Perspectives 2026 de la réforme de la vie privée au Canada : comment la souveraineté des données va-t-elle remodeler la gouvernance numérique ?

Perspectives de la réforme de la vie privée au Canada en 2026 : comment la souveraineté des données remodèle la gouvernance numérique ?

Le redémarrage d'une législation en suspens

Après les turbulences politiques de 2025, la réforme de la loi fédérale sur la protection des renseignements personnels dans le secteur privé redevient un sujet à l'ordre du jour législatif. Les élections fédérales déclenchées par la démission de l'ancien premier ministre Justin Trudeau ont entraîné la mort de la Loi d'application de la Charte numérique (projet de loi C-27), pourtant en gestation depuis des années, avec la dissolution du Parlement. Bien que le Parti libéral ait conservé le pouvoir, une législation globale sur la vie privée n'est pas revenue aussi rapidement que certains observateurs l'espéraient.

Plusieurs sources indiquent que la nouvelle version du projet de loi pourrait être déposée au plus tôt au premier trimestre 2026 ou avant la pause parlementaire estivale. Constantine Karbaliotis, conseiller au cabinet nNovation en Ontario, a indiqué avoir entendu qu'un projet de loi devait être réintroduit avant Noël 2025, mais qu'il avait été temporairement retenu en raison de préoccupations liées à la souveraineté des données. Teresa Scassa, titulaire de la chaire de recherche en droit de l'information et politiques à l'Université d'Ottawa, a pour sa part évoqué des rumeurs plus récentes pointant vers le premier trimestre.

L'héritage du C-27 : alourdi par l'IA et le processus électoral

Le C-27 était censé accomplir trois choses : moderniser la LPRPDE avec la Loi sur la protection des renseignements personnels des consommateurs, créer un Tribunal de la protection des renseignements personnels, et introduire le premier cadre réglementaire transsectoriel en matière d'IA au Canada, la Loi sur l'intelligence artificielle et les données (LIAD).

Lors des débats parlementaires, la LIAD a été largement critiquée pour ses définitions trop vagues, n'offrant même pas de signification claire pour un concept central comme celui de « système à incidence élevée ». De nombreux parlementaires et acteurs du milieu de la vie privée estimaient que si la LIAD n'avait pas été rattachée au C-27, ce dernier aurait eu plus de chances d'être adopté. Mais le Parlement n'a jamais franchi le pas d'une scission.

Autre variable subtile : l'Union européenne. La Commission européenne a renouvelé en janvier 2024 sa décision d'adéquation concernant le Canada, en précisant explicitement que le C-27 constituait une raison importante de ce renouvellement et qu'elle surveillerait « de près » les mises à jour ultérieures de la LPRPDE. Cela aurait dû exercer une pression externe en faveur de la réforme, mais selon Karbaliotis, la décision d'adéquation a au contraire fait perdre tout sentiment d'urgence aux législateurs canadiens, ce qui relève selon lui d'une « erreur fondamentale ». Autrement dit, l'activation de cette soupape de sécurité institutionnelle externe a paradoxalement atténué la responsabilisation politique interne.

Souveraineté des données : la mutation génétique du nouveau projet de loi

Si le C-27 représentait la « version 2.0 » de la modernisation de la vie privée, le nouveau projet de loi pourrait intégrer davantage de dimension liée à la souveraineté des données dans le cadre existant. En novembre 2025, le premier ministre canadien Mark Carney a annoncé une deuxième vague de projets de construction nationale, plaçant la souveraineté des données au cœur de son programme, confiée au nouveau Bureau des grands projets.Cette orientation politique transforme les détails techniques de la législation sur la protection de la vie privée. Karbaliotis estime que la nouvelle version du projet de loi ajoutera des obligations d’évaluation des risques pour les transferts de données hors du Canada, et pourrait « fédéraliser » plusieurs dispositions relatives aux transferts de la Loi 25 du Québec. Il fait aussi remarquer que la partie du C-27 sur la protection des renseignements personnels n’exige pas explicitement de réaliser une évaluation des facteurs relatifs à la vie privée, ce qui constitue une lacune structurelle. Or, les besoins de souveraineté des données fournissent précisément la justification pour combler cette lacune.

Du point de vue européen, cet ajustement contribue également à atténuer une préoccupation de longue date concernant les « transferts ultérieurs ». Si les données entrent au Canada sans contraintes suffisamment solides pour empêcher leur circulation vers des pays tiers, la confiance de l’Union européenne aura du mal à perdurer.

Les attentes des praticiens et des autorités de réglementation

Il est à noter que le Commissariat à la protection de la vie privée (OPC) a exprimé, à l’égard du nouveau projet de loi, des attentes en matière d’exécution qui vont bien au-delà de celles du C-27. Lors de son témoignage devant le Sénat, le commissaire Philippe Dufresne a énuméré plusieurs priorités, notamment conférer à l’OPC le pouvoir d’émettre des ordonnances exécutoires, d’imposer des sanctions administratives pécuniaires et de mener des vérifications proactives, tout en établissant un cadre de déidentification et un mécanisme relatif au droit à l’effacement. Il a également insisté sur le fait que la PIPEDA ne prévoit actuellement aucune protection particulière pour les enfants, ce qui ne correspond pas à la réalité de l’ère numérique. Il a proposé d’inscrire explicitement le principe de « l’intérêt supérieur de l’enfant » dans la loi et d’obliger l’OPC à élaborer un code de conduite sur la protection des renseignements personnels des enfants.

Si ces demandes sont mises en œuvre, la réglementation canadienne de la vie privée passera d’un modèle « consultatif » à un modèle « répressif ». Pour les entreprises qui dépendent de renseignements personnels pour entraîner des modèles, exploiter des algorithmes de recommandation ou fournir des services en ligne à des mineurs, cette transition pourrait toucher leurs activités concrètes plus tôt qu’une législation spécifique à l’IA.

Le droit à la vie privée : un socle par défaut en l’absence de gouvernance de l’IA

Beaucoup croient que l’échec de l’AIDA signifie que la réglementation canadienne de l’IA entre dans une période de vide, mais les experts rejettent généralement cette lecture simpliste. Scassa souligne que le Canada prépare une stratégie nationale en matière d’IA et que de nombreuses mesures de gouvernance sectorielle sont déjà en cours. La réforme du droit de la protection de la vie privée, même si elle ne contient pas de règles relatives à l’IA, aura des répercussions profondes sur la gouvernance de l’IA.

Karbaliotis est encore plus direct : une loi solide sur la protection de la vie privée constitue la pierre angulaire la plus importante de l’encadrement de l’IA, car elle fixe un niveau de base pour toutes les applications technologiques. Dufresne a également insisté, lors d’une récente audience de la Chambre des communes, sur le fait que les organisations qui utilisent l’IA doivent être transparentes dans leurs décisions et être tenues responsables des décisions de l’IA qui concernent des personnes. Si la législation sur la protection de la vie privée n’est pas modernisée, la gouvernance de l’IA perdra elle aussi son point d’appui institutionnel.

Tendance à long terme : d’un projet de loi à une infrastructure de souveraineté numérique

À travers la fenêtre législative de 2026, ce qui mérite véritablement l’attention, ce n’est pas le sort d’une disposition précise, mais la capacité du Canada à réaliser, par cette occasion, un ensemble de mises à niveau institutionnelles étroitement imbriquées.Si le nouveau projet de loi sur la protection des renseignements personnels est adopté, il produira ses effets simultanément sur trois plans : sur le plan des droits individuels, il offrira un droit de suppression renforcé et une protection accrue des mineurs ; sur le plan de l’application de la loi, il remplacera les « recommandations non contraignantes » par des amendes et des audits ; sur le plan transfrontalier, il inscrira le contrôle des transferts de données dans le projet national de souveraineté des données. Ce mécanisme, qui s’imbrique avec la future stratégie canadienne en matière d’IA, la législation québécoise et la décision d’adéquation de l’UE, pourrait façonner un « corridor nord-américain de confiance pour les données » stable.

À l’inverse, si la réforme est de nouveau reportée, non seulement le Canada continuera de subir l’usure institutionnelle d’une PIPEDA vieillissante, mais il perdra aussi son avantage dans la définition des règles de l’économie numérique mondiale. L’Europe avance vers sa « décennie numérique », la loi 25 du Québec est en vigueur depuis plusieurs années et les États américains, eux aussi, légifèrent à vive allure. Chaque année de report accroît d’un cran l’incertitude à laquelle les entreprises canadiennes et les multinationales sont confrontées dans leur matrice de conformité.

À l’échelle de trois à dix ans, la modernisation du droit de la protection des renseignements personnels est probablement l’étape la plus centrale qui permettra au Canada de transformer la « souveraineté des données », d’un slogan, en compétitivité institutionnelle. C’est aussi pourquoi la concurrence qui se jouera autour de la réforme de la protection des renseignements personnels en 2026 mérite une attention soutenue et de long terme de la part de l’industrie.