Mémoire du Commissariat à la protection de la vie privée du Canada au sujet de la consultation du Secrétariat du Conseil du Trésor sur la modernisation de la Loi sur la protection des renseignements personnels

Le 5 août 2026

L’honorable Shafqat Ali, C.P., député
Président du Conseil du Trésor
90, rue Elgin
Ottawa (Ontario)  K1A 0R5
Canada

Monsieur le Président,

Je vous remercie de me donner l’occasion de faire part de mes observations au sujet du document de consultation du Secrétariat du Conseil du Trésor (SCT) sur la modernisation de la Loi sur la protection des renseignements personnels. Je suis heureux de vous transmettre ci-joint le mémoire du Commissariat à la protection de la vie privée du Canada (CPVP).

La protection de la vie privée est un droit fondamental qui renforce les libertés et la confiance sur lesquelles repose notre démocratie et qui nous unit en tant que Canadiennes et Canadiens. Elle est étroitement liée à la dignité, à l’autonomie et à la jouissance d’autres libertés et droits fondamentaux.

Je soutiens fermement la décision de prioriser la modernisation de la loi fédérale sur la protection de la vie privée qui s’applique au secteur public, afin de permettre aux institutions fédérales de relever avec succès les défis et de saisir les occasions qu’offre cette ère numérique. Comme elles gèrent une grande quantité de renseignements sensibles qui sont liés aux finances, à la santé, à l’emploi, à l’immigration et à la sécurité publique, les institutions fédérales ont la responsabilité énorme, et de plus en plus difficile, de les protéger. Les banques de données gouvernementales sont des cibles attrayantes pour les auteurs malveillants et, au cours des dix dernières années, les atteintes à la sécurité des données et les cyberattaques se sont multipliées, et ce, tant au niveau de l’ampleur que de la complexité et de la gravité.

Nous savons aussi que les Canadiennes et les Canadiens se soucient de la façon dont leurs renseignements sont gérés. Selon un sondage mené par le CPVP, au Canada, 9 personnes sur 10 se préoccupent de la protection de la vie privée, alors que 62 % estiment que le gouvernement du Canada respecte leur droit à la vie privée.

Dans un monde de plus en plus numérique, l’expertise collective et les valeurs communes de la fonction publique seront essentielles pour préserver et renforcer la confiance que les Canadiennes et les Canadiens accordent aux institutions, aux programmes et aux services du gouvernement fédéral. La gestion des renseignements personnels est également un facteur clé des initiatives de transformation qui peut favoriser l’obtention de résultats et stimuler l’innovation dans de nombreux domaines.

Je me réjouis à l’idée de poursuivre ma collaboration avec vous et votre bureau afin de faire progresser la modernisation de la Loi sur la protection des renseignements personnels, et d’aider les institutions fédérales à respecter les obligations qui leur incombent aux termes de cette Loi lorsqu’elles traitent les renseignements personnels des Canadiennes et des Canadiens.

Je vous prie d’agréer, Monsieur le Président, l’expression de ma considération respectueuse.

Le Commissaire,

c. c. : Mike MacDonald, dirigeant principal de l’information du Canada

Mémoire du Commissariat à la protection de la vie privée du Canada : Consultation sur la modernisation de la Loi sur la protection des renseignements personnels

PARTIE 1 : Domaines de soutien général 

Dans l’ensemble, le Commissariat à la protection de la vie privée du Canada (CPVP) appuie l’orientation stratégique présentée dans le document de consultation et estime que bon nombre des propositions vont dans le sens de ses recommandations visant à moderniser la Loi sur la protection des renseignements personnels. Plus particulièrement, ces propositions renforceraient le cadre de responsabilisation établi par la Loi et permettraient de l’adapter davantage aux évolutions technologiques et aux nouvelles pratiques relatives aux données. Les commentaires qui suivent soulignent les points bénéficiant de l’appui du CPVP et présentent des recommandations de mesures supplémentaires qui permettraient de renforcer davantage la loi et d’améliorer la protection des renseignements personnels^{Note de bas de page 1}.

Conformément aux propositions du Secrétariat du Conseil du Trésor (SCT), le CPVP a recommandé que la Loi sur la protection des renseignements personnels reconnaisse la protection de la vie privée comme un droit fondamental et intègre des principes modernes en matière de protection de la vie privée. Ces réformes établiraient un cadre fondé sur des principes pour l’interprétation et l’application de la Loi et permettraient d’harmoniser davantage le régime fédéral de protection de la vie privée du secteur public avec les normes nationales et internationales actuelles en la matière. Le CPVP soutient également la proposition visant à reconnaître l’importance des données pour l’autodétermination des peuples autochtones et encourage la poursuite de la collaboration avec les partenaires autochtones afin de garantir que les modifications reflètent les points de vue autochtones et préservent de manière significative la souveraineté des données autochtones.

Nous soutenons la proposition visant à faire des mesures de protection une obligation juridique qui exige expressément que les institutions utilisent des mesures de protection physique, technique et administrative pour protéger les renseignements personnels. Lorsque des renseignements personnels sont traités ou stockés à l’extérieur du Canada, nous recommandons que la loi impose également aux institutions d’évaluer et d’atténuer les risques pour la vie privée associés à la circulation transfrontalière des données.

Le CPVP approuve également l’instauration d’une obligation juridique explicite pour la gestion, le signalement et la déclaration des atteintes à la vie privée. Afin de renforcer ces obligations, la Loi devrait prescrire des délais pour signaler les atteintes substantielles aux individus concernés et au Commissaire à la protection de la vie privée, et autoriser expressément ce dernier à inspecter les registres des atteintes tenus par les institutions.

De même, l’instauration d’une obligation juridique de réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) contribuerait à renforcer la responsabilisation et favoriserait la conception de programmes respectueux de la vie privée. La loi devrait exiger la réalisation d’EFVP dans des circonstances à haut risque prescrites, notamment les activités nécessitant le traitement de renseignements personnels sensibles, les systèmes d’intelligence artificielle (IA) à incidence élevée, le développement ou l’entraînement de modèles d’IA à l’aide de renseignements personnels, ainsi que le traitement ou le stockage de renseignements personnels au-delà des frontières.

Le CPVP a recommandé qu’une version réformée de la Loi sur la protection des renseignements personnels comprenne des exigences explicites en matière de nécessité et de proportionnalité pour la collecte de renseignements personnels. Le remplacement de la formule actuelle « qui ont un lien direct avec » par un seuil juridique plus rigoureux contribuerait à réduire le risque de collecte inutile ou excessive de renseignements par les institutions fédérales. Les critères proposés, à savoir l’autorité légitime, la nécessité, l’efficacité et le caractère intrusif minimal, servent généralement de base à une évaluation de la nécessité et de la proportionnalité. Toutefois, dans un souci de clarté, nous recommandons qu’il y ait également une exigence explicite de proportionnalité.

La proposition visant à autoriser une collaboration accrue entre le Commissaire à la protection de la vie privée et d’autres organismes de réglementation et de surveillance faciliterait une surveillance coordonnée et des réponses plus efficaces aux enjeux liés à la protection de la vie privée, qui touchent de plus en plus souvent plusieurs juridictions, tout en favorisant une plus grande cohérence réglementaire ainsi que la mise en commun d’expertise et de bonnes pratiques. De même, l’établissement d’une exigence d’examen législatif de la Loi sur la protection des renseignements personnels tous les cinq ans contribuerait à garantir que la Loi reste adaptée aux évolutions technologiques, aux risques changeants en matière de protection de la vie privée et aux attentes en constante évolution du public à l’égard de la protection des renseignements personnels.

Le CPVP soutient l’idée de conférer au Commissaire à la protection de la vie privée le pouvoir discrétionnaire de refuser d’enquêter sur des plaintes, ou d’y mettre fin, lorsque celles-ci sont futiles, vexatoires ou entachées de mauvaise foi, ou lorsqu’une enquête plus approfondie n’est pas nécessaire compte tenu de l’ensemble des circonstances. Une modification s’inspirant du paragraphe 30(4) de la Loi sur l’accès à l’information pourrait favoriser une administration efficace du processus de traitement des plaintes tout en permettant au CPVP de concentrer ses ressources sur les questions présentant un intérêt public plus grand et ayant une incidence plus importante.

De même, il serait approprié d’intégrer dans une loi modernisée la possibilité d’accorder aux institutions un pouvoir discrétionnaire limité leur permettant de refuser de donner suite aux demandes d’accès à des renseignements personnels qui sont vexatoires, entachées de mauvaise foi ou qui constituent autrement un abus du droit de faire une demande de communication. Comme le prévoit l’article 6.1 de la Loi sur l’accès à l’information, l’exercice de ce pouvoir discrétionnaire devrait être soumis à l’autorisation écrite préalable du Commissaire à la protection de la vie privée afin d’assurer une surveillance appropriée et de préserver le droit d’accès des individus.

Enfin, nous estimons que le fait d’élargir les recours judiciaires et de préciser l’autorité de la Cour fédérale renforcerait le cadre de responsabilisation établi par la Loi. Donner aux individus un recours devant la Cour fédérale à l’égard de toutes les plaintes et habiliter celle-ci à accorder une gamme complète de recours, y compris des dommages-intérêts lorsqu’il y a lieu, permettrait de garantir aux individus un recours adéquat en cas de violation de leur droit à la vie privée et inciterait davantage les institutions fédérales à se conformer à la Loi. Comme nous l’avons indiqué dans nos commentaires sur la proposition 19, l’élargissement des recours judiciaires serait d’autant plus efficace si le Commissaire à la protection de la vie privée se voyait accorder des pouvoirs contraignants. Nous serons heureux d’examiner plus en détail cette proposition, notamment pour déterminer dans quelles circonstances une partie plaignante et le CPVP pourraient faire une demande à la Cour, ainsi que les recours dont celle-ci disposerait.

PARTIE 2 : Recommandations prioritaires visant à renforcer le cadre législatif proposé

Proposition 15 : Harmoniser le régime de demandes en intégrant les demandes de données personnelles dans la Loi sur l’accès à l’information

La proposition 15 vise à faciliter le traitement des demandes d’accès aux renseignements personnels tant pour la population canadienne que pour les institutions fédérales. La proposition suggère que le transfert des demandes d’accès aux renseignements personnels de la Loi sur la protection des renseignements personnels à la Loi sur l’accès à l’information permettrait de simplifier les processus tant pour les personnes qui présentent une demande que pour les institutions.

Bien que cela puisse sembler être le cas à première vue, un examen plus approfondi du régime législatif révèle que le fait de transférer ainsi les demandes d’accès aux renseignements personnels n’entraînerait pas de gains d’efficacité supplémentaires pour les personnes qui présentent une demande ou les institutions, car cela les obligerait à composer avec deux lois et deux organismes de réglementation au lieu d’un seul lorsqu’elles invoquent leur droit à la vie privée. Cette situation risquerait de fragiliser le droit fondamental des Canadiennes et Canadiens à la vie privée. 

Une solution plus rapide, plus efficace et plus économique pour harmoniser le régime des demandes d’accès consisterait à conclure un protocole d’entente entre le CPVP, le Commissariat à l’information du Canada et le SCT en vue de simplifier le processus et de le rendre plus convivial pour les personnes qui présentent une demande ainsi que pour les institutions. À titre d’exemple, le protocole d’entente pourrait prévoir des solutions efficaces pour acheminer sans heurts les plaintes vers l’organisme de réglementation compétent et pour garantir que les processus de conformité soient coordonnés et harmonisés.

En revanche, le transfert des demandes d’accès aux renseignements personnels de la Loi sur la protection des renseignements personnels à la Loi sur l’accès à l’information n’aurait pas pour effet d’harmoniser les processus et serait incompatible avec la reconnaissance du droit à la vie privée en tant que droit fondamental.

Le droit d’un individu d’accéder à ses renseignements personnels est l’un des dix principes énoncés dans la norme nationale du Canada intitulée « Code type sur la protection des renseignements personnels », CAN/CSA-Q830-96, qui constitue l’annexe 1 de la Loi sur la protection des renseignements personnels et les documents électroniques. Le droit d’accès est reconnu à l’article 15 du Règlement général sur la protection des données de l’Union européenne (RGPD) ainsi que dans les « Lignes directrices de l’OCDE sur la protection de la vie privée et les flux transfrontières de données de caractère personnel ». Il s’agit sans aucun doute de l’un des principes fondamentaux de la protection de la vie privée reconnus tant au Canada qu’à l’échelle internationale.

Le droit d’accès d’un individu à ses renseignements personnels revêt une importance cruciale pour le droit fondamental à la vie privée, car il s’agit là d’une condition préalable nécessaire à l’exercice d’autres principes clés de la protection de la vie privée, tels que la responsabilité, la détermination des fins de la collecte, la limitation de la durée de conservation, l’exactitude, les mesures de protection, la transparence et la possibilité de porter plainte à l’égard du non-respect des principes. Sans le droit d’accès, les individus pourraient se trouver dans l’impossibilité de faire valoir leurs autres droits, car ils n’auraient pas connaissance des renseignements recueillis ni des fins auxquelles ils sont recueillis.

Par conséquent, le transfert du droit d’accès aux renseignements personnels de la Loi sur la protection des renseignements personnels à la Loi sur l’accès à l’information aurait pour conséquence d’obliger les individus et les institutions à composer avec deux lois différentes et deux organismes de réglementation distincts lorsqu’ils invoquent leur droit à la vie privée. Cela serait incompatible avec la reconnaissance du droit à la vie privée en tant que droit fondamental et ne permettrait pas d’atteindre l’objectif visant à simplifier les processus et à créer un régime plus efficace pour les personnes qui présentent une demande et les institutions.

C’est pourquoi nous recommandons d’accroître l’harmonisation et la convivialité du régime en mettant en place des protocoles d’entente et d’autres processus de coordination entre le CPVP, le Commissariat à l’information du Canada et le SCT, et que les demandes d’accès aux renseignements personnels continuent d’être régies par la Loi sur la protection des renseignements personnels, sous la compétence du Commissaire à la protection de la vie privée du Canada.

Proposition 19 : Accorder au Commissaire des pouvoirs contraignants pour l’exécution des plans de mesures correctives et permettre de discontinuer ou de refuser des plaintes à leur discrétion

Le CPVP soutient la proposition visant à accorder au Commissaire des pouvoirs contraignants. Depuis longtemps, le fait de ne pas disposer de tels pouvoirs constitue une lacune juridique qui a créé un décalage entre le Canada et ses homologues internationaux.

Toutefois, la proposition prévoit que le Commissaire pourrait uniquement exiger d’une institution qu’elle élabore et publie un plan de mesures correctives, et qu’il renvoie l’affaire devant la Cour fédérale si l’institution ne mettait pas en œuvre ce plan.

Cette proposition, selon son libellé actuel, ne permettrait pas au Commissaire d’exiger l’inclusion d’une mesure ou d’un calendrier précis dans le plan, ces deux éléments semblant relever entièrement de la discrétion de l’institution.

Par conséquent, dans les situations où le Commissaire constaterait qu’une institution a porté atteinte au droit à la vie privée des Canadiennes ou Canadiens, il reviendrait à cette institution, et non au Commissaire, de déterminer la mesure corrective appropriée. Dans la pratique, cela risquerait de remplacer un mécanisme non contraignant par un autre.

Pour ces raisons, le CPVP continue de recommander que la Loi sur la protection des renseignements personnels confère au Commissaire des pouvoirs contraignants d’une portée appropriée. Ces pouvoirs devraient permettre au Commissaire, en dernier recours à l’issue d’une enquête et après que des efforts aient été déployés pour résoudre une plainte à l’amiable, de rendre des ordonnances exécutoires exigeant le respect des obligations légales établies par la Loi. Cette approche offrirait un moyen plus efficace de faire respecter le droit à la vie privée, en garantissant que les exigences prévues par la Loi soient appuyées par des mesures correctives concrètes et applicables.

Le CPVP appuie la proposition visant à conférer au Commissaire à la protection de la vie privée le pouvoir discrétionnaire de refuser d’enquêter sur des plaintes, ou d’y mettre fin, lorsque celles-ci sont futiles, vexatoires ou entachées de mauvaise foi, ou lorsqu’une enquête plus approfondie n’est pas nécessaire compte tenu de l’ensemble des circonstances. Ce pouvoir favoriserait une administration efficace du processus de traitement des plaintes et permettrait au CPVP de concentrer ses ressources sur les questions présentant un intérêt public plus grand et ayant une incidence plus importante.

PARTIE 3 : Recommandations supplémentaires

Facilitation des services intégrés

Le CPVP appuie les efforts visant à améliorer la prestation des services et à alléger le fardeau administratif pour la population canadienne. Il faudra préciser davantage la portée des activités autorisées de communication et de réutilisation des données, les seuils juridiques applicables, ainsi que la manière dont ces exigences seraient reflétées dans la loi.

Le CPVP reconnaît qu’une communication plus étendue des renseignements peut offrir des avantages concrets dans certains contextes. À titre d’exemple, la réutilisation de renseignements d’identification de base, comme le nom, l’adresse ou la date de naissance d’un individu, permettrait d’alléger le fardeau qui pèse sur les Canadiennes et les Canadiens, car ceux-ci n’auraient plus à fournir les mêmes renseignements à différentes institutions ni à les mettre à jour à plusieurs reprises.

Le CPVP est en faveur de l’intégration de critères législatifs clairs pour régir les décisions visant la réutilisation ou la communication de renseignements personnels, comme le fait de limiter la réutilisation ou la communication à ce qui est nécessaire, clairement bénéfique et le moins intrusif possible. Nous tenons à souligner qu’un cadre visant à autoriser une communication ou une réutilisation plus étendue des renseignements personnels au sein du gouvernement devrait comporter des limites claires afin d’éviter toute interprétation trop large, et inclure des dispositions précisant que l’incidence sur la vie privée doit être proportionnelle à l’intérêt public en jeu.

La proposition visant à établir des sources officielles désignées de données numériques gouvernementales pourrait également permettre des gains d’efficacité dans certaines circonstances. Parallèlement, nous recommandons que des exigences soient mises en place concernant les risques liés aux failles de sécurité, la responsabilité quant aux décisions fondées sur des données communiquées et le droit d’accès et de correction des individus.

Il sera également essentiel de mettre en place des mesures rigoureuses en matière de transparence. La proposition prévoyant la publication de résumés généraux dans un registre centralisé améliorera la transparence, et nous recommandons qu’elle s’accompagne d’obligations adéquates et accessibles relatives au signalement et à la transparence, permettant aux individus concernés de comprendre comment, quand et pourquoi leurs renseignements personnels sont recueillis, réutilisés, partagés ou communiqués.

Reconnaissance d’un spectre de sensibilité des données et des concepts importants

Les propositions stratégiques 7 et 14 du SCT visent à moderniser la Loi sur la protection des renseignements personnels de manière à ce que celle-ci reconnaisse différents niveaux de sensibilité et d’identifiabilité des données et permette d’adapter les exigences juridiques et les mesures de protection à la sensibilité des données et à leur caractère identificateur.

Le CPVP est généralement en faveur d’une approche qui reconnaît que certains renseignements sont par nature sensibles et qui applique des mesures de protection fondées sur le risque et la sensibilité des données.

Cependant, nous avons des observations et des recommandations à formuler concernant l’interaction entre les définitions proposées des concepts de base énoncés dans la proposition 14 et les exigences prévues par la Loi que la proposition 7 suggère de modifier en fonction de la sensibilité et du caractère identificateur. Nous avons organisé ces commentaires par thème : 1) les renseignements personnels accessibles au public, 2) l’anonymisation, et 3) les renseignements dépersonnalisés.

1. Renseignements personnels accessibles au public

Le CPVP accueille favorablement la suggestion énoncée dans la proposition 7 selon laquelle les renseignements personnels « accessibles au public » ne devraient pas comprendre les renseignements à l’égard desquels un individu pourrait raisonnablement s’attendre à ce qu’ils demeurent confidentiels. La définition proposée de « renseignements personnels accessibles au public » dans la proposition 14 devrait être modifiée en fonction de cette restriction importante.

D’ailleurs, selon la proposition 7, les renseignements personnels accessibles au public devraient nécessiter des mesures de protection moins strictes que celles d’autres types de renseignements personnels, car les attentes en matière de protection de la vie privée sont généralement moins élevées lorsqu’il est question des renseignements librement accessibles à autrui. Toutefois, les renseignements accessibles au public peuvent tout de même contenir des renseignements sensibles. Par exemple, dans le cadre de son enquête publiée en 2026 sur OpenAI^{Note de bas de page 2}, le CPVP a déterminé que les données d’entraînement d’OpenAI, dont la plupart provenaient de sites Web accessibles au public, comportaient de grandes quantités de renseignements personnels ayant divers degrés de sensibilité, notamment des renseignements médicaux, des renseignements indiquant les opinions d’individus sur des sujets délicats ou controversés, notamment sur d’autres personnes, et des renseignements concernant des enfants. De même, les documents qui sont rendus accessibles au public aux termes de la loi, par exemple les dossiers judiciaires, peuvent contenir des renseignements sensibles qui sont publiés à des fins particulières, et les individus pourraient ne pas s’attendre raisonnablement à ce que ces renseignements puissent être recueillis, utilisés ou communiqués par le gouvernement à des fins différentes sans que ce dernier porte attention aux circonstances.

2. Anonymisation

Le document de consultation propose de définir « anonymiser » ainsi : « [M]odifier de façon irréversible et permanente les données personnelles, de sorte qu’il n’y ait aucun risque raisonnablement prévisible de rétablissement de leur caractère identificateur. » Il propose également que la Loi sur la protection des renseignements personnels ne s’applique pas aux renseignements anonymisés, de sorte qu’ils ne soient plus visés par ses exigences.

Le CPVP reconnaît que la définition proposée établit une norme dépendante du contexte lorsqu’il faut établir si les renseignements ont été anonymisés. Autrement dit, l’approche proposée n’exige pas d’éliminer complètement toute possibilité éventuelle de réidentification; elle évalue plutôt s’il existe un risque raisonnablement prévisible de réidentification dans les circonstances. Elle diffère donc d’une norme absolue, qui exigerait que la réidentification soit impossible en toutes circonstances. La définition proposée exigerait également que l’anonymisation soit irréversible et permanente.

Une approche d’anonymisation fondée sur le contexte cadre avec les approches adoptées dans d’autres juridictions. Au Québec, selon la Loi sur la protection des renseignements personnels dans le secteur privé (loi du secteur privé, article 23) et la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels (loi relative au secteur public, article 73), « un renseignement concernant une personne physique est anonymisé lorsqu’il est, en tout temps, raisonnable de prévoir dans les circonstances qu’il ne permet plus, de façon irréversible, d’identifier directement ou indirectement cette personne ». De même, l’article 2 de la Loi de protection des renseignements personnels sur la santé de l’Ontario définit le terme « anonymiser » comme le retrait des renseignements qui permettent d’identifier un particulier ou à l’égard desquels « il est raisonnable de prévoir, dans les circonstances, qu’ils pourraient servir, seuls ou avec d’autres renseignements, à l’identifier ».

Dans la mesure où la Loi sur la protection des renseignements personnels ne s’applique pas aux renseignements anonymisés, la norme d’anonymisation devrait être élevée. Pour ce faire, la norme doit non seulement établir un seuil approprié d’évaluation du caractère identificateur, mais aussi intégrer des mesures de protection supplémentaires dans la définition et le cadre législatif connexe. Ces éléments sont importants, car ils démontrent que la norme reconnaît que l’anonymisation n’est pas simplement une transformation technique ponctuelle. La gestion du risque de réidentification est plutôt une responsabilité constante qui nécessite de tenir compte de l’évolution des technologies, des nouvelles sources de données et des méthodes de combinaison des renseignements qui sont de plus en plus sophistiquées.

Nous recommandons donc d’intégrer des paramètres supplémentaires, et que l’on s’inspire des approches adoptées au Québec et en Ontario, pour que la Loi définisse l’anonymisation comme suit :

anonymiser Modifier de façon irréversible et permanente les renseignements personnels, de sorte qu’en tout temps, il n’y ait aucun risque raisonnablement prévisible de rétablissement de leur caractère identificateur par quelque moyen que ce soit, directement ou indirectement.

Cette formulation renforcerait la définition proposée à deux égards importants. D’abord, en exigeant que la norme soit respectée en tout temps, la formulation reconnaîtrait que l’anonymisation n’est pas un exercice ponctuel, mais une obligation permanente selon laquelle les institutions sont tenues de surveiller et de gérer l’évolution des risques liés à la réidentification. Ensuite, comme on mentionne la réidentification par quelque moyen que ce soit, directement ou indirectement, il faudrait procéder à une évaluation complète des façons dont les renseignements pourraient permettre d’identifier un individu, notamment au fil de l’évolution des technologies et des techniques de couplage de données.

Enfin, étant donné que la définition proposée n’exige pas d’éliminer complètement le risque de réidentification, le CPVP recommande que les infractions envisagées dans la proposition 21 comprennent les tentatives de réidentification de renseignements anonymisés. Cette mesure de protection supplémentaire aiderait à préserver l’intégrité de l’anonymisation au fil du temps et à dissuader les efforts visant à contourner les protections établies par la Loi.

3. Renseignements dépersonnalisés

Le document de consultation du SCT propose la définition suivante du terme « dépersonnaliser » : « [M]odifier des données personnelles afin de réduire le risque, sans pour autant l’éliminer, qu’un individu puisse être identifié directement. »

Demandes d’accès

Le document propose d’empêcher un individu d’avoir accès à des renseignements dépersonnalisés lorsqu’il en fait la demande, car les renseignements ne permettent pas d’identifier facilement l’individu.

Cette proposition fait ressortir une tension inhérente. La dépersonnalisation est une importante mesure de protection de la vie privée que les institutions devraient être encouragées à mettre en œuvre pour réduire les risques pour la vie privée. Toutefois, plus les données sont dépersonnalisées, plus il devient difficile pour les individus d’exercer leur droit prévu par la loi d’accéder à leurs renseignements personnels.

D’autres juridictions ont apaisé cette tension sans créer d’exemption générale. Au Québec, les droits d’accès prévus par la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels s’appliquent aux renseignements dépersonnalisés (contrairement aux renseignements anonymisés, qui ne constituent plus des renseignements personnels). Au titre de l’article 11 du RGPD, les exigences relatives aux demandes d’accès aux données ne s’appliquent pas lorsqu’un responsable du traitement « est à même de démontrer qu’il n’est pas en mesure d’identifier la personne concernée »^{Note de bas de page 3}. Toutefois, si la personne concernée fournit des informations complémentaires « qui permettent de l’identifier », cette exception ne s’applique plus.

En ce qui concerne la Loi sur la protection des renseignements personnels, une exemption générale des droits d’accès aux renseignements dépersonnalisés aurait probablement un champ d’application trop large, car elle pourrait avoir une incidence sur les droits connexes, comme le droit de demander la correction de renseignements personnels inexacts, en plus de limiter le droit d’accès.

Le CPVP recommande donc que la Loi sur la protection des renseignements personnels ne prévoie pas d’exemption générale pour les renseignements dépersonnalisés. Si une exemption est adoptée, nous recommandons qu’elle s’inspire du modèle de l’Union européenne, selon lequel l’exemption s’appliquerait seulement lorsqu’une institution peut démontrer qu’elle n’est pas raisonnablement en mesure de réidentifier les renseignements d’un individu.

Mesures de protection

Selon la proposition 7, les renseignements dépersonnalisés pourraient nécessiter des mesures de protection moins strictes que celles des renseignements personnels permettant d’identifier un individu. Le CPVP n’estime pas que la dépersonnalisation à elle seule justifie la réduction des exigences en matière de sécurité.

Les renseignements dépersonnalisés continuent de présenter un risque de réidentification et, lorsqu’il s’agit de renseignements sensibles, une atteinte à la sécurité peut encore exposer les individus concernés à un préjudice important en cas de réidentification ou de combinaison à d’autres données disponibles.

Par conséquent, la Loi sur la protection des renseignements personnels devrait reconnaître expressément que la dépersonnalisation ne diminue pas la sensibilité des renseignements personnels. Les institutions devraient être tenues de protéger les renseignements dépersonnalisés d’une manière qui reflète à la fois le degré de sensibilité des renseignements et le risque raisonnablement prévisible de réidentification.

Partage de données

La proposition 7 suggère également d’autoriser la communication de renseignements dépersonnalisés à des partenaires de confiance aux fins de recherche et d’amélioration des services. Comme le reconnaît le document de consultation, cette pratique n’est pas sans risque.

Par conséquent, la communication de renseignements dépersonnalisés devrait être assujettie à des ententes écrites d’échange de renseignements qui définissent les fins autorisées, interdisent la communication ultérieure non autorisée, exigent des mesures de protection appropriées et attribuent la responsabilité de la conformité.

Renseignements personnels et données personnelles

Dans le cadre de la modernisation de la Loi, le SCT propose de remplacer le terme « renseignements personnels » par « données personnelles ». Bien que le document de consultation ne propose pas de définition, il indique que l’exigence actuelle limitant les renseignements personnels aux données « enregistrées sous n’importe quelle forme » serait éliminée. Le CPVP est en faveur de la suppression de cette exigence, qui garantirait que la Loi s’applique au traitement des renseignements personnels qui peuvent toucher des individus, même lorsque les renseignements ne sont pas conservés sous forme enregistrée^{Note de bas de page 4}.

En ce qui concerne la modification de la terminologie, la proposition devrait veiller à assurer la cohérence dans l’ensemble du cadre canadien d’accès à l’information et de protection de la vie privée, y compris les lois clés comme la Loi sur l’accès à l’information et la Loi sur la protection des renseignements personnels et les documents électroniques, ainsi que les lois provinciales et territoriales. L’utilisation d’une terminologie différente peut rendre l’interprétation plus difficile ou avoir des conséquences imprévues si la relation entre ces concepts n’est pas clairement établie.

Quelle que soit la terminologie utilisée, la définition doit rester fondée sur le concept d’identifiabilité. La Loi devrait inclure une définition de l’« identifiabilité » fondée sur le critère établi par la Cour fédérale dans l’arrêt Gordon c. Canada : « Les renseignements seront des renseignements concernant un individu identifiable lorsqu’il y a de fortes possibilités que l’individu puisse être identifié par l’utilisation de ces renseignements, seuls ou en combinaison avec des renseignements d’autres sources. »

La codification de ce critère dans la Loi favoriserait une plus grande certitude et cohérence à l’égard de l’interprétation de l’expression « individu identifiable », tout en préservant l’analyse contextuelle nécessaire pour tenir compte des évolutions technologiques et des méthodes de plus en plus sophistiquées de couplage et d’analyse des renseignements.

Exigences en matière d’avis et de transparence

Le CPVP appuie l’objectif de renforcer le cadre de transparence de la Loi sur la protection des renseignements personnels. La transparence est un élément fondamental d’une protection efficace de la vie privée. Elle aide les individus à comprendre comment les institutions fédérales recueillent, utilisent, communiquent et conservent leurs renseignements personnels et à exercer leurs droits prévus par la Loi et tient les institutions responsables de leurs pratiques de traitement des renseignements.

Le projet de registre centralisé des fonds de renseignements personnels, les avis de confidentialité en langage clair et les exigences en matière de transparence accrues pour les systèmes décisionnels automatisés (SDA) sont un pas dans la bonne direction pour la modernisation de la Loi. Il est notamment essentiel de fournir aux individus de l’information sur l’utilisation des SDA afin qu’ils comprennent quand ces systèmes sont utilisés pour faciliter la prise de décisions qui les concernent et qu’ils puissent exercer leurs droits d’accès, de correction et d’examen.

Nous recommandons en outre de mettre en œuvre les mesures de transparence suivantes :

La Loi devrait imposer des obligations claires en matière de transparence qui précisent les circonstances dans lesquelles les avis sont requis, les renseignements qu’ils doivent contenir et les situations où des mesures de transparence supplémentaires doivent être mises en œuvre.

La Loi devrait exiger que les avis de confidentialité soient rédigés dans un langage clair et accessible et contiennent suffisamment d’information pour permettre aux individus de connaître les renseignements personnels qui ont été recueillis, la source des renseignements, le moment où ils ont été recueillis et les fins auxquelles ils seront utilisés ou communiqués, et sachent si les renseignements peuvent être réutilisés ou communiqués à d’autres institutions.

Des formes d’avis plus directes devraient être envisagées pour compléter le registre centralisé des fonds de renseignements personnels de manière à fournir en temps opportun de l’information exacte et suffisamment détaillée sur la façon dont les renseignements personnels d’un individu sont recueillis, utilisés ou communiqués, le moment où ils le sont et la raison pour laquelle ils le sont.

Renforcement de la capacité du CPVP à informer les Canadiennes et les Canadiens

Élargir les pouvoirs en matière de rapports publics

Le CPVP recommande de conférer au Commissaire à la protection de la vie privée un plus grand pouvoir discrétionnaire pour communiquer publiquement sur des questions découlant de l’exercice de ses responsabilités au titre de la Loi sur la protection des renseignements personnels. Bien que le Commissaire puisse communiquer avec le Parlement dans le cadre de ses rapports annuels et de rapports spéciaux, la Loi ne lui permet pas autrement de communiquer publiquement des renseignements obtenus dans l’exercice de ses attributions. L’octroi d’un plus grand pouvoir discrétionnaire pour communiquer publiquement, lorsque cela est approprié et dans l’intérêt public, permettrait au CPVP d’informer plus rapidement le public d’importants enjeux relatifs à la protection de la vie privée, de promouvoir une plus grande transparence et de fournir des conseils aux institutions fédérales sur l’interprétation et l’application de la Loi.

Mandat de recherche et d’éducation du public

Le CPVP recommande que la Loi sur la protection des renseignements personnels lui confère expressément un rôle explicite de recherche et d’éducation du public. Lors de l’examen de la Loi par le ministère de la Justice en 2021-2022, il a été envisagé d’élargir de cette façon le mandat du CPVP. Ce dernier reste d’avis que, si la Loi lui conférait un mandat explicite lui permettant d’entreprendre des activités d’éducation et de sensibilisation du public, de mener des recherches et d’appuyer la recherche externe sur des questions d’intérêt public, il serait en mesure de mieux cerner les nouveaux risques pour la vie privée, de promouvoir davantage la conformité et d’appuyer l’administration efficace de la Loi.

Conclusion

Le CPVP est reconnaissant du leadership qu’a pris le SCT pour faire progresser la modernisation de la Loi sur la protection des renseignements personnels et est heureux d’avoir l’occasion de formuler des commentaires sur les approches stratégiques proposées. Bon nombre des propositions représentent un pas dans la bonne direction pour la modernisation du cadre de protection de la vie privée dans le secteur public. Le CPVP se réjouit de continuer de collaborer avec le SCT à mesure que les propositions stratégiques se traduisent en dispositions législatives, pour veiller à ce que la loi qui en découle protège les renseignements personnels des Canadiennes et des Canadiens de manière claire, efficace et durable.