Dans ce résumé législatif, tout changement d’importance depuis la dernière publication est indiqué en caractères gras.
Le 29 septembre 2011, le ministre de l’Industrie a déposé à la Chambre des communes le projet de loi C-12 : Loi modifiant la Loi sur la protection des renseignements personnels et les documents électroniques (titre abrégé : « Loi protégeant les renseignements personnels des Canadiens »), qui reprend le projet de loi C-29, mort au Feuilleton à la dissolution de la 40e législature, le 26 mars 2011. Ce projet de loi n’avait pas dépassé l’étape de la deuxième lecture.
Le projet de loi C-12 modifie la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) 1, la principale loi fédérale régissant les droits et les obligations relatifs aux renseignements personnels dans le secteur privé.
Selon une fiche d’information d’Industrie Canada, les modifications proposées à la LPRPDE énoncées dans le projet de loi C-12 sont conçues pour :
- protéger et habiliter les consommateurs;
- clarifier et moderniser les règles applicables aux entreprises;
- faciliter de façon efficace les enquêtes menées par les organismes d’application de la loi et de sécurité;
- apporter des corrections d’ordre linguistique et de rédaction technique 2.
La LPRPDE a été adoptée en 2000 et est entrée en vigueur par étapes au cours des années suivantes. Elle a été rédigée après une vaste consultation des intéressés, consultation qui a mené à une mesure inhabituelle, à savoir l’incorporation d’une norme volontaire élaborée par l’industrie (le Code type sur la protection des renseignements personnels 3) dans le texte même de la loi 4.
La LPRPDE s’applique principalement à la collecte, à l’utilisation et à la commercialisation des renseignements personnels par une entité du secteur privé dans l’exercice de ses activités commerciales et par une entreprise fédérale 5. Elle réglemente toutes ces activités, non seulement au fédéral et dans les territoires, mais également dans toutes les provinces, sauf celles qui ont adopté leur propre loi obligeant le secteur privé à accorder une protection comparable, ou comme le dit la LPRPDE, une loi essentiellement similaire 6. La LPRPDE vise principalement le commerce fédéral, bien que des observateurs aient souligné que sa première partie avait des caractéristiques à la fois fédérales et provinciales, ce qui est inhérent à sa nature, puisqu’elle a été conçue pour réglementer le flot de renseignements personnels à l’échelle nationale et internationale 7. Le 9 juillet 2010, la Cour fédérale a restreint la portée de la définition d’« activité commerciale » contenue dans la LPRPDE à la suite d’une contestation constitutionnelle de cette loi entreprise par un organisme du secteur privé, la State Farm Mutual Automobile Insurance Company. L’entreprise remettait en question le fait que la LPRPDE s’appliquait à la preuve recueillie par un assureur pour défendre un assuré dans une action en responsabilité délictuelle. Le juge Mainville a conclu qu’elle ne s’appliquait pas dans ce cas 8.
Les provinces qui ont adopté des lois essentiellement similaires sont le Québec, l’Alberta et la Colombie-Britannique9. Par conséquent, dans ces provinces, la LPRPDE ne s’applique qu’aux organismes fédéraux ou aux transactions internationales ou interprovinciales, tandis que les autres obligations en matière de renseignements personnels qui incombent au secteur privé sont régies par les lois de la province. De plus, l’Ontario a adopté une loi qui réglemente la gestion des renseignements personnels sur la santé par les dépositaires de renseignements sur la santé dans tous les secteurs10; la LPRPDE ne régit donc pas cet aspect en Ontario, mais elle continue de s’appliquer à la gestion des autres renseignements personnels dans le reste du secteur privé de cette province.
Le contrôle d’application de la LPRPDE à l’égard des organisations qui y sont assujetties revient au Commissariat à la protection de la vie privée du Canada (« le commissaire »). Le commissaire est un ombudsman qui reçoit les plaintes émanant du public ou d’une organisation concernant les violations de la LPRPDE et fait enquête à leur sujet. Il a habituellement recours à la médiation et à la conciliation pour régler les plaintes, et tente, lorsque cela est nécessaire, de favoriser la prise de mesures correctives. Le commissaire n’a pas le pouvoir de rendre des ordonnances définitives, mais il peut assigner les témoins, faire prêter serment et obtenir la production d’éléments de preuve s’ils ne sont pas fournis volontairement. Dans certains cas, il peut également soumettre des affaires à la Cour fédérale pour obtenir une ordonnance ou une autre mesure visant à régler une plainte.
De plus, le commissaire a le pouvoir de procéder à la vérification des pratiques en matière de gestion des renseignements personnels d’une organisation régie par la LPRPDE; il peut rendre publique toute information relative à ces pratiques, si cela est dans l’intérêt public, et coordonner diverses activités avec ses homologues provinciaux, notamment pour produire des contrats types portant sur la protection des renseignements personnels au cours de transactions interprovinciales ou internationales. Le commissaire a également le mandat d’informer le public au sujet de la LPRPDE.
La LPRPDE exige qu’il soit procédé tous les cinq ans à un examen parlementaire de sa partie 1, qui traite de la protection de la vie privée et des renseignements personnels11. Le premier examen parlementaire, qui contenait 25 recommandations visant à modifier la LPRPDE, a été achevé et déposé à la Chambre des communes en mai 2007 par le Comité permanent de l’accès à l’information, de la protection des renseignements personnels et de l’éthique12. Le gouvernement a, par la suite, publié une réponse aux recommandations contenues dans le rapport du Comité13 et le projet de loi C-12 met en œuvre cette réponse14.
À la 3e session de la 40e législature, le projet de loi C-29 avait été présenté en association avec le projet de loi C-28, un projet de loi contenant des dispositions législatives anti-pourriel. Le projet de loi C-28, qui a reçu la sanction royale le 15 décembre 2010 15, élargit les pouvoirs du commissaire en matière d’application de la LPRPDE 16.
Le projet de loi C-12 ajoute plusieurs nouvelles définitions à la LPRPDE. Il conserve la définition actuelle de renseignement personnel, à savoir « tout renseignement concernant un individu identifiable », mais supprime la formulation qui excluait les noms et les coordonnées des employés; il crée une nouvelle définition de « coordonnée d’affaires » (par. 2(1) et 2(3)). Il précise également que les dispositions de la LPRPDE relatives aux renseignements personnels ne s’appliquent pas aux coordonnées d’affaires (art. 4).
De plus, le projet de loi étend la portée de la LPRPDE aux renseignements personnels des personnes qui postulent un emploi auprès d’une entreprise fédérale, et non pas uniquement aux employés de ces entreprises (art. 3).
Le projet de loi ajoute un nouvel article 6.1, qui précise que le consentement de l’intéressé à la collecte, à l’utilisation ou à la communication de renseignements personnels n’est valide que s’il est raisonnable de s’attendre « à ce que ce dernier comprenne la nature, les fins et les conséquences de la collecte, de l’utilisation ou de la communication des renseignements personnels auxquelles il a consenti » (art. 5).
Cet article fait en sorte que les politiques en matière de protection de la vie privée et les pratiques en matière de notification des organisations visées par la LPRPDE informent clairement les intéressés des répercussions possibles de la communication des renseignements personnels à ces organisations et ne visent pas à obliger ou à inciter trompeusement les intéressés à communiquer ce genre de renseignements à ces organisations.
Le projet de loi accroît toutefois également le nombre de cas dans lesquels la collecte, l’utilisation et la communication de renseignements personnels sont autorisées sans le consentement de l’intéressé. Un des cas est celui où il s’agit d’un renseignement contenu dans la déclaration d’un témoin et nécessaire pour évaluer ou traiter la déclaration d’un sinistre ou régler celle-ci. Un autre cas nouveau est celui d’un renseignement personnel produit par l’intéressé dans le cadre de son emploi, de son entreprise ou de sa profession et dont la collecte, l’utilisation ou la communication est « compatible » avec les fins auxquelles il a été produit (par. 6(2), 6(4) et 6(10)).
Il y a, en outre, de nombreux cas nouveaux où des renseignements personnels peuvent être communiqués sans le consentement de l’intéressé, notamment les renseignements personnels demandés afin d’entrer en contact avec le plus proche parent d’un individu blessé, malade ou décédé, ou avec son représentant autorisé (par. 6(6)).
Un nouveau cas de communication sans consentement est celui où les renseignements personnels sont demandés pour l’exercice de fonctions de police. Il convient de noter que les cas exceptionnels où les renseignements personnels peuvent être communiqués sans le consentement de l’intéressé aux termes de la LPRPDE englobent actuellement les demandes (présentées conformément à une autorité légitime) qui touchent la sécurité nationale, la défense du Canada et la conduite des affaires internationales; le contrôle d’application du droit canadien, provincial ou étranger; la collecte de renseignements liée au contrôle d’application du droit canadien, provincial ou étranger; l’application du droit canadien ou provincial. La nouvelle exception créée pour les fonctions de police semble ajouter à cette liste un cas non défini et très large concernant les activités d’application de la loi. L’expression fonctions de police n’est pas définie dans la LPRPDE ni dans le projet de loi (par. 6(6)).
Le projet de loi donne aussi une nouvelle définition de la notion d’autorité légitime, qui limite, à l’heure actuelle, la collecte, l’utilisation et la divulgation des renseignements personnels sans le consentement de l’intéressé par les organismes d’application de la loi. Le projet de loi précise que l’autorité légitime ne se limite pas à une assignation, un mandat ou une ordonnance d’un tribunal ni aux règles de procédure se rapportant à la production de documents; cette expression semble de nature plus générale et n’est pas définie. Il précise également que l’organisation qui communique les renseignements aux autorités sans le consentement de l’intéressé n’est pas légalement tenue de vérifier si ces dernières possèdent l’autorité légitime nécessaire avant de leur communiquer les renseignements demandés (par. 6(12)).
Le projet de loi élargit une autre exception de la loi actuelle. Le paragraphe 7(3) de la LPRPDE autorise déjà une organisation à communiquer volontairement à une institution gouvernementale des renseignements personnels sans le consentement de l’intéressé lorsque l’organisation a des motifs raisonnables de croire que le renseignement est afférent à une contravention au droit fédéral, provincial ou étranger qui a été commise, est en train ou sur le point de l’être. Le projet de loi autorise la communication de renseignements sans le consentement de l’intéressé aux organisations en général, ce qui pourrait comprendre d’autres sociétés, si cela est nécessaire pour faire enquête sur la violation d’un accord ou une contravention au droit (de la même façon que ci-dessus), ou dans le but de « prévenir une fraude, la détecter ou y mettre fin ». Dans les cas de fraude, le projet de loi autorise également la communication des renseignements personnels sans le consentement de l’intéressé si le fait d’en aviser celui-ci risque de compromettre la capacité de mettre fin à la fraude (par. 6(9)).
Une autre nouvelle disposition autorise la communication de renseignements personnels sans le consentement de l’intéressé à une institution gouvernementale ou à un proche parent de l’intéressé ou à son représentant autorisé s’il existe des motifs de croire que l’intéressé a été victime d’« exploitation financière » et si la communication est faite uniquement à des fins liées à la prévention de l’exploitation ou à une enquête à ce sujet (par. 6(9)).
Le projet de loi accroît donc le nombre d’organisations qui peuvent recevoir la communication de renseignements personnels pour lesquels le consentement de l’intéressé n’a pas été obtenu et le nombre de leurs types; cette possibilité ne serait plus limitée aux organismes gouvernementaux ou d’« enquête » qui reçoivent actuellement communication de ces renseignements aux termes de la LPRPDE. (Le projet de loi supprime en fait l’expression « organisme d’enquête » que l’on retrouve dans la LPRPDE actuelle.)
De plus, les organisations sont parfois tenues de ne pas aviser les intéressés que leurs renseignements personnels ont été communiqués lorsqu’il s’agit d’assignations, de mandats ou de communications des renseignements ordonnées par un tribunal, lorsqu’une institution gouvernementale demande les renseignements en invoquant l’exception fondée sur la sécurité nationale, l’application de la loi ou les fonctions de police, lorsque la divulgation est faite au titre de la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes, ou lorsqu’elle est faite dans le but d’empêcher une contravention. Si l’organisation concernée veut aviser l’intéressé que ses renseignements personnels ont été communiqués dans de telles circonstances, elle doit au préalable en aviser l’autorité (ou autre organisation) compétente qui a demandé les renseignements personnels et celle-ci dispose de 30 jours pour faire savoir qu’elle s’oppose à cet avis17. Si l’autorité s’y oppose, l’organisation ne peut aviser l’intéressé ni même l’informer que le processus relatif à l’avis et à l’opposition de la part de l’autorité compétente a même été utilisé. L’organisation qui a communiqué les renseignements personnels est toutefois tenue d’aviser le commissaire de la situation (art. 8).
Dans de tels cas, il est également interdit à l’organisation de communiquer tout renseignement concernant la teneur de l’assignation, du mandat ou de la demande gouvernementale ou de donner à l’intéressé en cause accès à ces éléments (art. 8).
Cette modification semble avoir pour but d’empêcher que des enquêtes soient compromises par la communication de renseignements à la personne faisant l’objet d’une enquête.
Le projet de loi modifie également les modalités du consentement concernant les renseignements personnels pour les employés d’une entreprise fédérale. Désormais, une entreprise fédérale pourra recueillir, utiliser et divulguer des renseignements personnels concernant ses employés sans leur consentement si cela est nécessaire pour « établir ou gérer la relation d’emploi entre elle et [eux] ou pour y mettre fin » pourvu que l’employé en question ait été informé des raisons pour lesquelles les renseignements sont recueillis, utilisés ou communiqués (art. 7).
Le projet de loi ajoute également une nouvelle possibilité d’utiliser et de communiquer des renseignements personnels à l’insu et sans le consentement de l’intéressé lorsqu’il s’agit d’« une éventuelle transaction commerciale ». Cette exception semble être conçue pour les fusions ou les prises de contrôle entre entreprises qui détiennent de grandes quantités de renseignements personnels. Aux termes de cette exception, l’utilisation ou la communication de renseignements personnels doit être nécessaire pour décider si la transaction aura lieu et ensuite, pour l’effectuer. De plus, les organisations visées doivent conclure un accord aux termes duquel l’organisation qui reçoit des renseignements personnels doit s’engager à ne les utiliser ou les communiquer qu’à des fins liées à la transaction, à les protéger au moyen de mesures de sécurité correspondant à leur degré de sensibilité et de les remettre à l’organisation qui les lui a communiqués ou les détruire dans un délai raisonnable, si la transaction n’a pas lieu (art. 7).
Si la transaction est effectuée, les organisations qui ont échangé les renseignements personnels peuvent les utiliser et les communiquer à l’insu de l’intéressé ou sans son consentement, dans le cas où les renseignements personnels sont nécessaires à la poursuite de l’entreprise ou des activités faisant l’objet de la transaction, aux termes d’un accord prévoyant que ces renseignements ne doivent être utilisés et communiqués qu’aux fins auxquelles ils ont été recueillis. Cet accord doit également prévoir la prise de mesures de sécurité correspondant à leur degré de sensibilité et également donner effet à tout retrait de consentement de la part des intéressés (art. 7).
Dans un délai raisonnable après que la transaction a été effectuée, les intéressés doivent être avisés du fait que la transaction a été effectuée et que leurs renseignements personnels ont été communiqués (art. 7).
Le projet de loi prévoit également que tous les accords conclus aux termes de cet article par des organismes qui échangent des renseignements personnels lient les parties (art. 7).
Cependant, ce genre d’échange à l’insu de l’intéressé et sans son consentement ne peut pas s’effectuer, quels que soient les accords conclus, si l’objectif premier ou le résultat principal de la transaction commerciale est l’achat, la vente, l’acquisition, la disposition ou la location de renseignements personnels (art. 7).
Des articles nouveaux ont été ajoutés à la LPRPDE pour obliger les organisations à aviser les intéressés du fait qu’il y a eu une atteinte aux mesures de sécurité concernant leurs renseignements personnels. En particulier, le nouvel article 10.1 oblige les organisations à signaler au commissaire toute « atteinte importante » aux mesures de sécurité qui ont trait à des renseignements personnels dont elles ont la gestion. Le nouvel article 10.2 oblige l’organisation à aviser également les intéressés – à moins qu’une règle de droit ne l’interdise – s’il est « raisonnable de croire dans les circonstances que l’atteinte présente un risque réel de préjudice grave à son endroit » (art. 11).
Le projet de loi définit les éléments de ce critère. Il ajoute à la LPRPDE une définition large de « préjudice grave » qui comprend la « lésion corporelle, l’humiliation, le dommage à la réputation ou aux relations, la perte financière, le vol d’identité, l’effet négatif sur le dossier de crédit et le dommage aux biens ou leur perte ». Les facteurs essentiels qui permettent de savoir s’il y a un risque réel de préjudice grave sont également précisés par le projet de loi; ils comprennent « le degré de sensibilité des renseignements personnels en cause » et « la probabilité que les renseignements aient été mal utilisés, ou soient en train ou sur le point de l’être » (art. 11).
Le projet de loi prévoit également les éléments que doit contenir l’avis : « suffisamment d’information » pour permettre à l’intéressé de comprendre l’importance de l’atteinte et de prendre, si cela est possible, des mesures pour réduire le risque de préjudice qui pourrait en résulter. L’avis contient également tout autre « renseignement réglementaire » exigé par les règlements qui pourraient être pris à l’avenir. L’avis doit être « manifeste » et donné directement à l’intéressé, si cela est possible. L’avis doit être donné « le plus tôt possible » après que l’atteinte a été confirmée et que le critère applicable à la remise d’un avis est rempli (art. 11 et par. 18(2)).
Tout organisme gouvernemental en mesure d’aider l’intéressé à réduire le risque de préjudice pouvant résulter de l’atteinte ou d’atténuer ce préjudice doit également être avisé et peut communiquer certains renseignements personnels sans le consentement de l’intéressé si cette communication a pour seul but de réduire le risque de préjudice ou d’atténuer ce préjudice (art. 11).
Le commissaire obtient le pouvoir d’examiner toutes les plaintes relatives aux atteintes aux nouvelles exigences en matière d’avis. Les exigences concernant l’avis aux intéressés et la communication de leurs renseignements personnels sans leur consentement par des institutions gouvernementales intervenantes peuvent également être mises en œuvre au moyen d’une ordonnance judiciaire (art. 12, 13 et 14). Le commissaire a également le mandat d’encourager les organisations à élaborer des politiques et des codes de pratique en vue de se conformer aux nouvelles exigences (art. 16).
Le projet de loi élargit la liste des sujets sur lesquels peuvent porter les règlements et ajoute un nouveau paragraphe qui autorise un règlement à incorporer par renvoi toute norme ou spécification produite par un gouvernement ou une organisation. Cette disposition semble tenir compte du fait que les normes comme le Code type qui demeure dans l’annexe de la LPRPDE doivent régulièrement être mises à jour pour tenir compte de l’évolution de la situation, et notamment des technologies (par. 18(3)).
Diverses autres dispositions du projet de loi apportent des modifications de forme qui ont pour but de préciser, de mettre à jour ou de corriger la formulation actuelle de la LPRPDE (par. 2(2), art. 9, par. 10(1), (2), (3), (4) et (5), 15(1) et (2), art. 17, 19 et 20).
Le projet de loi entre en vigueur à la date ou aux dates fixées par décret (art. 21).
La version précédente du projet de loi C-12 (C-29), présentée à la Chambre des communes le 25 mai 2010, a fait l’objet d’une journée de débat en deuxième lecture, le 26 octobre 2010. Pendant ce débat, l’honorable Tony Clement, alors ministre de l’Industrie, a déclaré : « Ce projet de loi porte sur la protection des renseignements personnels à l’ère du numérique et constitue donc un élément important de la nouvelle stratégie du Canada pour l’économie numérique 18. »
Le député Claude Gravelle a demandé si le gouvernement était disposé à appuyer ces amendements « afin que nous soyons en mesure d’identifier les autorités légitimes et les services policiers ». Il a aussi demandé si le projet de loi prévoyait des sanctions contre « des gens ou des entreprises qui risquent d’enfreindre les dispositions du projet 19 ».
Le député Joe Volpe a exprimé son inquiétude au sujet du projet de loi, affirmant que ce dernier faisait « des exceptions aux principes de protection de la vie privée et de sécurité qu’il prétend défendre ». Il a ajouté : « Un grand nombre d’amendements vont être nécessaires avant que je sois à l’aise avec cette mesure 20. »
La députée Carole Freeman a déclaré : « Le Bloc québécois votera contre le projet de loi C-29 car il s’agit encore une fois d’un projet de loi qui implique une intrusion éhontée dans un champ de compétence qui relève des pouvoirs des provinces 21. »
Les médias n’ont guère couvert et le projet de loi C-12 ni son prédécesseur, le projet de loi C-29.
Le 30 septembre 2011, Daniel Tencer, du Huffington Post Canada, a écrit que certains spécialistes voyaient le spectre de la Patriot Act américaine dans les modifications proposées à la LPRPDE du projet de loi C-12 :
Entre autres modifications figure une nouvelle règle qui obligerait les organisations à déclarer au commissaire à la protection de la vie privée du Canada les atteintes à la sécurité des données, de même que des exceptions aux règles en matière de protection des renseignements pour faciliter les transactions quotidiennes des entreprises.
Mais ce qui inquiète les spécialistes, c’est la nouvelle disposition autorisant les organisations à communiquer des renseignements personnels sur des particuliers à des organismes d’application de la loi et à des enquêteurs privés sans mandat. Et, si l’organisme d’application de la loi le demande, l’organisation pourra se voir interdire d’aviser le particulier en question qu’elle a transmis des renseignements personnels à son sujet 22.
D’autres articles de journaux ont dénoncé le manque de clarté du projet de loi C-29 et le fait qu’il ne contenait pas suffisamment de mécanismes d’application 23.
* Avertissement : Par souci de clarté, les propositions législatives du projet de loi décrit dans le présent résumé législatif sont énoncées comme si elles avaient déjà été adoptées ou étaient déjà en vigueur. Il ne faut pas oublier, cependant, qu’un projet de loi peut faire l’objet d’amendements au cours de son examen par la Chambre des communes et le Sénat, et qu’il est sans effet avant d’avoir été adopté par les deux chambres du Parlement, d’avoir reçu la sanction royale et d’être entré en vigueur. [ Retour au texte ]
** Avertissement : Le présent résumé législatif est basé sur le Résumé législatif du projet de loi C-29 : Loi modifiant la Loi sur la protection des renseignements personnels et les documents électroniques, préparé par Alysia Davies, anciennement de la Bibliothèque du Parlement, le 23 juin 2010. [ Retour au texte ]
(81 ko, 27 pages) », Revue du Barreau canadien, vol. 85, 2006. En décembre 2006, le procureur général du Québec a contesté la constitutionnalité de la LPRPDE, aux motifs qu’elle empiétait sur les compétences provinciales. L’affaire est en cours, mais n’a guère évolué (voir, par exemple, Michael Geist, « State Farm challenges Canada’s privacy law in court », Toronto Star, 5 avril 2010. [ Retour au texte ] (224 ko, 25 pages), publication no 40-3-C28-F, Ottawa, Service d’information et de recherche parlementaires, Bibliothèque du Parlement, révisée le 4 février 2011. [ Retour au texte ]© Bibliothèque du Parlement