La réforme de la vie privée au Canada reprend la route : orientations législatives 2026 et logique profonde de l'industrie.

Réforme de la vie privée au Canada : de C-27 à un nouveau départ en 2026

En 2025, avec la démission de l’ancien premier ministre Trudeau et les élections fédérales, le processus de réforme de la vie privée au Canada a de nouveau été interrompu. Mais en 2026, cette vague revient sous une nouvelle forme. Selon l’IAPP, des observateurs s’attendent à ce qu’un projet de loi complet sur la vie privée soit présenté au Parlement dès le printemps ou le premier trimestre de cette année. Cependant, cette fois, l’environnement politique et stratégique est radicalement différent.

Retour sur les faits : pourquoi C-27 a échoué

Le projet de loi C-27 (Loi sur la mise en œuvre de la Charte numérique) est l’instrument central de réforme que le gouvernement fédéral canadien a fait progresser depuis 2022. Il comprend trois volets législatifs : la Loi sur la protection de la vie privée des consommateurs (CPPA), la Loi sur le Tribunal de la protection des renseignements personnels et des données, et la Loi sur l’intelligence artificielle et les données (AIDA). Au début de 2025, la démission de Trudeau a déclenché des élections anticipées, et le C-27 est mort avec la dissolution du Parlement. En réalité, le C-27 était déjà dans l’impasse auparavant : de nombreux parlementaires et parties prenantes de la vie privée ont critiqué l’AIDA pour ses définitions floues de concepts clés de l’IA comme les « systèmes à impact élevé », et pour la lourdeur de l’ensemble du paquet législatif.

Teresa Scassa, titulaire de la Chaire de recherche en droit et politique de l’information à l’Université d’Ottawa, et Constantine Karbaliotis de nNovation Counsel, ont tous deux souligné que le nouveau projet de loi pourrait ne pas être présenté comme prévu d’ici la fin de 2025, en raison des « préoccupations de souveraineté des données » qui dominent l’agenda gouvernemental. Lors de la deuxième série de projets nationaux d’infrastructure annoncée en novembre 2025, le premier ministre canadien Mark Carney a explicitement mis à l’ordre du jour la question de la souveraineté des données et a créé un bureau des grands projets à cette fin. Cette évolution a profondément influencé le cadre de la législation sur la vie privée.

Contours potentiels du nouveau projet de loi : souveraineté des données et évaluation des risques

Plusieurs sources indiquent que le nouveau projet de loi ne regroupera probablement pas une réglementation globale de l’IA comme le faisait le C-27. Karbaliotis estime qu’une loi solide sur la vie privée constitue en soi une pierre angulaire de la réglementation de l’IA et ne devrait pas être alourdie par un programme législatif plus large sur l’IA. Scassa s’attend également à ce que le nouveau projet de loi sur la vie privée comble les lacunes non liées à l’IA du C-27, notamment en renforçant la protection de la vie privée des enfants et des adolescents, et en redéfinissant les « intérêts légitimes » comme base indépendante du traitement des données, et non plus seulement comme une exception au « consentement ».Les dispositions sur la souveraineté des données constitueront une caractéristique marquante du nouveau projet de loi. Karbaliotis s'attend à ce que le nouveau projet de loi ajoute des exigences d'évaluation des risques pour les transferts de données transfrontaliers, ce qui pourrait, au niveau fédéral, absorber en partie les dispositions relatives aux transferts de la loi 25 du Québec (Law 25). Il a noté que la partie relative à la vie privée du C-27 n'exigeait pas explicitement d'évaluation des impacts sur la vie privée, et que l'Europe a toujours des doutes quant à la capacité du Canada à réglementer le « transfert de données vers des pays tiers ». En janvier 2024, lors de la mise à jour de la décision d'adéquation concernant le Canada, l'Union européenne a explicitement indiqué que le C-27 était un facteur important et a déclaré qu'elle « surveillerait de près » la législation à venir — Karbaliotis avait alors qualifié la décision de l'UE de « erreur fondamentale », car elle affaiblissait l'urgence pour les législateurs de moderniser la LPRPDE.

Les demandes du commissaire à la vie privée : des pouvoirs d'application renforcés et la protection des enfants

Dans une lettre adressée au comité du Sénat, le commissaire à la vie privée du Canada, Philippe Dufresne, a souligné que le Canada a besoin de « lois modernes sur la protection de la vie privée qui reflètent le monde moderne ». Il a formulé sept recommandations clés, notamment : émettre des ordonnances contraignantes, imposer des amendes administratives, mener des audits « proactifs », promouvoir un cadre de dépersonnalisation, accorder aux citoyens le droit à l'effacement, et il a particulièrement demandé l'élaboration d'un code de conduite sur la vie privée pour les enfants. Il a fait remarquer que la LPRPDE ne prévoit actuellement aucune protection particulière pour les enfants, alors que ceux-ci sont extrêmement vulnérables dans le monde numérique.

Si ces demandes sont intégrées dans le nouveau projet de loi, elles renforceront considérablement les pouvoirs d'application du Commissariat à la protection de la vie privée du Canada (OPC), le faisant passer de « conseiller » à « régulateur ». Ce serait un bond substantiel pour le système de réglementation de la vie privée au Canada.

Impact sur l'industrie : équilibre entre coûts de conformité et innovation

Pour le secteur technologique et l'économie numérique canadiens, l'orientation de la réforme de la vie privée aura un impact direct sur les modèles d'affaires. Les exigences en matière de souveraineté des données et l'évaluation des risques liés aux transferts transfrontaliers pourraient entraîner des coûts de conformité plus élevés pour les entreprises canadiennes qui dépendent des services cloud américains. Mais en même temps, des règles de confidentialité claires et strictes peuvent également renforcer la confiance des consommateurs et aider le Canada à se positionner favorablement dans les négociations sur le commerce numérique.

Il est particulièrement intéressant de noter que la stratégie nationale du Canada en matière d'IA devrait être publiée cette année. La consultation publique menée en octobre 2025 a attiré 11 300 participants et généré 64 600 réponses, couvrant huit grands domaines, notamment l'adoption de l'IA dans l'industrie et le gouvernement, la commercialisation de l'IA et le développement d'une IA sûre. Scassa estime que la stratégie sur l'IA se concentrera principalement sur les investissements et les applications économiques, tandis que les problèmes de préjudice pour les consommateurs découlant des décisions automatisées pilotées par l'IA pourraient être traités par le biais de la législation sur la vie privée. Il s'agit en réalité d'une approche de « gouvernance sectorielle de l'IA » — bien que l'AIDA n'ait pas été adoptée, la gouvernance de l'IA ne s'est pas arrêtée.

Perspective mondiale : la souveraineté des données devient une variable clé

La réforme de la vie privée au Canada n'est pas un événement isolé. À l'échelle mondiale, la souveraineté des données est devenue un enjeu central de la concurrence technologique. L'Union européenne exerce une influence externe par le biais du RGPD et des décisions d'adéquation ; les États américains adoptent successivement des lois sur la vie privée ; et des pays comme la Chine et l'Inde ont également élaboré leurs propres règles de flux transfrontaliers de données. Le Canada, en poussant à ce moment précis une législation sur la souveraineté des données, tente de rechercher une autonomie stratégique dans le jeu entre grandes puissances.

Le « Bureau des grands projets » du gouvernement Carney associe la souveraineté des données aux projets de construction nationale, ce qui signifie que le Canada souhaite conjuguer la gouvernance des données avec les investissements dans les infrastructures et la sécurité économique. Cette approche pourrait redessiner la configuration de la coopération internationale du secteur technologique canadien.

Les trois à dix prochaines années : des tendances à long terme à surveiller

Des textes législatifs précis aux orientations stratégiques, plusieurs tendances méritent d'être suivies de près :

1. Une application de la vie privée qui « a vraiment des dents » : Si le OPC obtient le pouvoir d'infliger des amendes administratives et de mener des audits proactifs, le Canada tournera la page de l'ère de la « régulation douce ». Cela n'affectera pas seulement les entreprises locales, mais aussi toutes les entreprises technologiques multinationales opérant au Canada.

2. Le « modèle canadien » des règles de flux transfrontaliers de données : Le Canada empruntera probablement une voie intermédiaire entre le RGPD européen et les lois sectorielles américaines, en mettant l'accent sur la souveraineté des données tout en maintenant la fluidité transfrontalière. Une fois ce modèle arrivé à maturité, il pourrait devenir un modèle de référence pour d'autres petites et moyennes économies.

3. La convergence de la gouvernance de l'IA et de la protection de la vie privée : Même si l'AIDA ne renaît pas, la loi sur la protection des données personnelles assumera la fonction fondamentale de la gouvernance de l'IA. Avec la mise en œuvre de la stratégie sur l'IA, le Canada pourrait progressivement construire un puzzle de gouvernance de l'IA par le biais de règles sectorielles (comme la finance, la santé, le recrutement) plutôt qu'une loi exhaustive.

4. La confidentialité des enfants et la garantie de l'âge deviennent un nouveau point central : Le projet de loi S-209 du Sénat (garantie d'âge) et les demandes du OPC en matière de confidentialité des enfants indiquent que le Canada fait de la protection des mineurs un enjeu central de sa politique numérique, ce qui pourrait conduire à l'émergence de normes de « confidentialité dès la conception » destinées aux jeunes.

Conclusion : pourquoi cela revêt-il une importance stratégique ?

Pour le secteur technologique canadien, la réforme de la vie privée n'est pas seulement une mise à niveau juridique, c'est aussi le socle institutionnel de la souveraineté numérique du pays. Alors que l'architecture mondiale de la gouvernance des données se recompose à un rythme accéléré, la capacité du Canada à adopter une loi qui protège à la fois les droits des citoyens et favorise l'innovation déterminera sa position dans l'écosystème international de l'IA, des services cloud et de l'économie des données au cours des dix prochaines années. La synergie entre le programme de souveraineté des données du gouvernement Carney et la législation sur la protection de la vie privée illustre précisément cette intention stratégique. Par conséquent, cette bataille législative de 2026 mérite d'être suivie de près par tous ceux qui s'intéressent à l'avenir technologique du Canada.