Données personnelles au Canada : le projet Bill C-11

Actuellement, c’est la loi fédérale canadienne (le PIPEDA) qui règlemente les traitements de données personnelles. Seulement, les experts jugent les dispositions du PIPEDA (Personal Information Protection and Electronic Documents Act) très largement insuffisantes.

Les organisations canadiennes doivent répondre aux exigences du RGPD.

Certaines compagnies canadiennes traitent des DCP de résidents européens. Pour ces organisations, le RGPD impose un niveau de protection similaire aux exigences européennes, sous peine de sanctions.

Le Parlement canadien a présenté, fin 2020, le projet de loi CPPA à la Chambre des Communes. Aujourd’hui, le projet de loi doit encore passer devant les deux chambres, en seconde lecture.

Vous l’aurez compris, le CPPA est un projet de loi (très, très) fortement inspiré du RGPD. Voici les principales évolutions qu’apporteraient Bill C-11.

Des règles modernisées sur le consentement

S’il entrait en vigueur, le CPPA imposerait de nouvelles règles sur le consentement. Les compagnies ne traiteraient les DCP du concerné qu’en cas de consentement expresse, sauf si elle établit qu’un consentement implicite est approprié.

A chaque traitement, les informations suivantes doivent être accessibles au concerné :

• La finalité du traitement
• La manière de laquelle chaque information est traitée
• Les conséquences prévisibles du traitement
• Les types spécifiques de données personnelles qui sont traitées
• Le nom des tierces parties à qui les informations pourraient être transmises.

Durcissement du régime et des sanctions

Le projet de loi prévoit la création d’un tribunal dédié. Un tribunal administratif serait établi pour les appels des décisions de l’OPC (Office de protection du consommateur) faites sous le nouveau régime. L’objectif est de faciliter les pénalités.

Une entreprise qui ne respecte pas les règles s’expose à des sanctions sévères :

• Sanction d’un pourcentage jusqu’à 3% du chiffre d’affaires (sans excéder 10 millions de dollars canadiens) pour les cas courants.
• Sanction d’un pourcentage jusqu’à 5% du chiffre d’affaires (sans excéder 25 millions de dollars canadiens) pour les cas graves.

Rien n’est moins sûr ! Depuis la présentation du projet, l’adoption de la loi a pris plus de temps que prévu.

Le gouvernement actuel n’a pas fait du CPPA une priorité. Les experts politiques du pays prévoient une dissolution de la Chambre des Communes d’ici fin 2021. Mais si la chambre disparaît, le projet Bill C-11 disparaîtra avec.

C’est une course contre la montre qui est lancée pour faire adopter le projet. La situation évolue, et tôt ou tard, les Etats devront se conformer aux règles européennes.

Si le CPPA ne passe pas, ce n’est que partie remise. Lassés du manque de réactivité du gouvernement, Québec et Ontario ont déjà commencé à réfléchir à leurs propres règles.