Source document: https://docs-lawep.s3.us-east-2.amazonaws.com/1697705726843.pdf (Canada)
C-580 C-580 Second Session, Forty-first Parliament, 62-63 Elizabeth II, 2013-2014 Deuxième session, quarante et unième législature, 62-63 Elizabeth II, 2013-2014 HOUSE OF COMMONS OF CANADA CHAMBRE DES COMMUNES DU CANADA BILL C-580 PROJET DE LOI C-580 An Act to amend the Privacy Act (personal information — loss or unauthorized access or disclosure) Loi modifiant la Loi sur la protection des renseignements personnels (renseignements personnels — perte ou accès ou communication non autorisés) FIRST READING, MARCH 25, 2014 PREMIÈRE LECTURE LE 25 MARS 2014 MS. BORG MME BORG 412094 SUMMARY SOMMAIRE This enactment amends the Privacy Act to require government institutions to inform the Privacy Commissioner of the loss or unauthorized disclosure of, or unauthorized access to, personal information if there is a risk of harm to an individual because of that loss, access or disclosure.
The enactment also gives the Privacy Commissioner the power to make compliance orders and requires that a comprehensive review of the Act be conducted at least once every five years.
Le texte modifie la Loi sur la protection des renseignements personnels afin d’exiger des institutions fédérales qu’elles informent le Commissaire à la protection de la vie privée de la perte ou de la communication non autorisée de renseignements personnels ou de l’accès non autorisé à ceux-ci, lorsque cette perte, cette communication ou cet accès présente un risque de préjudice pour un individu.
Il confère également au Commissaire à la protection de la vie privée le pouvoir de donner des ordres d’exécution et exige qu’un examen détaillé de la Loi soit effectué au moins tous les cinq ans.
Available on the Parliament of Canada Web Site at the following address: http://www.parl.gc.ca Disponible sur le site Web du Parlement du Canada à l’adresse suivante : http://www.parl.gc.ca 2nd Session, 41st Parliament, 62-63 Elizabeth II, 2013-2014 2e session, 41e législature, 62-63 Elizabeth II, 2013-2014 HOUSE OF COMMONS OF CANADA CHAMBRE DES COMMUNES DU CANADA BILL C-580 PROJET DE LOI C-580 An Act to amend the Privacy Act (personal information — loss or unauthorized access or disclosure) Loi modifiant la Loi sur la protection des renseignements personnels (renseigne- ments personnels — perte ou accès ou communication non autorisés) Her Majesty, by and with the advice and consent of the Senate and House of Commons of Canada, enacts as follows: Sa Majesté, sur l’avis et avec le consentement du Sénat et de la Chambre des communes du Canada, édicte : SHORT TITLE TITRE ABRÉGÉ Short title 1.
This Act may be cited as the Taking the 1.

Loi sur l’importance de protéger la vie Titre abrégé Privacy of Canadians Seriously Act.

5 privée des Canadiens.

5 R.S., c. P-21 PRIVACY ACT LOI SUR LA PROTECTION DES RENSEIGNEMENTS PERSONNELS L.R., ch.

P-21 2.

The Privacy Act is amended by adding the following after section 11: 2.
La Loi sur la protection des renseigne- ments personnels est modifiée par adjonction, après l’article 11, de ce qui suit : LOSS, UNAUTHORIZED DISCLOSURE OR UNAUTHORIZED ACCESS relationships, 11.1 (1) For the purposes of this section and section 11.2, “harm” includes bodily harm, humiliation, embarrassment, injury to reputation loss of employment or of or business or professional opportunities, financial loss, identity fraud, negative effects on credit rating and damage to or loss of property.
identity theft, (2) A government institution having personal information under its control shall notify the Privacy Commissioner of any incident involv- ing the loss or unauthorized disclosure of, or unauthorized access to, that information, if a there reasonable person would conclude that PERTE, COMMUNICATION NON AUTORISÉE OU ACCÈS NON AUTORISÉ 11.1 (1) Pour l’application du présent article et de l’article 11.2, « préjudice » vise notamment les lésions corporelles, l’humiliation, l’embar- ras, l’atteinte à la réputation ou aux relations, la perte d’un emploi, d’une occasion d’affaires ou la perte finan- d’une activité professionnelle, la fraude d’identité, cière, le vol d’identité, le l’effet négatif sur dommage aux biens ou leur perte.
la cote de crédit et (2) L’institution fédérale dont relèvent des renseignements personnels est tenue d’aviser le Commissaire à la protection de la vie privée de tout incident ayant entraîné la perte ou la communication non autorisée de renseigne- ments personnels ou l’accès non autorisé à 10 15 20 Définition de « préjudice » 10 15 Avis au Commissaire à la protection de la vie privée 20 Definition of “harm” Notification of Privacy Commissioner 412094 2 Relevant factors Notification to be made without unreasonable delay Notification requirements Notification of affected individuals Obligation to notify affected individuals Previous notification
(4) The notification must be made without unreasonable delay after the discovery of the loss or unauthorized disclosure of, or unauthor- ized access to, personal information.
(5) The notification must contain the infor- mation, and be made in the form, prescribed in the regulations or otherwise specified by the Privacy Commissioner.

(5) L’avis satisfait aux exigences de forme et de contenu prévues par règlement ou prescrites par le Commissaire à la protection de la vie privée.

exists a possible risk of harm to an individual as a result of the loss, unauthorized disclosure or unauthorized access.
(3) The factors that are relevant in determin- ing whether a reasonable person would con- clude that the loss or unauthorized disclosure of, or unauthorized access to, personal information would create a risk of harm include (a) the sensitivity of the personal informa- tion; and (b) the number of individuals whose personal information was involved.
lorsqu’une personne raisonnable ceux-ci, conclurait à l’existence d’un risque de préjudice pour l’individu concerné par cette perte, cette communication ou cet accès.

a) le degré de sensibilité des renseignements personnels en cause; b) le nombre d’individus dont les renseigne- ments personnels ont été touchés.

(4) L’avis est donné sans retard injustifié après la découverte de la perte ou de la communication non autorisée des renseigne- ments personnels ou de l’accès non autorisé à ceux-ci.
(3) Les éléments ci-après, entre autres, sont pertinents pour déterminer si la perte ou la communication non autorisée de renseigne- ments personnels ou l’accès non autorisé à ceux-ci constituerait, pour une personne raison- nable, un risque de préjudice : Privacy (personal information — loss or unauthorized access or disclosure) 5 10 15 20 25 30 35 40 11.2 (1) Sur réception de l’avis visé au paragraphe 11.1(2), le Commissaire à la pro- tection de la vie privée peut enjoindre à l’institution fédérale d’aviser les individus concernés pour lesquels la perte ou la commu- nication non autorisée des renseignements personnels ou l’accès non autorisé à ceux-ci constitue un risque appréciable de préjudice.
(2) Sous réserve du paragraphe (3), s’il juge que la perte ou la communication non autorisée des renseignements personnels ou l’accès non autorisé à ceux-ci est susceptible de constituer un risque appréciable de préjudice pour les individus concernés, le Commissaire à la protection de la vie privée est tenu, dès que possible, d’ordonner à l’institution fédérale d’en aviser ceux-ci sans retard injustifié.

62-63 ELIZ.
62-63 ELIZ.

II 5 Éléments pertinents 10 15 Avis donné sans retard injustifié 20 Forme et contenu de l’avis Avis aux individus concernés 25 Obligation d’aviser les individus concernés Avis antérieur 30 35 40 45 (3) The Privacy Commissioner is not re- quired to make an order under subsection (2) if the government institution has already notified the affected individuals to the satisfaction of the Privacy Commissioner.
(3) Si l’institution fédérale a déjà avisé les individus concernés d’une manière qu’il juge satisfaisante, le Commissaire à la protection de la vie privée n’est pas tenu de donner l’ordre visé au paragraphe (2).
(2) Subject to subsection (3), if the Privacy Commissioner determines that the loss or unauthorized disclosure of, or unauthorized access to, personal information is likely to in an appreciable risk of harm to the result affected individuals, the Privacy Commissioner shall, as soon as feasible, order the government institution to notify the affected individuals without unreasonable delay.
11.2 (1) Upon receipt of the notification referred to in subsection 11.1(2), the Privacy Commissioner may require the government institution to notify affected individuals to whom there is an appreciable risk of harm as a result of the loss or unauthorized disclosure of, or unauthorized access to, personal information.
2013-2014 Notification requirements Form and manner of notification Notification of compliance Compliance order (2) shall include les éléments suivants : (c) any other prescribed information.
(4) The notification referred to in subsection (a) a report of the risk of harm as it pertains to the affected individuals; (b) instructions for reducing the risk of harm or mitigating that harm; and (4) L’avis visé au paragraphe (2) comporte a) un rapport des risques de préjudice auxquels les individus concernés sont expo- sés; Protection des renseignements personnels (renseignements personnels — perte ou accès ou communication non autorisés) 5 10 (5) L’avis est formulé clairement et remis directement à l’individu concerné selon les modalités réglementaires.
b) des instructions sur la façon de réduire les risques de préjudice ou d’atténuer ce préju- dice; (6) L’institution fédérale avise le Commis- saire à la protection de la vie privée dès qu’elle s’est conformée à l’ordre visé au paragraphe (2).

c) tout autre renseignement prévu par règle- ment.

(5) The notification shall be clear and delivered directly to the affected individual in the prescribed form and manner.
institution has complied with the notification order referred to it shall notify the Privacy in subsection (2), Commissioner of that fact.

(6) Once the government 3 Contenu de l’avis 5 10 Modalités Avis de conformité 15 3.

Paragraph 35(1)(a) of the Act is re- 15 3.


L’alinéa 35(1)a) de la même loi est placed by the following: remplacé par ce qui suit : (a) the findings of the investigation, any recommendations that the Privacy Commis- sioner considers appropriate and any order made under section 35.1; and 20 a) il présente les conclusions de son enquête ainsi que les recommandations qu’il juge indiquées et fait état de tout ordre donné en vertu de l’article 35.1; 20 4.

The Act is amended by adding the 4.
La même loi est modifiée par adjonc- following after section 35: 35.1 Despite any other provision of this Act, upon completion of an investigation of a complaint or after an investigation on his or her own initiative, the Privacy Commissioner may order the government institution that is the object of the complaint or investigation to take the necessary actions to comply with this Act, which may include (a) correcting its practices in order to comply with sections 4 to 8, including by (i) fulfilling any obligation under this Act, (ii) disposing of data, (iii) ceasing to collect, use or disclose personal information, and (iv) deleting or adding a record; and (b) publishing a notice of any action taken or proposed to be taken to correct its practices, whether or not ordered to correct them under paragraph (a).
25 30 35 40 tion, après l’article 35, de ce qui suit : 35.1 Malgré les autres dispositions de la présente loi, une fois achevée l’enquête sur une plainte ou l’enquête menée de sa propre initiative, le Commissaire à la protection de la vie privée peut ordonner à l’institution fédérale visée par la plainte ou l’enquête de prendre les mesures nécessaires pour se conformer à la présente loi, y compris : a) corriger ses pratiques de façon à se conformer aux articles 4 à 8, notamment : 25 Ordre d’exécution 30 (i) en s’acquittant de toute obligation qui lui incombe au titre de la présente loi, 35 (ii) en procédant au retrait des données, (iii) en cessant de recueillir, d’utiliser ou de communiquer des renseignements per- sonnels, 40 (iv) en supprimant ou ajoutant des docu- ments; 4 Time limit Extension of time limit Extension of time limit only granted once Publication of orders be granted once.
(2) The extension of the time limit may only (2) Le délai ne peut être prorogé qu’une les mesures b) publier un avis énonçant prises ou envisagées pour corriger ses pratiques, qu’elle ait ou non reçu l’ordre visé à l’alinéa a).

35.3 (1) À la demande de l’institution fédé- rale visée par un ordre donné en vertu de l’article 35.1, le Commissaire à la protection de la vie privée peut, avant l’expiration du délai fixé pour l’exécution de l’ordre, proroger ce délai.
35.2 The Privacy Commissioner shall estab- lish a time limit for the implementation of any order made under section 35.1.

35.2 Le Commissaire à la protection de la vie privée fixe un délai pour l’exécution de tout ordre donné en vertu de l’article 35.1.
35.3 (1) Upon a request by the government institution that is the object of an order made under section 35.1, the Privacy Commissioner may extend the time limit for the implementa- tion of the order at any time throughout the implementation period established by the Pri- vacy Commissioner.
Privacy (personal information — loss or unauthorized access or disclosure) 5 10 15 20 25 30 a) la date et l’ordre; c) le nom de l’institution fédérale; seule fois.
35.4 Si 35.4 If a government institution fails, within the time limit set under section 35.2 or 35.3, as the case may be, to comply with an order made under section 35.1, the Privacy Commissioner shall, within 60 days after the expiration of the relevant time limit, publish the following information on the website of the Office of the Privacy Commissioner of Canada: l’institution fédérale n’exécute pas l’ordre donné en vertu de l’article 35.1 dans le délai visé aux articles 35.2 ou 35.3, selon le cas, le Commissaire à la protection de la vie privée publie, dans les soixante jours suivant l’expira- tion de ce délai, les renseignements ci-après sur le site Web du Commissariat à la protection de la vie privée du Canada : (a) the date and identification number of the order; le numéro de référence de (b) the time limit for implementation of the order, including any extensions; b) le délai fixé pour l’exécution de l’ordre, y compris toute prorogation de ce délai; (c) the name of the government institution that is the subject of the order; (d) the provision of the Act with which the government institution failed to comply; and (e) any additional information that the Pri- vacy Commissioner considers necessary and relevant.
d) les dispositions de la présente loi aux- quelles elle ne s’est pas conformée; e) les renseignements supplémentaires que le Commissaire à la protection de la vie privée estime nécessaires et pertinents.

Review by parliamentary committee 5.

Section 75 of the Act is replaced by the 5.

L’article 75 de la même loi est remplacé following: par ce qui suit : 75.
(1) A comprehensive review of the provisions and operation of this Act shall be undertaken, every five years after this section comes into force, by the committee of the House of Commons, or of both Houses of Parliament, that may be designated or established by Parliament for that purpose.

35 40 75.
35 40 75.

(1) Le Parlement désigne ou constitue un comité, soit de la Chambre des communes, soit mixte, chargé spécialement de l’examen détaillé, tous les cinq ans suivant l’entrée en vigueur du présent article, de la présente loi et de son application.

62-63 ELIZ.
II 5 Délai Prorogation du délai 10 Prorogation unique 15 Publication des ordres 20 25 30 35 40 Examen par un comité parlementaire 2013-2014 Report Protection des renseignements personnels (renseignements personnels — perte ou accès ou communication non autorisés) (2) The committee referred to in subsection (1) shall, within a year after the review is undertaken or within such further time as the House of Commons or both Houses of Parlia- ment, as the case may be, may authorize, submit a report on the review to Parliament that includes a statement of any changes to this Act or its operation that the committee recom- mends.
5 (2) Le comité prévu au paragraphe (1) présente au Parlement, dans l’année qui suit le début de l’examen ou dans le délai supérieur accordé par la Chambre des communes ou par les deux chambres du Parlement, selon le cas, fait état de ses un rapport dans lequel recommandations quant aux modifications qu’il serait souhaitable d’apporter à la présente loi ou à ses modalités d’application.
il 5 5 Rapport Published under authority of the Speaker of the House of Commons Publié avec l’autorisation du président de la Chambre des communes