéquate des régimes non-membres, plutôt qu'une comparaison point par point. Par conséquent, il n'est pas évident que la LPRPDE doive nécessairement refléter tous les droits et protections du RGPD pour maintenir sa cote de protection adéquate.

Conclusion

Le gouvernement fera participer les Canadiens dans le cadre d'une discussion sur la façon de faire du Canada une société plus avertie en matière de données, en mettant l'accent sur la façon dont les entreprises peuvent recueillir, utiliser et partager les renseignements personnels pour innover et être concurrentielles, tout en protégeant la vie privée. La réponse du gouvernement du Canada est une discussion intéressante sur les enjeux, mais ne permet pas d'obtenir une vue d'ensemble des points de vue du gouvernement. Il semble que le gouvernement du Canada donne priorité aux questions ayant trait à la réputation en ligne, aux pouvoirs d'application du Commissariat à la protection de la vie privée et au besoin pour le Canada de maintenir la protection adéquate avec l'arrivée du RGPD; cependant, il reste à voir quelles modifications, s'il y en a, seront apportées à la LPRPDE.

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.