Intention du législateur et objet de la loi
Points saillants
- Principal changement par rapport à la LPRPDE : La LPVPDC énonce expressément que la vie privée est un droit fondamental, ce qui n’était reconnu ni dans la LPRPDE ni dans la LPVPC.
- Principal changement par rapport à la LPVPC : Outre ce qui précède, la LPVPDC ne comporte pas de long préambule comme la LPVPC et introduit une nouvelle obligation générale pour la Commission, le Commissaire et la Section d’exercer leurs attributions d’une manière proportionnée et contextuelle.
Bien que la LPVPDC ne comporte pas de préambule, les dispositions de fond de la loi et sa disposition d’objet peuvent servir à interpréter l’intention du législateur. La LPVPDC prévoit ce qui suit :
« La présente loi a pour objet de fixer, dans une ère où les données circulent constamment au-delà des frontières et des limites géographiques et où une part importante de l’activité économique repose sur l’analyse, la circulation et l’échange de renseignements personnels, des règles régissant la protection des renseignements personnels d’une manière qui tient compte, à la fois, du droit fondamental à la vie privée des individus quant aux renseignements personnels qui les concernent et du besoin des organisations de recueillir, d’utiliser ou de communiquer des renseignements personnels à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances » (LPVPDC, art. 5).
Il convient de souligner que la reconnaissance explicite du droit à la vie privée comme « droit fondamental » dans le texte de loi, fortement préconisée par le CPVP, constitue un changement important par rapport à la LPVPC et reconnaît l’importance des droits protégés par la LPVPDC et mis en équilibre avec les besoins des organisations.
En outre, la LPVPDC prévoit que la Commission, le Commissaire et la Section doivent tenir compte de tous les éléments pertinents dans l’exercice de leurs attributions, notamment
- la taille et les recettes des organisations;
- le volume des renseignements personnels qui relèvent des organisations et la mesure dans laquelle ces renseignements sont de caractère sensible;
- la protection des intérêts des enfants;
- l’importance du respect des obligations commerciales internationales du Canada;
- l’importance de soutenir la croissance économique, la concurrence et l’innovation au sein du marché canadien;
- toute autre question d’intérêt public général (art. 77, 86 et 90).
Cette disposition intègre la proportionnalité et une analyse contextuelle au cadre législatif d’une manière plus expresse que sous le régime de la LPRPDE.
Champ d’application
Points saillants
- Principal changement par rapport à la LPRPDE : Le champ d’application de la LPVPDC n’a pas changé de façon importante par rapport à la LPRPDE. La LPVPDC conserve la définition d’« activité commerciale » prévue par la LPRPDE et la LPVPC.
- Principal changement par rapport à la LPVPC : Aucun ou non significatif.
À l’instar de la LPRPDE, la LPVPDC s’applique à la collecte, à l’utilisation et à la communication de renseignements personnels dans le cadre d’activités commerciales, ainsi qu’aux renseignements personnels des employés et des candidats à l’emploi d’entreprises fédérales.
La LPVPDC reprend la définition d’« activité commerciale » de la LPRPDE, soit « toute activité régulière ainsi que tout acte isolé qui revêtent un caractère commercial, y compris la vente, le troc ou la location de listes de donateurs, d’adhésion ou de collecte de fonds » (art. 2(1)).
La LPVPDC ne s’applique pas à certains renseignements, notamment les suivants
- les renseignements personnels que l’organisation recueille, utilise et communique en dehors du cadre de ses activités commerciales (art. 6(1));
- les renseignements anonymisés (art. 6(5));
- les renseignements personnels recueillis, utilisés ou communiqués à des fins personnelles, journalistiques, artistiques ou littéraires (art. 6(4)b) et c));
- les renseignements personnels recueillis, utilisés ou communiqués uniquement en vue de communiquer avec un individu à propos de son emploi, son entreprise ou sa profession (art. 6(4)d));
- les renseignements personnels des employés dans le contexte de relations d’emploi de compétence provinciale.
Principales définitions
Points saillants
- Principal changement par rapport à la LPRPDE :
- La LPVPDC précise que les renseignements personnels comprennent les renseignements déduits concernant un individu identifiable.
- La LPVPDC introduit une définition non exhaustive des renseignements personnels de caractère sensible, qui exige une analyse contextuelle et qui désigne expressément certains renseignements personnels susceptibles d’être sensibles, notamment les renseignements des enfants et les renseignements sur la santé. La LPRPDE, en revanche, ne comporte pas de définition précise, mais prévoit de façon similaire que des renseignements personnels peuvent être considérés comme sensibles selon le contexte.
- La LPVPDC introduit des définitions précises pour tenir compte des différents types de données, notamment les renseignements personnels dépersonnalisés et les renseignements anonymisés, qui ne sont pas expressément définis dans la LPRPDE.
- Principal changement par rapport à la LPVPC :
- La LPVPDC précise que les renseignements personnels comprennent les renseignements déduits concernant un individu identifiable.
- Alors que la LPVPC reconnaissait que les renseignements personnels d’un mineur et certains renseignements médicaux étaient considérés comme sensibles, elle était par ailleurs silencieuse quant à la portée des renseignements personnels de caractère sensible.
- La LPVPDC comporte une définition révisée d’« anonymiser » par rapport à celle initialement introduite par la LPVPC.
La LPVPDC comprend des termes clés définissant différents types de renseignements personnels et d’autres données.
Renseignement personnel
Sous le régime de la LPVPDC, la définition de renseignement personnel a été précisée pour inclure « les renseignements déduits, concernant un individu identifiable » (art. 2(1)). La mention expresse des renseignements déduits dans la définition est nouvelle.
Renseignements personnels de caractère sensible
La LPVPDC introduit une définition du « caractère sensible », qui désigne les renseignements personnels pour lesquels, compte tenu des circonstances, un individu a des attentes élevées en matière de vie privée, notamment, le cas échéant :
- les renseignements personnels d’un enfant;
- les renseignements de nature à révéler l’origine raciale ou ethnique, les opinions politiques ou les convictions religieuses ou philosophiques d’un individu;
- l’appartenance syndicale d’un individu;
- les renseignements génétiques ou les renseignements sur la santé;
- les renseignements biométriques susceptibles d’identifier un individu de manière unique;
- les renseignements concernant l’orientation sexuelle d’un individu (art. 2(1)).
Renseignements personnels dépersonnalisés
La LPVPDC reprend essentiellement la même définition de renseignements personnels dépersonnalisés que celle prévue par la LPVPC, soit des renseignements personnels qui ont été modifiés « afin qu’un individu ne puisse être identifié directement à partir de ces renseignements, sans pour autant en éliminer le risque » (art. 2(1)).
La LPVPDC prévoit que tous les renseignements personnels dépersonnalisés demeurent des renseignements personnels sous son régime (art. 2(2)). Toutefois, certaines obligations de la LPVPDC ne s’appliquent pas aux renseignements personnels dépersonnalisés. Plus précisément, les organisations ne sont pas tenues de donner suite aux demandes de droits suivantes à l’égard des renseignements personnels dépersonnalisés : le retrait; l’information et l’accès; la rectification; et la mobilité des données (art. 54(3), 63(2), 71(2) et 72(2)). De plus, l’obligation d’assurer l’exactitude ne s’applique pas aux renseignements personnels dépersonnalisés (art. 55(2)).
Lorsqu’elles dépersonnalisent des renseignements personnels, les organisations doivent tenir compte du risque de réidentification lors de l’utilisation des procédés techniques et administratifs, et veiller à ce que ces procédés soient proportionnels aux fins auxquelles les renseignements sont dépersonnalisés et à leur caractère sensible (art. 74).
Il est interdit aux organisations d’utiliser des renseignements personnels dépersonnalisés — seuls ou en combinaison avec d’autres renseignements — pour identifier un individu, sauf dans des cas précis, notamment pour vérifier l’efficacité des mesures de sécurité, vérifier l’équité et l’exactitude des modèles élaborés à l’aide de renseignements personnels dépersonnalisés, vérifier l’efficacité du processus de dépersonnalisation et, au-delà de la LPVPC, lorsque les renseignements personnels ont été dépersonnalisés uniquement en vue de les protéger, lorsque l’organisation a obtenu un consentement valable ou lorsqu’elle peut par ailleurs invoquer une exception définie au consentement (art. 75). Contrevenir sciemment à l’article 75 constitue une infraction passible d’amendes importantes.
Renseignements anonymisés
Sous le régime de la LPVPDC, « anonymiser » s’entend du fait de « modifier définitivement et irréversiblement des renseignements personnels afin qu’il n’y ait aucun risque raisonnablement prévisible, dans les circonstances, qu’un individu puisse être identifié, directement ou indirectement, par quelque moyen que ce soit à partir de ces renseignements » (art. 2(1)). Cette modification de la définition d’« anonymiser » harmonise le terme avec le standard d’anonymisation retenu dans les régimes législatifs au Canada et dans certains autres territoires à l’échelle mondiale. À l’instar de la LPVPC, la LPVPDC confirme que la loi ne s’applique pas à l’égard des renseignements anonymisés (art. 6(5)).
