Fiches des enjeux au sujet de l’étude des répercussions de l’Arrangement préliminaire conjoint Canada/Chine sur le secteur canadien des Véhicules Électriques - Comparution devant le Comité permanent SRSR
Répercussions sur la vie privée de l’entrée des véhicules électriques chinois sur le marché canadien
Notes d’allocution
- La plupart des véhicules électriques actuels présentent un risque d’atteinte à la vie privée d’une ampleur et d’un type différents des véhicules traditionnels en raison des données qu’ils recueillent et génèrent et de leur connectivité Internet. Ces risques ne sont pas propres aux véhicules fabriqués dans un pays donné et s’étendraient à la plupart des véhicules connectés.
- Un fabricant est généralement tenu de respecter les lois du pays dans lequel il est basé, même si le véhicule est destiné à être vendu et utilisé dans un autre pays. Les dispositions des lois de la juridiction du fabricant pourraient faire en sorte que les données des Canadiennes et des Canadiens soient accessibles aux organismes d’application de la loi et de sécurité nationale de cette juridiction étrangère, potentiellement à l’insu ou sans le consentement du propriétaire potentiel du véhicule.
- Contrairement à la plupart des lois modernes sur la protection des renseignements personnels, la Loi sur la protection des renseignements personnels et les documents électroniques ne prévoit pas de règles explicites régissant la circulation transfrontalière des données. J’ai recommandé de rectifier le tout.
Contexte
- Le Commissariat à la protection de la vie privée (le Commissariat) n’a pas mené d’enquête ni effectué de vérification concernant un fabricant de véhicules électriques (VE).
- Pour évaluer pleinement les répercussions des VE chinois sur la protection de la vie privée, le Commissariat devrait analyser les modèles des véhicules, les ententes contractuelles et les exigences légales de l’autre juridiction concernée (Chine).
- Les données sur les VE pourraient être accessibles aux fabricants notamment si elles sont transmises à des systèmes infonuagiques contrôlés par les fabricants situés à l’extérieur du Canada et si les fabricants accèdent aux données aux fins de dépannage, de traitement des demandes de service et d’amélioration des systèmes des véhicules.
- Plusieurs pays comme les États‑Unis (2025), la Pologne (2026) et Israël (2025) ont des restrictions quant aux VE chinois en raison de préoccupations en matière de sécurité nationale.
- Pendant les réunions du Comité permanent de l’industrie et de la technologie du 12 et du 26 mars 2026, les témoins du Comité ont fait un compte rendu de l’étude du comité sur les politiques du gouvernement fédéral sur les VE et ont discuté des préoccupations en matière de protection de la vie privée, de cybersécurité et de sécurité nationale liées à ces véhicules.
RESPONSABLE : PRAP
Souveraineté numérique et des données
Notes d’allocution
- Je comprends que le fait d’autoriser l’intégration de véhicules électriques chinois dans le marché canadien peut soulever des questions concernant l’emplacement où les renseignements personnels recueillis par ces véhicules sont traités ou stockés et, de façon plus générale, les répercussions de l’entente sur la souveraineté des données au Canada.
- Les renseignements personnels traités dans un pays étranger, comme la Chine, ou par des sociétés étrangères peuvent être accessibles par les organismes d’application de la loi et de sécurité nationale du pays en question.
- Bien que les lois canadiennes sur la protection des renseignements personnels n’interdisent pas le transfert de renseignements personnels vers des pays étrangers et n’exigent pas que les données soient stockées au Canada, j’ai recommandé de moderniser les lois pour contribuer à réglementer efficacement les risques associés au transfert transfrontières de données.
Contexte
- Le gouvernement du Canada (GC) a publié deux livres blancs à ce sujet, à savoir Souveraineté des données et nuage public (2018) et Souveraineté numérique : Un cadre pour améliorer la préparation numérique du gouvernement du Canada (2025). Ces documents définissent des termes clés, notamment :
- Souveraineté numérique : la capacité du GC à exercer une autonomie sur ses actifs et services numériques, en veillant à pouvoir gérer et protéger ses systèmes, ses données et ses renseignements numériques, quel que soit l’endroit où les technologies sont développées, hébergées ou prises en charge;
- Souveraineté des données : le droit du Canada de contrôler l’accès aux données numériques ainsi que la divulgation des données numériques qui sont assujetties aux lois canadiennes seulement.
- En août 2025, le GC a mis sur pied le Bureau des grands projets, ayant pour mandat d’accélérer la réalisation des projets d’intérêt national. La deuxième tranche de projets déploiera plusieurs stratégies, dont l’établissement de la souveraineté des données au Canada.
- En janvier 2026, lors d’un discours au Forum économique mondial, le premier ministre a souligné que le Canada renforçait son autonomie stratégique tout en maintenant des valeurs comme les droits de la personne et la souveraineté.
RESPONSABLE : PRAP
Gouvernement / Accès légal
Notes d’allocution
- La LPRPDE exige que les organisations fassent preuve de transparence quant à leurs pratiques en matière de données, et les clients doivent être informés lorsque leurs renseignements sont envoyés à une autre administration et consultés par les tribunaux et les organismes d’application de la loi et de sécurité nationale de l’administration.
- La LPRPDE reconnaît que, dans certaines circonstances, les organismes d’application de la loi doivent accéder à des renseignements personnels et prévoit des exceptions au consentement pour la communication de renseignements personnels dans certains contextes d’application de la loi et de sécurité nationale où l’institution fédérale a le droit de demander ces renseignements.
- Les gouvernements ne doivent pas pouvoir accéder librement aux renseignements et leur accès doit respecter des principes fondamentaux, notamment le contrôle judiciaire indépendant, la nécessité, la proportionnalité et la transparence.
Contexte
- La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) autorise la communication à une institution gouvernementale de renseignements personnels à l’insu de l’intéressé ou sans son consentement si l’institution a mentionné la source de l’autorité légitime et étayé le fait qu’elle soupçonne que le renseignement est afférent à la sécurité nationale, à la défense du Canada ou à la conduite des affaires internationales; que la communication est demandée aux fins du contrôle d’application du droit canadien, provincial ou étranger ou de la tenue d’enquêtes liées à ce contrôle d’application; ou qu’elle est demandée pour l’application du droit canadien ou provincial (sous-alinéa 7(3)c.1)).
- En vertu de l’alinéa 7(3)d) de la LPRPDE, une organisation peut faire une communication de sa propre initiative à une institution fédérale si elle a des motifs raisonnables de croire que le renseignement est afférent à une contravention au droit fédéral, provincial ou étranger ou qu’elle soupçonne que le renseignement est afférent à la sécurité nationale, à la défense du Canada ou à la conduite des affaires internationales.
- En 2022, l’Organisation de coopération et de développement économiques a publié une déclaration sur l’accès des pouvoirs publics aux données à caractère personnel détenues par des entités du secteur privé décrivant plusieurs principes pour un accès gouvernemental légitime, notamment la base légale, les finalités légitimes, les autorisations, le traitement des données, la transparence, les mécanismes de contrôle et les recours.
- Le 12 mars 2026, le gouvernement a déposé le projet de loi C‑22, la Loi de 2026 sur l’accès légal, qui prévoit les paramètres de l’utilisation des renseignements personnels dans le cadre d’enquêtes. Voir la note distincte.
RESPONSABLE : PRAP
Travaux du Commissariat sur les véhicules connectés
Notes d’allocution
- Le Commissariat suit de près l’émergence et le développement des véhicules connectés et a entrepris des travaux pour comprendre les répercussions potentielles sur la vie privée. Nous cherchons également des moyens d’accroître notre capacité à évaluer les véhicules eux-mêmes.
- Par exemple, le Commissariat a formé un groupe de travail sur les véhicules connectés avec ses homologues dans des provinces où les lois sur la protection des renseignements personnels dans le secteur privé sont essentiellement similaires, notamment l’Alberta, la Colombie-Britannique et le Québec. Le groupe de travail recueille de l’information sur la collecte, l’utilisation et la communication de renseignements personnels liées aux véhicules connectés.
- De plus, l’an dernier, le Commissariat a financé deux projets de recherche sur les véhicules connectés par l’intermédiaire de son programme de contributions, qui seront publiés prochainement.
Contexte
- Le groupe de travail fédéral-provincial-territorial a convenu de commencer la collecte de renseignements en avril 2026, après avoir tiré parti des conclusions d’études récentes financées par le programme de contributions. Une fois que le groupe aura examiné les conclusions, il envisagera différents moyens d’évaluer et d’assurer la conformité aux lois canadiennes sur la protection des renseignements personnels dans ce secteur.
- Les ébauches de rapports du cycle de financement de 2025-2026 du programme de contributions ont été reçues le 31 mars 2026 et seront publiées dans les prochaines semaines. Les deux projets pertinents sont les suivants :
- Association pour la protection des automobilistes : Répertoire des autorisations relatives à la confidentialité et des décharges que les constructeurs d’automobiles exigent des clients canadiens pour accéder aux fonctionnalités intégrées et aux applications connectées dans les véhicules.
- Université de Windsor : Examen de la façon dont l’intégration de la protection de la vie privée dès la conception peut servir à améliorer les mesures de protection de la vie privée lorsque les entreprises accèdent à des renseignements permettant d’identifier une personne recueillie par des véhicules connectés.
RESPONSABLE : PRAP
Capacité technique du Commissariat à évaluer les véhicules connectés
Notes d’allocution
- Le Commissariat a examiné la façon dont il pourrait évaluer les capacités techniques de certains véhicules électriques chinois au cas où il faudrait déterminer si des renseignements personnels sont recueillis par divers composants d’un véhicule, notamment les systèmes de navigation ou d’infodivertissement et, dans l’affirmative, si cette collecte respecte la Loi sur la protection des renseignements personnels et les documents électroniques.
- Bien que le Commissariat dispose d’une expertise en rétro-ingénierie de matériel informatique et de logiciels, il n’a aucune expertise formelle liée aux véhicules. De plus, il n’a actuellement pas l’espace physique ni l’équipement nécessaire pour examiner les véhicules électriques, comme un garage sécurisé, des outils mécaniques et une borne de recharge pour véhicules électriques.
- Par conséquent, il envisage activement d’établir des partenariats avec des parties ayant des vues similaires qui ont des compétences complémentaires et l’espace physique nécessaire pour effectuer un examen technique des véhicules électriques chinois.
Contexte
- Pour le moment, aucune plainte officielle n’a été déposée auprès du Commissariat concernant la collecte de renseignements personnels par les véhicules électriques (VE) chinois.
- Si une telle plainte était déposée, le Commissariat devrait probablement effectuer un examen technique des modèles de VE chinois concernés pour déterminer quels renseignements sont recueillis et envoyés à la société mère.
PRÉPARÉ PAR : DIRECTION DE L’ANALYSE DE LA TECHNOLOGIE
Recherche financée par le Commissariat sur les véhicules connectés
Notes d’allocution
- Dans le cadre de son Programme des contributions, le Commissariat consacre jusqu’à 500 000 dollars par an à des initiatives de recherche et de sensibilisation du public portant sur un éventail de questions relatives à la protection de la vie privée liées à la Loi sur la protection des renseignements personnels et les documents électroniques.
- L’an dernier, le Commissariat a lancé un appel d’offres pour des projets visant à accroître les connaissances sur les appareils intelligents, y compris la circulation connexe de données et les mesures de protection de la vie privée, et à sensibiliser la population à cet égard, et a financé deux projets liés aux véhicules connectés :
- Un projet de l’Association pour la protection des automobilistes qui a répertorié les autorisations relatives à la confidentialité et les décharges que les constructeurs d’automobiles exigent des clients canadiens pour accéder aux fonctionnalités intégrées et aux applications connectées dans les véhicules.
- Un projet de l’Université de Windsor qui a examiné la façon dont l’intégration de la protection de la vie privée dès la conception peut servir à améliorer les mesures de protection de la vie privée lorsque les entreprises accèdent à des renseignements permettant d’identifier une personne recueillie par des véhicules connectés.
Contexte
- Les ébauches de rapports du cycle de financement de 2025-2026 ont été reçues. Les rapports finaux seront publiés en ligne au cours des prochaines semaines.
- Les conclusions du projet de l’Université de Windsor montrent qu’il est possible d’utiliser des techniques de protection de la vie privée pour restreindre l’accès aux données des véhicules connectés, tout en préservant l’utilité des données.
- Une étude de l’Association pour la protection des automobilistes suggère que les approches de collecte de données des constructeurs d’automobiles varient considérablement d’une marque à l’autre et que le consentement pour l’utilisation des renseignements personnels n’est pas toujours obtenu.
- Cette situation est particulièrement préoccupante, car les renseignements recueillis peuvent comprendre les numéros d’assurance sociale, les autorisations pour l’enregistrement des conversations à bord des véhicules, le suivi de localisation, les sites Web visités, les contacts et les habitudes de conduite.
- De plus, certains constructeurs d’automobiles demandent aux clients d’accepter que leurs renseignements soient communiqués pour accéder aux fonctionnalités connectées.
RESPONSABLE : PRAP
Groupe de travail FPT sur les véhicules connectés
Notes d’allocution
- Le Commissariat a formé un groupe de travail sur les voitures connectées avec des organismes de réglementation de l’Alberta, de la Colombie-Britannique et du Québec, compte tenu de l’intérêt commun à entreprendre des travaux dans ce domaine.
- L’an dernier, ce groupe de travail s’est réuni à plusieurs reprises, et ses membres sont en train de recueillir de l’information liée à la collecte, à l’utilisation et à la communication de renseignements personnels dans le contexte de l’écosystème des voitures connectées.
- Le groupe de travail prévoit tirer parti de l’information recueillie et des conclusions des études menées dans le cadre du programme des contributions du Commissariat pour cerner et mieux comprendre les enjeux liés à la protection de la vie privée que peuvent présenter les voitures connectées.
- Ces renseignements permettront de déterminer quelles mesures, le cas échéant, les commissariats peuvent prendre pour mieux protéger les renseignements personnels des Canadiennes et des Canadiens dans ce contexte.
Contexte
- Les résultats des travaux de recherche sur la question des voitures connectées dans le cadre du programme de contributions ont été reçus à la fin du mois de mars 2026 et sont en cours d’examen.
- Une fois qu’il aura examiné les résultats de ces démarches et l’information recueillie par les membres, le groupe de travail déterminera les prochaines étapes, le cas échéant, pour évaluer et assurer la conformité des voitures connectées aux lois canadiennes sur la protection des renseignements personnels.
RESPONSABLE : DIRECTION DES SERVICES-CONSEILS
Exigences en matière de transfert prévues par la LPRPDE
Notes d’allocution
- La LPRPDE exige que les organisations fassent preuve de transparence au sujet de leurs pratiques en matière de données. Si les renseignements personnels recueillis par les véhicules électriques sont envoyés à une autre juridiction, comme la Chine, les clients doivent en être informés et savoir que leurs renseignements peuvent être consultés par les tribunaux, les forces de l’ordre et les organismes d’application de la loi et de sécurité nationale de ce pays.
- Les organisations demeurent également responsables des renseignements personnels transférés à un tiers aux fins de traitement, qu’ils aient été transférés au pays ou à l’étranger. Elles doivent également veiller à fournir un « degré comparable de protection ».
- Je crois que les Canadiennes et les Canadiens ont besoin d’exigences plus strictes et s’y attendent. C’est pourquoi je préconise la modification de la Loi sur la protection des renseignements personnels et les documents électroniques pour y intégrer des règles et des exigences précises qui protègent les données personnelles transférées à l’étranger.
Contexte
- La LPRPDE n’interdit pas aux organisations situées au Canada de transmettre des renseignements personnels à des organisations de Chine, ou d’une autre juridiction.
- Le principe 4.1.3 de la LPRPDE exige que les organisations qui transfèrent des renseignements personnels à un tiers aux fins de traitement fournissent, par voie contractuelle ou autre, un « degré comparable de protection ».
- Le tiers doit donc fournir un degré de protection comparable à celui dont profiteraient les renseignements personnels s’ils n’avaient pas été transférés. Il n’est pas nécessaire que les protections soient les mêmes, mais elles doivent être généralement équivalentes.
- La plupart des lois modernes sur la protection des renseignements personnels, comme celles de l’Australie, de la Nouvelle-Zélande et de l’Union européenne, traitent explicitement et séparément de la circulation transfrontalière des données, prévoyant des mécanismes de transfert précis, notamment des décisions d’adéquation, des clauses contractuelles types, des codes de conduite ou d’autres régimes comme des règles d’entreprise contraignantes.
- Les lignes directrices sur le transfert transfrontalier de renseignements personnels du Commissariat fournissent des directives aux organisations sur les obligations prévues par la LPRPDE qu’elles doivent respecter lorsqu’elles transfèrent des renseignements personnels au-delà des frontières.
RESPONSABLE : PRAP
Recommandations de réforme de la LPRPDE pour les transferts transfrontaliers
Notes d’allocution
- Les Canadiennes et les Canadiens ont besoin de lois modernisées sur la protection des renseignements personnels, comme celles promulguées dans d’autres pays, qui tiennent compte de l’économie mondiale axée sur les données et favorisent l’innovation et le commerce international.
- J’ai recommandé que la LPRPDE soit modifiée pour contenir des dispositions qui traitent expressément de la circulation transfrontalière des données afin que les renseignements personnels des Canadiennes et des Canadiens soient adéquatement protégés avant qu’ils soient communiqués à l’extérieur du pays, y compris en :
- exigeant que les organisations effectuent une EFVP afin de s’assurer que les renseignements bénéficieront d’un degré de protection comparable à la LPRPDE, en prenant en compte, entre autres, le cadre légal de protection des données de l’autre juridiction; et
- fournissant des outils précis pour contribuer à assurer un niveau de protection comparable, comme des clauses contractuelles types, des codes de pratique, des programmes de certification et des règles d’entreprise contraignantes.
Contexte
- Les lois sur la protection des renseignements personnels de l’Australie, de la Nouvelle-Zélande et de l’Union européenne prévoient des mécanismes de transfert précis, notamment des décisions d’adéquation, des clauses contractuelles types, des codes de conduite ou d’autres régimes comme des règles d’entreprise contraignantes.
- La Loi sur la protection des renseignements personnels dans le secteur privé du Québec exige que les organisations procèdent à une évaluation des facteurs relatifs à la vie privée (EFVP) avant de transférer des renseignements personnels à l’extérieur du Québec pour vérifier que les renseignements bénéficieront d’une « protection adéquate » (art. 17). L’EFVP doit tenir compte de la sensibilité des données, de la finalité de leur utilisation, des mesures de protection et du régime juridique applicable dans l’autre juridiction. De même, le Royaume-Uni et la France exigent également des évaluations des risques et des répercussions liés aux transferts.
- Les mémoires du Commissariat sur les projets de loi C-11 et C-27 recommandaient la mise en œuvre d’un cadre sur la circulation transfrontalière des données dans la réforme des lois afin que les éléments suivants, entre autres, soient pris en compte : 1) à qui s’appliquent les obligations; 2) le resserrement des mesures de responsabilisation; 3) les critères à remplir pour qu’un transfert ait lieu; 4) l’évaluation de la compétence en matière de mesures de protection.
- En réponse à un rapport sur les plateformes de médias sociaux publié en 2024 par le Comité permanent de l’accès à l’information, de la protection des renseignements personnels et de l’éthique, le gouvernement a souligné l’importance de traiter des transferts transfrontaliers de données et a mis en évidence les activités gouvernementales liées à la promotion de la libre circulation des données dans la confiance et à la mise en œuvre du Forum mondial sur les règles relatives aux transferts transfrontaliers de données.
RESPONSABLE : PRAP
Travail du Commissariat pour assurer la fiabilité des transferts (libre circulation des données dans la confiance)
Notes d’allocution
- Je travaille en étroite collaboration avec d’autres autorités de protection des données et de la vie privée pour assurer la mise en place de normes rigoureuses concernant la circulation transfrontalière de renseignements personnels, y compris ceux pouvant provenir de véhicules connectés.
- Avec mes homologues, j’essaie de cerner les éléments de convergence et de travailler sur ceux-ci afin de favoriser l’interopérabilité, qui offre aux entreprises une certitude réglementaire et réduit les coûts liés à la conformité, tout en maintenant des normes élevées en matière de protection de la vie privée et la confiance du public.
- La libre circulation des données dans la confiance est un pilier clé de la Table ronde des autorités de protection des données et de la vie privée du G7, que j’ai organisée l’année dernière, et constitue l’un des principaux thèmes de ma vision en tant que président de l’Assemblée mondiale pour la protection de la vie privée.
- Le Commissariat a examiné les mécanismes de transfert de données qui peuvent renforcer la confiance, notamment ceux mis en œuvre au Canada, comme le mécanisme de certification du Forum mondial sur les règles relatives aux transferts transfrontaliers de données.
Contexte
- En 2019, lors du sommet du G20 à Osaka, le gouvernement japonais a présenté le concept de la libre circulation des données dans la confiance comme méthode qui renforce la confiance. Le concept prévoyait notamment des normes élevées de protection des données personnelles en tant que condition préalable à la facilitation de la libre circulation des données.
- Le 1er novembre 2024, le Commissariat a coparrainé la résolution sur la libre circulation des données dans la confiance du Groupe de travail sur les normes et les cadres mondiaux de l’Assemblée mondiale pour la protection de la vie privée.
- Le groupe de travail sur la libre circulation des données dans la confiance de la table ronde du G7 a effectué une comparaison des mécanismes de certification du Forum mondial sur les règles relatives aux transferts transfrontaliers de données (forum Global CBPR) et du Règlement général sur la protection des données en 2024 et a publié un exposé de position en 2025.
- L’Organisation de coopération et de développement économiques maintient un groupe communautaire d’experts pour la libre circulation des données dans la confiance, et le Commissariat fait partie des sous-groupes sur les paiements transfrontaliers et les renseignements sur la santé.
- Le Forum mondial sur les règles relatives aux transferts transfrontaliers de données est un système international volontaire de certification de la protection de la vie privée fondé sur un ensemble de principes convenus d’un commun accord. Le Commissariat participe depuis avril 2024 à l’entente mondiale de coopération en matière d’application de la loi pour protéger la vie privée (Global Cooperation Arrangement for Privacy Enforcement), qui favorise la coopération en matière d’application de la loi entre les autorités participantes d’application des lois en matière de protection des renseignements personnels. En juin 2025, le Commissariat a répondu à la consultation d’Innovation, Sciences et Développement économique Canada sur la mise en œuvre de ce système au Canada.
RESPONSABLE : PRAP
Transferts internationaux dans le cadre d’accords commerciaux
Notes d’allocution
- Le Commissariat appuie les objectifs qui sous-tendent les accords commerciaux internationaux et reconnaît la nécessité d’étendre le commerce à de nouveaux pays et avec nos partenaires actuels.
- Les mesures de protection de la vie privée ne doivent pas être considérées comme des obstacles au commerce. Les accords commerciaux modernes, comme l’Accord Canada–États‑Unis–Mexique et l’Accord économique et commercial global entre le Canada et l’Union européenne, comprennent des dispositions et des chapitres qui traitent de la protection de la vie privée et des données pour faciliter le commerce électronique.
- Bien que ces accords favorisent le commerce et la circulation transfrontalière des données, ils offrent également une certaine souplesse pour les pays qui souhaitent élaborer leurs propres lois sur la protection des renseignements personnels. Par exemple, en vertu de l’Accord Canada–États‑Unis–Mexique, les pays peuvent adopter des mesures pour promouvoir leurs propres objectifs de politique publique, pourvu que ces mesures ne soient pas arbitraires ni discriminatoires et qu’elles ne constituent pas un obstacle déguisé au commerce.
Contexte
- L’Accord Canada–États‑Unis–Mexique (ACEUM) exige qu’un « examen conjoint » soit effectué six ans après son entrée en vigueur (paragraphe 34.7(2)). L’ACEUM étant entré en vigueur le 1er juillet 2020, cet examen conjoint est en principe prévu pour juillet 2026.
- L’ACEUM reconnaît les avantages économiques et sociaux de la protection des renseignements personnels, la manière dont la protection renforce la confiance des consommateurs à l’égard du commerce numérique (paragraphe 19.8(1)) et l’importance de veiller à ce que toute restriction relative à la circulation transfrontalière des données soit nécessaire et proportionnelle aux risques présentés (article 19.8(3)).
- L’ACEUM interdit généralement l’imposition de restrictions sur les transferts transfrontaliers de données (paragraphe 19.11(1)), sauf lorsqu’elles sont nécessaires pour atteindre un « objectif légitime de politique publique », pourvu qu’elles ne constituent pas un moyen de discrimination arbitraire ou injustifiable ni une restriction déguisée au commerce et qu’elles n’imposent pas de restrictions sur les transferts de renseignements qui soient plus importantes que celles qui sont nécessaires pour atteindre cet objectif (article 19.11(2)).
- L’article 16.4 de l’Accord économique et commercial global entre le Canada et l’Union européenne stipule que chaque partie devrait adopter ou maintenir des lois, des règlements ou des mesures administratives pour assurer la protection des renseignements personnels des utilisateurs du commerce électronique.
RESPONSABLE : PRAP
Décision Schrems II
Notes d’allocution
- Dans sa décision Schrems II de 2020, la Cour européenne de justice a noté que les clauses contractuelles types, à elles seules, ne garantissent pas toujours une protection adéquate des données personnelles transférées au-delà des frontières.
- Tout particulièrement, la Cour a noté que les lois d’un pays sur la sécurité nationale et l’accès légal peuvent imposer aux destinataires des transferts de données des obligations qui entrent en conflit avec ces clauses, compromettant ainsi la protection qu’elles sont censées fournir.
- Dans de tels cas, les transferts de données vers ce pays peuvent être interdits en l’absence de mesures de sécurité supplémentaires qui complètent la protection offerte par les clauses contractuelles types.
Contexte
- Schrems II, paragraphe 126 : « [I]l existe […] des situations […] dans lesquelles les stipulations contenues dans ces clauses pourraient ne pas constituer un moyen suffisant permettant d’assurer, en pratique, la protection effective des données à caractère personnel transférées dans le pays tiers concerné. Tel est le cas, notamment, lorsque le droit de ce pays tiers permet aux autorités publiques de celui-ci des ingérences dans les droits des personnes concernées relatifs à ces données. »
- Schrems II, paragraphe 133 : « Dans la mesure où ces clauses types de protection des données ne peuvent, eu égard à leur nature, fournir des garanties allant au-delà d’une obligation contractuelle de veiller à ce que le niveau de protection requis par le droit de l’Union soit respecté, elles peuvent nécessiter, en fonction de la situation prévalant dans tel ou tel pays tiers, l’adoption de mesures supplémentaires par le responsable du traitement afin d’assurer le respect de ce niveau de protection. »
- Schrems II, paragraphe 135 : « À défaut, pour [un] responsable du traitement [de l’UE] ou son sous-traitant […], de pouvoir prendre des mesures supplémentaires suffisantes pour garantir une protection [adéquate], ceux-ci ou, à titre subsidiaire, l’autorité de contrôle compétente sont tenus de suspendre ou de mettre fin au transfert de données à caractère personnel vers le pays tiers concerné. Tel est notamment le cas lorsque le droit de ce pays tiers impose au destinataire d’un transfert de données à caractère personnel en provenance de l’[UE] des obligations qui sont contraires [aux clauses contractuelles types] et, partant, de nature à remettre en cause la garantie contractuelle d’un niveau de protection adéquat contre l’accès des autorités publiques dudit pays tiers à ces données. »
RESPONSABLE : SERVICES JURIDIQUES
Réponses internationales aux véhicules connectés
Notes d’allocution
- Je sais que d’autres juridictions ont entrepris diverses activités pour imposer des restrictions sur les véhicules connectés, principalement en raison de préoccupations liées à la sécurité nationale et à la cybersécurité.
- Par exemple, le département du Commerce des États‑Unis a publié une règle contraignante interdisant l’importation et la vente de véhicules connectés ainsi que du matériel et des logiciels connexes en provenance de la Chine et de la Russie à partir de 2027, tandis que des pays comme la Pologne et Israël ont interdit aux véhicules électriques fabriqués en Chine d’entrer dans les installations militaires.
- D’autres juridictions, comme l’Union européenne et la Californie, ont fixé des exigences de gestion des risques en matière de cybersécurité liés aux véhicules connectés et autonomes.
- Bien que les préoccupations liées à la sécurité nationale et à la cybersécurité soient principalement citées comme étant à l’origine de ces interdictions et restrictions, les répercussions potentielles sur la vie privée de l’utilisation des véhicules connectés pourraient également avoir été prises en compte.
Contexte
- En 2025, le Bureau de l’industrie et de la sécurité du département du Commerce des États‑Unis a publié une règle interdisant la vente de véhicules connectés par des fabricants détenus ou contrôlés par la Chine ou la Russie, relevant de leur compétence ou assujettis à leurs directives, et de véhicules utilisant les logiciels de ces fabricants. Le Bureau a déterminé que ces transactions présentaient des risques pour la sécurité nationale, car les entreprises de ces pays pourraient être obligées de transmettre des données ou de permettre d’accéder à distance aux véhicules connectés.
- Le règlement général sur la sécurité de l’UE (lié au règlement no 155 de l’ONU) exige que les fabricants mettent en œuvre un système de gestion de la cybersécurité dans leur processus de conception et de fabrication des véhicules, comprenant des exigences en matière d’évaluation des risques, des mesures d’atténuation, de la surveillance, des essais et des rapports.
- Pendant les réunions du Comité permanent de l’industrie et de la technologie du 12 et du 26 mars 2026 sur son étude concernant les politiques du gouvernement fédéral sur les véhicules électriques, les membres du Comité et les témoins ont discuté des préoccupations en matière de protection de la vie privée, de cybersécurité et de sécurité nationale liées à ces véhicules qui ont fait en sorte que la Pologne (2026) et Israël (2025) imposent des interdictions.
RESPONSABLE : PRAP
Cadre de sécurité pour les véhicules connectés et automatisés 2.0 de Transports Canada
Notes d’allocution
- Transports Canada a mis de l’avant des documents d’orientation et des stratégies sur la cybersécurité liée aux véhicules, des lignes directrices sur la mise à l’essai des systèmes de conduite automatisée et le Cadre de sécurité pour les véhicules connectés et automatisés 2.0.
- Je suis encouragé par le fait que Transports Canada a déterminé que, comme ces technologies continuent d’évoluer rapidement, nous devons tenir compte de la sûreté, de la sécurité et de la protection des renseignements personnels, et a demandé aux organisations qui mettent à l’essai ces technologies de respecter les lois applicables sur la protection des renseignements personnels.
Contexte
- En février 2025, Transports Canada a publié la version 2.0 du Cadre de sécurité du Canada pour les véhicules connectés et automatisés, qui fournit des renseignements sur le régime législatif et réglementaire, des directives non réglementaires et des outils pour ce secteur.
- Le document donne un aperçu des collaborations nationales et internationales, de la recherche et des essais liés aux véhicules automatisés et de l’approche en matière de sécurité routière qu’adoptera Transports Canada à mesure que les technologies des véhicules connectés et automatisés progressent.
- Le document présente également le rôle d’autres ministères fédéraux comme l’Office des transports du Canada, Innovation, Sciences et Développement économique Canada, l’Agence des services frontaliers du Canada et le Commissariat à la protection de la vie privée. Il encourage les organisations à consulter la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) et des lois essentiellement similaires lorsqu’elles mettent à l’essai des technologies. De plus, il souligne que la LPRPDE fournit un cadre prévoyant de solides mesures de protection de la vie privée et offrant la souplesse nécessaire pour répondre aux besoins légitimes des entreprises d’accéder à des renseignements personnels.
- Le Cadre encourage ceux qui mènent des recherches et innovent dans ce domaine à continuer de suivre les progrès dans les domaines connexes, comme la sécurité, l’intelligence artificielle, la protection de la vie privée et la cybersécurité.
- Enfin, il renvoie à des documents d’orientation et à des stratégies gouvernementales, notamment la Stratégie de cybersécurité des véhicules de Transports Canada (2021) qui, entre autres, priorise les questions émergentes liées à la cybersécurité des véhicules, comme la protection de la vie privée, l’infrastructure numérique, la sécurité de la chaîne d’approvisionnement, le marché secondaire et les considérations relatives aux véhicules à usage spécial.
RESPONSABLE : PRAP
Considérations relatives à la protection des renseignements personnels liées à la Loi sur Investissement Canada
Notes d’allocution
- La Loi sur Investissement Canada (ou LIC) permet au gouvernement d’examiner certains investissements au Canada effectués par des non-Canadiens en fonction de leur avantage économique global pour le Canada et des préoccupations en matière de sécurité nationale.
- Bien que ces examens n’exigent pas que le gouvernement consulte le Commissariat, je suis conscient que, selon les lignes directrices publiées au titre de la LIC, le gouvernement peut tenir compte de divers facteurs, notamment la possibilité qu’un investissement puisse permettre d’accéder à des données personnelles sensibles pouvant être utilisées pour compromettre la sécurité nationale du Canada.
Contexte
- Un examen relatif à la sécurité nationale peut être entrepris lorsqu’un non-Canadien effectue ou envisage un investissement pour a) constituer une nouvelle entreprise canadienne; b) acquérir le contrôle d’une entreprise canadienne; ou c) acquérir, en tout ou en partie, ou constituer une unité exploitée au Canada (article 25.1).
- Paragraphe 25,3(6) de la LIC : Le ministre de l’Industrie est tenu, après consultation du ministre de la Sécurité publique, de renvoyer la question au gouverneur en conseil s’il est convaincu que l’investissement porterait atteinte à la sécurité nationale.
- Les Lignes directrices sur l’examen relatif à la sécurité nationale des investissements (révisé en mars 2025), publiées en vertu de l’article 38 de la LIC, prévoient, à l’alinéa 9xii), que le gouverneur en conseil peut tenir compte, lors des examens relatifs à la sécurité nationale, de « [l]a mesure dans laquelle l’investissement pourrait permettre d’accéder à des données personnelles sensibles qui seraient susceptibles d’être utilisées pour nuire à la sécurité nationale du Canada par leur exploitation ».
- Au sens des Lignes directrices, les « données personnelles sensibles » comprennent les renseignements de santé ou de génétique qui permettent d’identifier une personne, les données biométriques, les données financières, les communications, la géolocalisation et les données personnelles concernant des représentants gouvernementaux.
- Article 25.4 de la LIC : Le gouverneur en conseil peut prendre par décret toute mesure relative à l’investissement qu’il estime indiquée pour préserver la sécurité nationale, notamment : a) ordonner à l’investisseur non canadien de ne pas effectuer l’investissement; b) autoriser l’investisseur non canadien à effectuer l’investissement selon les modalités précisées dans le décret; ou c) exiger que l’investisseur non canadien se départisse du contrôle de son investissement.
RESPONSABLE : PRAP/Services juridiques
TikTok
Notes d’allocution
- Le Commissariat, ainsi que ses homologues du Québec, de la Colombie-Britannique et de l’Alberta, ont mené une enquête conjointe sur TikTok et publié le rapport de conclusions le 23 septembre 2025.
- Notre enquête a révélé de graves lacunes dans les mécanismes de contrôle de l’âge de TikTok; des centaines de milliers d’enfants canadiens de moins de 13 ans ont ainsi pu accéder à TikTok chaque année, ce qui est pourtant contraire aux conditions d’utilisation de l’entreprise.
- Nous avons également constaté que TikTok n’avait pas obtenu le consentement valable des adultes et des adolescents concernant la collecte et l’utilisation des données des utilisateurs, y compris les données sensibles des jeunes utilisateurs et les données biométriques.
- Je suis heureux que TikTok se soit engagée à améliorer ses mesures de contrôle de l’âge afin d’empêcher les enfants d’accéder à sa plateforme et à améliorer ses communications sur la protection de la vie privée afin de s’assurer d’obtenir un consentement valable.
- Le Commissariat surveille actuellement la mise en œuvre de ses recommandations par TikTok.
Contexte
- Cette enquête ouverte en février 2023 s’inscrit dans la foulée de recours collectifs, désormais réglés, aux États‑Unis et au Canada, et de nombreux reportages dans les médias concernant la collecte, l’utilisation et la communication de données d’utilisateurs par TikTok.
- L’enquête examinait particulièrement si TikTok recueillait les renseignements personnels d’enfants à des fins acceptables.
- L’enquête visait TikTok Pte. Ltd. (une entreprise de Singapour), puisque c’est l’entité commerciale responsable des renseignements personnels des Canadiennes et des Canadiens ainsi que des pratiques en matière de protection de la vie privée de TikTok.
- Il est à noter que nous n’avons pas demandé si, ou dans quelle mesure, le gouvernement chinois a forcé TikTok ou ses entreprises affiliées à fournir l’accès aux données des utilisateurs situés au Canada.
- L’une des recommandations à TikTok était que l’organisation améliore ses communications sur la protection de la vie privée pour obtenir un consentement valable. TikTok devrait notamment fournir un avis indiquant que les renseignements personnels des utilisateurs canadiens peuvent être transférés en Chine et que le gouvernement chinois peut y accéder.
RESPONSABLE : SERVICES DE CONFORMITÉ
Rapport spécial sur ArriveCan
Notes d’allocution
- Le 12 mars 2026, le Commissariat a déposé au Parlement un rapport spécial concernant une enquête sur les pratiques contractuelles de l’Agence des services frontaliers du Canada (ou ASFC) liées au développement de l’application ArriveCAN.
- L’enquête a permis d’évaluer la conformité de l’ASFC à la Loi sur la protection des renseignements personnels au moyen d’un examen des mesures qu’elle a prises pour atténuer les risques d’atteinte à la vie privée liés à l’utilisation de ressources contractuelles.
- L’enquête n’a mis au jour aucune preuve donnant à penser que les renseignements personnels recueillis au moyen de l’application ArriveCAN ont été utilisés ou communiqués en violation de la Loi.
- Bien qu’aucune infraction n’ait été constatée, l’enquête a permis de relever certaines lacunes dans les pratiques d’approvisionnement qui pourraient avoir une incidence sur la protection de la vie privée.
- Le Commissariat a formulé quatre recommandations pour remédier à ces lacunes, et l’ASFC les a acceptées.
Contexte
- L’enquête a été lancée en mars 2024 à la suite de la réception d’une plainte.
- L’enquête a également tenu compte des points soulevés dans la motion déposée par le Comité permanent des opérations gouvernementales et des prévisions budgétaires (OGGO) de la Chambre des communes le 6 mai 2024.
- Particulièrement, l’OGGO a demandé au Commissariat d’enquêter sur le travail de tous les entrepreneurs et sous-traitants ayant participé à la conception d’ArriveCAN afin de déterminer si la vie privée et les renseignements personnels des Canadiennes et Canadiens étaient adéquatement protégés.
- Le Commissariat a recommandé que l’ASFC : i) veille à ce que les exigences de sécurité soient évaluées rigoureusement et adéquatement et qu’on y satisfasse dans un délai raisonnable avant l’attribution du contrat; ii) veille à ce que les descriptions de tâches liées aux autorisations de tâches décrivent clairement et précisément les projets ou les travaux à exécuter pour que les exigences en matière de sécurité et de protection de la vie privée propres aux tâches ou projets soient définies et évaluées adéquatement; iii) gère de façon proactive et surveille rigoureusement les cotes de sécurité et le processus de renouvellement; et iv) limite les autorisations et l’accès aux renseignements personnels à ce qui est strictement nécessaire.
RESPONSABLE : SERVICES DE CONFORMITÉ
C-2 : Loi visant une sécurité rigoureuse à la frontière
Notes d’allocution
- La plupart des dispositions d’abord énoncées dans le projet de loi C-2 ont depuis été énoncées dans le projet de loi C-12, qui a reçu la sanction royale en mars 2026, et dans le projet de loi C-22, qui est actuellement à l’étape de la deuxième lecture à la Chambre.
- Il n’est pas clair si ou quand le gouvernement prévoit aller de l’avant avec les dispositions restantes du projet de loi C-2, dont certaines pourraient avoir des répercussions sur la vie privée.
- Le Commissariat demeure déterminé à conseiller les ministères et les organismes sur les mesures d’atténuation des risques d’atteinte à la vie privée ou des répercussions sur la vie privée potentiels qu’ils devraient intégrer dans les projets de loi, les programmes ou les politiques qu’ils pourraient élaborer.
Contexte
- Le projet de loi C-2 a été présenté à la Chambre par le ministre de la Sécurité publique en juin 2025. En octobre 2025, le ministre a présenté le projet de loi C-12 (Loi visant à renforcer le système d’immigration et la frontière du Canada), qui comptait 11 des parties initialement présentées dans le projet de loi C-2, mais excluait certains des éléments les plus controversés, notamment :
- des modifications à la Loi sur la Société canadienne des postes pour ne permettre la revendication, la saisie ou la rétention de toute chose qui est en cours de transmission postale qu’en conformité avec une loi fédérale et de permettre à Postes Canada d’ouvrir des lettres (partie 4);
- des modifications au Code criminel, à la Loi sur le Service canadien du renseignement de sécurité et à d’autres lois visant à créer ou à modifier divers pouvoirs d’enquête (par exemple, un ordre de fournir des renseignements sans mandat) (partie 14);
- la Loi sur le soutien en matière d’accès autorisé à de l’information proposée, qui exigerait que les fournisseurs de services électroniques disposent des capacités techniques et opérationnelles nécessaires pour faciliter l’accès à l’information par les personnes autorisées (partie 15);
- des modifications à la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes (LRPCFAT) et à la Loi sur la protection des renseignements personnels et les documents électroniques pour établir de nouveaux pouvoirs en vertu de la LRPCFAT permettant aux entités déclarantes de recueillir et d’utiliser des renseignements personnels à l’insu de l’individu concerné ou sans son consentement lorsqu’ils leur sont communiqués par la Gendarmerie royale du Canada ou d’autres entités gouvernementales réglementaires en vue de détecter ou de décourager le recyclage des produits de la criminalité, le financement des activités terroristes ou le contournement des sanctions (partie 16).
- En mars 2026, le ministre a présenté le projet de loi C-22 (Loi de 2026 sur l’accès légal), qui reprend les dispositions initialement énoncées dans les parties 14 et 15 du projet de loi C-2.
- Les modifications proposées à la Loi sur la Société canadienne des postes et à la LRPCFAT demeurent dans le projet de loi C-2.
RESPONSABLE : PRAP
C-8 : Loi sur la cybersécurité
Notes d’allocution
- Le Commissariat appuie l’objectif du projet de loi C-8 qui vise à protéger les systèmes et les services essentiels à la sécurité nationale ou à la sécurité publique contre les menaces et les vulnérabilités liées à la cybersécurité.
- Des mesures de protection renforcées en matière de cybersécurité peuvent également favoriser la protection de la vie privée en réduisant la probabilité et l’incidence des atteintes touchant les données personnelles.
- À mon avis, plusieurs modifications adoptées lors de la dernière législature et, plus récemment, par la Chambre contribuent à faire en sorte que le projet de loi trouve un équilibre approprié entre les intérêts en matière de protection de la vie privée et les objectifs en matière de cybersécurité.
Contexte
- La partie 1 du projet de loi C-8 modifierait la Loi sur les télécommunications pour que la promotion de la sécurité du système canadien de télécommunication soit un objectif stratégique et, à cet effet, pour conférer au gouverneur en conseil le pouvoir de prendre des décrets et au ministre de l’Industrie le pouvoir de prendre des arrêtés.
- La partie 2 édicterait la Loi sur la protection des cybersystèmes essentiels, qui autoriserait le gouverneur en conseil à désigner des services ou systèmes dans des secteurs sous réglementation fédérale comme « critiques » (p. ex. énergie, finances, transport et télécommunications); à déterminer les catégories d’exploitants assujettis à des directives et des règlements en matière de cybersécurité; à donner des directives de cybersécurité; et à exiger que les exploitants désignés établissent et mettent en œuvre des programmes de cybersécurité, atténuent les risques de la chaîne d’approvisionnement et signalent les incidents de cybersécurité.
- Le Commissaire a comparu devant le Comité permanent de la sécurité publique et nationale de la Chambre des communes au sujet du projet de loi C-8 en octobre 2025 et a envoyé une lettre de suivi.
- Depuis, la Chambre a adopté plusieurs modifications visant à améliorer la protection des renseignements personnels en se fondant sur les conseils ou en s’inspirant de ceux-ci, notamment :
- l’ajout d’exigences plus uniformes en matière de nécessité et de raisonnabilité dans le projet de loi;
- l’ajout des répercussions sur la vie privée comme facteur dont le ministre et le gouverneur en conseil doivent tenir compte lorsqu’ils prennent des arrêtés et des décrets;
- l’ajout à la partie 1 d’un libellé stipulant que les renseignements personnels et anonymisés sont jugés confidentiels par défaut;
- l’ajout d’une exigence générale indiquant que les renseignements personnels recueillis ou obtenus en vertu des parties 1 et 2 doivent être supprimés s’ils ne sont plus nécessaires.
RESPONSABLE : PRAP
C-16 : Loi visant à protéger les victimes et hypertrucages
Notes d’allocution
- Le projet de loi C-16 criminalise la distribution non consensuelle de certains hypertrucages et contient d’autres modifications au Code criminel qui auraient une incidence sur la protection de la vie privée, et que le Commissariat est en train d’examiner. J’appuie bon nombre des éléments de ce projet de loi.
- Je tiens à mentionner que le projet de loi prévoit une expansion importante de l’échange autorisé de renseignements, qui pourrait mieux protéger la vie privée.
- Pour régler efficacement la question des hypertrucages, il faut aller au-delà du Code criminel. Le Commissariat a besoin d’outils d’application de la loi plus rigoureux, comme les pouvoirs de prendre des ordonnances pour obliger plus efficacement les organisations à rendre des comptes. Je crois également que les préjudices en ligne doivent faire l’objet d’une législation plus complète.
Contexte
- Le projet de loi C-16 a franchi l’étape de la première lecture en décembre 2025 et fait actuellement l’objet d’un examen par le Comité permanent de la justice et des droits de la personne de la Chambre des communes.
- Portée de l’article 162,1 : Cette infraction s’applique aux « images intimes », ce qui comprend les hypertrucages où une personne est présentée comme « nue », « exposant ses organes sexuels » ou « se livrant à une activité sexuelle explicite » (paragraphe 162,1(2) du Code criminel). D’autres catégories d’hypertrucages ne seraient pas couvertes, notamment les hypertrucages d’enfants qui ne répondent pas aux critères susmentionnés.
- Autres caractéristiques qui protègent la vie privée : Le projet de loi C-16 impose des limites à l’utilisation de la preuve relative au comportement sexuel antérieur d’un plaignant et de dossiers privés, y compris les dossiers thérapeutiques, dans le cadre de certaines poursuites criminelles en vertu du Code criminel (articles 276-276.13 et 278.1-278.38 du Code criminel). Ces modifications pourraient limiter la communication de renseignements sensibles dans le cadre de procès pour infractions sexuelles.
- Éléments potentiellement préoccupants du projet de loi C-16 : Le projet de loi C-16 prévoit des pouvoirs étendus en matière de communication de renseignements pour le Service correctionnel du Canada dont les seuils sont relativement bas (voir les articles 25.1 à 25.4 proposés de la Loi sur le système correctionnel et la mise en liberté sous condition).
- L’ancien projet de loi C-63 proposait l’adoption de la Loi sur les préjudices en ligne, qui aurait réglementé les « services de médias sociaux » et établi une structure réglementaire indépendante. Un nouveau projet de loi sur les préjudices en ligne est prévu bientôt.
- Le projet de loi émanant d’un député C-216 (actuellement à l’étape de la première lecture à la Chambre) est présenté comme une solution de rechange au projet de loi C-63. Il s’appliquerait exclusivement aux mineurs et réglementerait les « exploitants » de plateformes reliées à Internet. Plutôt que de créer une nouvelle structure réglementaire, il étendrait le rôle du Conseil de la radiodiffusion et des télécommunications canadiennes (CRTC).
RESPONSABLE : PRAP
Projet de loi C-22 : Loi de 2026 sur l’accès légal
Notes d’allocution
- Le projet de loi C-22 propose d’importants changements qui tiennent compte de certains des commentaires que le gouvernement a reçus concernant le projet de loi C-2. Dans cette mesure, il s’agit d’une nette amélioration par rapport au projet de loi précédent.
- Toutefois, malgré les améliorations, le projet de loi comporte tout de même des risques d’atteinte à la vie privée, et certains changements ont suscité de nouvelles préoccupations.
- Je me réjouis de pouvoir donner mon point de vue sur le projet de loi une fois qu’il aura atteint l’étape de l’étude en comité.
Contexte
- Le projet de loi C-22 comporte plusieurs améliorations notables par rapport au projet de loi C-2, notamment
- l’ancien pouvoir d’« ordre de fournir des renseignements » a été remplacé par un « ordre de confirmer la fourniture de services » étroitement adapté qui ne peut être donné qu’aux fournisseurs de services de télécommunications;
- un nouveau rôle de surveillance est donné au commissaire au renseignement en ce qui concerne les arrêtés pris en vertu de la Loi sur le soutien en matière d’accès autorisé à de l’information (LSAAI) proposée;
- une nouvelle exigence dans la LSAAI selon laquelle le ministre de la Sécurité publique et le gouverneur en conseil doivent tenir compte des répercussions des arrêtés ou des règlements sur la protection de la vie privée et la cybersécurité.
- Malgré ces améliorations, le projet de loi C-22 comprend certains risques hérités d’atteinte à la vie privée et en crée d’autres, notamment :
- la définition des renseignements relatifs à l’abonné demeure trop large dans le sens où elle engloberait non seulement des identifiants de base, mais aussi des renseignements potentiellement sensibles sur la nature des services fournis;
- la portée des personnes qui peuvent recevoir une ordonnance de communication des renseignements relatifs à l’abonné demeure trop large (toute personne qui fournit des services au public), et le seuil (motifs raisonnables de soupçonner) est trop bas compte tenu de la nature potentiellement sensible des renseignements;
- en vertu des pouvoirs proposés dans la LSAAI, le gouvernement pourrait exiger d’un large éventail de fournisseurs de services électroniques qu’ils conservent les métadonnées pendant une période maximale d’un an, sans motif, ce qui dépasse considérablement la limite de 90 jours pour les ordonnances de préservation en vertu du Code criminel et de la Loi sur le Service canadien du renseignement de sécurité (qui exigent tous deux une autorisation judiciaire préalable s’il existe des motifs raisonnables de soupçonner).
RESPONSABLE : PRAP
Projet de loi C-25 : Loi visant à protéger nos élections et nos droits
Notes d’allocution
- Je sais que le 26 mars 2026, le gouvernement a déposé le projet de loi C-25, la Loi visant à protéger nos élections et nos droits, qui établirait en partie de nouvelles exigences relatives aux politiques sur la protection des renseignements personnels des partis politiques.
- Bien que ces exigences représentent une amélioration par rapport au statu quo, j’ai recommandé que les partis politiques soient assujettis à des règles de protection de la vie privée inspirées de celles auxquelles sont assujetties les organisations des secteurs public et privé au titre des lois fédérales.
- J’ai hâte de présenter mon point de vue aux parlementaires une fois que le projet de loi C-25 aura été renvoyé pour une étude plus approfondie en comité.
Contexte
- Parmi les changements, le projet de loi C-25 ajouterait de nouvelles exigences en matière de contenu à la politique sur la protection des renseignements personnels d’un parti visée à l’article 446.6 de la Loi électorale du Canada. Par exemple, la politique d’un parti devrait prévoir ce qui suit :
- l’obligation pour le parti de protéger les renseignements personnels au moyen de mesures de sécurité matérielles, organisationnelles et techniques;
- l’obligation pour le parti de veiller à ce que, en cas de transfert des renseignements personnels à une personne ou entité, celle-ci offre à leur égard une protection équivalente à celle que le parti est tenu d’offrir en application de sa politique sur la protection des renseignements personnels;
- l’interdiction pour le parti de même que toute personne ou entité agissant en son nom de fournir des renseignements faux ou trompeurs en ce qui a trait aux fins pour lesquelles le parti recueille des renseignements personnels; de vendre les renseignements personnels qui relèvent du parti; ou de communiquer au public des renseignements personnels qui relèvent du parti dans le but de causer du tort.
- Il ajouterait également une exigence selon laquelle les parties devraient aviser les personnes touchées par une atteinte à la vie privée lorsqu’il existe un risque réel de préjudice grave à l’endroit des personnes.
- Au moment de rédiger le présent document, le projet de loi C-25 est toujours à l’étape de la deuxième lecture à la Chambre et n’a pas encore fait l’objet d’un débat. Toutefois, compte tenu de son sujet, il sera fort probablement renvoyé pour étude au Comité permanent de la procédure et des affaires avant l’été.
- Votre dernière comparution sur cette question a eu lieu avant l’étude de la partie 4 du projet de loi C-4 par le Comité sénatorial permanent des affaires juridiques et constitutionnelles. Ce projet de loi a été adopté tel quel après le rejet des recommandations du Sénat.
RESPONSABLE : PRAP
Projet de loi C-230 : Registre de créances visées par une renonciation
Notes d’allocution
- Déposé en septembre 2025, le projet de loi C-230 obligerait le président du Conseil du Trésor à établir un registre public des créances importantes détenues par certaines entités à l’État à l’égard desquelles il y a eu une renonciation, une radiation ou une dispense de paiement.
- Au cours de l’examen par le Comité permanent des comptes publics, le président du Comité m’a demandé de soumettre mes mémoires à son examen, ce que j’ai fait le 19 mars 2026.
- Dans mes mémoires, j’ai souligné que les répercussions potentielles sur la vie privée, le cas échéant, seraient mineures, car les renseignements en jeu semblent concerner des sociétés, des sociétés de fiducie et des partenariats. Il ne s’agit pas de renseignements personnels d’individus.
Contexte
- Dans vos mémoires, vous avez souligné qu’en l’absence d’information ou de contexte supplémentaire sur les renseignements qui pourraient être demandés, il est possible que l’alinéa 25.1(2)e) du projet de loi C-230, qui stipule ce qui suit, ait des répercussions sur la vie privée :
« Le registre renferme les renseignements ci-après relativement à chaque créance : […] e) tout autre renseignement qu’exige le président du Conseil du Trésor. »
- Cependant, vous avez mentionné que l’alinéa 151(2)f) de la Loi sur la gestion des finances publiques sert déjà d’exemple lorsque le libellé « les autres renseignements qu’exige le président du Conseil du Trésor » est utilisé dans les rapports trimestriels sur les activités des sociétés d’État, et qu’à la connaissance du Commissariat, aucune préoccupation en matière de protection de la vie privée n’a été soulevée concernant cette disposition.
- Au moment de rédiger le présent document, le projet de loi C-230 est toujours à l’étude par le Comité permanent des comptes publics de la Chambre des communes.
RESPONSABLE : PRAP
- Date de modification :