La PIPA de l'Alberta et de la Colombie-Britannique

L'Alberta et la Colombie-Britannique ont chacune leur propre loi sur la protection des renseignements personnels dans le secteur privé, toutes deux appelées Personal Information Protection Act (PIPA), qui s'appliquent au lieu de la LPRPDE fédérale à la plupart des entreprises exerçant leurs activités dans cette province.

Ce que sont la PIPA de l'Alberta et la PIPA de la Colombie-Britannique

La Personal Information Protection Act de l'Alberta (PIPA, SA 2003, c P-6.5) et la Personal Information Protection Act de la Colombie-Britannique (PIPA, SBC 2003, c 63) portent des noms presque identiques, mais ce sont des lois provinciales adoptées séparément. Chacune encadre la façon dont les organisations du secteur privé recueillent, utilisent et communiquent des renseignements personnels sur des individus dans le cadre d'une activité commerciale à l'intérieur de cette province.

Les deux lois ont été examinées par le gouvernement fédéral et formellement déclarées « substantiellement similaires » à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) fédérale. Cette désignation n'est pas une simple formalité. Selon les propres termes de la LPRPDE, une fois qu'une loi provinciale du secteur privé est déclarée substantiellement similaire, la LPRPDE s'efface et la loi provinciale s'applique plutôt aux organisations et aux opérations qui demeurent entièrement à l'intérieur de cette province.

Seulement trois provinces disposent d'une loi du secteur privé substantiellement similaire de ce type : l'Alberta, la Colombie-Britannique et le Québec (celle du Québec est la Loi 25, traitée séparément). Toutes les autres provinces et tous les autres territoires relèvent de la LPRPDE pour la protection de la vie privée dans le secteur privé.

Pourquoi « substantiellement similaire » ne signifie pas que la LPRPDE disparaît

La LPRPDE ne disparaît pas en Alberta ni en Colombie-Britannique. Elle continue de s'appliquer dans deux situations que la PIPA provinciale ne peut pas atteindre :

• Les entreprises et activités de compétence fédérale. Les banques, les compagnies aériennes, les entreprises de télécommunications, les entreprises de transport interprovincial et international, ainsi que les radiodiffuseurs, sont régis par la LPRPDE partout au Canada, y compris en Alberta et en Colombie-Britannique, peu importe la loi provinciale.
• Les transferts interprovinciaux et internationaux. Lorsque des renseignements personnels traversent une frontière provinciale ou nationale dans le cadre d'une opération commerciale, la LPRPDE peut toujours s'appliquer à ce flux transfrontalier, même si l'organisation est par ailleurs régie par une PIPA provinciale sur son propre territoire.

Ainsi, un détaillant qui n'a des magasins qu'à Calgary est régi par la PIPA de l'Alberta pour ses clients albertains, mais s'il transmet des données à un sous-traitant en Ontario ou aux États-Unis, les principes de la LPRPDE peuvent s'appliquer à ce transfert. Cette structure à paliers est l'aspect le plus mal compris du droit canadien de la protection des renseignements personnels, et il vaut la peine de vérifier avant de présumer que « mon entreprise est en Alberta, donc la LPRPDE ne s'applique jamais à moi ».

Le consentement sous les PIPA provinciales

La PIPA de l'Alberta et celle de la Colombie-Britannique construisent leur cadre de consentement autour de la même idée centrale que la LPRPDE : une organisation a généralement besoin de la connaissance et du consentement d'un individu pour recueillir, utiliser ou communiquer des renseignements personnels à son sujet, et la forme de consentement exigée varie selon la sensibilité des renseignements.

Les deux lois reconnaissent aussi le consentement réputé, parfois décrit en pratique comme un consentement par défaut (opt-out). Lorsqu'une organisation donne un avis clair de sa finalité et offre une possibilité raisonnable de refuser, et que l'individu ne se retire pas, le consentement peut être réputé avoir été donné pour une collecte, une utilisation ou une communication moins sensible. Le consentement peut aussi être exprès (donné par écrit ou verbalement, de façon affirmative) ou implicite selon la conduite de l'individu, encore une fois selon la sensibilité et le contexte. Les deux PIPA énumèrent en outre des circonstances précises où une organisation peut recueillir, utiliser ou communiquer des renseignements personnels sans aucun consentement, comme des exigences légales ou réglementaires, des urgences mettant en jeu la vie, la santé ou la sécurité, et certaines enquêtes.

Ni la PIPA de l'Alberta ni celle de la Colombie-Britannique ne traite le consentement comme une barrière tout ou rien. Le test pratique dans les deux provinces consiste à déterminer si une personne raisonnable considérerait la collecte, l'utilisation ou la communication comme appropriée dans les circonstances, compte tenu de la finalité divulguée et de la forme de consentement obtenue.

Les renseignements personnels des employés : la vraie différence avec la LPRPDE

C'est ici que les deux PIPA provinciales divergent réellement du régime fédéral. En règle générale, la LPRPDE ne vise les renseignements personnels des employés que des organisations qui sont elles-mêmes des entreprises ou activités de compétence fédérale. Un employeur privé en Alberta qui n'est pas de compétence fédérale n'est, en règle générale, aucunement assujetti à la LPRPDE pour ses dossiers d'employés.

La PIPA de l'Alberta et celle de la Colombie-Britannique comblent directement cette lacune. Les deux lois définissent et encadrent expressément les « renseignements personnels de l'employé » et permettent à une organisation de les recueillir, de les utiliser et de les communiquer sans le consentement de l'individu lorsque la finalité est raisonnable aux fins d'établir, de gérer ou de mettre fin à une relation d'emploi. En contrepartie de cette exigence de consentement allégée, les deux PIPA obligent l'employeur à donner à l'employé (ou au candidat à un emploi) un avis selon lequel il recueillera, utilisera ou communiquera ses renseignements personnels à ces fins, ainsi que les fins pour lesquelles cela se produira.

L'effet pratique : un employeur en Alberta ou en Colombie-Britannique dispose d'une voie plus claire et mieux adaptée pour traiter les dossiers de paie, les évaluations de rendement, les dossiers disciplinaires et les données de surveillance en milieu de travail, comparativement à un employeur qui s'appuie uniquement sur la LPRPDE dans une province sans disposition équivalente sur les renseignements des employés. Cela ne signifie pas que les renseignements des employés peuvent être utilisés à n'importe quelle fin voulue par l'employeur; ils doivent tout de même servir une fin raisonnable liée à l'emploi, et la surveillance en milieu de travail doit tout de même demeurer raisonnable dans sa portée, ce qui fait l'objet d'une page connexe de ce dossier.

Droits d'accès

Dans les deux provinces, les individus ont le droit, sous réserve d'exceptions précises, de demander l'accès aux renseignements personnels qu'une organisation détient à leur sujet, d'être informés de la façon dont ils ont été et sont utilisés, et de demander la correction de renseignements inexacts ou incomplets. Les organisations doivent répondre dans un délai fixé par la loi, et les deux provinces diffèrent : l'Alberta accorde 45 jours, alors que la Colombie-Britannique accorde 30 jours en vertu de l'article 29(1) de sa PIPA. Les deux délais peuvent être prolongés dans des circonstances définies, et des frais minimes peuvent être exigés dans certains cas. Cela reflète le principe d'accès individuel de l'annexe 1 de la LPRPDE, mais chaque PIPA prévoit ses propres exceptions, comme les renseignements protégés par le secret professionnel de l'avocat, les renseignements qui révéleraient les renseignements personnels d'une autre personne, ou les renseignements recueillis aux fins d'une enquête.

Surveillance : deux organismes qui peuvent réellement rendre des ordonnances

Chaque province a son propre Office of the Information and Privacy Commissioner (OIPC) : l'OIPC de l'Alberta et l'OIPC de la Colombie-Britannique. Les deux organismes traitent les plaintes et les enquêtes en matière de vie privée en vertu de leur PIPA respective, et supervisent également les demandes d'accès à l'information des organismes publics en vertu d'une législation distincte.

La différence structurellement importante avec le régime fédéral concerne le pouvoir d'exécution. Le commissaire fédéral à la protection de la vie privée enquête sur les plaintes relatives à la LPRPDE et émet des conclusions et des recommandations, mais il ne peut historiquement pas imposer lui-même une ordonnance exécutoire; il doit s'adresser à la Cour fédérale pour obtenir une ordonnance exécutoire. Les commissaires de l'Alberta et de la Colombie-Britannique, en revanche, peuvent rendre directement des ordonnances exécutoires contre une organisation à la suite d'une enquête, par exemple en lui ordonnant de cesser une pratique de collecte, de détruire des renseignements ou d'accorder l'accès. Ce pouvoir de rendre des ordonnances constitue un avantage réel en matière d'exécution dont dispose le régime provincial et que le régime fédéral n'a pas.

Avis de violation : l'Alberta l'exige, la Colombie-Britannique non

L'Alberta a été la première juridiction au Canada à exiger un avis obligatoire de violation dans le secteur privé. En vertu de l'article 34.1 de la PIPA de l'Alberta, une organisation qui a des renseignements personnels sous son contrôle doit aviser le commissaire de l'Alberta sans délai déraisonnable de tout incident impliquant la perte de ces renseignements, ou l'accès ou la communication non autorisés à ceux-ci, lorsqu'une personne raisonnable considérerait qu'il en résulte un risque réel de préjudice grave pour un individu. Le commissaire peut, à son tour, exiger que l'organisation avise directement les individus touchés. Le défaut de signaler une violation admissible constitue lui-même une infraction en vertu de la loi.

La PIPA de la Colombie-Britannique ne comporte aucune exigence équivalente d'avis obligatoire de violation pour les organisations du secteur privé. L'OIPC de la Colombie-Britannique recommande l'avis volontaire comme pratique exemplaire et a publiquement demandé que la loi soit modifiée pour ajouter une exigence obligatoire, semblable à ce qui existe déjà en Alberta et au niveau fédéral en vertu de la LPRPDE, mais en l'état actuel, une entreprise régie par la Colombie-Britannique n'est pas légalement tenue de signaler une violation au commissaire ou aux individus touchés en vertu de la PIPA elle-même. (La loi du secteur public de la Colombie-Britannique, la FIPPA, est une loi distincte qui a obtenu son propre régime obligatoire de signalement des violations pour les organismes gouvernementaux en 2023; elle ne s'applique pas aux entreprises privées régies par la PIPA.)

Cette asymétrie a une importance pratique : une organisation qui exerce ses activités dans les deux provinces a besoin de deux plans d'intervention différents en cas de violation, et non d'un seul.

L'arrêt de 2013 de la Cour suprême : la PIPA de l'Alberta et la ligne de piquetage

Dans Alberta (IPC) c TUAC, section locale 401, 2013 CSC 62, la Cour suprême du Canada a examiné le cas d'un syndicat qui avait filmé et photographié des individus traversant une ligne de piquetage pendant une grève légale de longue durée, avec des affiches avertissant que les images pourraient être publiées en ligne. Plusieurs des personnes filmées ont porté plainte auprès du commissaire de l'Alberta, et un arbitre a conclu que le syndicat avait contrevenu à la PIPA.

La Cour suprême a rejeté une application aussi large de la PIPA. Elle a jugé que la PIPA de l'Alberta, telle que rédigée, limitait de façon injustifiée la liberté d'expression du syndicat garantie par l'alinéa 2b) de la Charte, en restreignant sa capacité de recueillir, d'utiliser et de communiquer des renseignements personnels à des fins d'activité expressive légitime liée aux relations de travail, y compris la divulgation publique de comportements durant une grève. La Cour a déclaré inconstitutionnelles les dispositions pertinentes de la PIPA, mais a suspendu cette déclaration pendant 12 mois pour donner à l'assemblée législative de l'Alberta le temps de modifier la loi plutôt que de laisser la province sans aucune loi sur la protection des renseignements personnels dans le secteur privé.

L'Alberta a par la suite modifié la PIPA pour ajouter des exceptions comblant cette lacune, y compris des dispositions reconnaissant que des renseignements personnels peuvent être recueillis, utilisés ou communiqués à des fins liées à l'information du public sur des questions légitimes d'intérêt public ou de relations de travail. Cette affaire demeure l'autorité de principe sur la frontière entre la législation provinciale sur la protection des renseignements personnels et la liberté d'expression protégée par la Charte au Canada, et elle rappelle utilement que la portée d'une loi sur la protection des renseignements personnels à l'égard de l'enregistrement et de la publication n'est pas illimitée, même lorsque la collecte sous-jacente exigerait autrement un consentement.

PIPA de l'Alberta c. PIPA de la Colombie-Britannique c. LPRPDE

Le lien avec le droit de l'enregistrement et de la surveillance

La PIPA de l'Alberta et celle de la Colombie-Britannique encadrent ce qu'une entreprise fait des renseignements personnels une fois qu'ils existent. Cela est distinct de la question de droit criminel de savoir si le fait même d'effectuer un enregistrement est légal. Le Canada est un pays à consentement d'une seule partie : en vertu du Code criminel, enregistrer une conversation privée à laquelle on est personnellement partie est légal partout au pays, une règle expliquée en détail sur la page nationale sur le droit de l'enregistrement au Canada. Mais une fois cet enregistrement effectué, ce qu'une entreprise en fait (le conserver, l'utiliser pour une enquête en milieu de travail, le communiquer) constitue exactement le type d'activité que la PIPA de l'Alberta et celle de la Colombie-Britannique encadrent pour les organisations à l'intérieur de ces provinces. La surveillance vidéo et audio en milieu de travail en particulier est traitée plus en détail dans Surveillance en milieu de travail au Canada.

Pour les organisations qui se demandent si la LPRPDE ou une PIPA provinciale s'applique à leurs activités, consultez l'article complémentaire sur la LPRPDE, et pour le régime canadien le plus strict, consultez la Loi 25 du Québec. Ces trois régimes se trouvent aux côtés du portail juridique du Canada plus large sur ce site.

Avis : Cette page constitue de l'information juridique générale sur les Personal Information Protection Act de l'Alberta et de la Colombie-Britannique, et non un avis juridique. Les obligations en matière de protection des renseignements personnels dépendent des activités et du secteur particuliers d'une organisation; consultez l'Office of the Information and Privacy Commissioner of Alberta, l'Office of the Information and Privacy Commissioner for British Columbia, ou un avocat spécialisé en protection des renseignements personnels pour un avis sur une situation particulière.