L’évolution du rôle du responsable de la protection de la vie privée à l’ère de l’innovation et de l’intelligence artificielle L’évolution du rôle du responsable de la protection de la vie privée à l’ère de l’innovation et de l’intelligence artificielle

Le 21 octobre 2025, le bureau de Montréal d’Osler, Hoskin & Harcourt S.E.N.C.R.L./s.r.l. a accueilli la 2e Conférence annuelle sur la protection de la vie privée, organisée par le groupe Respect de la vie privée et gestion de l’information. Cette demi-journée, suivie d’un lunch de réseautage, a réuni des experts de l’industrie et des juristes d’entreprise pour explorer les enjeux actuels : mise en œuvre des amendements proposés par la Loi 25, tendances récentes en litige, gouvernance de l’intelligence artificielle (IA), technologies émergentes et cybersécurité.

L’un des temps forts fut le panel regroupant des conseillers juridiques en entreprise sur l’évolution de leur rôle et les risques émergents en matière de protection de la vie privée, animé par Éloïse Gratton, associée et cochef du groupe national Respect de la vie privée et gestion de l’information d’Osler. Trois intervenants d’envergure y ont partagé leur expérience :

• Anthony Hémond, avocat – Conseil principal, Protection de la vie privée, Air Canada
• Jasmine Adhami, directrice principale, Affaires juridiques et responsable de la vie privée, Dollarama
• Selina Sforza, directrice, Opérations juridiques, Alimentation Couche-Tard

Leur échange a mis en lumière un constat partagé : le conseiller juridique en matière de protection des renseignements personnels (responsable PRP) moderne est devenu un acteur stratégique au carrefour du droit, de la technologie et de la gouvernance d’entreprise.

De la conformité à la stratégie : un rôle en pleine transformation

Tous les panélistes ont souligné que le rôle du responsable PRP a profondément évolué. Longtemps perçue comme une fonction de conformité isolée, la protection de la vie privée est désormais un vecteur de gouvernance et d’innovation.

Pour Selina, cette évolution se traduit au quotidien par une collaboration beaucoup plus étroite avec les équipes d’innovation : « Nous travaillons directement avec les équipes de développement et d’innovation pour intégrer la vie privée dès la conception des produits. C’est encore une fonction de conformité, mais surtout un levier d’innovation responsable. »

Cette mutation exige aussi une approche plus agile face aux changements législatifs. Jasmine a rappelé que « le décalage entre les nouvelles lois et les orientations des régulateurs peut atteindre plusieurs mois ou même des années », obligeant les organisations à ajuster leur stratégie en cours de mise en œuvre. Pour elle, le rôle du responsable PRP repose donc sur la capacité d’adaptation et la compréhension du risque : « On doit naviguer dans l’incertitude sans perdre de vue la cohérence de notre programme. »

Anthony a insisté sur la dimension technologique de la fonction : « Le responsable de la vie privée doit désormais maîtriser la cybersécurité, la gouvernance des données et, de plus en plus, l’IA. C’est un rôle hybride, à la fois juridique et technologique. »

Ces témoignages illustrent une transformation profonde : le responsable PRP n’est plus seulement un gardien de conformité, mais un partenaire d’affaires qui aide l’organisation à innover de manière responsable.

Faire de la protection de la vie privée un enjeu stratégique pour la haute direction

Comment faire en sorte que la haute direction s’engage pleinement sur les enjeux de vie privée ? Cette question centrale a suscité des échanges riches.

Selon Jasmine, la clé est d’« établir des liens directs avec les départements stratégiques – projets, innovation, cybersécurité – et d’être présent aux comités d’architecture et de gestion des risques ». Elle souligne aussi l’importance de rester pragmatique : « Des messages courts et ciblés fonctionnent beaucoup mieux qu’un long rapport. Par exemple, un courriel résumant une décision d’application à l’étranger peut susciter une discussion immédiate et garder les enjeux liés au droit à la vie privée dans le radar des dirigeants. »

Anthony estime pour sa part que la sensibilisation des administrateurs passe par la responsabilisation : « Les récentes décisions où des conseils d’administration ont été tenus responsables d’incidents de cybersécurité ont changé la donne. » Il observe que la conformité peut même devenir un avantage compétitif : « En Europe, certaines entreprises utilisent leur conformité au RGPD pour démontrer leur fiabilité et se différencier de concurrents moins rigoureux. »

Selina adopte une approche axée sur la valeur de marque de l’entreprise. Elle explique que les messages les plus efficaces auprès des dirigeants sont ceux qui mettent en évidence les risques et les occasions d’affaires : «Présenter les risques et donner des exemples concrets a souvent plus d’impact qu’un long exposé. La vie privée, c’est aussi une question de durabilité et de confiance envers la marque. »

Créer une culture organisationnelle du respect de la vie privée

Les panélistes ont ensuite abordé un enjeu souvent sous-estimé : comment ancrer la vie privée dans la culture de l’entreprise, au-delà des formations obligatoires et des politiques internes ?

Selina participe au Conseil interne sur l’IA qui réunit des représentants du juridique, de la cybersécurité, du marketing ainsi que de d’autres départements clés au sein de l’entreprise : « Tout projet impliquant l’IA, qu’il soit interne ou mené par un fournisseur, doit passer par ce conseil. » Ces réunions hebdomadaires permettent d’évaluer les risques et d’assurer la cohérence des décisions.

De son côté, Jasmine participe maintenant aux rencontres mensuelles de révision des projets rassemblant les responsables TI, innovation et vie privée : « Toute initiative impliquant des renseignements personnels doit être soumise à ces rencontres, accompagnée d’une courte évaluation des facteurs relatifs à la vie privée. » Cette exigence favorise la responsabilisation sans créer de lourdeur administrative. « L’objectif n’est pas de bloquer les projets, mais d’agir en partenaires. La vie privée ne doit pas être perçue comme un frein, mais comme une composante naturelle de l’innovation. »

Anthony constate que la collaboration s’étend désormais à des processus traditionnellement éloignés du juridique : « Nos équipes de protection de la vie privée sont impliquées dans les appels d’offres et la révision contractuelle, notamment pour évaluer les transferts internationaux. » Selon lui, le succès d’un programme repose sur l’intégration harmonieuse de trois dimensions : les personnes, les processus et la technologie.

Les trois experts s’entendent: la gestion de la vie privée ne peut reposer uniquement sur des politiques ; elle doit être vécue au quotidien, soutenue par une structure de collaboration claire et par la reconnaissance de son importance à tous les niveaux hiérarchiques.

IA, biométrie et surveillance : naviguer dans un cadre juridique mouvant

L’arrivée de l’IA, des outils biométriques et des technologies de surveillance soulève de nouveaux défis que la législation peine à encadrer.

Anthony a ouvert la discussion en constatant que « les lignes directrices réglementaires accusent souvent un retard par rapport à la technologie », ce qui place les organisations dans des zones grises, particulièrement pour l’usage de l’IA générative. Il ajoute : « Nous devons adopter une approche proactive et responsable, même quand le cadre juridique n’est pas encore clair. »

Jasmine a illustré ce point par un projet pilote mené auprès du groupe de services-conseils aux entreprises du Commissariat à la protection de la vie privée du Canada (CPVP) : «Après la démonstration de notre projet, l’évaluation des facteurs relatifs à la vie privée et des échanges constructifs avec le CPVP, nous avons reçu des recommandations pour améliorer le consentement et la conception. » Pour elle, cette expérience démontre l’intérêt de collaborer en amont avec les régulateurs : « C’est beaucoup plus productif de les impliquer tôt que d’attendre une enquête ou une sanction. »

Le panel s’accorde sur un point : dans un environnement technologique évoluant plus vite que la loi, la clé réside dans la gouvernance proactive et la transparence. L’organisation qui anticipe les risques sera mieux placée pour innover de manière responsable.

Conseils aux juristes d’entreprise : comprendre le contexte technologique

Interrogés sur les attentes envers les avocats d’entreprise, les panélistes ont unanimement plaidé pour l’importance d’avoir une connaissance approfondie des réalités technologiques.

Jasmine recommande aux juristes de « comprendre les flux de données, les environnements infonuagiques et les systèmes », afin d’offrir des conseils réellement opérationnels. « On ne peut plus se limiter au texte juridique : il faut savoir comment l’information circule concrètement dans l’organisation.»

Selina partage ce point de vue : « Un avis juridique efficace repose sur la compréhension du contexte commercial et technologique. Il faut savoir ce que l’entreprise achète, pourquoi, et comment cela s’intègre à ses activités. »

Enfin, Anthony a insisté sur la valeur du partage entre pairs : « En Europe, les associations de délégués à la protection des données permettent aux responsables de confronter leurs pratiques et d’apprendre les uns des autres. Les responsables PRP au Canada auraient tout intérêt à se créer un réseau similaire. »

Ces perspectives rappellent que la vie privée n’est plus un domaine réservé aux spécialistes : elle exige une collaboration constante entre juristes, techniciens et gestionnaires, chacun contribuant à la gouvernance globale de la donnée.

Conclusion : la vie privée, un pilier de la confiance et de la compétitivité

Le panel a mis en évidence une réalité désormais incontournable : le responsable de la protection de la vie privée est passé du rôle de gardien de la conformité à celui de pilier de la confiance numérique.

Comme l’a résumé Éloïse en clôture : « La vie privée n’est plus simplement une obligation réglementaire ; c’est une valeur d’entreprise et un facteur de compétitivité. Les organisations qui sauront l’intégrer dans leur stratégie d’innovation en sortiront renforcées. »

À mesure que l’IA, la cybersécurité et la gouvernance des données redéfinissent les priorités d’entreprise, le rôle du responsable PRP continuera d’évoluer, non plus en réaction à la loi, mais en chef d’orchestre d’une innovation éthique et durable.