Continuité avec la LPRPDE
La LPVPDC préserve des aspects fondamentaux de la LPRPDE, notamment
- la mise en équilibre des intérêts des individus et des organisations;
- un régime fondé sur le consentement comme principale base légale pour le traitement des renseignements personnels;
- des règles généralement fondées sur des principes, adaptées au niveau de risque et neutres sur le plan technologique;
- un modèle de responsabilité en vertu duquel les organisations sont responsables des renseignements personnels qui relèvent d’elles.
Principales nouveautés introduites par la LPVPDC
La LPVPDC introduit un ensemble de caractéristiques nouvelles ou sensiblement renforcées, notamment
- un régime d’application de loi assorti de sanctions financières potentiellement importantes, un droit privé d’action et un pouvoir, pour l’autorité de régulation, de rendre des ordonnances;
- des exceptions au consentement clarifiées et élargies, notamment pour certaines activités d’affaires définies et pour le traitement fondé sur l’intérêt légitime (sous réserve du respect d’obligations strictes);
- des dispositions relatives aux renseignements dépersonnalisés et anonymisés, précisant que les renseignements anonymisés échappent à l’application de la LPVPDC;
- des exigences de responsabilité renforcées et plus prescriptives, dont l’obligation de mettre en œuvre un programme obligatoire de gestion de la protection des renseignements personnels;
- la clarification des obligations incombant aux fournisseurs de services;
- la reconnaissance législative des codes de pratique et des programmes de certification;
- de nouveaux droits individuels : un droit au retrait (suppression/anonymisation) et un droit à la mobilité des données;
- des dispositions de transparence à l’égard des systèmes décisionnels automatisés, dont le droit à une explication et la possibilité de présenter des observations écrites.
Principales modifications par rapport à la LPVPC (projet de loi C-27)
Bien que la LPVPDC soit considérablement similaire à la LPVPC proposée dans le cadre du projet de loi C-27, elle comporte plusieurs modifications importantes.
Changements apportés par la LPVPDC par rapport à la LPVPC/au projet de loi C-27
- Les fonctions de surveillance et d’application de la loi sont transférées à la nouvelle Commission canadienne de la sécurité numérique et de la protection des données (il n’existe plus de CPVP autonome ni de tribunal administratif distinct pour la protection des renseignements personnels dans le secteur privé).
- Aucune loi autonome distincte ne vient encadrer l’intelligence artificielle.
- Aucun tribunal administratif distinct n’est chargé d’appliquer le régime de protection des renseignements personnels dans le secteur privé.
- Toujours aucune protection complète des renseignements personnels détenus par les partis politiques fédéraux.
- Les renseignements personnels comprennent expressément les renseignements déduits concernant un individu identifiable (art. 2(1)).
- Une attention accrue est portée aux enfants : nouvelle définition légale d’« enfant » (moins de 18 ans), inclusion des renseignements personnels d’un enfant dans la définition des renseignements personnels « de caractère sensible », et obligation pour la Commission, le Commissaire et la Section de tenir compte de « la protection des intérêts des enfants » (art. 2(1), art. 77d), 86d), 90d)).
- L’exception fondée sur l’intérêt légitime s’étend désormais à la communication, en plus de la collecte et de l’utilisation (art. 18(3)).
- Nouvelle obligation de réaliser une évaluation des facteurs relatifs à la vie privée et de mettre en place des mesures de réduction des risques avant de transférer ou de communiquer des renseignements personnels à l’extérieur du Canada (art. 57).
- Nouvelle possibilité pour les individus de présenter des observations écrites afin de contester le résultat produit par un système décisionnel automatisé (art. 63(6)).
- Le respect de fins acceptables constitue désormais une contravention énumérée pouvant donner lieu à des SAP (art. 12(1), (3) et (4)).
- Nouveaux facteurs de détermination du montant des SAP : la capacité de l’organisation à payer la pénalité et tout avantage financier que l’organisation a retiré de la contravention.
- Aucun préambule (contrairement au long préambule de la LPVPC).
- Suppression des exceptions de communication que la LPVPC proposait à des « fins de statistique, d’étude ou de recherche » et à des « fins socialement bénéfiques ».
Suivant
