Projet de loi C-36 et PPCDA : la troisième refonte de la loi canadienne sur la protection de la vie privée redessine les frontières de la conformité à l’ère de l’IA

Le 15 juin 2026, le gouvernement fédéral canadien a déposé le projet de loi C-36. S’il est adopté, il remplacera la Loi sur la protection des renseignements personnels et les documents électroniques (PIPEDA) par la Loi sur la protection de la vie privée et des données des consommateurs (Protecting Privacy and Consumer Data Act, PPCDA). Selon le texte officiel de ce projet de loi et les analyses de cabinets d’avocats, il s’agit de la troisième, et peut-être de la plus ambitieuse, tentative du gouvernement fédéral de moderniser la loi sur la protection de la vie privée dans le secteur privé. Il ne se contente pas de modifier les règles : il reconstruit l’organisme de régulation lui-même.

I. L’événement en soi : non pas une réforme de la loi, mais un changement d’ossature

Depuis son adoption en 2000, la PIPEDA a longtemps fonctionné selon un modèle « recommandation—conformité » : le Commissariat à la protection de la vie privée enquête sur les plaintes et formule des recommandations, mais il n’a pas le pouvoir de rendre directement des ordonnances contraignantes ni d’infliger des amendes. Le changement central de la PPCDA consiste à confier de manière concentrée le pouvoir de réglementation des questions de vie privée et de sécurité numérique à un nouvel organisme : la Commission canadienne de sécurité numérique et de protection des données (Digital Safety and Data Protection Commission of Canada).

Cette commission succède au « Conseil de la sécurité numérique » créé par le projet de loi C-34, la Loi sur les médias sociaux sécuritaires ; elle est renommée et voit ses responsabilités élargies, obtenant un rôle supplémentaire au-delà de l’application des règles de protection de la vie privée et de la sécurité numérique. En matière de surveillance de la vie privée, la PPCDA crée trois entités :

• Le commissaire à la protection de la vie privée et aux données des consommateurs : enquêter et résoudre de manière informelle les plaintes relatives à la vie privée, conclure des accords de conformité, réaliser des audits et émettre des avis de violation ;
• La Commission : rendre des ordonnances contraignantes ;
• La Division de la protection de la vie privée et des données des consommateurs : s’occuper du règlement des différends.

Cette approche diffère nettement de celle du projet de loi C-27. Le C-27 avait tenté de confier l’enquête sur les plaintes au commissaire à la protection de la vie privée et de créer un « Tribunal de la protection des renseignements personnels et des données » chargé des sanctions pécuniaires et des ordonnances ; la PPCDA ne suit pas cette voie de séparation des pouvoirs, mais confie à une même commission à la fois l’enquête et l’application de la loi.

II. Pourquoi maintenant : trois fils qui se rejoignent

Premièrement, un déficit d’application persiste depuis longtemps. Pendant plus de vingt ans, l’application des règles canadiennes de protection de la vie privée dans le secteur privé a surtout reposé sur les mécanismes de réputation et la conformité volontaire, ce qui a progressivement creusé l’écart avec l’intensité réglementaire des principaux partenaires commerciaux. La PPCDA inscrit explicitement parmi les facteurs que la Commission doit prendre en compte dans l’exercice de ses fonctions « le respect des obligations du Canada en matière de commerce international » et « le soutien à la croissance économique, à la concurrence et à l’innovation sur le marché canadien », ce qui montre que le législateur subit une double pression : des règles trop faibles nuiraient à la crédibilité dans les flux transfrontaliers de données, tandis que des règles trop lourdes étoufferaient les entreprises nationales.Deuxièmement, la gouvernance de l’IA ne trouve pas de place pour une législation autonome. Le PPCDA ne prévoit pas de loi distincte sur la réglementation de l’intelligence artificielle ; il intègre plutôt l’IA au cadre de protection de la vie privée et la traite au moyen d’obligations de transparence : lorsqu’un système de décision automatisé ou une IA prend une décision ayant des effets juridiques ou importants sur une personne, l’organisation doit expliquer à cette personne comment la décision a été prise, quelles données ont été utilisées et quels principaux facteurs sont intervenus. Il s’agit d’un compromis pragmatique — ne pas créer une nouvelle loi, mais d’abord rattacher des obligations exécutoires au régime de protection de la vie privée existant.

Troisièmement, l’intégration institutionnelle. Le PPCDA et le projet de loi C-34 partagent le même comité, ce qui signifie que le Canada place la gouvernance des plateformes, l’application de la protection de la vie privée et la protection des données dans un même cadre réglementaire, plutôt que de les traiter séparément.

III. Cinq axes principaux à surveiller sur le plan réglementaire

Intensité de l’application. La Commission peut émettre des ordonnances contraignantes, l’amende maximale étant de 10 millions de dollars canadiens ou de 3 % du chiffre d’affaires mondial (le montant le plus élevé étant retenu). Pour les infractions graves punissables par mise en accusation, notamment la violation de la protection des lanceurs d’alerte, l’entrave aux enquêtes sur la vie privée ou le non-respect des exigences de notification des atteintes à la protection des données, l’amende maximale est de 25 millions de dollars canadiens ou de 5 % du chiffre d’affaires mondial. Le PPCDA crée également un droit d’action privé : après que le commissaire a rendu une constatation officielle de violation, non infirmée par un appel devant un tribunal, les consommateurs touchés peuvent demander une indemnisation pour les pertes ou préjudices subis.

Durcissement de la règle du consentement et élargissement des exceptions. Le consentement doit, en principe, être valide et explicite ; le consentement implicite ne peut être invoqué que dans des circonstances appropriées. Les organisations doivent informer, en langage clair, de la finalité de la collecte, de la manière dont les renseignements sont recueillis, de leur utilisation ou communication, des conséquences raisonnablement prévisibles, des types précis de renseignements recherchés, ainsi que du nom ou du type de tiers susceptibles de recevoir les renseignements. Parallèlement, le PPCDA introduit deux nouvelles exceptions : premièrement, les « activités commerciales et attentes raisonnables », c’est-à-dire la collecte ou l’utilisation qui s’inscrit dans les attentes d’une personne raisonnable et qui n’est pas utilisée pour influencer le comportement ou les décisions d’une personne ; deuxièmement, l’« intérêt légitime », à condition que cet intérêt l’emporte sur les effets préjudiciables raisonnablement prévisibles pour la personne, et que l’organisation doive identifier l’intérêt légitime, réaliser une évaluation des facteurs relatifs à la vie privée et prendre des mesures d’atténuation raisonnables.

Délimitation formelle entre la déidentification et l’anonymisation. Les données anonymisées sont modifiées de façon permanente de sorte qu’une réidentification ne peut être raisonnablement prévue, et échappent ainsi à la compétence du PPCDA ; les données déidentifiées demeurent des renseignements personnels. Les organisations peuvent déidentifier des renseignements personnels sans consentement et utiliser les données déidentifiées à des fins de recherche et développement internes, mais elles ne peuvent pas les utiliser pour réidentifier une personne.

Transparence des décisions automatisées. C’est l’une des façons dont le PPCDA traite l’IA, et c’est aussi la première fois que le Canada impose, dans une loi fédérale sur la protection de la vie privée dans le secteur privé, une exigence explicite d’explicabilité pour les décisions automatisées.Droits sur les données et flux transfrontaliers. Les particuliers obtiendront le droit de demander la disposition ou la suppression de leurs renseignements personnels lorsqu’ils retirent leur consentement ou lorsque les données ne sont plus nécessaires, ainsi qu’un droit à la portabilité des données leur permettant d’exiger qu’une organisation transfère en toute sécurité ces données à une autre organisation désignée. Avant de communiquer ou de transférer des renseignements personnels à l’extérieur du Canada, une organisation doit réaliser une évaluation des facteurs relatifs à la vie privée. En outre, les organisations doivent mettre en place un programme de gestion de la vie privée couvrant les mesures de protection, les processus de traitement des demandes de renseignements et des plaintes, les exigences de formation des employés ainsi que la description des politiques pertinentes.

IV. Ce que cela signifie pour l’industrie canadienne

L’impact le plus direct est la reconstruction de l’infrastructure de conformité. Programmes de gestion de la vie privée, évaluations des facteurs relatifs à la vie privée, évaluations des intérêts légitimes, processus de dépersonnalisation, mécanismes d’explication des décisions automatisées : il ne s’agit pas d’obligations de divulgation ponctuelles, mais de capacités permanentes à intégrer aux processus de développement de produits et d’ingénierie. Pour les grandes entreprises dotées d’équipes juridiques chevronnées, c’est un coût ; pour les start-up aux ressources limitées, cela peut à la fois représenter un obstacle à l’entrée sur le marché et servir de preuve de conformité lors de la vente de produits à des clients entreprises.

Deuxièmement, la stratégie relative aux flux de données. L’évaluation des facteurs relatifs à la vie privée avant tout transfert transfrontalier modifiera la manière dont les entreprises canadiennes évaluent les services infonuagiques étrangers et les pipelines de données transnationaux. À l’inverse, la combinaison du droit à la portabilité des données et du droit à la suppression exercera une pression sur la conception de produits dépendant de la conservation des données, mais suscitera aussi une demande de marché pour les outils de conformité, la gouvernance des données et l’ingénierie de la vie privée.

Troisièmement, la zone grise des données d’entraînement de l’IA est partiellement éclairée. Les données dépersonnalisées peuvent être utilisées pour la recherche et le développement internes, ce qui revêt une importance substantielle pour l’écosystème canadien de l’IA ; mais la ligne rouge de « l’interdiction de réidentifier » délimite elle aussi les frontières de la construction et de la réutilisation des ensembles de données.

V. À replacer dans la concurrence technologique mondiale

Du point de vue de l’orientation institutionnelle, la PPCDA se rapproche davantage du modèle moderne où « l’autorité de réglementation dispose de pouvoirs d’ordonnance contraignante et d’imposition d’amendes », plutôt que du cadre fondé sur des recommandations de la PIPEDA ; en même temps, elle n’a pas emprunté la voie d’une législation européenne distincte sur l’IA, mais a intégré les exigences de transparence de l’IA dans la législation sur la protection de la vie privée. Cela constitue une voie médiane à la canadienne : s’aligner sur des normes élevées en matière de protection des données tout en maintenant une charge de législation distincte plus légère en matière de réglementation de l’IA.

Ses conséquences sont à double sens. Pour les entreprises multinationales, le Canada pourrait passer d’une « juridiction à faible friction » à une « juridiction de conformité nécessitant une modélisation distincte », ce qui augmentera les coûts, mais renforcera aussi la crédibilité de l’idée que le Canada est une destination fiable pour les données. Pour les entreprises locales, la capacité à mettre en place des capacités de conformité avant de se faire sanctionner déterminera directement leur aptitude à accueillir des activités provenant de marchés où la réglementation est plus stricte.

VI. Trajectoire possible des trois à dix prochaines annéesLe projet de loi C-36 n’est pas encore en vigueur, et sa forme finale dépendra de l’examen parlementaire. On peut raisonnablement anticiper plusieurs orientations : au moment de sa création, la Commission se concentrera très probablement sur des lignes directrices et des accords de conformité, avant de se tourner progressivement vers des cas de sanctions réelles ; les questions de coordination entre la loi sur la protection de la vie privée dans le secteur privé, les lois provinciales et le régime de sécurité numérique du projet de loi C-34 continueront de se poser ; autour des limites de l’exception relative aux « intérêts légitimes », les premières affaires contentieuses pourraient apparaître ; les normes d’application des obligations de transparence en matière d’IA seront très probablement précisées progressivement au cas par cas plutôt que par voie de règles détaillées.

À plus long terme, ce qu’il convient vraiment d’observer, c’est de savoir si le Canada fera de la PPCDA le point d’ancrage à long terme de la gouvernance de l’IA, ou s’il superposera à celle-ci une législation spécifique sur l’IA. Ce choix déterminera où le Canada finira par se situer entre « certitude réglementaire » et « vitesse d’innovation ».

Conclusion : pourquoi cet enjeu revêt une importance stratégique pour l’industrie technologique canadienne

L’importance stratégique ne réside pas dans le niveau des plafonds d’amende, mais dans le fait que la nature de la capacité de régulation a changé. À l’époque de la PIPEDA au Canada, la régulation de la vie privée était une relation de négociation ; la PPCDA cherche à en faire une relation juridique exécutoire et inscrit pour la première fois l’obligation d’expliquer les décisions d’IA dans les règles fédérales applicables au secteur privé.

Pour l’industrie canadienne de l’IA et du numérique, cela signifie que deux choses se produisent simultanément : la conformité passe d’une « déclaration a posteriori » à une « partie intégrante de l’architecture produit » ; et la capacité de gouvernance des données passe d’un poste de coût juridique à un facteur de compétitivité susceptible d’influencer le financement, les achats des clients entreprises et la coopération internationale en matière de données. Dans un environnement où les flux transfrontaliers de données et le déploiement des systèmes d’IA vont bien plus vite que le cycle législatif, le choix du Canada de s’appuyer sur le droit de la vie privée pour prendre en charge la gouvernance de l’IA est une décision pragmatique, et aussi un pari dans lequel il engage la crédibilité de ses institutions. Sa viabilité dépendra de la prévisibilité de l’application de la loi — et c’est précisément la variable qu’il faudra suivre en continu au cours des cinq prochaines années.