Publication

Un des plus fréquents malentendus au sujet de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDÉ) fédérale porte sur les liens entre cette loi et les lois provinciales en matière de protection de la vie privée dans le secteur privé telles que la Loi sur la protection des renseignements personnels dans le secteur privé du Québec, L.R.Q., c. P-39.1, la loi récemment adoptée par la Colombie-Britannique intitulée Personal Information Protection Act , S.B.C. 2003, c. 63 et le projet de loi intitulé Personal Information Protection Act (projet de loi 44) actuellement à l'étude en Alberta. Nombreux sont ceux qui semblent tenir pour acquis que dès qu'une province adopte une loi qui est « essentiellement similaire » à la LPRPDÉ, cette dernière ne s'applique plus aux organisations et activités dans cette province. Voilà qui est faux.
L'adoption d'une loi provinciale n'a en soi aucune incidence sur l'application de la LPRPDÉ. L'alinéa 26(2)b) de la LPRPDÉ prévoit que :

Le gouverneur en conseil [le Cabinet fédéral] peut, par décret [?] s'il est convaincu qu'une loi provinciale essentiellement similaire à la [LPRPDÉ] s'applique à une organisation -- ou catégorie d'organisations -- ou à une activité -- ou catégorie d'activités --, exclure l'organisation, l'activité ou la catégorie de l'application de la présente partie à l'égard de la collecte, de l'utilisation ou de la communication de renseignements personnels qui s'effectue à l'intérieur de la province en cause.

(c'est nous qui soulignons)

Donc, pour que s'applique l'alinéa 26(2)b), il doit effectivement y avoir une loi en vigueur (c.-à-d. une loi qui s'applique déjà à une organisation, à une activité ou à une catégorie) et cette loi doit être déclarée « essentiellement similaire » à la LPRPDÉ par le Cabinet fédéral. En outre, la portée de l'exclusion de l'application de la LPRPDÉ se limite à collecte, à l'utilisation et à la communication de renseignements personnels qui s'effectuent exclusivement dans la province.

QU'EST-CE QUI DÉTERMINE LE CARACTÈRE « ESSENTIELLEMENT SIMILAIRE » D'UNE LOI PROVINCIALE?

Le processus à suivre pour déterminer le caractère « essentiellement similaire » d'une loi provinciale est l'objet de débats et n'a pas encore été clairement établi. En 1999, John Manley, alors ministre de l'Industrie, a déclaré, dans une allocution livrée devant un comité sénatorial, qu'une loi provinciale serait jugée « essentiellement similaire » s'il s'agissait d'une :

[?] loi qui établit, en matière d'information, un jeu fondamental de pratiques équitables allant dans le sens de la norme de la CSA et qui prévoit la mise sur pied d'un mécanisme indépendant de surveillance et des recours pour les personnes qui auront été lésées.

En septembre 2001, Industrie Canada a publié dans la Gazette du Canada un Processus de détermination du caractère « essentiellement similaire » d'une loi provinciale par le gouverneur en conseil qui établit la procédure générale à suivre. Les étapes de ce processus sont les suivantes : un gouvernement ou une organisation du secteur privé informe le gouvernement fédéral de l'existence d'une loi provinciale susceptible d'être « essentiellement similaire »; s'ensuivent des consultations auprès de la province en cause et d'autres intéressés et une décision finale est rendue par le Cabinet fédéral. Le document d'Industrie Canada précise clairement que les lois provinciales « essentiellement similaires » ne sont pas nécessairement des lois générales s'appliquant au secteur privé, telles la LPRPDÉ ou la Loi sur la protection des renseignements personnels dans le secteur privé du Québec. En effet, une loi provinciale réglementant des secteurs ou des domaines d'activités précis peut également donner lieu à une exemption de l'application de la LPRPDÉ pour ces secteurs ou domaines d'activités.

Les critères proposés par Industrie Canada pour conclure au caractère « essentiellement similaire » d'une loi provinciale sont les suivants :

• La loi provinciale doit incorporer les dix principes de l'annexe 1 (article 5) de la LPRPDÉ. Bien qu'il ne soit pas nécessaire que ces principes soient énumérés distinctement et séparément dans la loi provinciale, ils doivent tous y être représentés. Une attention particulière sera accordée aux principes suivants : consentement, accès et droit de faire corriger les renseignements.
• La loi provinciale doit prévoir un mécanisme indépendant et efficace de surveillance et de recours et des pouvoirs d'enquête.
• La loi provinciale doit restreindre la collecte, l'utilisation et la communication de renseignements personnels à des fins appropriées et légitimes.

Toutefois, les nombreuses déclarations de l'ancien commissaire à la protection de la vie privée du Canada portant sur son interprétation d'« essentiellement similaire » comme désignant une loi « égale ou supérieure à la loi fédérale pour ce qui est du degré et de la qualité de la protection de la vie privée offerte » ont semé la confusion. En 2002, Industrie Canada a pris acte de la position du commissaire sans toutefois y souscrire ni l'approuver. La formulation « égale ou supérieure » semble incompatible avec le libellé de la LPRPDÉ et les emplois précédents de l'expression « essentiellement similaire » dans d'autres contextes. En outre, il appert que les vues de l'ancien commissaire sur les projets de loi en matière de protection de la vie privée dans le secteur privé de la Colombie-Britannique et de l'Alberta étaient vraisemblablement trop restrictives. L'ancien commissaire prétendait, par exemple, dans son rapport au Parlement , que les dispositions des projets de loi n'étaient pas « essentiellement similaires », car les dispositions relatives aux renseignements personnels concernant les employés n'étaient pas aussi rigoureuses que les dispositions de la LPRPDÉ s'appliquant aux employés d'organisations qui relèvent de la compétence fédérale. Comme la LPRPDÉ ne s'applique pas aux employés d'organisations qui ne relèvent pas de la compétence fédérale, il est difficile de comprendre comment un traitement différent des renseignements personnels concernant un employé pourrait empêcher une loi provinciale d'être « essentiellement similaire » à la LPRPDÉ.

Tant que le Cabinet fédéral n'aura pas pris de décision officielle relativement au caractère « essentiellement similaire » d'une ou de plusieurs lois provinciales, la procédure et les critères à appliquer demeureront quelque peu imprécis.

MAINTIEN DE L'APPLICATION DE LA LPRPDÉ

Même si le Cabinet fédéral reconnaît le caractère « essentiellement similaire » d'une loi provinciale, la LPRPDÉ continuera de s'appliquer en grande partie dans cette province.

En premier lieu, la LPRPDÉ continuera de s'appliquer aux activités des organisations qui relèvent de la compétence fédérale, notamment les banques, les sociétés de télécommunications, les radiodiffuseurs et télédiffuseurs et les sociétés de transport interprovincial et international telles que les compagnies aériennes, les sociétés d'expédition et les sociétés de transport routier. L'application, si application il y a, de la législation provinciale en matière de protection de la vie privée aux entités qui relèvent de la compétence fédérale demeure imprécise. Québec affirme que sa loi sur la protection de la vie privée dans le secteur privé s'applique aux organisations qui relèvent de la compétence fédérale et qui œuvrent dans les limites de la province. Cette position a été rejetée récemment par la Cour supérieure du Québec dans l'affaire Air Canada c. Contrant (3 septembre 2003) mais le jugement, qui concernait les relations avec les employés chez Air Canada et qui a été rendu sur des questions liées au partage constitutionnel des pouvoirs, a été porté en appel. L'application des lois provinciales en matière de protection de la vie privée aux entités qui relèvent de la compétence fédérale est une question d'ordre constitutionnel qui devra être étudiée au cas par cas. En revanche, la nouvelle loi de la Colombie-Britannique intitulée Personal Information Protection Act (BCPIPA) prévoit à l'alinéa 3(2)c) qu'elle ne s'applique pas « [traduction] à la collecte, à l'utilisation et à la communication de renseignements personnels si [la LPRPDÉ] s'applique à la collecte, à l'utilisation et à la communication de ces renseignements personnels. »

En deuxième lieu, et c'est ce qui est encore plus important, en vertu de l'alinéa 26(2)c), des organisations peuvent être soustraites à l'application de la LPRPDÉ dans les provinces qui possèdent une loi « essentiellement similaire », mais uniquement du moment que les renseignements personnels demeurent dans les limites de la province. Une fois que l'organisation communique ces renseignements à l'extérieur de la province pour quelque raison que ce soit, la LPRPDÉ s'applique alors à ces renseignements.

Le commissaire à la protection de la vie privée de l'Alberta a établi la relation entre la LPRPDÉ et le projet de loi de l'Aberta intitulé Personal Information Protection Act (PIPA) dans un guide récemment publié et intitulé Guide for Businesses and Organizations on the Personal Information Protection Act :

Lorsque la PIPA entrera en vigueur le 1er janvier 2004, elle s'appliquera aux entreprises privées qui relèvent de la compétence provinciale, aux organismes sans but lucratif, aux syndicats et aux professions autonomes qui œuvrent à l'intérieur de l'Alberta. Toutefois, la LPRPDÉ continuera de s'appliquer à ces organisations lorsque celles-ci exerceront des activités commerciales dans le cadre desquelles des renseignements personnels sont communiqués au-delà des frontières de l'Alberta. [traduction]

Ce double régime réglementaire, provincial et fédéral, concernant la protection de la vie privée et s'appliquant aux mêmes renseignements personnels risque de créer des difficultés dans la pratique.

• Suivant le libellé de l'alinéa 26(2)b) de la LPRPDÉ, il semblerait qu'une fois que les renseignements personnels sortent de la province où ils ont été produits, ils sont assujettis à la LPRPDÉ, même s'ils sont renvoyés par la suite dans leur province d'origine et même si le transfert hors des frontières de la province sert les fins internes d'une organisation ou n'est effectué qu'à des fins de traitement de l'information.
• Dans le cas du Québec et de l'Alberta, on peut s'attendre à ce que ces provinces, qui ont fait savoir qu'elles allaient revendiquer un large champ de compétence en vertu de leur législation en matière de protection de la vie privée dans le secteur privé, tentent d'appliquer leurs lois provinciales en matière de protection de la vie privée à tous les renseignements qui sont produits, reçus ou traités dans leur province, que ces renseignements soient également assujettis à la LPRPDÉ ou non. Concrètement, l'application de ce double régime réglementaire aura peu d'incidence sur les sociétés relevant de la compétence provinciale qui respectent la législation québécoise en matière de protection de la vie privée depuis 1994. Par contre, cela pourrait engendrer des situations où le commissaire à la protection de la vie privé du Canada et celui de la province visée revendiqueront la compétence sur les mêmes pratiques en matière d'information.
• Dans le cas de la BCPIPA, qui exclut expressément la collecte, l'utilisation et la communication de renseignements personnels régies par la LPRPDÉ de son champ d'application, il semble que le commissaire à la protection de la vie privée de la Colombie-Britannique perdra sa compétence sur les renseignements personnels qui ne concernent pas les employés une fois que ces renseignements auront franchi les frontières de la province, quelle qu'en soit la raison. Aussi, des renseignements essentiellement identiques détenus par une organisation pourraient-ils être régis différemment au seul motif d'avoir été transmis hors d'une province, ne serait-ce que pour une courte durée.

DE L'INCERTITUDE QUANT À LA COMPÉTENCE

Les organisations qui pratiquent des échanges inter-provincaux de renseignements personnels devront accepter que leur collecte, utilisation et communication de renseignements personnels puissent être assujetties à plus d'une loi. Elles devront tenter de mettre en place des politiques et des pratiques conformes à la norme la plus élevée contenue dans l'ensemble de la législation applicable en matière de protection de la vie privée dans le secteur privé. Heureusement, les diverses lois en vigueur et les projets de loi en matière de protection de la vie privée dans le secteur privé possèdent plus de similitudes que de différences et il est peu probable qu'elles renferment des obligations qui entrent en contradiction les unes avec les autres de manière à empêcher les organisations de se conformer à toutes les lois applicables.

Il sera cependant plus difficile de déterminer quel commissaire à la protection de la vie privée a compétence pour enquêter sur les procédures relatives aux renseignements personnels d'une organisation sur laquelle plus d'un commissaire revendiquera la compétence. Il s'agit là d'un enjeu important en raison des recours différents qu'offrent les lois provinciales et fédérales. La LPRPDÉ n'accorde au commissaire à la protection de la vie privée du Canada aucun pouvoir direct de contrainte et un plaignant doit s'adresser à la Cour fédérale pour exiger qu'une organisation modifie ses pratiques ou pour obtenir des dommages-intérêts. Par contre, toutes les lois provinciales existantes et celles qui sont proposées autorisent les commissaires à la protection de la vie privée des provinces à rendre des ordonnances exécutoires sans intervention des tribunaux. Par conséquent, il pourrait être de l'intérêt d'une organisation faisant l'objet d'une plainte portant sur la protection de la vie privée de faire valoir que, dans son cas, c'est la LPRPDÉ qui s'applique plutôt que la loi provinciale.

Il est à prévoir que les questions de compétence occuperont la scène canadienne en matière de protection de la vie privée pour encore quelque temps. Les organisations qui utilisent des renseignements personnels devront donc faire preuve de vigilance à l'égard de ces questions et être prêtes à réagir promptement au fur et à mesure que les règles et pratiques relatives à la réglementation pluri-gouvernementale en matière de protection de la vie privée évolueront.

©OGILVY RENAULT 2003 - Tous droits réservés

 Retour aux résultats de la recherche de publications

Personnes-ressources

Christine A. Carron
Montréal
514.847.4404
ccarron@ogilvyrenault.com
Profil

Martha A. Healey
Ottawa
613.780.8638
mhealey@ogilvyrenault.com
Profil