PIPEDA (LPRPDE) : la loi fédérale sur la vie privée du Canada

La LPRPDE (PIPEDA), soit la Loi sur la protection des renseignements personnels et les documents électroniques (LC 2000, c 5), est la loi fédérale du Canada qui encadre la façon dont les organisations du secteur privé recueillent, utilisent et communiquent des renseignements personnels dans le cadre d'une activité commerciale, et elle demeure pleinement en vigueur aujourd'hui.

Qu'est-ce que la LPRPDE?

La Loi sur la protection des renseignements personnels et les documents électroniques a reçu la sanction royale le 13 avril 2000 et est entrée en vigueur progressivement entre 2001 et 2004. Le Parlement l'a conçue pour concilier deux impératifs à la fois : le droit d'une personne à la protection de ses renseignements personnels, et le besoin légitime d'une organisation de recueillir, d'utiliser ou de communiquer des renseignements personnels à des fins commerciales raisonnables.

La LPRPDE n'est pas un régime de permis et elle n'oblige pas les organisations à s'enregistrer auprès du gouvernement. Elle établit plutôt des règles contraignantes que les organisations du secteur privé doivent suivre chaque fois que des renseignements personnels changent de mains dans le cadre d'une activité commerciale, appuyées par un processus de plainte et d'enquête administré par le Commissariat à la protection de la vie privée du Canada.

À qui la LPRPDE s'applique

La LPRPDE s'applique largement, mais les détails comptent.

• Les organisations du secteur privé partout au Canada qui recueillent, utilisent ou communiquent des renseignements personnels dans le cadre d'une activité commerciale, dans toute province ou tout territoire qui n'a pas sa propre loi sur la vie privée du secteur privé jugée essentiellement similaire.
• Les entreprises et ouvrages sous réglementation fédérale, comme les banques, les compagnies aériennes, les chemins de fer, les entreprises de télécommunications et les entreprises de camionnage interprovincial, qui doivent se conformer à la LPRPDE tant pour les renseignements personnels de leurs clients que de leurs propres employés, peu importe la province où elles exercent leurs activités.
• Toute organisation, où qu'elle soit au Canada, lorsque des renseignements personnels traversent une frontière provinciale ou nationale, puisque les lois provinciales jugées essentiellement similaires ne remplacent la LPRPDE que pour les activités qui demeurent entièrement à l'intérieur de cette province.

Les organismes sans but lucratif, les partis politiques et les organisations qui ne se livrent pas à une activité commerciale échappent généralement au champ d'application de la LPRPDE, sauf si elles vendent, louent ou échangent des listes de membres ou de donateurs dans le cadre d'une activité commerciale.

Ce qui constitue des renseignements personnels

La LPRPDE définit les renseignements personnels de façon large : tout renseignement factuel ou subjectif, consigné ou non, concernant un individu identifiable. Cela comprend notamment l'âge, le nom, les numéros d'identification, le revenu, l'origine ethnique, le groupe sanguin, les opinions, les évaluations, les commentaires, le statut social et les mesures disciplinaires d'une personne.

Une exception importante concerne les renseignements de contact professionnels utilisés strictement pour communiquer avec une personne dans le cadre de ses fonctions, comme un nom, un titre, une adresse professionnelle ou un numéro de téléphone au travail. Ces renseignements échappent généralement à la définition de renseignements personnels de la LPRPDE lorsqu'ils sont utilisés à cette fin.

Les 10 principes relatifs à l'équité dans le traitement de l'information

La LPRPDE s'articule autour de l'annexe 1, qui énonce 10 principes relatifs à l'équité dans le traitement de l'information que doit suivre chaque organisation assujettie.

Le consentement valable : exprès ou implicite

Le consentement est le principe que les organisations appliquent le plus souvent mal, ce qui explique pourquoi le CPVP, de concert avec les commissaires à la protection de la vie privée de l'Alberta et de la Colombie-Britannique, a publié des Lignes directrices pour l'obtention d'un consentement valable, entrées en vigueur le 1er janvier 2019.

Le consentement peut être exprès, lorsqu'une personne y adhère clairement par un geste positif, ou implicite, lorsque le consentement peut raisonnablement être déduit de la conduite de la personne et du contexte. En règle générale, les renseignements personnels sensibles, comme les renseignements sur la santé, les détails financiers ou les renseignements génétiques, exigent un consentement exprès plutôt qu'implicite.

Pour être valable, le consentement doit généralement permettre à la personne de comprendre, dans un langage raisonnablement clair, quels renseignements sont recueillis, avec qui ils seront partagés, pourquoi, et quels risques ou conséquences découlent du fait de les fournir. Un consentement noyé dans des conditions d'utilisation longues et peu claires a peu de chances de résister à un examen du CPVP.

Votre droit d'accès et de contestation de la conformité

En vertu des principes 9 et 10, une personne peut demander à une organisation si elle détient des renseignements personnels à son sujet, demander à y avoir accès et exiger la correction de renseignements inexacts ou incomplets. Si une organisation refuse ou ne répond pas adéquatement, la personne peut contester cette réponse à l'interne, puis déposer une plainte auprès du CPVP.

Le droit d'accès comporte des exceptions limitées, notamment lorsque la communication révélerait des renseignements personnels sur une autre personne, compromettrait une enquête en cours, ou serait restreinte par le secret professionnel de l'avocat.

Le signalement obligatoire des atteintes depuis novembre 2018

Des modifications apportées par la Loi sur la protection des renseignements personnels numériques ont rendu le signalement des atteintes obligatoire en vertu de la LPRPDE à compter du 1er novembre 2018. Une organisation doit signaler au CPVP toute atteinte aux mesures de sécurité et aviser les personnes touchées chaque fois que l'atteinte crée un risque réel de préjudice grave, une norme souvent désignée par l'acronyme anglais RROSH.

Deux facteurs orientent l'évaluation du RROSH : la sensibilité des renseignements personnels en cause et la probabilité que les renseignements aient été, soient ou seront utilisés de façon inappropriée. Les signalements au CPVP et les avis aux personnes touchées doivent avoir lieu dès que possible après que l'organisation détermine qu'une atteinte franchit ce seuil, et l'organisation doit également aviser toute autre organisation susceptible de réduire le risque en résultant, comme une banque qui pourrait signaler un compte compromis.

Indépendamment de l'obligation de signalement, la LPRPDE exige que chaque organisation tienne un registre de toutes les atteintes aux mesures de sécurité touchant des renseignements personnels sous son contrôle, que l'atteinte franchisse ou non le seuil du risque réel de préjudice grave. Le CPVP peut demander et vérifier ces registres en tout temps, de sorte que la sous-déclaration ne permet pas d'échapper à un examen.

Comment le CPVP fait appliquer la LPRPDE

Le Commissariat à la protection de la vie privée du Canada enquête sur les plaintes déposées par des personnes et peut également lancer ses propres enquêtes. Au terme d'une enquête, le CPVP publie des conclusions, qui comprennent habituellement des recommandations pour que l'organisation se conforme à la loi, et il peut négocier des accords de conformité avec les organisations.

Ce que le CPVP ne peut pas faire en vertu de la LPRPDE, c'est imposer de sa propre autorité une amende ou une ordonnance exécutoire. Si une organisation ne suit pas les recommandations du CPVP, le commissaire ou le plaignant à l'origine de la plainte peut s'adresser à la Cour fédérale, qui a le pouvoir d'ordonner des mesures correctives et d'accorder des dommages-intérêts, y compris pour humiliation. Cette structure à deux étapes, soit une enquête suivie d'une éventuelle demande à la Cour fédérale, constitue une limite réelle et souvent critiquée du pouvoir d'application de la LPRPDE, nettement différente du régime québécois établi par la Loi 25, où la Commission d'accès à l'information de la province peut imposer directement des sanctions administratives pécuniaires significatives.

Là où la LPRPDE ne s'applique pas

La LPRPDE n'est pas la seule loi sur la protection de la vie privée au Canada, et il est facile de l'appliquer à tort dans un mauvais contexte.

• Le Québec, l'Alberta et la Colombie-Britannique possèdent chacun une loi sur la vie privée du secteur privé déclarée essentiellement similaire à la LPRPDE, de sorte que cette loi provinciale s'applique à la place de la LPRPDE pour les activités qui se déroulent entièrement à l'intérieur de cette province. Voir la PIPA de l'Alberta et de la Colombie-Britannique pour le fonctionnement de ces deux lois.
• La LPRPS (PHIPA) de l'Ontario, soit la Loi de 2004 sur la protection des renseignements personnels sur la santé, ainsi que les lois similaires du secteur de la santé dans d'autres provinces, régissent les renseignements personnels sur la santé détenus par les dépositaires de renseignements sur la santé, et elles s'appliquent en parallèle de la LPRPDE plutôt que de la remplacer pour les autres activités du secteur privé.
• Le secteur public fédéral est régi par la Loi sur la protection des renseignements personnels, LRC 1985, c P-21, une loi complètement distincte qui encadre la façon dont les institutions fédérales traitent les renseignements personnels, et non les entreprises privées. Voir la Loi sur la protection des renseignements personnels expliquée pour ce volet du droit canadien de la vie privée.

Même à l'intérieur du Québec, de l'Alberta ou de la Colombie-Britannique, la LPRPDE continue de s'appliquer aux organisations sous réglementation fédérale et aux renseignements personnels qui traversent une frontière provinciale ou internationale.

Le projet de loi C-27 est mort : la LPRPDE demeure en vigueur

Le projet de loi C-27, la Loi de 2022 sur la mise en œuvre de la Charte du numérique, a été déposé à la Chambre des communes en juin 2022. Il aurait abrogé la majeure partie des dispositions de la LPRPDE applicables au secteur privé pour les remplacer par une nouvelle Loi sur la protection de la vie privée des consommateurs (LPVPC), créé un Tribunal de la protection des renseignements personnels et des données, et édicté la première loi canadienne consacrée à l'intelligence artificielle, la Loi sur l'intelligence artificielle et les données.

Le projet de loi a passé environ deux ans et demi à l'étude en comité devant le Comité permanent de l'industrie et de la technologie de la Chambre des communes sans jamais atteindre la troisième lecture. Lorsque le Parlement a été prorogé le 6 janvier 2025, le projet de loi C-27 est mort au Feuilleton, comme tous les autres projets de loi n'ayant pas encore reçu la sanction royale, et le comité qui l'étudiait a été dissous.

À l'heure où ces lignes sont écrites, le projet de loi C-27 n'a été réintroduit sous aucune forme, et ni la Loi sur la protection de la vie privée des consommateurs ni la Loi sur l'intelligence artificielle et les données ne sont des lois canadiennes en vigueur. Ne vous fiez à aucune source affirmant que la LPVPC « a été adoptée », « remplace la LPRPDE » ou « est maintenant en vigueur ». La LPRPDE, dans sa forme actuelle, antérieure au projet de loi C-27, demeure la loi fédérale en vigueur régissant le secteur privé au Canada, et le demeurera jusqu'à ce qu'un futur projet de loi soit déposé, adopté et reçoive la sanction royale.

La LPRPDE et la loi canadienne sur le consentement d'une seule partie pour l'enregistrement

La LPRPDE et les lois canadiennes sur l'enregistrement répondent à deux questions différentes, et il est utile de bien les distinguer. Le fait de savoir si vous avez le droit d'enregistrer une conversation relève du droit criminel, encadré par l'article 184(1) du Code criminel, qui fait de l'interception volontaire d'une communication privée une infraction, et par l'article 184(2)a), qui crée une exception fondée sur le consentement d'une seule partie. En raison de cette exception, il est légal d'enregistrer une conversation à laquelle vous êtes personnellement partie dans toutes les provinces et tous les territoires canadiens, comme l'explique en détail la page sur les lois canadiennes sur l'enregistrement.

La LPRPDE devient pertinente dès qu'une entreprise ou une organisation est celle qui effectue l'enregistrement, ou dès qu'un enregistrement est utilisé, partagé ou publié. Une organisation qui enregistre des appels avec ses clients, par exemple, recueille des renseignements personnels dans le cadre d'une activité commerciale, ce qui signifie que les principes relatifs à l'équité dans le traitement de l'information, y compris la détermination de la fin et l'obtention d'un consentement valable, s'appliquent à cet enregistrement même si l'acte d'enregistrer en soi ne constitue pas un crime. Pour la même raison, publier ou communiquer un enregistrement qui permet d'identifier une personne peut déclencher l'application de la LPRPDE ou d'un délit provincial relatif à la vie privée, même lorsque l'enregistrement lui-même n'a enfreint aucune loi. Pour un portrait plus large de l'interaction de ces règles à l'échelle nationale, voir les lois canadiennes sur la protection des données personnelles.

Le projet de loi C-15 et le nouveau droit à la mobilité des données

La LPRPDE n'est plus tout à fait inchangée. Le projet de loi C-15, la Loi n° 1 d'exécution du budget de 2025, a reçu la sanction royale le 26 mars 2026 (LC 2026, c 3) et a modifié la LPRPDE pour y ajouter un cadre de mobilité des données, soit le premier droit fédéral à la portabilité des données dans le droit canadien. En principe, ce droit permettra à une personne d'exiger que les renseignements personnels détenus à son sujet par une organisation soient communiqués à une autre organisation dans un format standard et lisible par machine.

Pour l'instant, ce qu'il faut retenir concrètement, c'est que ce droit n'est pas encore en vigueur. Il entrera en vigueur à une date fixée par décret du gouverneur en conseil, et il ne deviendra opérant qu'une fois que le gouvernement aura pris des règlements établissant des cadres de mobilité des données propres à chaque secteur. Ces cadres devraient être déployés secteur par secteur, en commençant par les services bancaires ouverts en vertu de la loi connexe sur les services bancaires axés sur les consommateurs. Tant que ces règlements n'auront pas été pris, aucune organisation n'est encore tenue d'agir en fonction de la nouvelle disposition, et le reste de la LPRPDE continue de s'appliquer exactement comme décrit ci-dessus.

En résumé

La LPRPDE encadre le traitement des données par le secteur privé au Canada depuis 2000; ses 10 principes et ses règles de signalement des atteintes de 2018 demeurent pleinement applicables aujourd'hui, et la Loi sur la protection de la vie privée des consommateurs, tant attendue, n'est pas en vigueur. La LPRPDE a été modifiée en mars 2026 pour y ajouter un cadre de mobilité des données, mais ce nouveau droit n'est pas encore en vigueur. Les entreprises exerçant leurs activités au Québec, en Alberta ou en Colombie-Britannique devraient d'abord vérifier la loi provinciale applicable, mais toutes les autres, ainsi que tout employeur sous réglementation fédérale, sont régies par la LPRPDE telle qu'elle est rédigée.

Avis : Cet article fournit des renseignements généraux sur le droit fédéral canadien de la vie privée et ne constitue pas un avis juridique. La législation sur la vie privée évolue avec le temps, y compris la possibilité qu'un futur projet de loi remplace ou modifie la LPRPDE. Confirmez les exigences actuelles auprès du Commissariat à la protection de la vie privée du Canada ou d'un avocat spécialisé en protection de la vie privée avant de vous fier à une interprétation particulière.