Lettre au Comité sénatorial permanent des affaires juridiques et constitutionnelles au sujet du projet de loi S-209

Le 14 octobre 2025

PAR COURRIEL

L’honorable David Arnot, sénateur
Président
Comité permanent des affaires juridiques et constitutionnelles
Sénat du Canada
Ottawa (Ontario)  K1A 0A4
Canada

Monsieur le Président,

J’ai été ravi de comparaître devant votre comité le 2 octobre 2025, dans le cadre de votre étude du projet de loi S-209, la Loi limitant l’accès en ligne des jeunes au matériel pornographique. Au cours de ma comparution, la sénatrice Oudar a demandé des renseignements supplémentaires concernant mon point de vue au sujet de la réforme des lois sur la protection des renseignements personnels.

Pendant mon témoignage devant ce comité, ce sujet a été abordé lors d’une discussion sur les défis liés à la réglementation des technologies modernes, y compris les technologies de vérification de l’âge. Depuis ma nomination en tant que Commissaire à la protection de la vie privée du Canada en 2022, je prône la modernisation des lois canadiennes sur la protection des renseignements personnels. Les deux lois canadiennes dans ce domaine ont été établies avant l’avènement de l’économie numérique moderne, et les technologies continuent quant à elles d’évoluer rapidement. La Loi sur la protection des renseignements personnels, qui régit la façon dont les institutions fédérales traitent les renseignements personnels, n’a pas été modifiée depuis 1983, et la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), notre loi fédérale sur la protection des renseignements personnels dans le secteur privé, n’a pas fait l’objet d’une mise à jour approfondie depuis son entrée en vigueur au début des années 2000. Depuis, l’adoption croissante de l’intelligence artificielle (IA) et de l’IA générative, le risque de préjudices graves causés par des atteintes à la sécurité des données et la nature de plus en plus complexe de la circulation des données à l’échelle mondiale ont placé la protection des données au cœur des priorités dans l’intérêt du public.

En réponse à la question de la sénatrice Oudar concernant les modifications que je recommande d’apporter aux lois fédérales canadiennes sur la protection des renseignements personnels, je tiens à présenter au Comité sept recommandations prioritaires pour la réforme de la LPRPDE qui, à mon avis, auraient la plus grande incidence sur le renforcement des mesures de protection de la vie privée et le respect du droit à la vie privée au Canada : 

1. Pouvoirs d’application de la loi : Renforcer les pouvoirs d’application de la loi du Commissaire à la protection de la vie privée en lui donnant le pouvoir d’émettre des ordonnances exécutoires, d’imposer des sanctions administratives pécuniaires (SAP) et de mener des vérifications proactives.
2. Droit fondamental à la vie privée : Reconnaître la protection de la vie privée comme un droit fondamental dans l’énoncé d’objet ainsi que dans un préambule intégré à la LPRPDE.
3. Défense du droit à la vie privée des enfants : Améliorer la protection du droit à la vie privée des enfants en reconnaissant explicitement l’intérêt supérieur de l’enfant et en confiant au Commissariat la responsabilité d’élaborer un code de pratique sur la protection des renseignements personnels des enfants.
4. Dépersonnalisation : Promouvoir l’innovation en incluant un cadre pour la dépersonnalisation et l’anonymisation.
5. Droit à la suppression et au déréférencement : Veiller à ce que les individus gardent le contrôle de leurs renseignements personnels en leur accordant un droit explicite et clair au déréférencement et à la suppression de leurs renseignements personnels.
6. La protection de la vie privée dès la conception et les évaluations des facteurs relatifs à la vie privée : Améliorer la responsabilisation en obligeant les organisations à prévoir des mesures de protection de la vie privée dès la conception et à mener des évaluations des facteurs relatifs à la vie privée pour les activités à risque élevé.
7. Circulation transfrontalière des données : Promouvoir le commerce international en établissant des règles et des exigences précises pour protéger les renseignements personnels qui sont transmis à l’étranger.

La liste ci-dessus représente mes recommandations prioritaires pour moderniser notre loi fédérale sur la protection des renseignements personnels dans le secteur privé, car elles renforceraient les pouvoirs réglementaires clés et permettraient de s’attaquer à des problèmes systémiques que le Commissariat a observés, y compris les risques émergents dans l’économie numérique. Comme je l’ai précisé au Comité dans mon témoignage, mes recommandations visant à renforcer les mécanismes d’application de la loi me donneraient des outils concrets et efficaces pour promouvoir le respect de la LPRPDE et améliorer grandement la capacité du Commissariat à protéger les Canadiennes et les Canadiens et leur droit fondamental à la vie privée. Ces recommandations permettraient également d’harmoniser davantage la LPRPDE avec les lois sur la protection des renseignements personnels de nos homologues provinciaux en Alberta, en Colombie-Britannique et au Québec, ainsi qu’avec celles de nombreux homologues internationaux.

De plus, en ce qui concerne la vie privée des enfants, la LPRPDE ne prévoit actuellement aucune mesure particulière de protection de la vie privée pour les enfants, qui sont particulièrement vulnérables aux risques que présente le monde numérique. Reconnaître l’intérêt supérieur de l’enfant dans la loi ferait en sorte qu’il serait obligatoire que les droits et le bien-être des jeunes soient pris en considération en priorité dans toute décision ou mesure les concernant. Il faut aussi encourager les organisations à intégrer la protection de la vie privée des mineurs dans leurs produits et services dès la conception et les dissuader d’adopter des pratiques préjudiciables. Ma recommandation relative à l’élaboration d’un code de pratique par le Commissariat me permettrait d’énoncer clairement les exigences précises applicables aux organisations qui traitent les renseignements personnels d’enfants pour veiller à ce qu’elles le fassent avec une attention et des mesures de protection particulières.

Bien que mes recommandations concernant la réforme de la LPRPDE seraient particulièrement pertinentes pour l’étude par ce comité du projet de loi S-209 et des technologies de vérification de l’âge mises au point par le secteur privé, je tiens également à réitérer que la Loi sur la protection des renseignements personnels du gouvernement fédéral est aussi largement dépassée en ce qui a trait à la réglementation des technologies modernes. J’ai dressé une liste similaire de recommandations prioritaires pour la réforme de la Loi sur la protection des renseignements personnels afin de combler les lacunes importantes de la loi. Voici ces recommandations : 

1. Seuil justifiant la collecte : Établir des exigences explicites en matière de nécessité et de proportionnalité pour la collecte de renseignements personnels.
2. Obligation visant les EFVP : Obliger les ministères à réaliser des évaluations des facteurs relatifs à la vie privée (EFVP) pour les situations qui présentent un risque élevé.
3. Ordonnances : Conférer au Commissaire à la protection de la vie privée des pouvoirs d’ordonnance contraignants.
4. Mesures de protection : Imposer une obligation juridique explicite qui vise à protéger les renseignements personnels.
5. Signalement des atteintes : Imposer une obligation juridique visant le signalement des atteintes à la vie privée.
6. Pouvoir discrétionnaire de présenter des rapports : Accorder au Commissaire à la protection de la vie privée une plus grande souplesse pour faire rapport publiquement.
7. Pouvoir discrétionnaire de refuser : Conférer au Commissaire à la protection de la vie privée le pouvoir discrétionnaire de mettre fin à l’examen d’une plainte ou de la rejeter.

La modernisation des lois canadiennes sur la protection des renseignements personnels est nécessaire pour qu’il soit possible de relever pleinement les défis d’un monde axé sur les données. Elle protégera les Canadiennes et les Canadiens et leur donnera la certitude que leurs données sont protégées et utilisées de manière responsable. Elle permettra également aux entreprises canadiennes et aux institutions du secteur public d’innover de manière responsable et de gagner la confiance du public.

Je vous remercie encore de m’avoir donné l’occasion de vous faire part de mon point de vue sur ce dossier important.

Je vous prie d’agréer, Monsieur le Président, l’assurance de ma considération distinguée.

Le Commissaire,

c. c. : Vincent Labrosse, greffier