Points clés
- Les signaux de recherche et législatifs entourant le projet de loi C-36 — la Loi sur la protection de la vie privée et des données des consommateurs, ou LPPDC — décrivent la refonte fédérale la plus ambitieuse depuis 2000.
- C’est aussi là que la gouvernance de l’IA croise la vie privée sans attendre une loi distincte sur l’IA.
- Traitez les thèmes du projet de loi C-36 / LPPDC comme des cibles de conception tout en vous conformant aux règles en vigueur sous la LPRPDE et, le cas échéant, la Loi 25 du Québec.
Le droit fédéral de la vie privée dans le secteur privé canadien a vécu pendant une génération dans le cadre souple et fondé sur des principes de la LPRPDE. Cette souplesse a aidé le commerce électronique naissant. Elle convient mal au profilage à l’échelle des plateformes, aux pipelines d’entraînement de l’IA et aux consommateurs qui s’attendent à des droits comparables à ceux des lois modernes d’ailleurs.
Les signaux de recherche et législatifs entourant le projet de loi C-36 — la Loi sur la protection de la vie privée et des données des consommateurs, ou LPPDC — décrivent la refonte fédérale la plus ambitieuse depuis 2000. Je traite la trajectoire publique du projet comme une orientation législative proposée / émergente, et non comme une loi en vigueur. Les leaders de la vie privée devraient néanmoins concevoir en fonction du schéma, et non dans l’espoir que rien ne change. Suivez le statut parlementaire sur parl.ca / LEGISinfo à mesure que les numéros et les sessions changent.
Pourquoi le discours sur le remplacement est sérieux cette fois
Le projet de loi C-27 avait déjà montré l’appétit politique pour moderniser le consentement, l’application et les droits individuels avant de mourir sur la prorogation. La période post-C-27 n’a pas tué les problèmes de fond. Elle les a retardés. Un programme de remplacement de la LPRPDE qui revient sous un nouveau numéro de projet de loi, c’est de la continuité, pas une surprise.
La bifurcation stratégique après C-27 compte aussi. La réforme de la vie privée peut avancer sans attendre un code complet sur l’IA. Cela augmente les chances que les règles du secteur privé sur les données avancent à leur propre rythme.
Entre-temps, la base fédérale en vigueur demeure la LPRPDE, avec l’interprétation et les conclusions du Commissariat à la protection de la vie privée du Canada. Le discours sur la réforme ne suspend pas ces devoirs.
Thèmes de conception centraux pour lesquels je me prépare
Un consentement moins théâtral. Attendez-vous à une pression vers un consentement valable et compréhensible, et loin des permissions groupées éternelles. Si votre UX cache encore des analyses secondaires dans un mur de texte, vous concevez pour hier.
Mobilité des données. La portabilité n’est plus une curiosité européenne. Le Québec a déjà activé la portabilité sous la Loi 25. Un langage fédéral de mobilité forcerait des exportations interopérables et des cartes de données plus propres.
La disposition comme un droit, pas une courtoisie. Les conversations sur le « droit à la suppression » se terminaient par des excuses de sauvegarde et de vagues prétentions d’archivage. La pression de réforme rétrécit ces excuses. Les équipes d’ingénierie ont besoin de calendriers de conservation exécutoires et de véritables voies d’effacement, y compris chez les fournisseurs.
L’anonymisation sous surveillance adulte. Les jeux de données pseudo-anonymisés qui permettent encore d’isoler des personnes ont été traités trop cavalièrement dans la pratique commerciale. Des règles prescriptives d’anonymisation fermeraient la brèche du « nous avons retiré le nom, donc le droit de la vie privée a quitté la pièce ».
Le droit d’action privé. Voilà ce qui change la culture. Les enquêtes réglementaires sont inégales et lentes. Les poursuites civiles directes décentralisent l’application. L’expérience du Québec montre déjà comment le risque de contentieux et de sanctions modifie l’attention des conseils. Un alignement fédéral mettrait fin à l’ère où la vie privée était surtout un sport de plaintes et de lignes directrices au niveau national du secteur privé.
Ce qui demeure incertain — et ce qui ne l’est pas
Les détails au niveau des articles, les périodes de transition, le design institutionnel et le calcul des sanctions peuvent bouger au fil du processus parlementaire. Je ne prétendrai pas qu’une note de recherche est un dossier de sanction royale. Tant qu’un projet de loi n’est pas en vigueur, étiquetez-le comme proposé.
Ce qui ne semble pas incertain, c’est l’inadéquation de la LPRPDE du statu quo aux modèles d’affaires actuels. Commissaires, tribunaux et lois provinciales relèvent déjà les attentes. Les organisations qui ne se conforment qu’à la lecture la plus molle des principes de l’ère 2000 accumulent une dette de transition.
Bâtir un programme prêt pour la réforme sans geler la livraison
Je recommande une double voie.
Voie un : excellez sous la loi actuelle. La documentation de l’obligation de rendre compte, la réponse aux incidents de confidentialité, la limitation des finalités, la gestion des fournisseurs et un avis transparent gagnent encore les enquêtes aujourd’hui. Partez des documents du Commissariat et de votre régulateur provincial, pas de la table des matières d’une future loi.
Voie deux : installez la plomberie prête pour la réforme. Des inventaires de données personnelles qui soutiennent l’accès, la rectification, la portabilité et la suppression. Des fondements juridiques consignés par activité de traitement. Des normes de désidentification révisées par quelqu’un qui comprend le risque de réidentification. Un traitement des plaintes qui peut survivre à la communication préalable.
C’est aussi là que la gouvernance de l’IA croise la vie privée sans attendre une loi distincte sur l’IA. La provenance des données d’entraînement, les devoirs d’exactitude pour les renseignements personnels dans les sorties des modèles et les limites au moissonnage sont des enjeux de vie privée dès maintenant. Ils ne feront que s’aiguiser sous une loi moderne.
Leçons tirées du coup de fouet de C-27
Les équipes qui ont bâti des capacités réutilisables — centres de préférences, orchestration de la suppression, registres de traitement — ont peu perdu quand C-27 est mort. Celles qui ont bâti des présentations et du texte de politique temporaire ont perdu des années.
J’ai aussi appris à séparer la prévision politique de la conception des contrôles. Les prévisions changent avec les élections. L’architecture de suppression se moque de qui détient quel titre ministériel.
Un piège connexe est d’attendre des lignes directrices réglementaires parfaites avant de cartographier les données. Les lignes directrices aident. Elles n’inventent pas votre inventaire de systèmes. Si vous ne pouvez pas dire où vivent les identifiants clients aujourd’hui, aucune loi ne sauvera une demande d’accès ou de disposition demain. Commencez par les tuyaux. Pour les multinationales, un gabarit RGPD est un squelette — pas un ensemble de contrôles canadien fini, surtout là où le Québec exige déjà un plancher plus élevé par l’entremise de la CAI.
Un test d’architecture simple
Posez cinq questions à l’ingénierie en une seule réunion :
- Pouvons-nous supprimer un client dans les outils SaaS à l’intérieur d’un SLA défini?
- Pouvons-nous exporter un ensemble structuré de ses données sans projet héroïque?
- Pouvons-nous montrer quand et comment le consentement a été capté pour l’analyse et les fonctions d’IA?
- Pouvons-nous expliquer notre méthode d’anonymisation à un expert sceptique?
- Pouvons-nous produire le dossier de décision pour toute utilisation secondaire à haut risque?
Si trois réponses sont « pas vraiment », vous n’êtes pas prêt pour la réforme. Vous êtes à un projet de loi ambitieux du mode panique.
Mesure concrète à retenir
Créez une carte de chaleur d’une page sur la préparation à la LPPDC avec cinq lignes : qualité du consentement, mobilité/exportation, disposition, gouvernance de l’anonymisation et exposition au contentieux. Notez chacune rouge/ambre/vert par rapport aux opérations d’aujourd’hui, attribuez un responsable de direction et financez les deux lignes les plus rouges cet exercice. Traitez les thèmes du projet de loi C-36 / LPPDC comme des cibles de conception tout en vous conformant aux règles en vigueur sous la LPRPDE et, le cas échéant, la Loi 25 du Québec. N’attendez pas le libellé final pour commencer à réduire les écarts évidents.