Déclaration prononcée par le Commissaire à la protection de la vie privée du Canada devant le Comité permanent de la sécurité publique et nationale au sujet du projet de loi C-8

Le 30 octobre 2025
Ottawa (Ontario)

Déclaration de Philippe Dufresne
Commissaire à la protection de la vie privée du Canada

(Le texte prononcé fait foi.)

---

Je vous remercie de m’avoir invité à comparaître aujourd’hui afin de vous faire connaître mon point de vue sur les répercussions du projet de loi C-8, Loi concernant la cybersécurité, modifiant la Loi sur les télécommunications et apportant des modifications corrélatives à d’autres lois. Je suis accompagné de Marc Chénier, sous-commissaire et avocat général principal.

Il ne fait aucun doute que nous continuons à être confrontés à un contexte difficile de cybermenaces dans lequel les conséquences des cyberincidents sont de plus en plus perturbatrices et généralisées.

Les atteintes touchant des infrastructures essentielles, comme celle qui a touché Nova Scotia Power en mai dernier, sont particulièrement inquiétantes, car elles peuvent compromettre des systèmes et des services essentiels à la santé, à la sûreté, à la sécurité et à la prospérité économique de la population canadienne. De tels incidents peuvent donner lieu à un accès non autorisé à des renseignements personnels ou à la communication de ces derniers, ce qui peut entraîner des répercussions importantes sur la vie privée et un risque réel de préjudice grave pour les individus touchés.

Pour ces raisons, j’appuie l’objectif du projet de loi C-8 qui vise à protéger les systèmes et les services essentiels à la sécurité nationale ou à la sécurité publique contre les menaces et les vulnérabilités liées à la cybersécurité.

Comme dans le projet de loi C-26 qui l’a précédé, le projet de loi C-8 reconnaît que des mesures doivent être prises pour protéger les infrastructures essentielles contre les cybermenaces, qui deviennent de plus en plus sophistiquées et complexes. Cette démarche est nécessaire du point de vue de la sécurité et de la protection de la vie privée.

Bien que des mesures de protection renforcées en matière de cybersécurité puissent contribuer à réduire la probabilité que des atteintes à la vie privée surviennent et les répercussions de celles-ci, il est également essentiel de s’assurer que les nouveaux pouvoirs créés pour améliorer la cybersécurité prévoient les limites nécessaires et qu’ils n’ont pas des répercussions imprévues sur la protection de la vie privée.

Je suis heureux de constater que le projet de loi C-8 comprend les améliorations apportées à son prédécesseur le projet de loi C-26, notamment des balises supplémentaires relatives aux pouvoirs d’adopter des décrets ou des arrêtés qui sont proposés et aux nouvelles obligations d’avis et de déclaration. Ces améliorations contribueront à parvenir à un meilleur équilibre entre les objectifs du projet de loi en ce qui concerne la cybersécurité et les droits et intérêts en matière de protection de la vie privée.

Toutefois, certains risques pour la protection de la vie privée demeurent, notamment des seuils moins élevés pour l’exercice de certains pouvoirs qui peuvent avoir des répercussions sur la vie privée, l’absence d’un mécanisme visant à garantir que le Commissariat soit avisé des atteintes importantes à la cybersécurité qui ont des répercussions sur la vie privée des Canadiennes et des Canadiens et des exigences minimales insuffisantes en matière de protection de la vie privée pour l’échange de renseignements avec des gouvernements étrangers.

Pour mitiger ces risques et atteindre l’équilibre nécessaire entre la sécurité et la protection de la vie privée, je recommanderais ce qui suit :

• Que la loi impose l’adoption d’une norme uniforme selon laquelle la collecte, l’utilisation ou la communication de renseignements personnels doivent être à la fois nécessaires dans les circonstances pour réaliser les fins énoncées et proportionnelles aux avantages procurés.
• Que les ententes d’échange de renseignements personnels conclues au titre de la loi prévoient des mesures minimales de protection de la vie privée afin de renforcer la gouvernance et la responsabilité et d’assurer une norme uniforme en la matière lorsque les renseignements sont échangés avec des pays étrangers.
• Que les institutions gouvernementales compétentes, y compris le Centre de la sécurité des télécommunications du Canada, soient tenues d’aviser le Commissariat lorsqu’elles sont informées d’incidents de cybersécurité qui entraînent une atteinte importante à la vie privée, afin que nous puissions collaborer et coordonner nos efforts pour protéger la vie privée des Canadiennes et des Canadiens.

Bien que cela ne vise pas uniquement le projet de loi C-8, je tiens à réitérer ma recommandation générale selon laquelle les institutions gouvernementales devraient légalement être tenues de réaliser des évaluations des facteurs relatifs à la vie privée et de consulter le Commissariat au sujet de tout nouveau programme ou de toute nouvelle initiative qui a des répercussions sur la vie privée des Canadiennes et des Canadiens.

Je vous remercie de m’avoir donné l’occasion de présenter mon point de vue sur ce projet de loi. C’est avec plaisir que je répondrai maintenant à vos questions.