Projet de loi C-36 : la troisième tentative de réforme de la vie privée au Canada, les considérations stratégiques derrière l'absence de l'IA

Le 15 juin 2026, le gouvernement fédéral canadien a relancé la réforme de la loi sur la protection des renseignements personnels du secteur privé. Le projet de loi C-36, déposé par le nouveau « ministre de l’Intelligence artificielle et de l’Innovation numérique », Evan Solomon, vise à remplacer la PIPEDA, vieille de plus de vingt ans, par la Loi sur la protection de la vie privée et des données des consommateurs (PPCDA). C’est la troisième tentative en six ans, après le C-11 de 2020 et le C-27 de 2022. Les deux projets de loi précédents sont « morts » faute d’avoir parcouru tout le processus parlementaire. En apparence, il ne s’agit que d’un effort législatif répété, mais un examen approfondi du contenu et du calendrier du projet de loi C-36 révèle que le Canada ajuste sa stratégie globale de gouvernance numérique : le découplage de la réforme de la vie privée et de la réglementation de l’IA, la consolidation des pouvoirs de réglementation et la création d’exceptions pour les données d’entraînement de l’IA montrent qu’Ottawa tente de trouver un nouvel équilibre entre la protection des citoyens et la maîtrise du fardeau réglementaire.

Trois tentatives en six ans : pourquoi une réforme si difficile ?

La réforme de la loi canadienne sur la vie privée avance péniblement. Depuis l’entrée en vigueur de la PIPEDA, son cadre de base n’a pas changé, alors que l’économie numérique a été bouleversée. La mise en œuvre du RGPD et l’apparition de la loi 25 au Québec ont exercé une pression sur le gouvernement fédéral pour qu’il adopte des normes harmonisées. Cependant, l’échec des projets de loi C-11 et C-27 n’est pas dû à un manque de consensus, mais à une portée législative trop large et à un cycle politique défavorable. Le C-27, en particulier, liait la réforme de la vie privée à la réglementation de l’IA (AIDA), dont le caractère controversé a alourdi l’ensemble du projet de loi. L’industrie, le milieu universitaire et la société civile étaient en désaccord sur la sévérité et la portée juridictionnelle de la réglementation de l’IA, ce qui a fait stagner le projet de loi au stade du comité. Cette fois, le projet de loi C-36 a tout simplement retiré l’IA de son champ d’application pour ne traiter que de la vie privée — une leçon clairement tirée des échecs précédents.

Qu’est-ce qui change cette fois : l’absence de l’IA et un nouvel organisme de réglementation

La différence la plus notable entre le projet de loi C-36 et le C-27 est qu’il ne contient plus de loi distincte sur l’IA. Cela ne signifie pas que l’IA n’est pas importante, mais plutôt que le gouvernement a choisi de la traiter séparément dans la Stratégie nationale sur l’IA publiée le 4 juin, laquelle mentionne explicitement la nécessité de moderniser les lois sur la vie privée, mais reste silencieuse sur une législation en matière d’IA. Cela implique que le Canada ne devrait pas adopter à court terme une réglementation complète de l’IA comme le Règlement sur l’intelligence artificielle de l’Union européenne, mais qu’il s’appuiera sur les lois existantes (y compris la loi sur la vie privée qui sera bientôt mise à jour) pour faire face aux risques liés à l’IA. Un autre changement majeur est la consolidation de l’architecture réglementaire. Le projet de loi C-36 propose de transférer la supervision de la vie privée dans le secteur privé du Bureau du commissaire à la protection de la vie privée (OPC) à un nouvel organisme pas encore créé, la « Commission de la sécurité numérique et de la protection des données » (Digital Safety and Data Protection Commission). Cette commission est issue du projet de loi C-34 sur les préjudices en ligne actuellement à l’étude, ce qui signifie que la protection de la vie privée et des données personnelles sera fusionnée avec la réglementation de la sécurité en ligne. Ce modèle « une commission, plusieurs mandats » est une première au Canada ; il vise à réduire la fragmentation de la réglementation, mais soulève également des inquiétudes quant à la concentration du pouvoir.

Impact sur l’industrie : adaptation à la conformité et exception pour les données d’entraînement de l’IAPour les entreprises, la PPCDA conserve la plupart des dispositions clés de l'avant-projet : une approche fondée sur le consentement, mais avec des exceptions telles que les « activités commerciales » et les « intérêts légitimes » ; une distinction entre la désidentification et l'anonymisation, les informations anonymisées n'étant pas soumises à la loi, et des normes assouplies ; les avis de violation continuent de recourir au critère de « risque réel de préjudice grave ». Le changement le plus marquant est l'autorisation explicite, dans des conditions spécifiques, d'entraîner des modèles d'IA à partir d'informations accessibles au public sans obtenir de consentement. Cette exception répond directement aux besoins de l'industrie de l'IA en matière d'accès aux données. Bien sûr, cette exception n'est pas illimitée : elle doit respecter les attentes d'une personne raisonnable et ne doit pas être utilisée pour influencer le comportement ou les décisions des individus. Cela signifie que les entreprises d'IA peuvent utiliser librement, dans une certaine mesure, les données publiques en ligne, mais doivent néanmoins traiter les informations sensibles avec prudence. De plus, étant donné que les lois provinciales sur la protection des renseignements personnels existent toujours, les entreprises seront confrontées à un puzzle de conformité encore plus complexe après l'adoption de la loi fédérale.

Importance pour le Canada : le puzzle de la stratégie numérique

Le fait de déposer un projet de loi sur la réforme de la vie privée deux semaines après le lancement de la stratégie sur l'IA est un choix de calendrier révélateur. Une loi moderne et prévisible sur la protection des renseignements personnels est le fondement de la compétitivité nationale en matière d'IA. Le Canada possède un écosystème de recherche en IA solide, mais sa commercialisation a toujours été entravée par une mobilité insuffisante des données et des règles floues. Si le projet de loi C-36 est adopté, il fournira un cadre fédéral unifié, notamment l'exception pour l'entraînement de l'IA, ce qui pourrait attirer davantage d'entreprises à conserver le traitement de leurs données au Canada. En outre, le fait de fusionner la réglementation de la protection de la vie privée avec la sécurité numérique reflète la volonté du gouvernement d'adopter une approche « guichet unique » pour faire face aux risques numériques et améliorer l'efficacité de la mise en œuvre. Cependant, cela pourrait également conduire à une marginalisation de la protection de la vie privée dans un discours qui privilégie la sécurité, ce qui mérite une attention soutenue.

Tendances mondiales et perspectives d'avenir

Le Canada n'est pas un cas isolé. La réglementation mondiale de la protection de la vie privée évolue vers une coexistence de l'« européanisation » et de la « localisation ». Le RGPD est devenu la référence de facto, mais les pays y apportent des adaptations. Cette fois, le Canada introduit une exception d'intérêt légitime inspirée du RGPD, sans toutefois la copier entièrement, reflétant ainsi le pragmatisme. Parallèlement, la réglementation de l'IA tend à passer d'une législation globale à une réglementation sectorielle intégrée. Les États-Unis manquent toujours d'une législation unifiée sur la protection de la vie privée au niveau fédéral, tandis que le cadre réglementaire de l'IA de l'Union européenne vient tout juste d'être mis en place. Le Canada choisit de légiférer d'abord sur la protection de la vie privée, puis sur l'IA, évitant ainsi qu'un « mégaprojet de loi » ne se retrouve à nouveau dans l'impasse. Au cours des 3 à 10 prochaines années, on peut s'attendre à ce que de nombreux détails de la PPCDA soient laissés à de futurs règlements, tels que le cadre de mobilité des données et les règles de transfert transfrontaliers, qui détermineront si le Canada peut conserver une « décision d'adéquation » avec l'Union européenne, maintenant ainsi les flux transfrontaliers de données. Le rôle du nouveau comité de réglementation deviendra également plus clair, et son pouvoir de mise en œuvre et son pouvoir réglementaire façonneront l'évolution à long terme du marché numérique canadien.

Tendance à long terme : le pivot stratégique de la gouvernance des donnéesLe prochain champ de bataille de la réforme de la vie privée ne se trouve pas sur la Colline du Parlement, mais dans le pouvoir réglementaire des organismes de réglementation. Le projet de loi C-36 lui-même est un cadre ; ce qui affecte réellement l'industrie, ce sont les règlements qui suivront. Les entreprises devraient abandonner leur mentalité d'attente et ajuster leurs systèmes de conformité des données à l'avance, conformément aux exigences du projet de loi PPCDA, en particulier en ce qui concerne la dé-identification et la gestion des données d'entraînement de l'IA. Pour le Canada, le succès ou l'échec de cette législation ne concerne pas seulement la vie privée, mais aussi sa capacité à établir un avantage en matière de données dans la course mondiale à l'IA. Si le Canada parvient à créer un système de gouvernance des données qui protège les droits des citoyens tout en soutenant l'innovation, il deviendra un « pont de règles » à l'ère numérique — c'est là précisément sa signification stratégique.