Source: http://www.parl.gc.ca/About/Parliament/LegislativeSummaries/bills_ls.asp?Language=F&ls=C12&Mode=1&Parl=41&Ses=1&source=library_prb
Timestamp: 2013-05-23 15:10:38+00:00
Document Index: 62690073

Matched Legal Cases: ['art. 2', 'art. 5', 'art. 6', 'art. 11', 'art. 4', 'art. 3', 'art. 5', 'art. 8', 'art. 7', 'art. 7', 'art. 7', 'art. 7', 'art. 7', 'art. 11', 'art. 11', 'art. 11', 'art. 11', 'art. 12', 'art. 16', 'art. 9', 'art. 17']

Résumé législatif du projet de loi C-12 : Loi modifiant la Loi sur la protection des renseignements personnels et les documents électroniques *
Le 19 octobre 2011 Publication no 41-1-C12F
PDF 332 ko, 13 pages Table des matières
2	Description et analyse
2.1	Définitions et application (art. 2 à 4)
2.2	Consentement (art. 5)
2.3	Cas où le consentement n’est pas exigé (art. 6 à 8)
2.4	Avis en cas d’atteinte aux mesures de sécurité (art. 11 à 14, 16 et 18)
2.5	Autres dispositions
2.6	Entrée en vigueur
3	Commentaire
Notes 1	Contexte
La LPRPDE a été adoptée en 2000 et est entrée en vigueur par étapes au cours
des années suivantes. Elle a été rédigée après une vaste consultation des intéressés,
consultation qui a mené à une mesure inhabituelle, à savoir l’incorporation d’une
norme volontaire élaborée par l’industrie (le Code type sur la protection des
renseignements personnels 3) dans le texte même de la loi 4.
Les provinces qui ont adopté des lois essentiellement similaires sont le Québec,
l’Alberta et la Colombie-Britannique9. Par conséquent, dans ces provinces, la LPRPDE ne s’applique qu’aux organismes
fédéraux ou aux transactions internationales ou interprovinciales, tandis que
les autres obligations en matière de renseignements personnels qui incombent
au secteur privé sont régies par les lois de la province. De plus, l’Ontario
a adopté une loi qui réglemente la gestion des renseignements personnels sur
la santé par les dépositaires de renseignements sur la santé dans tous les secteurs10;
la LPRPDE ne régit donc pas cet aspect en Ontario, mais elle continue de s’appliquer
à la gestion des autres renseignements personnels dans le reste du secteur privé
de cette province. Le contrôle d’application de la LPRPDE à l’égard des organisations qui y sont
assujetties revient au Commissariat à la protection de la vie privée du Canada
(« le commissaire »). Le commissaire est un ombudsman qui reçoit les
plaintes émanant du public ou d’une organisation concernant les violations de
la LPRPDE et fait enquête à leur sujet. Il a habituellement recours à la médiation
et à la conciliation pour régler les plaintes, et tente, lorsque cela est nécessaire,
de favoriser la prise de mesures correctives. Le commissaire n’a pas le pouvoir
de rendre des ordonnances définitives, mais il peut assigner les témoins, faire
prêter serment et obtenir la production d’éléments de preuve s’ils ne sont pas
fournis volontairement. Dans certains cas, il peut également soumettre des affaires
à la Cour fédérale pour obtenir une ordonnance ou une autre mesure visant à régler
De plus, le commissaire a le pouvoir de procéder à la vérification des pratiques
en matière de gestion des renseignements personnels d’une organisation régie
par la LPRPDE; il peut rendre publique toute information relative à ces pratiques,
si cela est dans l’intérêt public, et coordonner diverses activités avec ses
homologues provinciaux, notamment pour produire des contrats types portant sur
la protection des renseignements personnels au cours de transactions interprovinciales
ou internationales. Le commissaire a également le mandat d’informer le public
au sujet de la LPRPDE.
La LPRPDE exige qu’il soit procédé tous les cinq ans à un examen parlementaire
de sa partie 1, qui traite de la protection de la vie privée et des renseignements
personnels11.
Le premier examen parlementaire, qui contenait 25 recommandations visant
à modifier la LPRPDE, a été achevé et déposé à la Chambre des communes en mai 2007
par le Comité permanent de l’accès à l’information, de la protection des renseignements
personnels et de l’éthique12. Le gouvernement a, par la suite, publié une réponse aux recommandations contenues dans le rapport du Comité13 et le projet de loi C-12 met en œuvre cette réponse14.
Le projet de loi C-12 ajoute plusieurs nouvelles définitions à la LPRPDE.
Il conserve la définition actuelle de renseignement personnel, à savoir
« tout renseignement concernant un individu identifiable », mais supprime
la formulation qui excluait les noms et les coordonnées des employés; il crée
une nouvelle définition de « coordonnée d’affaires » (par. 2(1) et
2(3)). Il précise également que les dispositions de la LPRPDE relatives aux renseignements
personnels ne s’appliquent pas aux coordonnées d’affaires (art. 4).
De plus, le projet de loi étend la portée de la LPRPDE aux renseignements
personnels des personnes qui postulent un emploi auprès d’une entreprise fédérale,
et non pas uniquement aux employés de ces entreprises (art. 3).
Le projet de loi ajoute un nouvel article 6.1, qui précise que le consentement
de l’intéressé à la collecte, à l’utilisation ou à la communication de renseignements
personnels n’est valide que s’il est raisonnable de s’attendre « à ce que
ce dernier comprenne la nature, les fins et les conséquences de la collecte,
de l’utilisation ou de la communication des renseignements personnels auxquelles
il a consenti » (art. 5).
Cet article fait en sorte que les politiques en matière de protection de la
vie privée et les pratiques en matière de notification des organisations visées
par la LPRPDE informent clairement les intéressés des répercussions possibles
de la communication des renseignements personnels à ces organisations et ne visent
pas à obliger ou à inciter trompeusement les intéressés à communiquer ce genre
de renseignements à ces organisations.
Le projet de loi accroît toutefois également le nombre de cas dans lesquels
la collecte, l’utilisation et la communication de renseignements personnels sont
autorisées sans le consentement de l’intéressé. Un des cas est celui où il s’agit
d’un renseignement contenu dans la déclaration d’un témoin et nécessaire pour
évaluer ou traiter la déclaration d’un sinistre ou régler celle-ci. Un autre
cas nouveau est celui d’un renseignement personnel produit par l’intéressé dans
le cadre de son emploi, de son entreprise ou de sa profession et dont la collecte,
l’utilisation ou la communication est « compatible » avec les fins
auxquelles il a été produit (par. 6(2), 6(4) et 6(10)).
Il y a, en outre, de nombreux cas nouveaux où des renseignements personnels
peuvent être communiqués sans le consentement de l’intéressé, notamment les renseignements
personnels demandés afin d’entrer en contact avec le plus proche parent d’un
individu blessé, malade ou décédé, ou avec son représentant autorisé (par. 6(6)). Un nouveau cas de communication sans consentement est celui où les renseignements
personnels sont demandés pour l’exercice de fonctions de police. Il convient
de noter que les cas exceptionnels où les renseignements personnels peuvent être
communiqués sans le consentement de l’intéressé aux termes de la LPRPDE englobent
actuellement les demandes (présentées conformément à une autorité légitime) qui
touchent la sécurité nationale, la défense du Canada et la conduite des affaires
internationales; le contrôle d’application du droit canadien, provincial ou étranger;
la collecte de renseignements liée au contrôle d’application du droit canadien,
provincial ou étranger; l’application du droit canadien ou provincial. La nouvelle
exception créée pour les fonctions de police semble ajouter à cette liste un
cas non défini et très large concernant les activités d’application de la loi.
L’expression fonctions de police n’est pas définie dans la LPRPDE ni
dans le projet de loi (par. 6(6)). Le projet de loi donne aussi une nouvelle définition de la notion d’autorité légitime,
qui limite, à l’heure actuelle, la collecte, l’utilisation et la divulgation
des renseignements personnels sans le consentement de l’intéressé par les organismes
d’application de la loi. Le projet de loi précise que l’autorité légitime ne
se limite pas à une assignation, un mandat ou une ordonnance d’un tribunal ni
aux règles de procédure se rapportant à la production de documents; cette expression
semble de nature plus générale et n’est pas définie. Il précise également que
l’organisation qui communique les renseignements aux autorités sans le consentement
de l’intéressé n’est pas légalement tenue de vérifier si ces dernières possèdent
l’autorité légitime nécessaire avant de leur communiquer les renseignements demandés
(par. 6(12)).
Le projet de loi élargit une autre exception de la loi actuelle. Le paragraphe 7(3)
de la LPRPDE autorise déjà une organisation à communiquer volontairement à une
institution gouvernementale des renseignements personnels sans le consentement
de l’intéressé lorsque l’organisation a des motifs raisonnables de croire que
le renseignement est afférent à une contravention au droit fédéral, provincial
ou étranger qui a été commise, est en train ou sur le point de l’être. Le projet
de loi autorise la communication de renseignements sans le consentement de l’intéressé
aux organisations en général, ce qui pourrait comprendre d’autres sociétés, si
cela est nécessaire pour faire enquête sur la violation d’un accord ou une contravention
au droit (de la même façon que ci-dessus), ou dans le but de « prévenir
une fraude, la détecter ou y mettre fin ». Dans les cas de fraude, le projet
de loi autorise également la communication des renseignements personnels sans
le consentement de l’intéressé si le fait d’en aviser celui-ci risque de compromettre
la capacité de mettre fin à la fraude (par. 6(9)). Une autre nouvelle disposition autorise la communication de renseignements
personnels sans le consentement de l’intéressé à une institution gouvernementale
ou à un proche parent de l’intéressé ou à son représentant autorisé s’il existe
des motifs de croire que l’intéressé a été victime d’« exploitation financière »
et si la communication est faite uniquement à des fins liées à la prévention
de l’exploitation ou à une enquête à ce sujet (par. 6(9)).
Le projet de loi accroît donc le nombre d’organisations qui peuvent recevoir
la communication de renseignements personnels pour lesquels le consentement de
l’intéressé n’a pas été obtenu et le nombre de leurs types; cette possibilité
ne serait plus limitée aux organismes gouvernementaux ou d’« enquête »
qui reçoivent actuellement communication de ces renseignements aux termes de
la LPRPDE. (Le projet de loi supprime en fait l’expression « organisme
d’enquête » que l’on retrouve dans la LPRPDE actuelle.)
De plus, les organisations sont parfois tenues de ne pas aviser les intéressés
que leurs renseignements personnels ont été communiqués lorsqu’il s’agit d’assignations,
de mandats ou de communications des renseignements ordonnées par un tribunal,
lorsqu’une institution gouvernementale demande les renseignements en invoquant
l’exception fondée sur la sécurité nationale, l’application de la loi ou les
fonctions de police, lorsque la divulgation est faite au titre de la Loi
terroristes, ou lorsqu’elle est faite dans le but d’empêcher une contravention.
Si l’organisation concernée veut aviser l’intéressé que ses renseignements personnels
ont été communiqués dans de telles circonstances, elle doit au préalable en aviser
l’autorité (ou autre organisation) compétente qui a demandé les renseignements
personnels et celle-ci dispose de 30 jours pour faire savoir qu’elle s’oppose
à cet avis17.
Si l’autorité s’y oppose, l’organisation ne peut aviser l’intéressé ni même l’informer
que le processus relatif à l’avis et à l’opposition de la part de l’autorité
compétente a même été utilisé. L’organisation qui a communiqué les renseignements
personnels est toutefois tenue d’aviser le commissaire de la situation (art. 8). Dans de tels cas, il est également interdit à l’organisation de communiquer
tout renseignement concernant la teneur de l’assignation, du mandat ou de la
demande gouvernementale ou de donner à l’intéressé en cause accès à ces éléments
Le projet de loi modifie également les modalités du consentement concernant
les renseignements personnels pour les employés d’une entreprise fédérale. Désormais,
une entreprise fédérale pourra recueillir, utiliser et divulguer des renseignements
personnels concernant ses employés sans leur consentement si cela est nécessaire
pour « établir ou gérer la relation d’emploi entre elle et [eux] ou pour
y mettre fin » pourvu que l’employé en question ait été informé des raisons
pour lesquelles les renseignements sont recueillis, utilisés ou communiqués (art. 7).
Le projet de loi ajoute également une nouvelle possibilité d’utiliser et de
communiquer des renseignements personnels à l’insu et sans le consentement de
l’intéressé lorsqu’il s’agit d’« une éventuelle transaction commerciale ».
Cette exception semble être conçue pour les fusions ou les prises de contrôle
entre entreprises qui détiennent de grandes quantités de renseignements personnels.
Aux termes de cette exception, l’utilisation ou la communication de renseignements
personnels doit être nécessaire pour décider si la transaction aura lieu et ensuite,
pour l’effectuer. De plus, les organisations visées doivent conclure un accord
aux termes duquel l’organisation qui reçoit des renseignements personnels doit
s’engager à ne les utiliser ou les communiquer qu’à des fins liées à la transaction,
à les protéger au moyen de mesures de sécurité correspondant à leur degré
de sensibilité et de les remettre à l’organisation qui les lui a communiqués
ou les détruire dans un délai raisonnable, si la transaction n’a pas lieu (art. 7).
Si la transaction est effectuée, les organisations qui ont échangé les renseignements
personnels peuvent les utiliser et les communiquer à l’insu de l’intéressé ou
sans son consentement, dans le cas où les renseignements personnels sont nécessaires
à la poursuite de l’entreprise ou des activités faisant l’objet de la transaction,
aux termes d’un accord prévoyant que ces renseignements ne doivent être utilisés
et communiqués qu’aux fins auxquelles ils ont été recueillis. Cet accord doit
également prévoir la prise de mesures de sécurité correspondant à leur degré
de sensibilité et également donner effet à tout retrait de consentement de la
part des intéressés (art. 7).
Dans un délai raisonnable après que la transaction a été effectuée, les intéressés
doivent être avisés du fait que la transaction a été effectuée et que leurs renseignements
personnels ont été communiqués (art. 7).
Le projet de loi prévoit également que tous les accords conclus aux termes
de cet article par des organismes qui échangent des renseignements personnels
lient les parties (art. 7).
Cependant, ce genre d’échange à l’insu de l’intéressé et sans son consentement ne
peut pas s’effectuer, quels que soient les accords conclus, si l’objectif
premier ou le résultat principal de la transaction commerciale est l’achat, la
vente, l’acquisition, la disposition ou la location de renseignements personnels
Des articles nouveaux ont été ajoutés à la LPRPDE pour obliger les organisations
à aviser les intéressés du fait qu’il y a eu une atteinte aux mesures de sécurité
concernant leurs renseignements personnels. En particulier, le nouvel article 10.1
oblige les organisations à signaler au commissaire toute « atteinte importante »
aux mesures de sécurité qui ont trait à des renseignements personnels dont elles
ont la gestion. Le nouvel article 10.2 oblige l’organisation à aviser également
les intéressés – à moins qu’une règle de droit ne l’interdise – s’il est « raisonnable
de croire dans les circonstances que l’atteinte présente un risque réel de préjudice
grave à son endroit » (art. 11).
Le projet de loi définit les éléments de ce critère. Il ajoute à la LPRPDE
une définition large de « préjudice grave » qui comprend la « lésion
corporelle, l’humiliation, le dommage à la réputation ou aux relations, la perte
financière, le vol d’identité, l’effet négatif sur le dossier de crédit et le
dommage aux biens ou leur perte ». Les facteurs essentiels qui permettent
de savoir s’il y a un risque réel de préjudice grave sont également précisés
par le projet de loi; ils comprennent « le degré de sensibilité des renseignements
personnels en cause » et « la probabilité que les renseignements aient
été mal utilisés, ou soient en train ou sur le point de l’être » (art. 11).
Le projet de loi prévoit également les éléments que doit contenir l’avis :
« suffisamment d’information » pour permettre à l’intéressé de comprendre
l’importance de l’atteinte et de prendre, si cela est possible, des mesures
pour réduire le risque de préjudice qui pourrait en résulter. L’avis contient
également tout autre « renseignement réglementaire » exigé par les
règlements qui pourraient être pris à l’avenir. L’avis doit être « manifeste »
et donné directement à l’intéressé, si cela est possible. L’avis doit être donné
« le plus tôt possible » après que l’atteinte a été confirmée et que
le critère applicable à la remise d’un avis est rempli (art. 11 et par. 18(2)).
Tout organisme gouvernemental en mesure d’aider l’intéressé à réduire le risque
de préjudice pouvant résulter de l’atteinte ou d’atténuer ce préjudice doit également
être avisé et peut communiquer certains renseignements personnels sans le consentement
de l’intéressé si cette communication a pour seul but de réduire le risque de
préjudice ou d’atténuer ce préjudice (art. 11).
Le commissaire obtient le pouvoir d’examiner toutes les plaintes relatives
aux atteintes aux nouvelles exigences en matière d’avis. Les exigences concernant
l’avis aux intéressés et la communication de leurs renseignements personnels
sans leur consentement par des institutions gouvernementales intervenantes peuvent
également être mises en œuvre au moyen d’une ordonnance judiciaire (art. 12,
13 et 14). Le commissaire a également le mandat d’encourager les organisations
à élaborer des politiques et des codes de pratique en vue de se conformer aux
nouvelles exigences (art. 16).
Le projet de loi élargit la liste des sujets sur lesquels peuvent porter les
règlements et ajoute un nouveau paragraphe qui autorise un règlement à incorporer
par renvoi toute norme ou spécification produite par un gouvernement ou une organisation.
Cette disposition semble tenir compte du fait que les normes comme le Code
type qui demeure dans l’annexe de la LPRPDE doivent régulièrement être mises
à jour pour tenir compte de l’évolution de la situation, et notamment des technologies
(par. 18(3)).
Diverses autres dispositions du projet de loi apportent des modifications
de forme qui ont pour but de préciser, de mettre à jour ou de corriger la formulation
actuelle de la LPRPDE (par. 2(2), art. 9, par. 10(1), (2), (3),
(4) et (5), 15(1) et (2), art. 17, 19 et 20).