Cadre de surveillance et d’application proposé
Points saillants
- Principal changement par rapport à la LPRPDE : La surveillance et l’application de la loi passent du CPVP à la nouvelle Commission de la sécurité numérique et de la protection des données du Canada, un organisme multi-membres nommé par le gouverneur en conseil et qui n’est pas un agent indépendant du Parlement.
- Principal changement par rapport à la LPVPC : Plutôt que de maintenir le CPVP aux côtés d’un Tribunal distinct, la LPVPDC regroupe les fonctions de surveillance, d’imposition de pénalités et d’appel initial au sein de la Commission. Le nouveau cadre de surveillance est moins directement lié aux mécanismes traditionnels de contrôle parlementaire, étant donné que les membres de la Commission sont nommés par le gouverneur en conseil et que la Commission rend compte par l’intermédiaire du ministre responsable.
Commission canadienne de la sécurité numérique et de la protection des données (Commission)
- Remplace le Commissariat à la protection de la vie privée du Canada pour le régime de protection des renseignements personnels dans le secteur privé.
- Surveillance et application de l’ensemble du régime de la LPVPDC.
- Également chargée de promouvoir la sécurité en ligne et de réduire les préjudices liés aux contenus préjudiciables en assurant l’exécution et le contrôle d’application de la Loi sur la sécurité numérique (projet de loi C-34), qui régit les services de médias sociaux, les agents conversationnels et les autres services en ligne réglementés.
Le Commissaire à la protection de la vie privée et des données des consommateurs
Membre de la Commission – organe d’enquête
- Contrairement à ce qui était le cas sous la LPRPDE, le Commissaire n’est pas un agent indépendant du Parlement.
- Examen des plaintes et de sa propre initiative (art. 97-100)
- Accords de conformité (dans le cadre d’un examen d’une plainte) (art. 102-103)
- Avis de contravention (art. 105-108) – doit comporter les motifs de contravention, y compris les dispositions de la LPVPDC qui ont fait l’objet d’une contravention, toute pénalité ou « ordonnance proposée, » et des renseignements concernant le droit de présenter une demande de révision.
- Sans contestation, la contravention est présumée et la pénalité est appliqué et « l’ordonnance proposée » est présumée prise par la Commission.
- Mesure d’injonction (demande de révision auprès de la Commission) (art. 109)
- Pouvoir discrétionnaire de publier des renseignements d’intérêt public (art. 135(3))
- Pouvoirs de vérification/d’examen (art. 118, 122)
- Assure la conformité aux programmes de certification approuvés (art. 85)
- Les processus susmentionnés seront régis par du matériel d’orientation élaboré par la Commission en consultation avec le ministre et les intéressés (art. 78)
La Section de la protection de la vie privée et des données des consommateurs (Section)
Commissaire & 1+ membres de la Commission
- Règlement des différends pour résoudre les plaintes (art. 101)
- Approuve les codes de pratique et les programmes de certification (art. 93-96)
- Peut se voir déléguer la majorité des attributions de la Commission, notamment l’élaboration de matériaux d’orientation, la réalisation de recherches et la consultation des intéressés internationaux en matière de conformité à la loi.
- Le ministre peut demander l’élaboration de matériaux d’orientation et d’outils ainsi que la réalisation de recherches (art. 76).
Fonction juridictionnelle de la Commission
Exclut le commissaire & tout membre dont la participation pourrait vraisemblablement paraître entachée de partialité (art. 111, 124)
- Entend les demandes de révision des avis de contravention et des ordonnances provisoires émis par le commissaire (art. 109, 123)
- Révise, maintient et modifie les pénalités (art. 110)
- Révise, maintient ou modifie les ordonnances proposées figurant dans les avis de contravention émis par le commissaire, et rend l’ordonnance (art. 110)
- Prise d’ordonnances provisoires (art. 121)
- Doit agir en conformité avec les règles publiées par la Commission (art. 78)
Le commissaire ne peut pas exercer de fonction juridictionnelle (art. 111)
↓
La Cour fédérale
- Contrairement à la LPRPDE, les organisations peuvent porter en appel les décisions de la Commission (art. 126-128)
Le projet de loi C-36 transfère la responsabilité de la loi fédérale sur la protection des renseignements personnels dans le secteur privé du CPVP à la nouvelle Commission canadienne de la sécurité numérique et de la protection des données (la Commission), qui sera chargée d’administrer la LPVPDC. La Commission sera également responsable de la Loi sur la sécurité numérique récemment proposée (projet de loi C-34), qui établit un cadre visant à encadrer la sécurité en ligne, à réduire les préjudices liés aux contenus en ligne et à imposer des exigences de transparence et de responsabilité aux exploitants de services réglementés, tels que les médias sociaux, les agents conversationnels et d’autres services en ligne.
Principales caractéristiques de la Commission canadienne de la sécurité numérique et de la protection des données
- La Commission est composée de trois à cinq membres nommés par le gouverneur en conseil.
- L’un des membres de la Commission sera désigné à titre de Commissaire à la protection de la vie privée et des données des consommateurs (le Commissaire) pour diriger la surveillance et l’application de la LPVPDC, ainsi que pour traiter les plaintes et mener des enquêtes (art. 85(1)).
- Les décisions du Commissaire, qui figureront dans des « avis de contravention », pourront faire l’objet d’une révision par la Commission sur demande de l’organisation ou du plaignant.
- Le Commissaire fera partie de la Section de la protection de la vie privée et des données des consommateurs (la Section), constituée à cette fin, avec au moins un autre membre de la Commission (art. 89). La Section gérera les modes de règlement des différends pour résoudre les plaintes (art. 101), approuvera les codes de pratique et les programmes de certification (art. 93 à 96) et exercera toute autre attribution que la Commission lui délègue.
- La Commission dispose de vastes attributions qui peuvent être déléguées à la Section et au Commissaire, notamment l’élaboration de matériel d’orientation à l’intention des organisations, la mise en œuvre de programmes d’information du public, la réalisation de recherches sur la protection des renseignements personnels (y compris à la demande du ministre) et la consultation d’intéressés internationaux sur la promotion et l’administration des questions de protection de la vie privée et des données (art. 76 à 82).
- La Commission collaborera également avec les organisations, sur demande, pour examiner leurs programmes de gestion de la protection des renseignements personnels et leur fournir des conseils à cet égard.
- Contrairement au CPVP, la Commission et le Commissaire ne sont pas des agents indépendants du Parlement.
Processus d’enquête et d’application
Points saillants
- Principal changement par rapport à la LPRPDE : Contrairement au régime actuel sous la LPRPDE, où le rôle du Commissaire à la protection de la vie privée s’apparente largement à celui d’un ombudsman, axé sur l’enquête et les recommandations non contraignantes visant à promouvoir la conformité, le nouveau Commissaire obtient de vastes pouvoirs lui permettant, dans le cadre de ses enquêtes, de conclure des accords de conformité, de délivrer des avis de contravention, d’imposer des pénalités et de proposer des ordonnances contraignantes.
- Principal changement par rapport à la LPVPC : Le processus formel d’« enquête » est remplacé par un modèle simplifié dans lequel un avis de contravention non contesté entraîne une contravention réputée, la pénalité devenant exigible et l’ordonnance proposée étant rendue par la Commission sans examen supplémentaire. L’organisation ou le plaignant peut demander à la Commission de réviser tout aspect de l’avis, et le Commissaire ne peut entendre ces demandes de révision. Les décisions de la Commission peuvent faire l’objet d’un appel devant la Cour fédérale. Les enquêtes peuvent également être résolues au moyen de mécanismes de règlement des différends menés par la Division.
Principales caractéristiques du Commissaire à la protection de la vie privée et des données des consommateurs
Le Commissaire agit comme organe d’enquête et peut examiner la conformité d’une organisation à la LPVPDC, soit en réponse à une plainte, soit lorsqu’il est convaincu qu’il existe des motifs raisonnables d’enquêter sur une question relevant de la loi (art. 97 à 100). Le Commissaire est également chargé d’examiner la conformité d’une organisation aux programmes de certification approuvés et peut procéder à des vérifications de la conformité d’une organisation (art. 85 et 118).
Les enquêtes peuvent également être résolues au moyen d’un mode de règlement des différends administré par la Section, lequel sera précisé davantage par règlement et dans des matériaux d’orientation (art. 101).
Le Commissaire dispose de larges pouvoirs d’enquête, notamment celui d’ordonner la production de documents et de visiter des locaux (art. 122).
Si, au cours d’une enquête, le Commissaire a des motifs raisonnables de croire qu’une organisation a contrevenu à une exigence de la LPVPDC, il peut
- conclure avec l’organisation un accord de conformité visant à faire respecter la loi (art. 102 et 103);
- faire signifier un avis de contravention énonçant
- les faits de la contravention alléguée et les motifs lui permettant de croire qu’il y a contravention, ainsi que les dispositions de la LPVPDC qui auraient été enfreintes;
- la pénalité que l’organisation est tenue de payer ainsi que le délai et les modalités de paiement;
- l’« ordonnance proposée », le cas échéant, que le Commissaire estime raisonnablement nécessaire pour assurer la conformité avec la LPVPDC, et les motifs qui la justifient;
- les droits de l’organisation en matière de révision (art. 107);
- dans des circonstances d’urgence, rendre des ordonnances provisoires (art. 122).
Lorsque l’avis de contravention n’est pas contesté, la contravention est réputée avoir eu lieu, l’ordonnance est rendue par la Commission et la pénalité devient exigible (art. 108 et 109).
Révision des ordonnances et des pénalités
L’organisation et le plaignant peuvent demander la révision de tout aspect de l’avis de contravention (y compris les pénalités et les ordonnances) ou des ordonnances provisoires rendus par le Commissaire (art. 109). La Commission entend les demandes et révise, maintient ou modifie les pénalités et les ordonnances proposées par le Commissaire, puis rend sa décision (art. 121). Le Commissaire ne peut entendre ces révisions (art. 111 et 124).
Les processus d’enquête et d’application sont régis par des matériaux d’orientation que la Commission élaborera en consultation avec le ministre désigné et d’autres intéressés (art. 78).
Les décisions de la Commission peuvent être portées en appel devant la Cour fédérale par le plaignant ou l’organisation touchée (art. 126 à 128). Les ordonnances provisoires ne peuvent faire l’objet d’un appel qu’avec autorisation (art. 127(1)).
Sanctions administratives pécuniaires (SAP)
Points saillants
- Principal changement par rapport à la LPRPDE : La LPVPDC introduit des SAP, que la LPRPDE ne prévoit pas.
- Principal changement par rapport à la LPVPC : Le cadre de sanctions est essentiellement semblable à celui de la LPVPC, mais il passe par la Commission plutôt que par un Tribunal indépendant. Parmi les nouveaux facteurs à prendre en compte au moment d’imposer une pénalité figurent la capacité de payer de l’organisation et l’avantage financier tiré de la contravention; les organisations visées (et non seulement les plaignants) peuvent interjeter appel devant la Cour fédérale.
La LPVPDC introduit des SAP pouvant atteindre 10 millions de dollars ou 3 % des recettes globales brutes de l’organisation, selon le plus élevé des deux montants (art. 114). Les pénalités ne peuvent être infligées par le Commissaire que pour les contraventions énumérées ci-dessous (art. 113(1)).
| Contravention | Disposition de la LPVPDC |
| Omission de mettre en œuvre ou de tenir à jour un programme de gestion de la protection des renseignements personnels | art. 9(1) |
| Omission d’assurer une protection équivalente lors de transferts à un fournisseur de services | art. 11(1) |
| Collecte, utilisation ou communication de renseignements personnels à des fins qui ne sont pas « acceptables » | art. 12(1) |
| Omission d’établir ou de consigner les fins avant la collecte ou avant une nouvelle utilisation ou communication de renseignements personnels | art. 12(3) et 12(4) |
| Collecte de renseignements personnels au-delà de ce qui est nécessaire | art. 13 |
| Utilisation ou communication de renseignements personnels à une fin secondaire sans consentement ni exception | art. 14(1) |
| Omission d’obtenir un consentement valable | art. 15(1) |
| Contravention à la disposition relative au « refus de vendre » | art. 15(7) |
| Obtention du consentement par subterfuge | art. 16 |
| Omission d’informer des conséquences du retrait du consentement ou de cesser le traitement à la suite du retrait du consentement | art. 17(2) |
| Contravention aux exigences de conservation et de retrait | art. 52, art. 54(1) et 54(5) |
| Omission de protéger les renseignements personnels à l’aide de mesures de sécurité appropriées | art. 56(1) |
| Omission de déclarer ou de notifier les atteintes aux mesures de sécurité | art. 58(1) et 58(3) |
| Omission, par un fournisseur de services, d’aviser l’organisation responsable d’une atteinte | art. 61 |
| Omission de rendre accessibles les renseignements sur les politiques et pratiques | art. 62(1) |
Éléments à prendre en compte pour déterminer le montant de la pénalité
Pour imposer une SAP, le Commissaire ou la Commission doit tenir compte des éléments suivants
- la nature et la portée de la contravention;
- la preuve d’une diligence raisonnable exercée pour éviter la contravention;
- la question de savoir si l’organisation a déployé des efforts raisonnables pour atténuer ou neutraliser les effets de la contravention;
- les antécédents en matière de conformité;
- la capacité de l’organisation de payer la pénalité et l’effet probable de ce paiement sur sa capacité à exercer ses activités;
- tout avantage financier que l’organisation a retiré de la contravention;
- tout autre élément réglementaire ou pertinent.
Le Commissaire établit les pénalités à l’issue de son examen (art. 105 à 109 et 113). Toutefois, le plaignant ou l’organisation peuvent en demander la révision par la Commission, laquelle peut choisir de modifier la pénalité (art. 109 et 110).
Aucune SAP ne peut être infligée si l’organisation se conformait à un programme de certification approuvé au moment de la contravention (art. 113(3)a)). Toutefois, le droit privé d’action demeure ouvert (art. 132)
Infractions et amendes pénales
Points saillants
- Principal changement par rapport à la LPRPDE : La LPVPDC introduit d’importantes sanctions pénales en cas de contraventions commises sciemment. La LPRPDE ne comporte aucune disposition comparable en matière d’infractions.
- Principal changement par rapport à la LPVPC : Les amendes proposées demeurent essentiellement identiques à celles prévues sous la LPVPC.
Certaines contraventions commises sciemment peuvent faire l’objet de poursuites pénales.
| Type d’infraction | Amende maximale |
| Infraction punissable par procédure sommaire | 20 millions de dollars ou 4 % des recettes globales brutes, selon le plus élevé des deux montants (art. 145b)) |
| Acte criminel | 25 millions de dollars ou 5 % des recettes globales brutes, selon le plus élevé des deux montants (art. 145a)) |
À titre d’exemple, les comportements suivants sont susceptibles de constituer une infraction
- l’omission de déclarer une atteinte aux mesures de sécurité ou d’aviser les individus concernés (art. 58);
- l’omission de donner à la Commission accès aux registres d’atteintes (art. 60(1));
- l’omission de conserver des renseignements visés par une demande d’accès (art. 69);
- la réidentification non autorisée de renseignements dépersonnalisés (art. 75);
- les représailles contre un dénonciateur (art. 144(1));
- la contravention à une ordonnance rendue par la Commission pour assurer la conformité avec la LPVPDC (art. 110(1));
- l’entrave à un examen ou à une vérification (art. 109 et art. 123(4)).
Pouvoir de rendre des ordonnances et droit privé d’action
Points saillants
- Principal changement par rapport à la LPRPDE : La nouvelle Commission se voit conférer le pouvoir de rendre des ordonnances exécutoires afin d’assurer la conformité, de rendre publiques les mesures correctives et de rendre des ordonnances de conservation de renseignements. La LPVPDC introduit également un droit privé d’action pour les personnes concernées, à la suite d’une conclusion définitive de contravention, d’un accord de conformité ou d’une déclaration de culpabilité.
- Principal changement par rapport à la LPVPC : Sous la LPVPC, le droit privé d’action exigeait une conclusion définitive de la Commission ou du Tribunal; sous la LPVPDC, les demandes peuvent être présentées à la suite d’une conclusion définitive de la Commission ou d’une décision de la Cour fédérale, ces actions pouvant dans les deux cadres être intentées devant la Cour fédérale ou les cours supérieures des provinces.
Pouvoirs de rendre des ordonnances
Au cours d’un examen, la Commission peut imposer aux organisations des ordonnances exécutoires leur enjoignant de se conformer à la loi et de rendre publique toute mesure corrective visant à en assurer la conformité (art. 110). De plus, lors d’une révision au titre des articles 109 ou 123, la Commission peut rendre toute ordonnance provisoire qu’elle estime indiquée et rendre des ordonnances de conservation de renseignements (art. 121(1) et 121(2)d)).
Les ordonnances et les pénalités rendues par la Commission peuvent être portées en appel devant la Cour fédérale, et les ordonnances provisoires peuvent l’être avec autorisation (art. 126 et art. 127(1)).
Droit privé d’action
À la suite d’une conclusion définitive de contravention, de la conclusion d’un accord de conformité ou d’une déclaration de culpabilité, les individus touchés peuvent intenter une action en dommages-intérêts pour la perte ou le préjudice subi en conséquence (art. 132(1) et (2)). Les recours peuvent être intentés devant la Cour fédérale ou devant les cours supérieures des provinces (art. 132(5)). Un délai de prescription de deux ans court à compter de la conclusion définitive ou de la déclaration de culpabilité, après épuisement de tous les droits d’appel (art. 132(4)).
