Protection de la vie privée : ce que le projet de loi C-27 pourrait changer

Le projet de loi C-27 du gouvernement fédéral prévoit que les organisations fassent davantage d’efforts pour que les citoyens comprennent comment sont traités leurs renseignements personnels. Quant aux sanctions, elles sont élargies et alourdies.

Alors que la loi 25 sur la protection des renseignements personnels entre progressivement en application au Québec, le gouvernement fédéral prépare lui aussi un cadre législatif avec le projet de loi C-27, qui est présentement à l’étude par un comité parlementaire de la Chambre des communes.

Le projet de loi prévoit un certain nombre de changements par rapport à l’actuelle Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), souligne une étude du C.D.Howe Institute, intitulée La protection de la vie privée: les promesses et les erreurs potentielles de la nouvelle législation canadienne sur la protection de la vie privée.

Ainsi, pour déterminer que le citoyen – en matière de services financiers, le consommateur – donne un consentement valide à la collecte de ses renseignements personnels, le projet de loi introduit « la nécessité de communiquer dans un langage clair et simple, la façon dont les renseignements seront recueillis, les conséquences raisonnablement prévisibles de la collecte, de l’utilisation et de la communication proposées, et les types de renseignements qui seront communiqués et à qui ».

Le consommateur aura le droit d’obtenir des explications sur la manière dont les algorithmes traitent ses données en vue de faire des prédictions, des recommandations ou de prendre des décisions à son sujet. Il aura également le droit de savoir que l’organisation auquel il a affaire finira par supprimer ses données personnelles.

Le projet de loi introduit également des exigences en matière d’anonymisation et de dépersonnalisation des données, qui n’existaient pas dans la loi précédente. L’anonymisation garantit qu’aucune personne ne peut être identifiée à partir des informations, que ce soit directement ou indirectement, par quelque moyen que ce soit. Lorsque les données sont anonymes, elles ne sont pas réglementées.

Les données dépersonnalisées sont des informations personnelles qui ne permettent pas d’identifier directement la personne à laquelle elles se rapportent, mais dont l’identité pourrait encore être reconstituée, par exemple en recoupant diverses bases de données, précise l’étude du C.D Howe Institute. Les entreprises pourront utiliser des informations personnelles dépersonnalisées sans le consentement des personnes concernées lorsque cette utilisation sera à des fins de recherche, d’analyse et de développement en interne.

DES POUVOIRS DE SURVEILLANCE ÉTENDUS

Le projet prévoit que le commissaire à la protection de la vie privée du Canada verra ses pouvoirs être étendu. Lorsqu’une plainte déclenche une enquête du commissaire, sans parvenir à une résolution, le commissaire pourra la mettre dans les mains d’une commission d’enquête. À l’issue de ce processus, le commissaire pourra ordonner à une organisation de se conformer à la loi.

Le commissaire pourra également recommander au Tribunal de la protection des données, instauré par la nouvelle loi, d’imposer des sanctions administratives pécuniaires.

Jusqu’à présent ces sanctions n’étaient prévues qu’en cas de violation des mesures obligatoires de protection des données. Dorénavant, les motifs de sanctions seront élargis, avec des pénalités nettement plus sévères.

La sanction pourra s’élever au montant le plus élevé entre 10 millions de dollars et 3 % du revenu mondial brut de l’organisation. Et si l’infraction cause des dommages aux personnes, celle-ci pourront lancer une poursuite civile devant les tribunaux contre l’organisation fautive.