Le 15 juin 2026, le gouvernement fédéral a déposé le projet de loi C-36 : Loi édictant la Loi visant à protéger la vie privée et les données des consommateurs, modifiant la Loi sur la protection des renseignements personnels et les documents électroniques et apportant des modifications à d’autres lois (la « LPVPDC » ou le « projet de loi C-36 »). C’est la troisième fois que le gouvernement tente de modifier la législation fédérale actuelle en matière de protection de la vie privée dans le secteur privé. En effet, les projets de loi précédents, c’est-à-dire le projet de loi C-11 : Loi de 2020 sur la mise en œuvre de la Charte du numérique, et le projet de loi C-27 : Loi de 2022 sur la mise en œuvre de la Charte du numérique, sont morts au feuilleton en raison soit de la dissolution, soit de la prorogation du gouvernement fédéral.
La LPVPDC propose de remplacer la partie I de la Loi sur la protection des renseignements personnels et les documents électroniques (la « LPRPDE ») actuelle, ce qui constituerait l’un des changements les plus importants en droit relatif à la protection de la vie privée à l’échelle fédérale au Canada depuis plus de 25 ans.
Le projet de loi C-36 vise à renforcer la protection de la vie privée des particuliers tout en favorisant l’innovation et en renforçant les mesures d’application de la loi; il conserve certaines dispositions des projets de loi précédents tout en modifiant d’autres. En bref, voici quelques-uns des changements notables que ce projet de loi apporterait.
- La reconnaissance de la vie privée comme droit fondamental;
- La définition de renseignements à « caractère sensible » et de « renseignements personnels » pour y inclure expressément les renseignements déduits concernant une personne;
- L’exigence d’un consentement exprès comme règle générale, et la création de nouvelles exceptions à cette exigence de consentement, aux termes desquelles une organisation peut recueillir, utiliser ou communiquer les renseignements personnels d’une personne aux fins d’une activité d’affaires ou d’un intérêt légitime à l’insu ou sans le consentement de celle-ci;
- La mise en œuvre de normes plus strictes pour le traitement des renseignements personnels des enfants, un « enfant » étant défini comme un individu âgé de moins de dix-huit ans;
- L’établissement d’un cadre de mobilité des données, selon lequel les organisations sont tenues, sur demande, de communiquer les renseignements personnels qu’elles ont recueillis au sujet d’une personne à une organisation désignée; les deux organisations doivent être assujetties à un cadre de mobilité des données pour ce faire;
- La création d’une distinction entre les données dépersonnalisées et celles anonymisées, tout comme le faisait le projet de loi C-27, ce qui tend à confirmer que, même si les renseignements dépersonnalisés continuent d’être considérés comme des « renseignements personnels », ce n’est pas le cas des données anonymisées. Malgré cela, une organisation n’est pas tenue de donner suite aux demandes d’accès aux renseignements personnels, aux demandes de modification de tels renseignements, aux demandes relatives à la mobilité des données ou aux demandes de retrait des renseignements personnels formulées par écrit si ces renseignements sont dépersonnalisés;
- L’introduction d’une exigence de procéder à une évaluation des facteurs relatifs à la vie privée avant de communiquer ou de transférer des renseignements personnels à l’extérieur du Canada, et lorsque l’exception relative à l’intérêt légitime est invoquée pour déroger à l’obligation de consentement, et de mettre en œuvre des mesures de réduction des risques cernés;
- La mise en place d’exigences en matière de transparence et d’autres exigences (p. ex., le droit de demander la révision par une personne) en ce qui concerne l’usage qu’une organisation fait d’un système décisionnel automatisé pour faire des prédictions, formuler des recommandations ou prendre des décisions qui pourraient avoir des effets juridiques pour une personne ou qui, de façon similaire, pourraient avoir une incidence sur cette dernière;
- La création de la Commission canadienne de la sécurité numérique et de la protection des données pour voir à l’application de la LPVPDC, la nomination d’un nouveau commissaire à la protection de la vie privée et des données des consommateurs chargé de superviser et de mettre en œuvre la LPVPDC, en collaboration avec la Section de la protection de la vie privée et des données des consommateurs. La Commission aura le pouvoir de rendre des ordonnances contraignantes. Elle remplacerait le Commissariat à la protection de la vie privée actuel, qui a été établi en 1983 et assure le respect de la LPRPDE depuis 2001;
- L’imposition de conséquences financières considérables en cas de non-respect. La contravention à certaines dispositions peut entraîner des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou, si elle est plus élevée, la somme équivalant à 3 % des recettes globales brutes de l’organisation. Les infractions graves peuvent donner lieu à une amende maximale de 25 millions de dollars ou, s’il est supérieur, d’un montant égal à 5 % des recettes globales brutes de l’organisation.
Contrairement à ses prédécesseurs, le projet de loi C-36 ne comporte pas de loi distincte sur l’intelligence artificielle.
Au moment de rédiger le présent article, la première lecture du projet de loi C-36 à la Chambre des communes a été réalisée; le projet de loi doit encore faire l’objet d’autres lectures à la Chambre des communes et au Sénat, ainsi que d’une étude par un comité. Compte tenu de l’annonce de la stratégie « L’IA pour tous » du gouvernement et de l’importance des renseignements personnels pour l’IA, il est clair que le gouvernement tient à faire avancer ce dossier. Les répercussions concrètes de ce nouveau projet de loi se préciseront à mesure qu’il franchira ces étapes, et nous vous donnerons plus d’information au fil de sa progression.
Pour ne rien manquer
Pour suivre les nouveautés en matière de droit de la propriété intellectuelle au Canada en 2026, veuillez consulter nos publications de Perspectives en PI ainsi que nos mises à jour Rx IP. Abonnez-vous pour les recevoir directement dans votre boîte de réception tout au long de l’année.
Ce qui précède se veut une mise à jour régulière du droit de la propriété intellectuelle et des technologies au Canada. Le contenu est informatif seulement et ne constitue pas un avis juridique ou professionnel. Pour obtenir de tels conseils, veuillez communiquer directement avec nos bureaux.