Loi sur la protection des renseignements personnels (Canada)

La Loi sur la protection des renseignements personnels (Privacy Act), RSC 1985, c P-21, est la loi fédérale qui régit la façon dont les institutions du gouvernement du Canada recueillent, utilisent, communiquent et protègent vos renseignements personnels. C'est une loi complètement distincte de la LPRPDE (PIPEDA), qui régit le secteur privé.

Ce que couvre réellement la Loi sur la protection des renseignements personnels

La Loi sur la protection des renseignements personnels, RSC 1985, c P-21, établit les règles régissant la façon dont le gouvernement fédéral lui-même traite les renseignements personnels. Elle confère aux citoyens canadiens et aux résidents permanents (et, pour les dispositions relatives à l'accès, aux ressortissants étrangers physiquement présents au Canada) des droits sur les renseignements que les institutions fédérales détiennent à leur sujet, et elle impose à ces institutions des obligations en matière de collecte, de conservation, d'utilisation, de communication et de destruction.

La Loi est entrée en vigueur en 1983, en même temps que la Loi sur l'accès à l'information. Elle n'a pas été réécrite en profondeur depuis, et tant le Commissariat à la protection de la vie privée (CPVP) que le Secrétariat du Conseil du Trésor du Canada ont publiquement affirmé qu'elle n'était plus adaptée à un gouvernement numérique qui partage couramment des données entre ministères et avec des partenaires externes.

Loi sur la protection des renseignements personnels et LPRPDE : la distinction la plus importante

La chose la plus importante à comprendre au sujet de la Loi sur la protection des renseignements personnels, c'est ce qu'elle ne couvre pas. Elle n'a aucune autorité sur une banque, une compagnie aérienne, un commerçant, un employeur ou toute autre entreprise privée. C'est le rôle de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE, PIPEDA), SC 2000, c 5, qui régit la collecte, l'utilisation et la communication de renseignements personnels par les organisations du secteur privé dans le cadre d'activités commerciales.

Les personnes qui recherchent « la Privacy Act » ou « la Loi sur la protection des renseignements personnels » tentent souvent de comprendre un problème avec une entreprise. Dans ce cas, la LPRPDE (ou une loi provinciale essentiellement similaire au Québec, en Alberta ou en Colombie-Britannique) est presque toujours la loi pertinente, et non celle-ci. Pour un aperçu complet des règles applicables au secteur privé, voir Guide sur la LPRPDE.

Les deux lois sont supervisées par le même titulaire de poste, le commissaire à la protection de la vie privée du Canada, ce qui ajoute à la confusion. Mais le commissaire porte deux chapeaux différents selon la loi en cause, et les règles applicables ne sont pas interchangeables.

Quelles institutions sont visées

La Loi sur la protection des renseignements personnels s'applique aux institutions fédérales énumérées à l'annexe de la Loi. Cela comprend les ministères fédéraux, la plupart des organismes fédéraux, ainsi qu'un grand nombre de sociétés d'État et d'autres organismes ajoutés à l'annexe au fil du temps. Les institutions doivent publier un répertoire annuel appelé Info Source décrivant les fichiers de renseignements personnels qu'elles tiennent, ce qui constitue le point de départ pratique pour déterminer à quel ministère s'adresser.

La Loi ne s'applique pas :

• Aux entreprises privées et aux particuliers (domaine de la LPRPDE ou d'une loi provinciale sur le secteur privé)
• Aux gouvernements provinciaux et municipaux (chaque province possède sa propre loi sur la protection des renseignements personnels dans le secteur public)
• Aux tribunaux et, sous réserve d'exceptions étroites, au Parlement et à ses hauts fonctionnaires
• Aux partis politiques

Si vous tentez de joindre un organisme du gouvernement provincial, comme un réseau hospitalier ou un organisme provincial de délivrance de permis, vous devez vous référer à la loi provinciale sur l'accès à l'information et la protection des renseignements personnels de cette province, et non à la Loi fédérale.

Les règles sur la collecte de vos renseignements

L'article 4 de la Loi limite une institution fédérale à ne recueillir que des renseignements personnels qui se rapportent directement à un programme ou à une activité de cette institution. Un ministère ne peut pas recueillir des données personnelles simplement parce qu'elles pourraient être utiles un jour; il doit exister un lien direct avec quelque chose que le ministère gère réellement, comme le traitement d'une demande de prestation ou l'administration d'un régime de réglementation.

Dans la mesure du raisonnablement possible, l'institution doit recueillir les renseignements directement auprès de la personne concernée, et elle doit l'informer de la fin à laquelle les renseignements sont recueillis, sauf lorsqu'une exception s'applique (par exemple, lorsque cela pourrait compromettre l'exactitude des renseignements ou nuire à une enquête légitime).

Utilisation et communication : les exceptions du paragraphe 8(2)

En règle générale, une institution fédérale ne peut utiliser ni communiquer vos renseignements personnels à une fin autre que celle pour laquelle ils ont été recueillis, ou à une fin compatible avec celle-ci, sans votre consentement. Le paragraphe 8(2) énumère ensuite un ensemble défini d'exceptions où la communication sans consentement est permise, notamment :

• Communication à la fin pour laquelle les renseignements ont été obtenus à l'origine, ou à une fin compatible avec celle-ci
• Communication exigée par une loi fédérale ou ses règlements
• Communication pour se conformer à une assignation, un mandat ou une ordonnance d'un tribunal
• Communication à un organisme d'enquête gouvernemental à des fins d'application de la loi
• Communication en vertu d'un accord d'échange de renseignements avec un gouvernement provincial, un autre pays ou une organisation internationale
• Communication à un député pour aider la personne concernée à résoudre un problème
• Communication à des fins de recherche ou statistiques, sous réserve de mesures de sécurité
• Communication à Bibliothèque et Archives Canada à des fins d'archivage
• Communication lorsque l'intérêt public dans la communication l'emporte clairement sur toute atteinte à la vie privée qui pourrait en résulter

Cette liste d'exceptions est délibérément étroite et précise. Une institution gouvernementale ne peut pas invoquer un vague « besoin opérationnel » comme on le suppose parfois du paragraphe 8(2); le motif invoqué doit correspondre à l'un des motifs énumérés.

Votre droit d'accès à vos propres renseignements

Tout citoyen canadien ou résident permanent, ainsi que toute autre personne présente au Canada, peut demander l'accès aux renseignements personnels qu'une institution fédérale détient à son sujet. Cette démarche est distincte d'une demande générale en vertu de la Loi sur l'accès à l'information (LAI) et fonctionne différemment.

Demande en vertu de la Loi sur la protection des renseignements personnels par rapport à une demande en vertu de la Loi sur l'accès à l'information :

Pour présenter une demande en vertu de la Loi sur la protection des renseignements personnels, vous devez identifier l'institution fédérale susceptible de détenir les renseignements (Info Source sert de répertoire), remplir un formulaire de demande de renseignements personnels ou une demande écrite confirmant votre identité, puis l'envoyer au coordonnateur de l'accès à l'information et de la protection des renseignements personnels (AIPRP) de cette institution. Aucuns frais ne s'appliquent. L'institution doit répondre dans les 30 jours suivant la réception d'une demande complète, mais elle peut prolonger ce délai dans des circonstances définies, comme un volume important de documents ou la nécessité de consulter une autre institution.

Demander une correction

Si vous croyez que les renseignements que le gouvernement détient à votre sujet sont inexacts, incomplets ou périmés, vous pouvez demander à l'institution de les corriger. Si l'institution refuse d'apporter la correction demandée, vous avez le droit de faire annoter le dossier de la correction demandée, afin que votre version des faits accompagne le dossier même si l'institution est en désaccord.

Fichiers de renseignements personnels

Les institutions fédérales doivent décrire, dans la publication annuelle Info Source du gouvernement, les ensembles de renseignements personnels qu'elles tiennent et qui sont organisés et peuvent être extraits par le nom d'une personne ou un numéro d'identification, appelés fichiers de renseignements personnels. Chaque fiche décrit le type de renseignements détenus, la fin visée et la façon de demander l'accès. Info Source est l'outil pratique pour déterminer à qui adresser une demande avant de la déposer.

Surveillance : le commissaire à la protection de la vie privée du Canada

Le commissaire à la protection de la vie privée du Canada, un agent indépendant du Parlement, enquête sur les plaintes selon lesquelles une institution fédérale aurait mal géré des renseignements personnels, qu'il s'agisse d'une collecte irrégulière, d'une communication non autorisée, d'un manquement aux mesures de sécurité ou d'un refus d'accorder l'accès ou d'apporter une correction. La pratique habituelle du CPVP consiste à encourager le plaignant à soulever d'abord la question auprès du bureau de l'AIPRP de l'institution concernée, puis à mener une enquête et à formuler des conclusions et des recommandations si le problème n'est pas résolu.

Contrairement à certains organismes de réglementation plus récents, le commissaire à la protection de la vie privée ne peut pas rendre d'ordonnances de conformité exécutoires ni imposer de sanctions pécuniaires en vertu de la Loi. Son pouvoir fondamental est celui d'enquêter et de publier des rapports. Pour les refus d'accès en particulier, la Loi prévoit un véritable recours : en vertu de l'article 41, une personne à qui l'accès a été refusé peut s'adresser à la Cour fédérale pour un examen une fois le rapport d'enquête du commissaire produit, et en vertu de l'article 42, le commissaire peut lui aussi s'adresser à la Cour fédérale, avec le consentement du plaignant, ou comparaître dans le cadre d'une instance fondée sur l'article 41. La décision de la Cour fédérale sur ces demandes a force exécutoire.

La Loi sur la protection des renseignements personnels est-elle en voie de modernisation?

La Loi n'a pas été réécrite en profondeur depuis 1983, et tant le CPVP que le Secrétariat du Conseil du Trésor du Canada ont affirmé publiquement qu'elle doit être mise à jour pour une ère de gouvernement numérique marquée par des services partagés et des flux de données entre ministères. Le Secrétariat du Conseil du Trésor a lancé en 2026 une consultation publique sur les approches stratégiques de modernisation, et le CPVP a publié ses propres recommandations prioritaires en matière de réforme, notamment un critère plus clair de nécessité et de proportionnalité pour la collecte, des évaluations des facteurs relatifs à la vie privée obligatoires pour les initiatives à haut risque, et un pouvoir exécutoire de rendre des ordonnances pour le commissaire.

Au moment d'écrire ces lignes, il s'agit de propositions et de consultations, et non d'une loi adoptée. La Loi actuelle, dans sa version de 1983 (telle que modifiée), demeure pleinement en vigueur. Ne présumez pas qu'un nouveau régime de protection des renseignements personnels dans le secteur public l'a remplacée; vérifiez qu'un projet de loi a réellement été adopté avant de considérer une proposition de réforme comme du droit en vigueur.

Le lien avec le droit de l'enregistrement et de la surveillance

La Loi sur la protection des renseignements personnels régit la façon dont le gouvernement fédéral traite les renseignements qu'il détient déjà à votre sujet. C'est une question différente de celle de savoir si vous pouvez légalement enregistrer une conversation à laquelle vous participez, ce qui, au Canada, relève de la règle du consentement d'une seule partie prévue au Code criminel, et non de la Loi sur la protection des renseignements personnels. Voir Lois canadiennes sur l'enregistrement pour la règle complète et son fondement en jurisprudence de la Cour suprême.

Si votre question porte plutôt sur le traitement de vos données par une entreprise privée, un employeur ou un commerçant, commencez par Guide sur la LPRPDE. Si vous avez affaire à une organisation établie au Québec, la loi québécoise sur le secteur privé est plus stricte que la LPRPDE sur plusieurs points; voir Guide sur la Loi 25 du Québec.

Avertissement : Cet article fournit des renseignements juridiques généraux sur le droit fédéral canadien en matière de protection des renseignements personnels et ne constitue pas un avis juridique. Les lois et les propositions de réforme évoluent; vérifiez les exigences actuelles auprès du Commissariat à la protection de la vie privée du Canada ou d'un avocat qualifié avant d'agir en fonction de faits particuliers.