Bill C-36 et PPCDA : le Canada réécrit pour la troisième fois sa loi sur la vie privée, la gouvernance des données d’IA étant intégrée au cadre de protection des consommateurs

Bill C-36 et PPCDA : le Canada réécrit pour la troisième fois sa loi sur la vie privée, la gouvernance des données d'IA intégrée dans un cadre de protection des consommateurs

La dernière refonte substantielle de la loi fédérale canadienne sur la vie privée a été achevée avant qu'Internet ne soit complètement transformé par les smartphones et l'économie des données. Plus de vingt ans plus tard, le gouvernement fédéral tente à nouveau de la remplacer — c'est déjà la troisième fois.

I. L'événement : non pas remplacer une loi, mais reconstruire l'architecture d'application

Le 15 juin 2026, le gouvernement canadien a présenté le projet de loi C-36. S'il est adopté, il remplacera la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) par la Loi sur la protection de la vie privée et des données des consommateurs (Protecting Privacy and Consumer Data Act, PPCDA).

En apparence, il s'agit d'un remplacement législatif ; en substance, les changements se concentrent sur trois points.

Premièrement, le pouvoir d'application passe de la « recommandation » à l'« ordonnance ». Dans le cadre de la LPRPDE, le Commissariat à la protection de la vie privée du Canada favorise la conformité par des enquêtes et des recommandations. La PPCDA, quant à elle, confie le pouvoir de réglementation en matière de vie privée et de sécurité numérique à un nouvel organisme — le Conseil canadien de la sécurité numérique et de la protection des données —, qui comprend trois entités fonctionnelles :

• Commissaire à la protection de la vie privée et des données des consommateurs : enquête et résout de manière informelle les plaintes, conclut des ententes de conformité, réalise des audits, émet des avis de non-conformité ;
• Conseil : publie des ordonnances contraignantes ;
• Tribunal de la protection de la vie privée et des données des consommateurs : traite le règlement des différends.

Deuxièmement, les sanctions et le droit de recours sont introduits simultanément. Le Conseil peut imposer aux organisations non conformes une amende maximale de 10 millions de dollars canadiens ou 3 % du chiffre d'affaires mondial (le montant le plus élevé étant retenu) ; pour les infractions graves punissables par mise en accusation — par exemple, la violation de la protection des lanceurs d'alerte, l'entrave à une enquête sur la vie privée, le non-respect des exigences de notification des atteintes à la vie privée —, le plafond de l'amende est porté à 25 millions de dollars canadiens ou 5 % du chiffre d'affaires mondial. En outre, si le commissaire rend une conclusion formelle de non-conformité qui n'est pas infirmée par un appel devant les tribunaux, les consommateurs touchés obtiennent un droit de recours privé pour réclamer des dommages-intérêts pour pertes ou préjudices.

Troisièmement, la conformité passe des « principes » aux « documents ». La PPCDA exige que les organisations établissent un programme de gestion de la vie privée, précisant les mesures de protection des renseignements personnels, les processus de traitement des demandes d'information et des plaintes, les exigences de formation des employés, ainsi que la description des politiques et procédures pertinentes. Les règles relatives au consentement sont également resserrées : le consentement doit être valide et, en principe, explicite, sauf lorsqu'il est approprié de se fier au consentement implicite ; les organisations doivent informer, en langage clair, des fins de la collecte, des moyens utilisés, des conséquences raisonnablement prévisibles, des types spécifiques de renseignements recherchés, ainsi que du nom ou du type de tiers susceptibles de recevoir les renseignements.

II. Pourquoi maintenant : le choix de trajectoire derrière trois tentatives

Pour comprendre le projet de loi C-36, il faut le replacer dans la séquence législative.Le projet de loi C-27 avait proposé de créer un « Tribunal de la protection des renseignements personnels et des données », en confiant au tribunal les pouvoirs d’imposer des amendes et de rendre des ordonnances, l’enquête demeurant confiée au commissaire à la protection de la vie privée — un modèle de « séparation entre l’enquête et la décision », assorti d’une législation distincte sur l’IA. Cette voie n’a pas été menée à terme.

Le projet de loi C-34, Loi sur les médias sociaux sécuritaires, a quant à lui créé la Commission de sécurité numérique et édicté la Loi sur la sécurité numérique et la Loi sur la Commission canadienne de sécurité numérique.

C-36 procède à la fusion de ces deux fils : il reprend l’organisme issu de C-34, le renomme Commission de sécurité numérique et de protection des données et lui ajoute des fonctions d’application de la loi en matière de protection de la vie privée ; en même temps, il abandonne le modèle de séparation de C-27 et ne comporte plus de législation autonome sur la réglementation de l’IA, et traite plutôt la prise de décision automatisée au moyen d’obligations de transparence.

L’orientation de cet arbitrage est claire : le Canada choisit « l’intégration des autorités de régulation + l’absorption de l’IA dans le cadre existant de protection de la vie privée », plutôt qu’une législation numérique centralisée à l’européenne, et non une application dispersée par secteur à l’américaine.

Le PPCDA fournit en outre une liste non exhaustive de facteurs que la Commission doit mettre en balance dans l’exercice de ses fonctions, notamment : l’objet de la loi, la taille et les revenus de l’organisation, la quantité et la sensibilité des renseignements personnels contrôlés par l’organisation, l’intérêt supérieur de l’enfant, l’importance du respect des obligations du Canada en matière de commerce international, le soutien à la croissance de l’économie de marché canadienne, l’importance de la concurrence et de l’innovation, ainsi que toute autre question d’intérêt public.

III. Ce que cela signifie pour l’industrie canadienne

Les coûts de conformité augmenteront de manière structurelle, mais leur répartition sera inégale. Les programmes de gestion de la vie privée, les évaluations des facteurs relatifs à la vie privée avant les transferts transfrontaliers, la gestion du consentement et les sorties explicables des décisions automatisées se transformeront tous en coûts fixes. Pour les grandes entreprises dotées d’équipes juridiques et de protection de la vie privée, il s’agit d’une refonte des processus ; pour les PME et les start-up en phase d’amorçage, cela peut être une variable du rythme de développement des produits et du rythme de financement. En inscrivant « la taille et les revenus de l’organisation » ainsi que « la quantité et la sensibilité des renseignements » dans les considérations d’application de la loi, le projet de loi reconnaît, au niveau même des dispositions législatives, la nécessité d’une application différenciée de la loi — ce qui constitue à la fois une protection pour les PME et confère un pouvoir discrétionnaire à l’autorité de réglementation.

La réutilisation des données se voit ouvrir une voie étroite. Le PPCDA établit officiellement une distinction entre « données dépersonnalisées » et « données anonymisées » : les données anonymisées, une fois modifiées de façon permanente et lorsqu’il n’existe plus de risque raisonnablement prévisible de réidentification, sortent du champ d’application de la loi ; les données dépersonnalisées demeurent des renseignements personnels, mais une organisation peut les utiliser à des fins de recherche et de développement internes sans le consentement de la personne concernée, tout en ayant expressément interdiction de réidentifier une personne au moyen de données dépersonnalisées. Pour les équipes canadiennes d’IA qui dépendent de l’entraînement sur données et de l’itération des modèles, cette ligne de démarcation peut compter davantage que n’importe quelle disposition en matière d’amendes.

La portabilité des données devient un outil concurrentiel. Les particuliers auront le droit de demander à une organisation de transférer directement et en toute sécurité leurs données à une autre organisation désignée. Ce type de cadre de « mobilité des données » est généralement considéré, à l’échelle internationale, comme un moyen de réduire les coûts de changement et d’atténuer l’effet de verrouillage des plateformes en place ; son efficacité réelle dépend des normes d’interopérabilité plutôt que du droit lui-même.Le droit à l'effacement comble une lacune dans l'arsenal. PIPEDA confère aux personnes le droit d'accéder à leurs données et d'en contester l'exactitude, mais il manque d'un outil d'effacement explicite. Le PPCDA permet de demander la disposition ou la suppression de renseignements personnels lorsque le consentement est retiré ou que les données ne sont plus nécessaires.

Les flux transfrontaliers de données sont soumis à une procédure préalable. Avant de divulguer ou de transférer des renseignements personnels à l'extérieur du Canada, les organisations doivent réaliser une évaluation des facteurs relatifs à la vie privée. Pour les entreprises canadiennes qui recourent massivement aux infrastructures infonuagiques et aux centres de données américains, il s'agit d'une mesure de conformité courante.

IV. Ce que cela signifie pour la concurrence technologique mondiale

Si l'on replace le PPCDA dans un référentiel international, trois tendances apparaissent plus clairement.

Premièrement, l'application des règles de protection de la vie privée à l'échelle mondiale passe du « consentement éclairé » à la « responsabilité + risque ». Le centre de gravité de la conformité n'est plus l'obtention d'un consentement ponctuel, mais la démonstration continue que l'organisation est capable de gérer les risques — le programme de gestion de la vie privée est le produit de cette approche.

Deuxièmement, l'explicabilité de l'IA est en train d'être absorbée par le droit de la protection de la vie privée, plutôt que laissée à une législation spéciale. Le PPCDA exige que les organisations qui utilisent des systèmes de décision automatisés ou l'IA pour prendre des décisions ayant des effets juridiques ou une incidence importante sur les personnes expliquent à celles-ci comment la décision a été prise, quelles données ont été utilisées et quels principaux facteurs ont été pris en compte. Il s'agit d'une gouvernance « intégrée » : sans attendre une loi sur l'IA, on couvre d'abord, avec le cadre existant de protection de la vie privée, les risques les plus directs pour les droits des personnes. Le prix à payer est une portée relativement étroite : cette obligation encadre l'explication externe des décisions, et non l'entraînement des modèles, la provenance des données ou les risques systémiques.

Troisièmement, l'indexation des amendes sur le chiffre d'affaires mondial est désormais une pratique de référence. Les deux paliers de 3 % et 5 % du PPCDA s'inscrivent dans la même logique que le régime de sanctions du Règlement général sur la protection des données (RGPD) de l'Union européenne, qui fixe comme plafond un pourcentage du chiffre d'affaires annuel mondial. L'essentiel de ce type de dispositif est d'aligner l'effet dissuasif de l'application de la loi sur la taille mondiale de l'entreprise, plutôt que sur la taille du marché local.

V. Ce qui pourrait se produire dans les 3 à 10 prochaines années

Court terme (1–3 ans) : le projet de loi doit encore suivre le processus parlementaire et n'est pas encore en vigueur. La véritable fenêtre d'observation sera les premières actions d'application après l'entrée en vigueur — la façon dont la Commission exercera son pouvoir de rendre des ordonnances, dont elle définira le critère du « caractère prépondérant » dans l'exception d'« intérêt légitime » et dont elle traitera les évaluations des facteurs relatifs à la vie privée qui reposent sur cette exception déterminera si ce cadre reste sur le papier ou donne naissance à une jurisprudence.

Moyen terme (3–5 ans) : la latitude d'interprétation de l'obligation d'expliquer les décisions automatisées deviendra un point focal. Qu'est-ce qu'un « effet juridique ou important » ? Comment tracer la ligne entre les systèmes de recommandation, les systèmes de tarification, le filtrage des candidatures et l'évaluation de la solvabilité ? Une fois ces frontières définies par la voie de l'application de la loi ou par la voie judiciaire, elles détermineront directement les contraintes de conception des produits d'IA canadiens.Long terme (5–10 ans) : deux tensions structurelles persisteront. Premièrement, la superposition des lois fédérales et provinciales sur la protection de la vie privée — la loi n° 25 du Québec, la FIPPA de la Colombie-Britannique et d’autres régimes provinciaux coexistent avec le cadre fédéral, si bien que les entreprises opérant dans plusieurs provinces devront composer avec plusieurs ensembles de règles. Deuxièmement, la nécessité de continuer à légiférer spécifiquement sur l’IA — lorsque les lois sur la protection de la vie privée assument une partie des fonctions de transparence liées à l’IA, le Canada cherchera-t-il à nouveau, comme avec le projet de loi C-27, à adopter une loi autonome sur l’IA, ou maintiendra-t-il à long terme cette approche intégrée ? Cela influencera sa position et sa crédibilité dans les négociations internationales sur la gouvernance de l’IA.

Conclusion : la tendance à long terme qui mérite vraiment une attention continue

L’essentiel du projet de loi C-36 et de la PPCDA n’est pas une simple variation à la hausse ou à la baisse du fardeau de conformité, mais le fait que le Canada pose l’infrastructure réglementaire de base d’une économie guidée par les données.

L’importance stratégique de cette question pour l’avenir de l’industrie technologique canadienne réside dans ceci : le Canada définit son niveau de gouvernance numérique par sa « capacité d’application » plutôt que par le « nombre de lois ». Au cours des vingt dernières années, la PIPEDA a été largement perçue comme un cadre sans dents, où une conformité fondée sur des recommandations peine à avoir un effet dissuasif et ne fournit guère de leviers dans les négociations internationales sur l’interopérabilité. La PPCDA concentre les enquêtes, les ordonnances, les sanctions et les recours privés entre les mains d’un seul organisme, cherchant à modifier cette perception.

Mais la variable qui déterminera réellement le succès ou l’échec ne se trouve pas dans le texte de la loi, mais dans deux questions encore sans réponse : l’autorité de réglementation parviendra-t-elle à développer une expertise à la hauteur du rythme de l’évolution technologique ; et cette porte étroite selon laquelle « les données dépersonnalisées peuvent être utilisées pour la R&D interne » sera-t-elle finalement interprétée comme une voie légale pour les données d’entraînement de l’IA, ou comme une exception resserrée au cas par cas.

Si la première hypothèse se vérifie, le Canada obtiendra, dans la compétition mondiale de l’IA, un atout sous-estimé : un ensemble de règles d’utilisation des données prévisibles et fondées sur le risque ; si la seconde se durcit, les entreprises seront contraintes de délocaliser hors du Canada les étapes d’entraînement et d’inférence, et la modernisation des lois sur la protection de la vie privée deviendra au contraire un facteur d’exode industriel.

Voilà, pour la prochaine décennie, le « devoir à la maison » canadien qui mérite le plus d’être suivi.