Le projet de loi C-36, Loi édictant la Loi sur la protection de la vie privée et des données des consommateurs, modifiant la Loi sur la protection des renseignements personnels et les documents électroniques et apportant des modifications à d'autres lois, créerait une nouvelle loi fédérale sur la vie privée et modifierait plusieurs lois existantes. Il abrogerait la Partie 1 de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), renommerait la loi restante en Loi sur les documents électroniques, et donnerait des pouvoirs en matière de vie privée à la Commission canadienne de la sécurité numérique et de la protection des données, renommée. L'objectif déclaré de la nouvelle loi est de protéger la vie privée tout en permettant aux organisations de traiter des informations à des fins qu'une personne raisonnable considérerait comme appropriées.
Les organisations couvertes par la nouvelle loi devraient limiter la collecte, l'utilisation et la divulgation des renseignements personnels, expliquer leurs objectifs et généralement obtenir un consentement valide. La loi précise également les situations où les organisations peuvent traiter des informations sans consentement.
Les organisations devraient maintenir un programme de protection de la vie privée, protéger les informations, répondre aux demandes des personnes, signaler certaines violations graves et supprimer les informations lorsque cela est requis. Les personnes obtiendraient des droits d'accès et de correction de leurs informations, de demander leur élimination dans certains cas, et de recevoir des explications sur certaines décisions automatisées significatives.
La Commission canadienne de la sécurité numérique et de la protection des données superviserait la loi. Sa Division de la vie privée et des données des consommateurs ferait partie de la Commission, et non d'un organisme indépendant séparé. Le Commissaire pourrait enquêter, auditer et négocier des accords de conformité ; la Commission pourrait examiner des cas, ordonner des mesures correctives et imposer des pénalités pour des violations spécifiées.
La loi créerait également un recours en dommages-intérêts pour les personnes qui subissent une perte ou un préjudice en raison de certaines contraventions établies, protégerait certains employés qui signalent ou refusent de participer à des contraventions, et créerait des infractions pour des violations connues et des obstructions spécifiées.
D'autres modifications incluent des exceptions pour certaines divulgations par des opérateurs d'aéronefs en vertu de la loi étrangère et le traitement des informations par des entreprises ferroviaires en vertu de lois ferroviaires spécifiées. Une société devrait éliminer certaines informations de son registre dans un délai imparti, sous réserve de délais de conservation légale plus longs.
Le texte fourni indique que la nouvelle loi entrerait en vigueur à des dates fixées par ordonnance, et pas avant que la Partie 3 du projet de loi ne soit en vigueur. Aucune date de début n'est fournie.
Personnes dont les informations sont traitées : Si une organisation est couverte, vous pourriez demander si elle détient vos informations, comment elle les utilise et à qui elle les a divulguées. Vous pourriez demander l'accès, la correction ou l'élimination dans des circonstances spécifiées. Certaines exceptions s'appliquent, et les informations dépersonnalisées (informations dont les identifiants directs ont été supprimés mais avec un certain risque de réidentification) sont traitées différemment.
Personnes affectées par des décisions automatisées : Sur demande, une organisation devrait expliquer certaines prédictions, recommandations ou décisions qui pourraient avoir un effet légal ou significatif sur vous, y compris les informations et les principaux facteurs utilisés. Vous pourriez faire des représentations écrites à un employé capable de revoir la décision.
Organisations : Les organisations couvertes devraient documenter les objectifs, utiliser des mesures de protection, fournir des rapports de violation et des avis lorsque le seuil légal est atteint, et respecter les délais de demande d'accès. Une violation qualifiée doit être signalée à la Commission et les personnes concernées notifiées, sauf si la loi interdit l'avis. Certaines demandes doivent être répondues dans les 30 jours ; les prolongations autorisées sont limitées.
Entreprises traitant des informations : La loi permettrait certaines utilisations ou divulgations sans consentement, y compris des activités commerciales spécifiées, des enquêtes, des urgences et certaines demandes gouvernementales. Une exception distincte pour « intérêt légitime » exigerait une évaluation d'impact sur la vie privée prescrite et des mesures pour réduire ou traiter les préjudices probables.
Employés et travailleurs indépendants : Les employeurs ne pourraient pas désavantager un travailleur pour certains rapports de bonne foi, refus ou mesures pour prévenir une contravention. Les opérateurs d'aéronefs, les entreprises ferroviaires et les sociétés maintenant le registre spécifié seraient affectés par les modifications connexes.
Champ d'application : La loi proposée couvre certains traitements commerciaux et les informations des employés liées aux travaux, entreprises et affaires fédérales. Elle exclut, entre autres, les institutions gouvernementales couvertes par la Loi sur la protection des renseignements personnels et les organisations agissant uniquement à des fins journalistiques, artistiques ou littéraires.
Aucune estimation des coûts n'est fournie dans le matériel fourni.
Les organisations devraient financer leur propre travail de conformité. Dans certaines audits, une organisation pourrait être tenue de payer pour un rapport préparé par un tiers approuvé par le Commissaire.
Les pénalités pour des contraventions spécifiées iraient au Receveur général. Le total maximum pour les contraventions constatées à la suite de procédures liées à une enquête serait le plus élevé entre 10 millions de dollars ou 3 % des revenus bruts mondiaux de l'organisation au cours de l'exercice financier précédent.
Des amendes criminelles distinctes pourraient s'appliquer à des violations connues spécifiées ou à des obstructions : le plus élevé entre 25 millions de dollars ou 5 % des revenus bruts mondiaux en cas d'accusation, ou le plus élevé entre 20 millions de dollars ou 4 % en cas de déclaration sommaire.
Le projet de loi assignerait des devoirs et des pouvoirs à la Commission et exigerait une Division de la vie privée et des données des consommateurs avec au moins deux membres. Aucune estimation des coûts de personnel ou d'exploitation n'est fournie.
Le matériel fourni ne comprend pas la LPRPDE actuelle complète, donc je n'ai pas pu vérifier les différences exactes entre la loi proposée et la loi actuellement en vigueur.
Les règlements fourniraient des détails importants, y compris les exigences pour les évaluations d'impact sur la vie privée, les dossiers de violation, la mobilité des données et certaines exceptions de consentement. Ces règles ne sont pas fournies.
La loi utilise « intérêt légitime » mais le matériel fourni ne donne aucune définition. Elle laisse également certaines exigences à prescrire.
Le texte fourni ne donne pas de dates de commencement. Certaines dispositions ne sont décrites que dans des extraits incomplets, y compris des parties des dispositions de notification de violation et de notification de contravention.
Il n'est pas clair à partir du matériel fourni comment la nouvelle loi interagirait en pratique avec les programmes existants ou toutes les lois provinciales sur la vie privée substantiellement similaires.
Le projet de loi semble destiné à donner aux personnes des droits plus clairs sur leurs informations personnelles tout en établissant des devoirs cohérents pour les organisations qui les traitent.
Exiger des organisations qu'elles enregistrent les objectifs, limitent la collecte, utilisent des mesures de protection et expliquent certaines décisions automatisées pourrait rendre leur traitement des informations plus responsable.
Le projet de loi permet certains traitements nécessaires sans consentement mais fixe des conditions pour plusieurs exceptions, y compris une évaluation d'impact sur la vie privée et des mesures de réduction des préjudices pour l'exception « intérêt légitime ».
Les enquêtes, audits, ordonnances de conformité et pénalités pourraient donner à la Commission des outils pour traiter les violations, tandis que les recours en dommages-intérêts pourraient offrir un recours aux personnes qui subissent une perte ou un préjudice.
Les exceptions sans consentement couvrent de nombreuses situations, y compris certaines activités commerciales, enquêtes et divulgations gouvernementales. Les personnes peuvent avoir un contrôle limité sur le traitement qui tombe sous ces exceptions.
Les détails clés dépendent de règlements futurs, et des termes tels que « intérêt légitime » ne sont pas définis dans le texte fourni. Cela pourrait laisser les organisations et les individus incertains quant à l'application des règles.
Les nouvelles obligations pourraient nécessiter un travail de conformité substantiel, mais les documents ne donnent aucune estimation des coûts pour les entreprises ou le gouvernement.
Le projet de loi crée des pouvoirs significatifs pour la Commission, y compris des audits et de lourdes pénalités, tandis que les extraits fournis ne montrent pas tous les détails procéduraux ou le texte complet de certaines dispositions.