Organisations

Édiction de la loi1Est édictée la Loi visant à protéger la vie privée et les données des consommateurs, dont le texte suit et dont l’annexe figure à l’annexe de la présente loi : Loi visant à faciliter et à promouvoir le commerce numérique au moyen de la protection des renseignements personnels recueillis, utilisés ou communiqués dans le cadre d’activités commercialesTitre abrégé

Titre abrégé1Loi visant à protéger la vie privée et les données des consommateurs.

Définitions et interprétation

Définitions2(1)Les définitions qui suivent s’appliquent à la présente loi.activité commerciale Toute activité régulière ainsi que tout acte isolé qui revêtent un caractère commercial, y compris la vente, le troc ou la location de listes de donateurs, d’adhésion ou de collecte de fonds. (commercial activity) anonymiser Modifier définitivement et irréversiblement des renseignements personnels afin qu’il n’y ait aucun risque raisonnablement prévisible, dans les circonstances, qu’un individu puisse être identifié, directement ou indirectement, par quelque moyen que ce soit à partir de ces renseignements. (anonymize)atteinte aux mesures de sécurité Communication non autorisée ou perte de renseignements personnels, ou accès non autorisé à ceux-ci, par suite d’une atteinte aux mesures de sécurité d’une organisation prévues à l’article 56 ou du fait que ces mesures n’ont pas été mises en place. (breach of security safeguards)caractère sensible Caractère des renseignements personnels pour lesquels, compte tenu des circonstances, un individu a des attentes élevées en matière de vie privée. Sont notamment visés, le cas échéant, les renseignements personnels d’un enfant, les renseignements qui sont de nature à révéler l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que les renseignements génétiques, les renseignements biométriques susceptibles d’identifier un individu de manière unique et les renseignements concernant la santé ou l’orientation sexuelle d’un individu. (sensitive)commissaire Le commissaire à la protection de la vie privée et des données des consommateurs désigné au titre du paragraphe 85(1). (Commissioner)Commission La Commission canadienne de la sécurité numérique et de la protection des données visée à l’article 4 de la Loi sur la Commission canadienne de la sécurité numérique et de la protection des données. (Commission)dépersonnaliser Modifier des renseignements personnels afin qu’un individu ne puisse être identifié directement à partir de ces renseignements, sans pour autant en éliminer le risque. (de-identify)document Éléments d’information, quel qu’en soit la forme ou le support. (record)enfant Individu âgé de moins de dix-huit ans. (child)entreprises fédérales Les installations, ouvrages, entreprises ou secteurs d’activité qui relèvent de la compétence législative du Parlement. Sont compris parmi les entreprises fédérales : a)les installations, ouvrages, entreprises ou secteurs d’activité qui se rapportent à la navigation et aux transports par eau, notamment l’exploitation de navires et le transport par navire partout au Canada;b)les installations ou ouvrages, notamment les chemins de fer, canaux ou liaisons télégraphiques, reliant une province à une autre, ou débordant les limites d’une province, et les entreprises correspondantes;c)les lignes de transport par bateaux à vapeur ou autres navires, reliant une province à une autre, ou débordant les limites d’une province;d)les passages par eaux entre deux provinces ou entre une province et un pays étranger;e)les aéroports, aéronefs ou lignes de transport aérien;f)les stations de radiodiffusion;g)les banques ou les banques étrangères autorisées au sens de l’article 2 de la Loi sur les banques;h)les ouvrages qui, bien qu’entièrement situés dans une province, sont, avant ou après leur réalisation, déclarés par le Parlement être à l’avantage général du Canada ou à l’avantage de plusieurs provinces;i)les installations, ouvrages, entreprises ou secteurs d’activité ne ressortissant pas au pouvoir législatif exclusif des législatures provinciales;j)les installations, ouvrages, entreprises ou secteurs d’activité auxquels le droit, au sens de l’alinéa a) de la définition de droit à l’article 2 de la Loi sur les océans, s’applique en vertu de l’article 20 de cette loi et des règlements pris en vertu de l’alinéa 26(1)k) de la même loi. (federal work, undertaking or business)fournisseur de services Toute organisation, notamment une société mère, une filiale, une société affiliée, un entrepreneur ou un sous-traitant, qui fournit un service au nom ou pour le compte d’une autre organisation pour lui permettre de réaliser ses fins. (service provider)ministre Le membre du Conseil privé du Roi pour le Canada désigné en vertu de l’article 3 ou, à défaut de désignation, le ministre de l’Industrie. (Minister)organisation S’entend notamment des associations, sociétés de personnes, personnes et organisations syndicales. (organization)président Le président de la Commission, désigné au titre du paragraphe 17(1) de la Loi sur la Commission canadienne de la sécurité numérique et de la protection des données. (Chairperson)renseignement personnel Tout renseignement, y compris les renseignements déduits, concernant un individu identifiable. (personal information)retrait S’agissant de renseignements personnels, leur suppression définitive et irréversible ou le fait de les anonymiser. (dispose)Section La Section de la protection de la vie privée et des données des consommateurs constituée par l’article 89. (Division)support de substitution Tout support permettant à un individu ayant une déficience sensorielle de lire ou d’écouter des renseignements personnels. (alternative format)système décisionnel automatisé Technologie utilisant des systèmes basés sur des règles, l’analyse de régression, l’analytique prédictive, l’apprentissage automatique, l’apprentissage profond, des réseaux neuronaux ou d’autres techniques afin d’appuyer ou de remplacer le jugement de décideurs humains. (automated decision system)transaction commerciale S’entend notamment des transactions suivantes : a)l’achat, la vente ou toute autre forme d’acquisition ou de disposition de tout ou partie d’une organisation, ou de ses éléments d’actif;b)la fusion ou le regroupement d’organisations;c)le fait de consentir un prêt à tout ou partie d’une organisation ou de lui fournir toute autre forme de financement;d)le fait de grever d’une charge ou d’une sûreté les éléments d’actif ou les titres d’une organisation;e)la location d’éléments d’actif d’une organisation, ou l’octroi ou l’obtention d’une licence à leur égard;f)tout autre arrangement réglementaire entre des organisations pour la poursuite d’activités d’affaires. (business transaction)Interprétation : renseignements personnels dépersonnalisés(2)Il est entendu que les renseignements personnels dépersonnalisés ne cessent pas d’être des renseignements personnels.

Désignation du ministre3Le gouverneur en conseil peut, par décret, désigner tout membre du Conseil privé du Roi pour le Canada à titre de ministre chargé de l’application de la présente loi.

Représentants autorisés4Les droits et recours prévus sous le régime de la présente loi peuvent être exercés : a)au nom de l’enfant qui n’a ni la capacité ni la volonté de les exercer personnellement, par le parent ou le tuteur;b)au nom de l’individu, autre qu’un enfant, frappé d’une incapacité juridique, par la personne autorisée par la loi à administrer les affaires ou les biens de celui-ci;c)au nom de l’individu décédé, par la personne autorisée par la loi à administrer la succession de celui-ci, mais aux seules fins d’administrer la succession;d)au nom de tout autre individu, par la personne que celui-ci a autorisée par écrit à exercer ces droits et recours en son nom.

Objet et champ d’application

Objet5La présente loi a pour objet de fixer, dans une ère où les données circulent constamment au-delà des frontières et des limites géographiques et où une part importante de l’activité économique repose sur l’analyse, la circulation et l’échange de renseignements personnels, des règles régissant la protection des renseignements personnels d’une manière qui tient compte, à la fois, du droit fondamental à la vie privée des individus quant aux renseignements personnels qui les concernent et du besoin des organisations de recueillir, d’utiliser ou de communiquer des renseignements personnels à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances.

Champ d’application6(1)La présente loi s’applique à toute organisation à l’égard des renseignements personnels : a)soit qu’elle recueille, utilise ou communique dans le cadre d’activités commerciales;b)soit qui concernent un de ses employés ou l’individu qui postule pour le devenir et qu’elle recueille, utilise ou communique dans le cadre d’une entreprise fédérale.Précision(2)Il est entendu que la présente loi s’applique à l’égard des renseignements personnels qui sont, selon le cas : a)recueillis, utilisés ou communiqués à l’échelle interprovinciale ou internationale par une organisation;b)recueillis, utilisés ou communiqués à l’échelle intraprovinciale, par une organisation, dans la mesure où elle n’est pas exclue de l’application de la présente loi par un décret pris en vertu de l’alinéa 139(2)b).Application(3)La présente loi s’applique également à toute organisation figurant à la colonne 1 de l’annexe à l’égard des renseignements personnels figurant à la colonne 2.Limite(4)Elle ne s’applique pas : a)aux institutions fédérales auxquelles s’applique la Loi sur la protection des renseignements personnels;b)aux individus à l’égard des renseignements personnels qu’ils recueillent, utilisent ou communiquent uniquement à des fins personnelles ou domestiques;c)aux organisations à l’égard des renseignements personnels qu’elles recueillent, utilisent ou communiquent uniquement à des fins journalistiques, artistiques ou littéraires;d)aux organisations à l’égard des renseignements personnels de tout individu qu’elles recueillent, utilisent ou communiquent uniquement pour entrer en contact — ou pour faciliter la prise de contact — avec lui dans le cadre de son emploi, de son entreprise ou de sa profession;e)aux organisations soustraites à l’application de la présente loi par décret pris en vertu de l’alinéa 139(2)b) à l’égard de la collecte, de l’utilisation ou de la communication de renseignements personnels à l’intérieur de la province en cause.Précision(5)Il est entendu que la présente loi ne s’applique pas à l’égard des renseignements anonymisés.Autre loi(6)Les dispositions de la présente loi s’appliquent malgré toute disposition — édictée après le 31 décembre 2000 — d’une autre loi fédérale, sauf dérogation expresse de la disposition de l’autre loi.

PARTIE 1Obligations des organisationsResponsabilité des organisations

Responsabilité à l’égard des renseignements personnels7(1)Toute organisation est responsable des renseignements personnels qui relèvent d’elle.Renseignements personnels qui relèvent de l’organisation(2)Les renseignements personnels relèvent de l’organisation qui décide de les recueillir et établit les fins pour lesquelles ils sont recueillis, utilisés ou communiqués, qu’elle les recueille, utilise ou communique elle-même ou qu’un fournisseur de services le fasse pour elle.

Individus désignés8(1)L’organisation désigne un ou plusieurs individus chargés des questions relatives aux obligations qui lui incombent sous le régime de la présente loi. Les coordonnées d’affaires des individus désignés sont fournies à toute personne par l’organisation sur demande.Effet de la désignation(2)La désignation d’un individu en application du paragraphe (1) n’exempte pas l’organisation des obligations qui lui incombent sous le régime de la présente loi.

Programme de gestion de la protection des renseignements personnels9(1)L’organisation met en oeuvre et tient à jour un programme de gestion de la protection des renseignements personnels qui comprend les politiques, les pratiques et les procédures qu’elle a mises en place pour se conformer aux obligations qui lui incombent sous le régime de la présente loi, notamment des politiques, des pratiques et des procédures relatives : a)à la protection des renseignements personnels;b)à la réception et au traitement des demandes de renseignements et des plaintes;c)à la formation et à l’information fournies à son personnel relativement à ses politiques, à ses pratiques et à ses procédures;d)à l’élaboration de contenu expliquant ses politiques et ses procédures.Volume et caractère des renseignements personnels(2)Lorsqu’elle élabore son programme de gestion de protection des renseignements personnels, l’organisation tient compte du volume et du caractère sensible des renseignements personnels qui relèvent d’elle.

Accès au programme de gestion10(1)Sur demande de la Commission, l’organisation lui donne accès aux politiques, pratiques et procédures comprises dans son programme de gestion de la protection des renseignements personnels.Conseil et mesures correctives(2)Après examen de ces politiques, pratiques et procédures, la Commission peut fournir des conseils ou recommander des mesures correctives à l’organisation relativement à son programme de gestion de la protection des renseignements personnels.

Protection équivalente11(1)L’organisation qui transfère des renseignements personnels à un fournisseur de services veille, contractuellement ou autrement, à ce que celui-ci offre à leur égard une protection équivalente à celle qu’elle est tenue d’offrir sous le régime de la présente loi.Obligations du fournisseur de services(2)Les obligations prévues à la présente partie, à l’exception de celles prévues aux articles 56 et 61, ne s’appliquent pas au fournisseur de services relativement aux renseignements personnels qui lui sont transférés. Il est toutefois assujetti à l’ensemble de ces obligations s’il les recueille, les utilise ou les communique à toutes autres fins que celles pour lesquelles ils lui ont été transférés.

Fins acceptables

Fins acceptables12(1)Que le consentement soit requis ou non aux termes de la présente loi, l’organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu’à des fins et d’une manière qu’une personne raisonnable estimerait acceptables dans les circonstances.Éléments à prendre en compte(2)Pour établir le caractère acceptable des fins et de la manière, il est tenu compte de tous les éléments pertinents, y compris, le cas échéant : a)la mesure dans laquelle les renseignements personnels sont de caractère sensible;b)le fait que les fins visées correspondent à des besoins commerciaux légitimes de l’organisation;c)le degré d’efficacité de la collecte, de l’utilisation ou de la communication pour répondre aux besoins commerciaux légitimes de l’organisation;d)l’existence ou non de moyens portant une atteinte moindre à la vie privée de l’individu et permettant d’atteindre les fins visées à un coût et avec des avantages comparables;e)la proportionnalité entre l’atteinte à la vie privée de l’individu et les avantages pour l’organisation, au regard des moyens, techniques ou autres, mis en place par l’organisation afin d’atténuer les effets de l’atteinte pour l’individu.Établissement des fins(3)L’organisation établit et consigne les fins auxquelles les renseignements personnels sont recueillis, utilisés ou communiqués avant la collecte ou au plus tard au moment de celle-ci.Fin nouvelle(4)Si elle établit que les renseignements personnels qu’elle a recueillis seront utilisés ou communiqués à une fin nouvelle, l’organisation consigne la fin avant d’utiliser ou de communiquer les renseignements personnels à cette fin.

Limite : collecte, utilisation et communication

Limite : collecte13L’organisation ne peut recueillir que les renseignements personnels qui sont nécessaires aux fins qu’elle a établies et consignées en application du paragraphe 12(3).

Fins nouvelles14(1)L’organisation ne peut utiliser ou communiquer des renseignements personnels pour des fins autres que celles qu’elle a établies et consignées en application du paragraphe 12(3), sauf si elle obtient le consentement valide de l’individu concerné avant de le faire.Utilisation ou communication : autres fins(2)Toutefois, l’organisation peut : a)utiliser des renseignements personnels à des fins autres que celles qu’elle a établies et consignées en application du paragraphe 12(3) dans les cas visés aux articles 18, 20 et 21, aux paragraphes 22(1) et (3) et aux articles 23, 24, 26, 30, 39 et 50;b)communiquer des renseignements personnels à des fins autres que celles qu’elle a établies et consignées en application du paragraphe 12(3) dans les cas visés à l’article 18, aux paragraphes 22(1) et (3), aux articles 23 à 28 et 31 à 36, au paragraphe 38(3) et aux articles 40 à 50.

Consentement

Consentement requis15(1)Sauf disposition contraire de la présente loi, l’organisation qui recueille, utilise ou communique des renseignements personnels doit d’abord obtenir le consentement valide de l’individu concerné.Moment du consentement(2)Le consentement valide doit être obtenu au plus tard au moment de recueillir les renseignements personnels ou, s’agissant de renseignements qui seront utilisés ou communiqués à des fins autres que celles qu’elle a établies et consignées en application du paragraphe 12(3), avant de les utiliser ou de les communiquer à ces autres fins.Renseignements pour un consentement valide(3)Le consentement n’est valide que si l’organisation fournit d’abord à l’individu concerné les renseignements suivants : a)les fins de la collecte, de l’utilisation ou de la communication des renseignements personnels, établies par l’organisation et consignées en application des paragraphes 12(3) ou (4);b)la manière dont les renseignements personnels seront recueillis, utilisés ou communiqués;c)les conséquences raisonnablement prévisibles de la collecte, de l’utilisation ou de la communication des renseignements personnels;d)le type précis de renseignements personnels que l’organisation recueillera, utilisera ou communiquera;e)le nom des tiers ou les catégories de tiers auxquels les renseignements personnels pourraient être communiqués.Langage clair(4)L’organisation fournit les renseignements mentionnés au paragraphe (3) dans un langage clair et raisonnablement compréhensible pour un individu visé par les activités de l’organisation.Forme du consentement(5)Le consentement doit être obtenu expressément, sauf si, sous réserve du paragraphe (6), il est approprié de présumer le consentement implicite de l’individu compte tenu du caractère sensible des renseignements personnels à recueillir, à utiliser ou à communiquer et des attentes raisonnables de cet individu.Activités d’affaires(6)Il n’est pas approprié pour l’organisation de présumer le consentement implicite d’un individu lorsqu’elle recueille ou utilise ses renseignements personnels en vue d’une activité mentionnée au paragraphe 18(2) ou lorsqu’elle les recueille, les utilise ou les communique en vue d’une activité mentionnée au paragraphe 18(3).Consentement : bien ou service(7)L’organisation ne peut, pour le motif qu’elle fournit un bien ou un service, exiger d’un individu qu’il consente à la collecte, à l’utilisation ou à la communication de renseignements personnels qui ne sont pas nécessaires à la fourniture du bien ou à la prestation du service.

Consentement obtenu par subterfuge16Il est interdit à l’organisation d’utiliser des pratiques trompeuses ou mensongères ou de fournir des renseignements faux ou trompeurs pour obtenir, ou tenter d’obtenir, un consentement. Tout consentement ainsi obtenu n’est pas valide.

Retrait du consentement17(1)Sous réserve de la présente loi, du droit fédéral ou provincial ou de toute restriction contractuelle raisonnable, l’individu peut à tout moment retirer son consentement, en tout ou en partie. Le cas échéant, il en avise l’organisation suffisamment à l’avance.Cessation de la collecte, de l’utilisation ou de la communication(2)Sur réception de l’avis, l’organisation informe l’individu concerné des conséquences du retrait de son consentement et cesse ensuite, dès que possible, de recueillir, d’utiliser ou de communiquer les renseignements personnels à l’égard desquels le consentement a été retiré.

Consentement : exceptionsActivités d’affaires

Activités d’affaires18(1)L’organisation peut recueillir ou utiliser les renseignements personnels d’un individu à son insu ou sans son consentement si la collecte ou l’utilisation est faite en vue d’une activité d’affaires mentionnée au paragraphe (2) et, à la fois : a)une personne raisonnable s’attendrait à la collecte ou à l’utilisation en vue d’une telle activité;b)les renseignements personnels ne sont pas recueillis ou utilisés en vue d’influencer le comportement ou les décisions de l’individu.Activités visées(2)Sous réserve des règlements, sont des activités d’affaires pour l’application du paragraphe (1) : a)les activités nécessaires à la fourniture d’un produit ou à la prestation d’un service demandé par l’individu à l’organisation;b)les activités nécessaires à la sécurité de l’information, des systèmes ou des réseaux de l’organisation;c)les activités nécessaires pour assurer la sécurité d’un produit ou d’un service que l’organisation fournit;d)toute autre activité réglementaire.Intérêt légitime(3)L’organisation peut recueillir, utiliser ou communiquer les renseignements personnels d’un individu à son insu ou sans son consentement si la collecte, l’utilisation ou la communication est faite en vue d’une activité dans laquelle elle a un intérêt légitime qui l’emporte sur tout effet négatif raisonnablement prévisible que la collecte, l’utilisation ou la communication peut avoir pour l’individu et si, à la fois : a)une personne raisonnable s’attendrait à la collecte, à l’utilisation ou à la communication en vue d’une telle activité;b)les renseignements personnels ne sont pas recueillis, utilisés ou communiqués en vue d’influencer le comportement ou les décisions de l’individu.Conditions préalables(4)Avant de se prévaloir du paragraphe (3) pour recueillir, utiliser ou communiquer des renseignements personnels, l’organisation est tenue : a)de préciser et de décrire l’intérêt légitime qu’elle a dans l’activité envisagée;b)de procéder, en conformité avec les exigences réglementaires, à une évaluation des facteurs relatifs à la vie privée, elle est notamment tenue de déceler tout effet négatif raisonnablement prévisible que la collecte, l’utilisation ou la communication est susceptible d’avoir pour l’individu;c)de trouver et de prendre des moyens raisonnables pour réduire la probabilité que ces effets se produisent ou pour les atténuer ou les éliminer;d)de se conformer à toute autre exigence réglementaire.Consignation(5)L’organisation consigne la description de l’intérêt légitime. Sur demande de la Commission, elle lui donne accès à la description et à l’évaluation des facteurs relatifs à la vie privée, ou lui remet une copie de celles-ci.

Transfert à des fournisseurs de services19L’organisation peut transférer à des fournisseurs de services les renseignements personnels d’un individu à son insu ou sans son consentement.

Renseignements dépersonnalisés ou anonymisés20L’organisation peut utiliser les renseignements personnels d’un individu, à son insu ou sans son consentement, afin de les dépersonnaliser ou de les anonymiser.

Recherche, analyse et développement21L’organisation peut utiliser les renseignements personnels d’un individu à son insu ou sans son consentement à des fins de recherche, d’analyse et de développement internes, s’ils sont dépersonnalisés avant leur utilisation.

Transaction commerciale éventuelle22(1)Les organisations qui seront parties à une éventuelle transaction commerciale peuvent utiliser et communiquer les renseignements personnels d’un individu à son insu ou sans son consentement, si, à la fois : a)les renseignements personnels sont dépersonnalisés avant l’utilisation ou la communication, selon le cas, et le demeurent jusqu’à ce que la transaction soit effectuée;b)les organisations ont conclu un accord aux termes duquel l’organisation recevant des renseignements s’est engagée : (i)à ne les utiliser et à ne les communiquer qu’à des fins liées à la transaction,(ii)à les protéger au moyen de mesures de sécurité proportionnelles à la mesure dans laquelle ils sont de caractère sensible,(iii)si la transaction n’aura pas lieu, à les remettre à l’organisation qui les lui a communiqués ou à procéder à leur retrait, dans un délai raisonnable;c)les organisations se conforment à l’accord;d)les renseignements sont nécessaires pour décider si la transaction aura lieu et, le cas échéant, pour l’effectuer.Exception : alinéa (1)a)(2)L’organisation n’est pas tenue de respecter l’exigence prévue à l’alinéa (1)a) si cela nuit aux objectifs de l’éventuelle transaction commerciale et que l’organisation a tenu compte du risque de préjudice pour l’individu que pourrait entraîner l’utilisation ou la communication.Transaction commerciale effectuée(3)Si la transaction commerciale est effectuée, les organisations y étant parties peuvent utiliser et communiquer les renseignements personnels mentionnés au paragraphe (1), à l’insu d’un individu ou sans son consentement si, à la fois : a)elles ont conclu un accord aux termes duquel chacune d’entre elles s’est engagée : (i)à n’utiliser et ne communiquer les renseignements personnels qui relèvent d’elle qu’aux fins auxquelles ils ont été recueillis ou auxquelles il était permis de les utiliser ou de les communiquer avant que la transaction ne soit effectuée,(ii)à les protéger au moyen de mesures de sécurité proportionnelles à la mesure dans laquelle ils sont de caractère sensible,(iii)à donner effet à tout retrait de consentement fait en conformité avec le paragraphe 17(1);b)elles se conforment à l’accord;c)les renseignements sont nécessaires à la poursuite de l’entreprise ou des activités faisant l’objet de la transaction;d)dans un délai raisonnable après que la transaction a été effectuée, l’une des parties avise l’individu du fait que la transaction a été effectuée et que ses renseignements personnels ont été communiqués en vertu du paragraphe (1).Exception(4)Les paragraphes (1) et (3) ne s’appliquent pas à l’égard de la transaction commerciale dont l’objectif premier ou le résultat principal est l’achat, la vente ou toute autre forme d’acquisition ou de disposition de renseignements personnels, ou leur location.

Renseignement produit par l’individu23L’organisation peut recueillir, utiliser ou communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, s’il s’agit d’un renseignement qui est produit par l’individu dans le cadre de son emploi, de son entreprise ou de sa profession et dont la collecte, l’utilisation ou la communication est compatible avec les fins auxquelles il a été produit.

Relation d’emploi : entreprise fédérale24Dans le cadre d’une entreprise fédérale, l’organisation peut recueillir, utiliser ou communiquer les renseignements personnels d’un individu sans son consentement, si à la fois : a)la collecte, l’utilisation ou la communication est nécessaire pour établir ou gérer la relation d’emploi entre l’individu et l’organisation, ou pour y mettre fin;b)l’organisation a informé l’individu que ses renseignements personnels seraient ou pourraient être recueillis, utilisés ou communiqués à ces fins.

Communication à un avocat ou un notaire25L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, à l’avocat — ou, au Québec, à l’avocat ou au notaire — qui la représente.

Déclaration d’un témoin26L’organisation peut recueillir, utiliser ou communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, s’ils sont contenus dans la déclaration d’un témoin et que la collecte, l’utilisation ou la communication est nécessaire en vue de l’évaluation d’une réclamation d’assurance, de son traitement ou de son règlement.

Prévention, détection et suppression de la fraude27(1)L’organisation peut, si la communication est raisonnable, communiquer à une autre organisation les renseignements personnels d’un individu, à son insu ou sans son consentement, en vue de la détection d’une fraude ou de sa suppression ou en vue de la prévention d’une fraude dont la commission est vraisemblable, s’il est raisonnable de s’attendre à ce que la communication effectuée au su ou avec le consentement de l’individu compromette la capacité de prévenir la fraude, de la détecter ou d’y mettre fin.Collecte ou utilisation(2)L’organisation peut recueillir ou utiliser les renseignements personnels d’un individu qui lui sont communiqués au titre du paragraphe (1) à l’insu ou sans le consentement de cet individu.

Recouvrement de créances28L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, en vue du recouvrement d’une créance qu’elle a contre lui.

Intérêt public

Intérêt de l’individu29(1)L’organisation peut recueillir les renseignements personnels d’un individu, à son insu ou sans son consentement, lorsque la collecte des renseignements est manifestement dans l’intérêt de l’individu et le consentement ne peut être obtenu auprès de celui-ci en temps opportun.Utilisation(2)L’organisation peut utiliser les renseignements personnels d’un individu, à son insu ou sans son consentement, s’ils ont été recueillis au titre du paragraphe (1).

Situation d’urgence : utilisation30L’organisation peut utiliser les renseignements personnels d’un individu, à son insu ou sans son consentement, pour répondre à une situation d’urgence mettant en danger la vie, la santé ou la sécurité de tout individu.

Situation d’urgence : communication31L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, à toute personne qui en a besoin en raison d’une situation d’urgence mettant en danger la vie, la santé ou la sécurité de tout individu. Dans le cas où l’individu dont les renseignements ont été communiqués est vivant, l’organisation l’en informe par écrit et sans délai.

Identification d’un individu32L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, lorsque la communication est nécessaire aux fins d’identification de l’individu qui est blessé, malade ou décédé et qu’elle est faite à une institution gouvernementale ou à une subdivision d’une telle institution, à un proche parent de l’individu ou à son représentant autorisé. Dans le cas où l’individu est vivant, l’organisation l’en informe par écrit et sans délai.

Communication : proche parent ou représentant autorisé33L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, à l’institution gouvernementale — ou la subdivision d’une telle institution — qui les a demandés en mentionnant la source de l’autorité légitime étayant son droit de les obtenir et le fait que la communication est faite afin d’entrer en contact avec un proche parent d’un individu blessé, malade ou décédé, ou avec son représentant autorisé.

Exploitation financière34L’organisation peut communiquer, de sa propre initiative, les renseignements personnels d’un individu, à son insu ou sans son consentement, à une institution gouvernementale ou à une subdivision d’une telle institution, à un proche parent de l’individu ou à son représentant autorisé, si les conditions suivantes sont remplies : a)l’organisation a des motifs raisonnables de croire que l’individu a été, est ou pourrait être victime d’exploitation financière;b)la communication est faite uniquement à des fins liées à la prévention de l’exploitation ou à une enquête sur celle-ci;c)il est raisonnable de s’attendre à ce que la communication effectuée au su ou avec le consentement de l’individu compromette la capacité de prévenir l’exploitation ou d’enquêter sur celle-ci.

Importance historique ou archivistique35L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, à l’institution dont les attributions comprennent la conservation de documents ayant une importance historique ou archivistique en vue d’une telle conservation.

Communication après une période de temps36L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, cent ans après la constitution du document les contenant ou vingt ans après le décès de l’individu, selon celle de ces périodes qui se termine la première.

Fins journalistiques, artistiques ou littéraires37L’organisation peut recueillir les renseignements personnels d’un individu, à son insu ou sans son consentement, lorsque la collecte est faite uniquement à des fins journalistiques, artistiques ou littéraires.

Enquêtes

Violation d’un accord ou contravention au droit38(1)L’organisation peut recueillir les renseignements personnels d’un individu, à son insu ou sans son consentement, s’il est raisonnable de s’attendre à ce que la collecte effectuée au su ou avec le consentement de l’individu compromette l’exactitude des renseignements ou l’accès à ceux-ci, et si la collecte est raisonnable eu égard à une enquête sur la violation d’un accord ou la contravention au droit fédéral ou provincial.Utilisation(2)L’organisation peut utiliser les renseignements personnels d’un individu, à son insu ou sans son consentement, s’ils ont été recueillis au titre du paragraphe (1).Communication(3)L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, lorsque la communication est faite à une autre organisation et raisonnable eu égard à une enquête sur la violation d’un accord ou sur la contravention au droit fédéral ou provincial qui a été commise ou est en train ou sur le point de l’être, s’il est raisonnable de s’attendre à ce que la communication effectuée au su ou avec le consentement de l’individu compromette l’enquête.

Utilisation à des fins d’enquête39L’organisation peut utiliser les renseignements personnels d’un individu, à son insu ou sans son consentement, si, dans le cadre de ses activités, elle découvre l’existence de renseignements dont elle a des motifs raisonnables de croire qu’ils pourraient être utiles à une enquête sur une contravention au droit fédéral, provincial ou étranger qui a été commise ou est en train ou sur le point de l’être et si l’utilisation est faite en vue d’enquêter sur cette contravention.

Atteinte aux mesures de sécurité40L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement si : a)d’une part, la communication est faite à l’autre organisation, ou à l’institution gouvernementale ou subdivision d’une telle institution qui a été avisée de l’atteinte en application du paragraphe 59(1);b)d’autre part, elle n’est faite que pour réduire le risque de préjudice pour l’individu qui pourrait résulter de l’atteinte ou atténuer ce préjudice.

Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes41(1)L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, si la communication est faite à une autre organisation au titre du paragraphe 11.01(1) de la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes.Collecte(2)L’organisation peut recueillir les renseignements personnels d’un individu, à son insu ou sans son consentement, s’ils lui sont communiqués au titre du paragraphe (1).Utilisation(3)L’organisation peut utiliser les renseignements personnels d’un individu, à son insu ou sans son consentement, s’ils ont été recueillis au titre du paragraphe (2).

Communication à une institution gouvernementale

Application du droit : demande de l’institution gouvernementale42L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, à l’institution gouvernementale — ou à la subdivision d’une telle institution — qui les a demandés en mentionnant la source de l’autorité légitime étayant son droit de les obtenir et le fait que la communication est demandée pour l’application du droit fédéral ou provincial.

Contrôle d’application : demande de l’institution gouvernementale43L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, à l’institution gouvernementale — ou à la subdivision d’une telle institution — qui les a demandés en mentionnant la source de l’autorité légitime étayant son droit de les obtenir et le fait que la communication est demandée aux fins du contrôle d’application du droit fédéral, provincial ou étranger, de la tenue d’enquêtes liées à ce contrôle d’application ou de la collecte de renseignements en matière de sécurité en vue de ce contrôle d’application.

Contravention au droit : sur initiative de l’organisation44L’organisation peut, de sa propre initiative, communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, à une institution gouvernementale ou à une subdivision d’une telle institution si l’organisation a des motifs raisonnables de croire que les renseignements concernent une contravention au droit fédéral, provincial ou étranger qui a été commise ou est en train ou sur le point de l’être.

Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes45L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, lorsque la communication est faite au titre de l’article 7 de la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes à l’institution gouvernementale mentionnée à cet article.

Sécurité nationale, défense et affaires internationales : demande de l’institution gouvernementale46(1)L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, à l’institution gouvernementale — ou à la subdivision d’une telle institution — qui les a demandés en mentionnant la source de l’autorité légitime étayant son droit de les obtenir et le fait qu’elle soupçonne qu’ils concernent la sécurité nationale, la défense du Canada ou la conduite des affaires internationales.Collecte(2)L’organisation peut recueillir les renseignements personnels d’un individu, à son insu ou sans son consentement, en vue de la communication visée au paragraphe (1).Utilisation(3)L’organisation peut utiliser les renseignements personnels d’un individu, à son insu ou sans son consentement, s’ils ont été recueillis au titre du paragraphe (2).

Sécurité nationale, défense et affaires internationales : initiative de l’organisation47(1)L’organisation peut, de sa propre initiative, communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, à une institution gouvernementale ou une subdivision d’une telle institution si elle soupçonne que les renseignements concernent la sécurité nationale, la défense du Canada ou la conduite des affaires internationales.Collecte(2)L’organisation peut recueillir les renseignements personnels d’un individu, à son insu ou sans son consentement, en vue de la communication visée au paragraphe (1).Utilisation(3)L’organisation peut utiliser les renseignements personnels d’un individu, à son insu ou sans son consentement, s’ils ont été recueillis au titre du paragraphe (2).

Exigence de la loi

Collecte en vue d’une communication exigée par la loi48(1)L’organisation peut recueillir les renseignements personnels d’un individu, à son insu ou sans son consentement, lorsque la collecte est faite en vue d’une communication exigée par la loi.Utilisation(2)L’organisation peut utiliser les renseignements personnels d’un individu, à son insu ou sans son consentement, s’ils ont été recueillis au titre du paragraphe (1).Communication(3)L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, lorsque la communication est exigée par la loi.

Assignation, mandat ou ordonnance49L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, lorsque la communication est exigée par assignation, mandat ou ordonnance d’un tribunal, d’une personne ou d’un organisme ayant le pouvoir de contraindre à la production de renseignements ou par des règles de procédure se rapportant à la production de documents.

Renseignements publics

Renseignements réglementaires50L’organisation peut recueillir, utiliser ou communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, s’il s’agit de renseignements personnels précisés par les règlements, auxquels le public a accès.

Non-application de certaines exceptions : adresse électronique et programme d’ordinateur

Définitions51(1)Les définitions qui suivent s’appliquent au présent article.adresse électronique Toute adresse utilisée relativement à l’un des comptes suivants : a)un compte courriel;b)un compte de messagerie instantanée;c)tout autre compte similaire. (electronic address)ordinateur S’entend au sens du paragraphe 342.1(2) du Code criminel. (computer system)programme d’ordinateur S’entend au sens du paragraphe 342.1(2) du Code criminel. (computer program)utiliser S’agissant d’un ordinateur ou d’un réseau informatique, le programmer, lui faire exécuter un programme, communiquer avec lui, y mettre en mémoire, ou en extraire, des données ou utiliser ses ressources de toute autre façon, notamment ses données et ses programmes. (access)Collecte et utilisation d’adresses électroniques(2)L’organisation ne peut se prévaloir des articles 18, 23 ou 26, du paragraphe 29(1) ou des articles 30, 37, 39 ou 50 si elle recueille l’adresse électronique d’un individu, à son insu ou sans son consentement, à l’aide d’un programme d’ordinateur conçu ou mis en marché principalement pour produire ou rechercher des adresses électroniques et les recueillir, ou si elle utilise une adresse électronique ainsi recueillie.Collecte et utilisation de renseignements personnels(3)L’organisation ne peut se prévaloir des articles 18, 23 ou 26, du paragraphe 29(1), des articles 30 ou 37, du paragraphe 38(1) ou des articles 39 ou 50 si elle recueille, par tout moyen de télécommunication, les renseignements personnels d’un individu, à son insu ou sans son consentement en utilisant ou faisant utiliser un ordinateur en contravention d’une loi fédérale, ou si elle utilise des renseignements personnels ainsi recueillis.Consentement implicite(4)Malgré le paragraphe 15(5), l’organisation ne peut conclure que l’individu a implicitement consenti à la collecte ou à l’utilisation mentionnée aux paragraphes (2) ou (3).

Conservation et retrait des renseignements personnels

Durée de conservation et retrait52(1)L’organisation ne conserve des renseignements personnels que le temps nécessaire : a)pour réaliser les fins auxquelles ils ont été recueillis, utilisés ou communiqués;b)pour respecter les exigences de la présente loi, du droit fédéral ou provincial ou de toute restriction contractuelle raisonnable.L’organisation procède ensuite, dès que possible, à leur retrait.Renseignements personnels de caractère sensible(2)Pour l’application de l’alinéa (1)a), lorsqu’elle établit la durée de la période de conservation, l’organisation tient compte de la mesure dans laquelle les renseignements personnels sont de caractère sensible.

Renseignements personnels utilisés pour prendre une décision53L’organisation qui utilise des renseignements personnels pour prendre une décision concernant un individu conserve ces renseignements suffisamment longtemps pour permettre à l’individu de présenter une demande au titre de l’article 63.

Retrait à la demande de l’individu54(1)L’organisation qui reçoit d’un individu une demande écrite de retrait des renseignements personnels qui le concernent et qui relèvent d’elle, procède dès que possible à leur retrait si, selon le cas : a)les renseignements ont été recueillis, utilisés ou communiqués en contravention de la présente loi;b)l’individu a retiré son consentement, en tout ou en partie, à la collecte, à l’utilisation ou à la communication des renseignements;c)les renseignements ne sont plus nécessaires à la fourniture continue du bien ou à la prestation continue du service demandé par l’individu.Exception(2)L’organisation peut refuser de procéder au retrait dans les cas visés aux alinéas (1)b) ou c) qui remplissent l’une ou l’autre des conditions suivantes : a)le retrait entraînerait celui des renseignements personnels d’un autre individu et ces renseignements ne peuvent être retranchés sans imposer à l’organisation un fardeau injustifié;b)d’autres exigences de la présente loi ou du droit fédéral ou provincial ou une restriction contractuelle raisonnable l’empêchent de procéder au retrait;c)les renseignements sont nécessaires à l’établissement d’une défense juridique ou à l’exercice d’autres recours juridiques par l’organisation;d)ils ne concernent pas un enfant et leur retrait aurait un effet négatif excessif sur l’intégrité ou l’exactitude des renseignements nécessaires à la fourniture continue d’un produit ou à la prestation continue d’un service à l’individu concerné;e)la demande est vexatoire ou entachée de mauvaise foi;f)le retrait des renseignements aurait un effet négatif excessif pour l’organisation qui l’emporte sur tout effet négatif que la conservation peut avoir pour l’individu.Exception(3)L’organisation n’est pas tenue de procéder au retrait de renseignements personnels dépersonnalisés.Refus motivé(4)L’organisation qui refuse de procéder au retrait des renseignements personnels d’un individu notifie par écrit son refus motivé à l’individu et l’informe des recours prévus à l’article 73 et au paragraphe 97(1). En outre, dans le cas d’un refus au titre de l’alinéa (2)f), elle notifie par écrit son refus motivé à la Commission.Retrait des renseignements personnels transférés(5)L’organisation qui procède au retrait des renseignements personnels d’un individu informe, dès que possible, tout fournisseur de services à qui elle a transféré les renseignements et veille à ce que celui-ci procède à leur retrait.

Exactitude des renseignements personnels

Exactitude des renseignements55(1)L’organisation prend toutes les mesures raisonnables pour que les renseignements personnels qui relèvent d’elle soient aussi à jour, exacts et complets que l’exige la réalisation des fins auxquelles ils ont été recueillis, utilisés ou communiqués.Exception(2)L’organisation n’est pas tenue de prendre de telles mesures relativement à des renseignements personnels dépersonnalisés.Critères(3)L’organisation détermine la mesure dans laquelle les renseignements personnels doivent être à jour, exacts et complets en tenant compte des intérêts de l’individu concerné et notamment : a)de la possibilité que les renseignements servent à prendre une décision concernant l’individu;b)du fait que les renseignements servent sur une base régulière;c)du fait que les renseignements sont communiqués à des tiers.Mise à jour systématique(4)Sauf si cela est nécessaire à la réalisation des fins auxquelles ils sont recueillis, utilisés ou communiqués, l’organisation ne met pas systématiquement à jour les renseignements personnels.

Mesures de sécurité

Mesures de sécurité56(1)L’organisation protège les renseignements personnels au moyen de mesures de sécurité matérielles, organisationnelles et techniques. Le degré de protection des renseignements personnels est proportionnel à la mesure dans laquelle les renseignements sont de caractère sensible.Éléments à prendre en compte(2)Les mesures de sécurité établies par l’organisation tiennent également compte de la quantité, de la répartition, du format et de la méthode de stockage des renseignements, ainsi que de toute répercussion raisonnablement prévisible sur la vie privée d’un individu que le transfert des renseignements à un fournisseur de service pourrait avoir.Portée des mesures de sécurité(3)Les mesures de sécurité protègent les renseignements personnels contre, entre autres, la perte ou le vol ainsi que l’accès, la communication, la copie, l’utilisation ou la modification non autorisés et elles comprennent notamment des mesures raisonnables d’authentification de l’identité de l’individu auquel ces renseignements se rapportent.

Communication ou transfert à l’extérieur du Canada57(1)Avant de communiquer ou de transférer des renseignements personnels à l’extérieur du Canada, l’organisation, à la fois : a)procède, en conformité avec les exigences réglementaires, à une évaluation des facteurs relatifs à la vie privée;b)met en place des mesures de réduction des risques cerner dans le cadre de cette évaluation, y compris des mesures contractuelles de protection de la vie privée, l’adhérence à un code de pratique ou à un processus de certification approuvés par la Section ou toute autre mesure réglementaire.Copie de l’évaluation à la Commission(2)Sur demande de la Commission, l’organisation lui donne accès à l’évaluation ou lui en remet une copie.

Déclaration à la Commission58(1)L’organisation déclare à la Commission toute atteinte aux mesures de sécurité qui a trait à des renseignements personnels qui relèvent de l’organisation s’il est raisonnable de croire que, dans les circonstances, l’atteinte présente un risque réel de préjudice grave à l’endroit d’un individu.Modalités de la déclaration(2)La déclaration contient les renseignements réglementaires et est faite, selon les modalités réglementaires, dès que possible après que l’organisation a conclu qu’il y a eu atteinte.Avis à l’individu(3)À moins qu’une règle de droit ne l’interdise, l’organisation est tenue d’aviser l’individu de toute atteinte aux mesures de sécurité qui a trait à des renseignements personnels le concernant qui relèvent d’elle s’il est raisonnable de croire, dans les circonstances, que l’atteinte présente un risque réel de préjudice grave à l’endroit de l’individu.Contenu de l’avis(4)L’avis contient suffisamment d’information pour permettre à l’individu de comprendre l’importance, pour lui, de l’atteinte et de prendre, si possible, des mesures pour réduire le risque de préjudice qui pourrait en résulter ou pour atténuer ce préjudice. Il contient aussi tout autre renseignement réglementaire.Modalités de l’avis(5)L’avis est manifeste et donné à l’individu directement, selon les modalités réglementaires. Dans les circonstances réglementaires, il est donné indirectement, selon les modalités réglementaires.Délai de l’avis(6)L’avis est donné dès que possible après que l’organisation a conclu qu’il y a eu atteinte.Définition de préjudice grave(7)Pour l’application du présent article, préjudice grave vise notamment la lésion corporelle, l’humiliation, le dommage à la réputation ou aux relations, la perte financière, le vol d’identité, l’effet négatif sur le dossier de crédit, le dommage aux biens ou leur perte et la perte de possibilités d’emploi ou d’occasions d’affaires ou d’activités professionnelles.Risque réel de préjudice grave : éléments(8)Les éléments servant à établir si une atteinte aux mesures de sécurité présente un risque réel de préjudice grave à l’endroit de l’individu sont notamment la mesure dans laquelle les renseignements personnels en cause sont de caractère sensible, la probabilité que les renseignements aient été ou seront mal utilisés ou soient en train de l’être et tout autre élément réglementaire.

Avis à une organisation59(1)L’organisation qui, en application du paragraphe 58(3), avise un individu d’une atteinte aux mesures de sécurité est tenue d’en aviser également toute autre organisation, ou toute institution gouvernementale ou subdivision d’une telle institution, si elle croit que l’autre organisation, l’institution ou la subdivision peut être en mesure de réduire le risque de préjudice pouvant résulter de l’atteinte ou d’atténuer ce préjudice, ou s’il est satisfait à une ou plusieurs conditions réglementaires.Délai(2)L’organisation donne l’avis dès que possible après avoir conclu qu’il y a eu atteinte.

Registre60(1)L’organisation tient et conserve, conformément aux exigences réglementaires, un registre de toutes les atteintes aux mesures de sécurité qui ont trait à des renseignements personnels qui relèvent d’elle.Accès au registre : Commission(2)Sur demande de la Commission, l’organisation lui donne accès à son registre ou lui en remet copie.

Fournisseur de services61Le fournisseur de services qui conclut à une atteinte aux mesures de sécurité ayant trait à des renseignements personnels avise dès que possible l’organisation de laquelle ils relèvent.

Ouverture et transparence

Politiques et pratiques62(1)L’organisation rend facilement accessibles, dans un langage clair, des renseignements expliquant les politiques et les pratiques qu’elle a mises en place afin de respecter les obligations qui lui incombent sous le régime de la présente loi.Renseignements obligatoires(2)À cet égard, l’organisation rend accessibles les renseignements suivants : a)la description du type de renseignements personnels qui relèvent d’elle;b)une explication générale de l’usage qui est fait des renseignements personnels et de la façon dont l’organisation applique les exceptions à l’obligation d’obtenir le consentement d’un individu prévues à la présente loi, notamment une description des activités mentionnées au paragraphe 18(3) dans lesquelles elle a un intérêt légitime;c)une explication générale de l’usage qu’elle fait des systèmes décisionnels automatisés pour faire des prédictions, formuler des recommandations ou prendre des décisions qui pourraient avoir des effets juridiques pour les individus concernés ou qui, de façon similaire, pourraient avoir une incidence importante sur ces derniers;d)le fait qu’elle effectue ou non des transferts ou des communications de renseignements personnels interprovinciaux ou à l’extérieur du Canada pouvant avoir des répercussions raisonnablement prévisibles sur la vie privée;e)les périodes de conservation établies pour les renseignements personnels de caractère sensible;f)la manière de présenter, au titre de l’article 54, une demande de retrait de renseignements personnels ou, au titre de l’article 63, une demande d’accès aux renseignements personnels;g)les coordonnées d’affaires de l’individu à qui les demandes de renseignements et les plaintes peuvent être acheminées.

Accès et rectification

Information et accès63(1)Sur demande de l’individu, l’organisation lui indique si elle détient des renseignements personnels qui le concernent, quel est l’usage qu’elle en fait et si elle les a communiqués. Elle les met à sa disposition.Exception(2)L’organisation n’est pas tenue de donner suite à la demande faite relativement à des renseignements personnels dépersonnalisés.Nom des tiers ou catégories de tiers(3)Si l’organisation a communiqué les renseignements, elle fournit à l’individu le nom des tiers ou les catégories de tiers auxquels ils ont été communiqués, et ce, même lorsqu’elle les a communiqués sans son consentement.Système décisionnel automatisé(4)Si l’organisation a utilisé un système décisionnel automatisé pour faire une prédiction, formuler une recommandation ou prendre une décision concernant l’individu et que la prédiction, la recommandation ou la décision pourrait avoir des effets juridiques pour lui ou pourrait, de façon similaire, avoir une incidence importante sur lui, elle lui en fournit, à sa demande, une explication.Explication(5)L’explication indique le type de renseignements personnels utilisés pour faire la prédiction, formuler la recommandation ou prendre la décision, la provenance de ces renseignements ainsi que les motifs ou les principaux facteurs ayant mené à la prédiction, à la recommandation ou à la décision.Observations(6)L’organisation donne à l’individu l’occasion de présenter, par écrit, ses observations à un employé de l’organisation en mesure de réviser la prédiction, la recommandation ou la décision.

Demande par écrit64(1)La demande mentionnée à l’article 63 est présentée par écrit.Aide à fournir(2)Sur requête de l’individu, l’organisation lui fournit l’aide dont il a besoin pour préparer sa demande.

Renseignements nécessaires65L’organisation peut exiger de l’individu qu’il lui fournisse suffisamment de renseignements pour satisfaire à ses obligations prévues à l’article 63.

Langage clair66(1)L’organisation fournit l’information mentionnée à l’article 63 dans un langage clair.Déficience sensorielle(2)Pour l’application de l’article 63, l’organisation met à la disposition de l’individu ayant une déficience sensorielle qui en fait la demande les renseignements personnels le concernant sur support de substitution dans l’un ou l’autre des cas suivants : a)une version des renseignements visés existe déjà sur un tel support;b)leur transfert sur un tel support est raisonnable et nécessaire pour que l’individu puisse exercer les droits qui lui sont conférés sous le régime de la présente loi.Renseignements médicaux de caractère sensible(3)Dans le cas de renseignements médicaux de caractère sensible, l’organisation peut mettre ces renseignements à la disposition du demandeur par l’intermédiaire d’un médecin.

Délai de réponse67(1)L’organisation saisie de la demande mentionnée à l’article 63 doit y donner suite avec la diligence voulue et, au plus tard, dans les trente jours suivant sa réception.Prorogation du délai(2)Elle peut toutefois proroger le délai : a)d’une période maximale de trente jours lorsque : (i)ou bien l’observation du délai entraverait déraisonnablement l’activité de l’organisation,(ii)ou bien toute consultation nécessaire pour donner suite à la demande rendrait pratiquement impossible l’observation du délai;b)de la période nécessaire au transfert des renseignements personnels visés sur support de substitution.Dans l’un ou l’autre cas, l’organisation envoie au demandeur, dans les trente jours suivant la réception de la demande, un avis de prorogation l’informant du nouveau délai, des motifs de la prorogation et de son droit de déposer auprès du commissaire une plainte à propos de la prorogation.Refus motivé(3)L’organisation qui refuse, dans le délai prévu, d’acquiescer à la demande notifie par écrit au demandeur son refus motivé et l’informe des recours prévus à l’article 73 et au paragraphe 97(1).Présomption(4)Faute de répondre dans le délai prévu, l’organisation est réputée avoir refusé d’acquiescer à la demande.

Coût68L’organisation peut exiger des droits pour répondre à la demande mentionnée à l’article 63 si, à la fois, elle informe le demandeur du montant approximatif de ceux-ci, celui-ci l’avise qu’il ne retire pas sa demande et les droits exigés sont minimes.

Conservation des renseignements69L’organisation qui détient des renseignements personnels visés par une demande mentionnée à l’article 63 les conserve le temps nécessaire pour permettre au demandeur d’épuiser tous les recours qu’il a en vertu de la présente loi.

Cas où la communication est interdite70(1)Malgré l’article 63, l’organisation ne peut mettre à la disposition du demandeur des renseignements personnels qui révéleraient vraisemblablement des renseignements personnels sur un autre individu. Toutefois, si ces derniers renseignements peuvent être retranchés sans que cela impose un fardeau injustifié à l’organisation, celle-ci est tenue de les retrancher puis de mettre à la disposition du demandeur les renseignements le concernant.Non-application(2)Le paragraphe (1) ne s’applique pas si l’autre individu consent à ce que ses renseignements personnels soient mis à la disposition du demandeur ou si le demandeur a besoin des renseignements parce que la vie, la santé ou la sécurité d’un individu est en danger.Renseignements relatifs à certaines exceptions à l’obligation d’obtenir le consentement(3)L’organisation est tenue de se conformer au paragraphe (4) si le demandeur lui demande : a)de l’aviser, selon le cas : (i)de toute communication faite à une institution gouvernementale ou à une subdivision d’une telle institution en vertu des articles 43, 44 ou 45, des paragraphes 46(1) ou 47(1) ou de l’article 49,(ii)de l’existence de renseignements détenus par l’organisation relatifs soit à toute communication visée au sous-alinéa (i), soit à une assignation, à un mandat ou à une ordonnance visé à l’article 49, soit à une demande de communication faite par une institution gouvernementale ou une subdivision d’une telle institution en vertu de l’article 43 ou du paragraphe 46(1);b)de mettre à sa disposition les renseignements visés au sous-alinéa a)(ii).Notification et réponse(4)Le cas échéant, l’organisation : a)notifie par écrit et sans délai la demande à l’institution gouvernementale concernée ou à la subdivision d’une telle institution;b)ne peut donner suite à la demande avant la date de réception de l’avis prévu au paragraphe (5) ou, s’il est antérieur, le trentième jour suivant celle à laquelle l’institution ou la subdivision reçoit la notification.Opposition(5)Dans les trente jours suivant la date à laquelle la demande lui est notifiée, l’institution ou la subdivision avise l’organisation du fait qu’elle s’oppose ou non à ce que celle-ci acquiesce à la demande. Elle ne peut s’y opposer que si elle est d’avis que faire droit à la demande risquerait vraisemblablement de nuire : a)à la sécurité nationale, à la défense du Canada ou à la conduite des affaires internationales;b)à la détection, à la prévention ou à la dissuasion en matière de recyclage des produits de la criminalité ou de financement des activités terroristes;c)au contrôle d’application du droit canadien, provincial ou étranger, à une enquête liée à ce contrôle d’application ou à la collecte de renseignements en matière de sécurité en vue de ce contrôle d’application.Refus d’acquiescer à la demande(6)Malgré l’article 63, si elle est informée que l’institution ou la subdivision s’oppose à ce qu’elle acquiesce à la demande, l’organisation : a)refuse d’y acquiescer dans la mesure où la demande est visée à l’alinéa (3)a) ou se rapporte à des renseignements visés au sous-alinéa (3)a)(ii);b)avise du refus la Commission par écrit et sans délai;c)ne met pas à la disposition du demandeur les renseignements qu’elle détient et qui se rapportent à toute communication faite à une institution gouvernementale ou à une subdivision d’une telle institution en vertu des articles 43, 44 ou 45, des paragraphes 46(1) ou 47(1) ou de l’article 49 ou à une demande de communication faite par une institution gouvernementale ou une subdivision d’une telle institution en vertu de cet article 43 ou de ce paragraphe 46(1);d)ne fournit pas au demandeur le nom de l’institution gouvernementale ou de la subdivision d’une telle institution — ou la catégorie d’institution gouvernementale ou de subdivision d’une telle institution — à laquelle les renseignements ont été communiqués;e)ne communique pas au demandeur le fait qu’il y a eu notification de la demande à l’institution gouvernementale ou à une subdivision d’une telle institution en application de l’alinéa (4)a), que celle-ci s’oppose à ce que l’organisation acquiesce à la demande et que la Commission a été avisée en application de l’alinéa b).Cas où la communication peut être refusée(7)Malgré l’article 63, l’organisation n’est pas tenue de mettre à la disposition du demandeur des renseignements personnels dans les cas suivants : a)les renseignements sont protégés par le secret professionnel de l’avocat ou du notaire ou par le privilège relatif au litige;b)cela révélerait des renseignements commerciaux confidentiels;c)cela risquerait vraisemblablement de nuire à la vie ou la sécurité d’un autre individu;d)les renseignements ont été recueillis au titre du paragraphe 38(1);e)les renseignements ont été produits uniquement à l’occasion d’un règlement officiel des différends;f)les renseignements ont été créés en vue de faire une divulgation au titre de la Loi sur la protection des fonctionnaires divulgateurs d’actes répréhensibles ou dans le cadre d’une enquête menée sur une divulgation en vertu de cette loi.Toutefois, dans les cas visés aux alinéas b) ou c), s’il est possible de retrancher les renseignements commerciaux confidentiels ou les renseignements dont la communication risquerait vraisemblablement de nuire à la vie ou la sécurité d’un autre individu sans que cela impose un fardeau injustifié à l’organisation, celle-ci est tenue de mettre à la disposition du demandeur les renseignements personnels en retranchant ces renseignements.Non-application(8)Le paragraphe (7) ne s’applique pas si le demandeur a besoin des renseignements parce que la vie, la santé ou la sécurité d’un individu est en danger.Avis(9)Si elle décide de ne pas communiquer les renseignements dans le cas visé à l’alinéa (7)d), l’organisation en avise par écrit la Commission et lui fournit les renseignements que celle-ci peut préciser.

Modification des renseignements personnels71(1)Si, après avoir consulté les renseignements personnels le concernant, l’individu démontre à l’organisation qu’ils sont désuets, inexacts ou incomplets, celle-ci apporte les modifications requises.Exception(2)L’organisation n’est pas tenue de modifier les renseignements personnels dépersonnalisés.Tiers qui ont accès(3)L’organisation transmet, s’il y a lieu, les renseignements modifiés à tout tiers qui y a accès.Consignation de la décision(4)Si l’organisation et l’individu ne peuvent s’entendre sur les modifications à apporter aux renseignements, l’organisation consigne le désaccord et, s’il y a lieu, en informe les tiers qui ont accès aux renseignements.

Mobilité des renseignements personnels

Cadre de mobilité des données72(1)Sous réserve des règlements, l’organisation, à la demande de l’individu auprès duquel elle a recueilli des renseignements personnels, communique dès que possible ces renseignements à l’organisation que l’individu désigne si les deux organisations sont assujetties à un cadre de mobilité des données.Exception(2)L’organisation n’est pas tenue de communiquer les renseignements personnels dépersonnalisés.

Contestation de la conformité

Plaintes et demandes de renseignements73(1)L’individu peut déposer une plainte ou une demande de renseignements auprès de l’organisation à l’égard de sa conformité à la présente partie. L’organisation donne suite aux plaintes et aux demandes de renseignements qu’elle reçoit.Manière de présenter une plainte ou une demande(2)L’organisation rend facilement accessibles les renseignements portant sur la manière de présenter une telle plainte ou une telle demande.Enquête des plaintes(3)L’organisation enquête sur toutes les plaintes qu’elle reçoit et effectue tout changement nécessaire à ses politiques, ses pratiques et ses procédures à la suite de l’enquête.

Renseignements dépersonnalisés

Proportionnalité des procédés techniques et administratifs74Lorsque l’organisation dépersonnalise des renseignements personnels, elle tient compte, lors de l’utilisation des procédés techniques et administratifs, du risque qu’un individu puisse être identifié et veille à ce que ces procédés soient proportionnels aux fins auxquelles ces renseignements sont dépersonnalisés et au caractère sensible des renseignements personnels.

Interdiction75Il est interdit à toute organisation d’utiliser des renseignements personnels dépersonnalisés, seuls ou en combinaison avec d’autres renseignements, afin d’identifier un individu, sauf dans les cas suivants : a)elle le fait pour vérifier l’efficacité des mesures de sécurité mises en place;b)les renseignements personnels ont été dépersonnalisés uniquement à des fins de protection;c)l’organisation a obtenu le consentement valide de l’individu concerné;d)une des exceptions prévues aux articles 18, 23, 24 et 26, aux paragraphes 27(2) et 29(2), à l’article 30, au paragraphe 38(2) et à l’article 50, relatives à l’utilisation des renseignements personnels d’un individu, s’applique;e)les renseignements personnels sont utilisés uniquement à des fins d’anonymisation au titre de l’article 20;f)elle le fait pour se conformer aux exigences prévues sous le régime de la présente loi ou à celles du droit fédéral ou provincial;g)elle le fait pour vérifier l’équité et l’exactitude des modèles, des processus et des systèmes élaborés à l’aide des renseignements personnels dépersonnalisés;h)elle le fait pour vérifier l’efficacité de ses processus de dépersonnalisation;i)elle le fait à une fin ou dans une situation approuvées par la Section en vertu de l’article 138;j)tout autre cas prévu par règlement.

PARTIE 2Commission, commissaire et SectionCommission

Attributions76Dans le cadre de la présente loi, la Commission peut : a)dans le cadre d’un accord ou d’une entente mentionnée à l’article 80, communiquer au commissaire de la concurrence tout renseignement relatif à une entité qui gère un programme de certification approuvé ou à une organisation certifiée en vertu d’un tel programme;b)consulter les institutions gouvernementales fédérales concernant les codes de pratique ou les programmes de certification;c)en la forme et de la manière qu’elle estime appropriées : (i)élaborer et offrir au grand public des programmes d’information destinés à lui faire mieux comprendre la présente loi et son objet,(ii)élaborer, en consultation avec les intéressés — notamment toute institution gouvernementale fédérale concernée —, du matériel d’orientation et des outils relatifs à la conformité des organisations à la présente loi, notamment ceux que le ministre demande,(iii)faire des recherches liées à la protection des renseignements personnels, notamment celles que le ministre demande, et en publier les résultats,(iv)faire les recherches liées à l’application de la présente loi ou à sa mise en oeuvre que le ministre demande et en publier les résultats,(v)sur demande d’une organisation, conseiller celle-ci au sujet de son programme de gestion de la protection des renseignements personnels et, si elle l’estime approprié, lui recommander des mesures correctives relativement à ce programme,(vi)prendre toute autre mesure qu’elle juge indiquée pour la promotion de l’objet de la présente loi.

Éléments à prendre en compte77Dans l’exercice des attributions que lui confère la présente loi, la Commission tient compte des éléments pertinents, y compris, le cas échéant : a)l’objet de la présente loi;b)la taille et les recettes des organisations;c)le volume des renseignements personnels qui relèvent des organisations et la mesure dans laquelle ces renseignements sont de caractère sensible;d)la protection des intérêts des enfants;e)l’importance du respect des obligations commerciales internationales du Canada;f)l’importance de soutenir la croissance économique, la concurrence et l’innovation au sein du marché canadien;g)toute autre question d’intérêt public.

Manière d’exercer les attributions78(1)La Commission rend facilement accessible du contenu explicatif sur la manière dont elle, le commissaire et la Section exercent les attributions que leur confère la présente loi.Matériel d’orientation(2)La Commission élabore, en consultation avec le ministre et les intéressés, du matériel d’orientation portant sur l’exercice, par elle, le commissaire et la Section, des attributions relatives au contrôle d’application et au règlement des différends au titre de la présente loi, notamment à l’égard : a)de la décision de déposer une plainte au titre du paragraphe 97(2);b)du traitement des plaintes, y compris la décision de procéder ou non à l’examen ou d’y mettre fin et la tenue des procédures relatives à la demande visée à l’article 109 ou à l’ordonnance provisoire visée au paragraphe 123(4);c)des modes de règlement des différends mentionnés à l’article 101;d)des accords de conformité mentionnés aux articles 102 ou 103;e)des ordonnances proposées mentionnées aux paragraphes 107(3) et 108(3) et des ordonnances de conformité mentionnées au paragraphe 110(1);f)du régime de sanctions administratives pécuniaires;g)de la vérification de la conformité mentionnée à l’article 118.Disponibilité du matériel(3)Elle rend disponible le matériel d’orientation en la forme et de la manière qu’elle estime appropriées.

Accords ou ententes : ministre79La Commission peut conclure un accord ou une entente avec le ministre relativement à l’application de la présente loi.

Accords ou ententes : CRTC, commissaire de la concurrence, etc.80(1)La Commission peut conclure des accords ou des ententes avec le Conseil de la radiodiffusion et des télécommunications canadiennes, le commissaire de la concurrence ou toute autre entité visée par règlement en vue : a)de coordonner l’activité de leurs bureaux respectifs, notamment de prévoir des mécanismes de traitement des plaintes dans lesquelles ils ont un intérêt commun;b)d’effectuer des recherches sur des questions dans lesquelles ils ont un intérêt commun et d’en publier les résultats;c)d’élaborer la procédure à suivre pour la communication mentionnée au paragraphe (2).La Commission réalise ces fins d’une manière, si elle l’estime approprié, favorisant la cohérence réglementaire.Communication de renseignements(2)La Commission peut, en conformité avec toute procédure visée à l’alinéa (1)c), communiquer au Conseil de la radiodiffusion et des télécommunications canadiennes, au commissaire de la concurrence ou à l’entité visée par règlement des renseignements relatifs à l’exercice de leurs attributions, autres que les renseignements obtenus au titre du paragraphe 10(1) ou en application du sous-alinéa 76c)(v).Fins d’utilisation et confidentialité(3)La procédure visée à l’alinéa (1)c) doit prévoir que les renseignements ne peuvent être utilisés qu’aux fins auxquelles ils ont été communiqués initialement, seront traités de manière confidentielle et ne seront pas autrement communiqués sans le consentement exprès de la Commission.

Consultation des provinces81(1)Si elle l’estime indiqué ou si tout intéressé le lui demande, la Commission peut, pour veiller à ce que les renseignements personnels soient protégés de la façon la plus uniforme possible, consulter toute personne ayant, au titre d’une loi provinciale, des attributions semblables aux siennes, à celles du commissaire ou à celles de la Section en matière de protection de tels renseignements.Accords ou ententes avec les provinces(2)Elle peut conclure des accords ou ententes avec toute personne visée au paragraphe (1) en vue : a)de coordonner l’activité de leurs bureaux respectifs, notamment de prévoir des mécanismes de traitement des plaintes dans lesquelles ils ont un intérêt commun;b)d’effectuer des recherches, ou d’élaborer des lignes directrices ou d’autres documents, en matière de protection des renseignements personnels et de publier ces lignes directrices ou autres documents ou les résultats de ces recherches;c)d’élaborer des contrats ou autres documents types portant sur la protection des renseignements personnels recueillis, utilisés ou communiqués d’une province à l’autre ou d’un pays à l’autre;d)d’élaborer la procédure à suivre pour la communication de renseignements au titre du paragraphe (3).Communication de renseignements aux provinces(3)La Commission peut, conformément à toute procédure élaborée au titre de l’alinéa (2)d), communiquer des renseignements, autres que ceux obtenus au titre du paragraphe 10(1) ou en application du sous-alinéa 76c)(v), à toute personne visée au paragraphe (1) si, selon le cas : a)ils pourraient être utiles à l’examen d’une plainte, à une procédure relative à une demande visée à l’article 109 ou à une ordonnance provisoire visée au paragraphe 123(4) ou à une vérification — en cours ou éventuels — effectués au titre de la présente loi ou d’une loi provinciale dont les objectifs sont semblables à ceux de la présente loi;b)ils pourraient aider la personne, la Commission, le commissaire ou la Section à exercer ses attributions en matière de protection des renseignements personnels.Fins d’utilisation et confidentialité(4)La procédure visée à l’alinéa (2)d) doit prévoir que les renseignements ne peuvent être utilisés qu’aux fins auxquelles ils ont été communiqués initialement, seront traités de manière confidentielle et ne seront pas autrement communiqués sans le consentement exprès de la Commission.

Communication de renseignements à des États étrangers82(1)Sous réserve du paragraphe (3), la Commission peut, conformément à toute procédure établie au titre de l’alinéa (4)b), communiquer les renseignements mentionnés au paragraphe (2), autres que ceux obtenus au titre du paragraphe 10(1) ou en application du sous-alinéa 76c)(v), à toute personne ou à tout organisme qui, au titre d’une loi d’un État étranger : a)soit a des attributions semblables à celles de la Commission, du commissaire ou de la Section en matière de protection de renseignements personnels;b)soit est chargé de réprimer des comportements essentiellement semblables à ceux qui constitueraient des contraventions au titre de la présente loi.Renseignements pouvant être communiqués(2)Les renseignements que la Commission est autorisée à communiquer sont les suivants : a)ceux qui, selon elle, pourraient être utiles à une enquête ou à une procédure — en cours ou éventuelles — relative à une contravention à une loi de l’État étranger visant des comportements essentiellement semblables à ceux qui constitueraient des contraventions au titre de la présente loi;b)ceux dont elle croit que la communication est nécessaire afin d’obtenir de la personne ou de l’organisme des renseignements qui pourraient être utiles à l’examen d’une plainte, à une procédure relative à une demande visée à l’article 109 ou à une ordonnance provisoire visée au paragraphe 123(4) ou à une vérification — en cours ou éventuels — effectués au titre de la présente loi.Ententes écrites(3)La Commission ne peut communiquer les renseignements à la personne ou à l’organisme que si elle a conclu avec cette personne ou cet organisme une entente écrite qui, à la fois : a)précise que seuls les renseignements nécessaires aux fins prévues aux alinéas (2)a) ou b) peuvent être communiqués;b)précise que les renseignements ne peuvent être utilisés qu’aux fins auxquelles ils ont été initialement communiqués;c)prévoit que les renseignements seront traités de manière confidentielle et ne seront pas autrement communiqués sans le consentement exprès de la Commission.Conclusion d’ententes(4)La Commission peut conclure des ententes avec toute personne ou tout organisme visés au paragraphe (1), ou avec plusieurs d’entre eux, en vue : a)d’assurer une coopération en matière de contrôle d’application des lois portant sur la protection des renseignements personnels, notamment la communication des renseignements visés au paragraphe (2) et la mise en place de mécanismes pour le traitement des plaintes dans lesquelles ils ont un intérêt commun;b)d’établir la procédure à suivre pour communiquer les renseignements mentionnés au paragraphe (2);c)d’élaborer des documents — recommandations, résolutions, règles, normes ou autres — relativement à la protection des renseignements personnels;d)d’effectuer des recherches en matière de protection des renseignements personnels et d’en publier les résultats;e)de partager les connaissances et l’expertise, notamment par l’échange de personnel;f)de cerner des questions d’intérêt commun et de fixer des priorités en matière de protection des renseignements personnels.

Rapport annuel83(1)La Commission inclut dans le rapport visé au paragraphe 21(1) de la Loi sur la Commission canadienne de la sécurité numérique et de la protection des données des renseignements concernant : a)l’exercice, par elle, le commissaire et la Section, des attributions qui leur sont conférées sous le régime de la présente loi, notamment en ce qui a trait à l’alinéa 76c), à l’article 77, aux paragraphes 78(2) et 80(1) et aux articles 86 et 90;b)l’application de la présente loi;c)la mesure dans laquelle les provinces ont édicté des lois essentiellement semblables à la présente loi et sur l’application de ces lois.Consultation(2)La Commission consulte les personnes dans les provinces qui, à son avis, sont en mesure de l’aider à faire un rapport concernant les renseignements personnels recueillis, utilisés ou communiqués d’une province à l’autre ou d’un pays à l’autre.

Délégation84(1)La Commission peut, selon les modalités qu’elle fixe, déléguer à n’importe lequel de ses membres, à une section de la Commission constituée au titre de l’article 8 de la Loi sur la Commission canadienne de la sécurité numérique et de la protection des données ou à la Section les attributions qui lui sont conférées par la présente loi ou par la Loi sur la Commission canadienne de la sécurité numérique et de la protection des données, dans la mesure où elles sont exercées en lien avec celles conférées par la présente loi.Limite : pratiques et procédures(2)La Commission ne peut déléguer qu’au commissaire ou à la section le pouvoir prévu à l’article 9 de la Loi sur la Commission canadienne de la sécurité numérique et de la protection des données d’établir des règles concernant ses pratiques et procédures en lien avec toute question régie par la présente loi.Limite : décision(3)La Commission ne peut déléguer les attributions visées aux paragraphes 110(1), 121(1) et 123(4) qu’à une section de la Commission constituée au titre de l’article 8 de la Loi sur la Commission canadienne de la sécurité numérique et de la protection des données ou à un ou plusieurs de ses membres autre que le commissaire.Certificat(4)Chaque personne à qui des attributions sont déléguées reçoit un certificat attestant sa qualité, qu’elle présente, sur demande, au responsable du local visité en application de l’alinéa 121(2)e).

Commissaire

Désignation85(1)Le gouverneur en conseil désigne, parmi les membres de la Commission autres que le président, le commissaire à la protection de la vie privée et des données des consommateurs.Attributions(2)Le commissaire peut : a)demander à toute entité qui gère un programme de certification approuvé tout renseignement relatif à ce programme de certification;b)dans l’exercice des attributions qui lui sont conférées en vertu de la présente loi, collaborer avec toute entité qui gère un programme de certification approuvé;c)dans les circonstances et selon les critères prévus par règlement, recommander, conformément aux règlements, à toute entité qui gère un programme de certification approuvé de retirer sa certification à une organisation, s’il est d’avis que cette organisation ne se conforme pas aux exigences de ce programme;d)révoquer, conformément aux règlements, l’approbation d’un programme de certification dans les circonstances et selon les critères prévus par règlement.Absence, empêchement ou vacance(3)En cas d’absence ou d’empêchement du commissaire ou de vacance de son poste, le président peut autoriser un autre membre de la Commission à assumer ce rôle; cependant, l’intérim ne peut dépasser quatre-vingt-dix jours sans l’approbation du gouverneur en conseil.

Éléments à prendre en compte86Dans l’exercice des attributions que lui confère la présente loi, le commissaire tient compte des éléments pertinents, y compris, le cas échéant : a)l’objet de la présente loi;b)la taille et les recettes des organisations;c)le volume des renseignements personnels qui relèvent des organisations et la mesure dans laquelle ces renseignements sont de caractère sensible;d)la protection des intérêts des enfants;e)l’importance du respect des obligations commerciales internationales du Canada;f)l’importance de soutenir la croissance économique, la concurrence et l’innovation au sein du marché canadien;g)toute autre question d’intérêt public.

Interdiction : utilisation des renseignements87Le commissaire ne peut utiliser les renseignements obtenus par la Commission au titre du paragraphe 10(1) ou en application du sous-alinéa 76c)(v) comme motifs pour prendre l’initiative d’une plainte en vertu du paragraphe 97(2) ou procéder à une vérification en vertu de l’article 118, sauf s’il estime que, volontairement, l’organisation ignore les mesures correctives recommandées relativement à son programme de gestion de la protection des renseignements personnels.

Délégation88(1)Le commissaire peut, selon les modalités qu’il fixe, déléguer ses attributions, autres que celles visées au paragraphe 105(1), à l’article 106 et à l’alinéa 122(1)d), aux personnes et entités suivantes : a)les employés de la Commission;b)avec l’accord du président, la Section, les sections de la Commission constituées au titre de l’article 8 de la Loi sur la Commission canadienne de la sécurité numérique et de la protection des données et un ou plusieurs des autres membres de la Commission.Certificat(2)Chaque personne à qui les attributions visées à l’un des alinéas 122(1)a) à c) ou e) à h) sont déléguées reçoit un certificat attestant sa qualité, qu’elle présente, sur demande, au responsable du local visité en application de l’alinéa f) de ce paragraphe.

Section

Constitution89(1)Est constituée la Section de la protection de la vie privée et des données des consommateurs, composée du commissaire et d’au moins un autre membre de la Commission que celle-ci assigne à cette fin.Non-exclusivité(2)Les membres de la Commission, autres que le commissaire, qui composent la Section continuent d’exercer toute autre attribution qu’ils sont autorisés à exercer au titre d’une autre loi fédérale.

Éléments à prendre en compte90Dans l’exercice des attributions que lui confère la présente loi, la Section tient compte des éléments pertinents, y compris, le cas échéant : a)l’objet de la présente loi;b)la taille et les recettes des organisations;c)le volume des renseignements personnels qui relèvent des organisations et la mesure dans laquelle ces renseignements sont de caractère sensible;d)la protection des intérêts des enfants;e)l’importance du respect des obligations commerciales internationales du Canada;f)l’importance de soutenir la croissance économique, la concurrence et l’innovation au sein du marché canadien;g)toute autre question d’intérêt public.

Délégation91(1)La Section peut, selon les modalités qu’elle fixe, déléguer ses attributions à un ou plusieurs des autres membres de la Commission et aux employés de celle-ci.Limite(2)Elle ne peut toutefois déléguer ses attributions aux autres membres de la Commission qui ne sont pas affectés à la Section qu’avec l’accord du président.

Codes de pratique et programmes de certification

Définition de entité92(1)Au présent article et aux articles 93 à 96, entité s’entend notamment d’une organisation, que la présente loi s’applique à elle ou non, ou d’une institution gouvernementale.Code de pratique(2)Toute entité peut, conformément aux règlements, demander à la Section d’approuver un code prévoyant des pratiques qui permettent de mettre en place une protection des renseignements personnels équivalente ou supérieure à tout ou partie de celle prévue sous le régime de la présente loi.Décision de la Section(3)La Section peut approuver le code de pratique si elle conclut que celui-ci est conforme aux critères prévus par règlement.

Programme de certification93(1)Toute entité peut, conformément aux règlements, demander à la Section d’approuver un programme de certification comprenant les éléments suivants : a)un code prévoyant des pratiques qui permettent de mettre en place une protection des renseignements personnels équivalente ou supérieure à tout ou partie de celle prévue sous le régime de la présente loi;b)des lignes directrices sur l’interprétation et la mise en oeuvre du code de pratique;c)un mécanisme par lequel l’entité qui gère le programme peut certifier une organisation conforme à ce code;d)un mécanisme de vérification indépendante de la conformité d’une organisation à ce code;e)des mesures disciplinaires en cas de non-conformité d’une organisation à ce code, notamment la révocation de la certification;f)tout autre élément prévu par règlement.Décision de la Section(2)La Section peut approuver le programme de certification si elle conclut que celui-ci est conforme aux critères prévus par règlement.

Réponse de la Section94La Section donne suite, par écrit, à la demande d’approbation mentionnée aux paragraphes 92(2) ou 93(1) dans le délai précisé par règlement.

Décision publique95La Section rend publique sa décision d’approuver un code de pratique ou un programme de certification.

Précision96Il est entendu que l’organisation n’est pas exemptée des obligations qui lui incombent sous le régime de la présente loi du fait qu’elle se conforme aux exigences d’un code de pratique ou d’un programme de certification.

RecoursDépôt des plaintes

Contravention97(1)Tout individu peut déposer auprès du commissaire une plainte écrite contre une organisation qui contrevient à la partie 1.Plaintes émanant du commissaire(2)Le commissaire peut lui-même prendre l’initiative d’une plainte s’il a des motifs raisonnables de croire qu’une enquête devrait être menée sur une question relative à l’application de la présente loi.Délai(3)Lorsqu’elle porte sur le refus d’acquiescer à une demande visée à l’article 63, la plainte doit être déposée, à moins que le commissaire n’accorde un délai supplémentaire, dans les six mois suivant, selon le cas, le refus ou l’expiration du délai pour répondre à la demande.Avis(4)Le commissaire avise l’organisation visée de la plainte sauf s’il décide de ne pas examiner la plainte en application de l’article 99.

Examen des plaintes et règlement des différends

Examen des plaintes par le commissaire98(1)Le commissaire procède à l’examen de toute plainte dont il est saisi, à moins qu’il ne juge celle-ci irrecevable pour l’un ou l’autre des motifs suivants : a)le plaignant devrait d’abord épuiser les procédures de règlement des griefs ou de révision qui lui sont raisonnablement ouvertes;b)la plainte pourrait avantageusement être instruite, dans un premier temps ou à toutes les étapes, selon des procédures prévues par le droit fédéral — à l’exception de la présente loi — ou le droit provincial;c)la plainte n’a pas été déposée dans un délai raisonnable après que son objet a pris naissance;d)la question soulevée dans la plainte fait l’objet d’un programme de certification approuvé par la Section au titre du paragraphe 93(2) et l’organisation concernée est certifiée dans le cadre de ce programme;e)il n’existe pas suffisamment d’éléments de preuve pour poursuivre l’examen;f)la plainte est futile, vexatoire ou entachée de mauvaise foi;g)l’organisation a apporté une réponse juste et équitable à la plainte;h)la question soulevée dans la plainte fait déjà l’objet d’un examen au titre de la présente loi ou d’une procédure relative à la demande visée à l’article 109 ou à une ordonnance provisoire visée au paragraphe 123(4);i)la Commission ou le commissaire, selon le cas, a déjà dressé un rapport ou rendu une décision sur la question soulevée dans la plainte;j)la plainte fait ou a fait l’objet d’un recours ou d’une procédure visés à l’alinéa a) ou est ou a été instruite selon des procédures visées à l’alinéa b);k)la question soulevée dans la plainte fait l’objet d’un accord de conformité conclu en vertu des paragraphes 102(1) ou 103(2);l)compte tenu de l’ensemble des circonstances entourant la plainte, l’examen est inutile ou il est inutile de le poursuivre;m)un avis de contravention a été signifié à l’organisation relativement à la question soulevée dans la plainte ou à tout acte mentionné dans celle-ci.Avis aux parties(2)S’il décide de ne pas procéder à l’examen de la plainte ou de tout acte mentionné dans celle-ci, le commissaire avise le plaignant et l’organisation de sa décision et des motifs qui la justifient. Toutefois, dans le cas où il prend cette décision pour l’un des motifs mentionnés à l’article 99, il n’avise pas l’organisation.Raisons impérieuses(3)Le commissaire peut reconsidérer sa conclusion d’irrecevabilité faite au titre du paragraphe (1) si le plaignant le convainc qu’il existe des raisons impérieuses pour procéder à l’examen.

Exception99Malgré le paragraphe 98(1), le commissaire n’a pas à examiner tout acte mentionné dans la plainte qui, à son avis, constituerait, s’il était prouvé, une contravention à l’un des articles 6 à 9 de la Loi visant à promouvoir l’efficacité et la capacité d’adaptation de l’économie canadienne par la réglementation de certaines pratiques qui découragent l’exercice des activités commerciales par voie électronique et modifiant la Loi sur le Conseil de la radiodiffusion et des télécommunications canadiennes, la Loi sur la concurrence, la Loi sur la protection des renseignements personnels et les documents électroniques et la Loi sur les télécommunications ou à l’article 52.01 de la Loi sur la concurrence ou tout comportement susceptible d’examen visé à l’article 74.011 de cette loi.

Fin de l’examen100(1)Le commissaire peut mettre fin à l’examen de la plainte pour l’un ou l’autre des motifs visés au paragraphe 98(1) ou à l’article 99. Il avise le plaignant et l’organisation de sa décision et des motifs qui la justifient.Exception(2)Dans le cas où il prend cette décision pour l’un des motifs mentionnés à l’article 99, il n’avise pas l’organisation.

Mode de règlement des différends101La Section peut tenter de parvenir au règlement de la plainte en ayant recours à un mode de règlement des différends, notamment la médiation et la conciliation, à moins que la plainte ne fasse l’objet d’une procédure relative à la demande visée à l’article 109.

Accord de conformité

Conclusion d’un accord de conformité102(1)À tout moment après qu’il a amorcé l’examen d’une plainte, le commissaire s’il a des motifs raisonnables de croire à l’existence, à l’imminence ou à la probabilité d’un fait — acte ou omission — pouvant constituer une contravention à la partie 1, peut conclure avec l’organisation intéressée un accord de conformité visant à faire respecter la présente loi.Conditions(2)L’accord de conformité est assorti des conditions que le commissaire estime nécessaires pour faire respecter la présente loi.Effet de l’accord de conformité(3)Le commissaire ne peut signifier un avis de contravention relativement aux questions faisant l’objet de l’accord.Précision(4)Il est entendu que la conclusion de l’accord n’a pas pour effet d’empêcher les poursuites pour infraction à la présente loi.

Effet de l’accord de conformité103(1)Si, après que l’avis de contravention a été signifié au titre du paragraphe 105(1), le commissaire entame des négociations avec l’organisation intéressée en vue de conclure un accord de conformité, toute procédure à l’égard de la contravention relative à l’acte ou l’omission visé par les négociations est suspendue. La Commission en avise sans délai le plaignant et l’organisation.Fin de la procédure(2)Dans le cas où un accord de conformité est conclu avec l’organisation intéressée, la Commission met fin à toute procédure en contravention relative à l’acte ou l’omission visé par l’accord. Elle en avise sans délai le plaignant et l’organisation.Reprise de la procédure(3)Dans le cas où le commissaire et l’organisation intéressée ne parviennent pas à conclure un accord de conformité, la Commission reprend la procédure suspendue. Elle en avise sans délai le plaignant et l’organisation.

Conclusion de l’examen, pénalités et ordonnances

Avis et motifs104Le commissaire avise le plaignant et l’organisation de sa décision, à la conclusion de son examen, de ne pas faire signifier d’avis de contravention à l’organisation ainsi que des motifs qui la justifient.

Plainte105(1)À la suite de l’examen d’une plainte, si la plainte ne fait pas l’objet d’une procédure visée à l’article 101, qu’elle n’est pas résolue ou qu’il n’y a pas mis fin, le commissaire, s’il a des motifs raisonnables de croire qu’elle a contrevenu à la présente loi, fait signifier à l’organisation un avis de contravention.Avis(2)Le commissaire avise le plaignant de sa décision.

Accord de conformité106Si le commissaire croit, pour des motifs raisonnables, que l’accord de conformité conclu entre lui et une organisation en vertu du paragraphe 102(1) n’a pas été respecté, il fait signifier à l’organisation un avis de contravention.

Avis de contravention : examen d’une plainte107(1)L’avis de contravention mentionné à l’article 105 comporte les éléments suivants : a)les faits reprochés donnant lieu à la contravention et les motifs du commissaire lui permettant de croire qu’il y a contravention;b)les dispositions de la présente loi auxquelles il a été contrevenu;c)le cas échéant, le montant de la pénalité à payer ainsi que le délai et les modalités de paiement de celle-ci;d)le cas échéant, l’ordonnance proposée que le commissaire estime raisonnablement nécessaire pour assurer la conformité avec la présente loi et les motifs qui justifient sa décision;e)un sommaire des droits et obligations de l’organisation prévus par la présente loi, notamment le droit de présenter une demande de révision et des observations au titre de l’article 109 dans les trente jours suivant la date de la signification de l’avis, ou tout délai plus long prévu par celui-ci et la façon de le faire;f)le fait que le défaut de l’organisation d’effectuer le paiement, le cas échéant, en conformité avec l’avis ou le défaut de l’organisation et du plaignant d’exercer les recours prévus à l’article 109 vaut déclaration de responsabilité à l’égard de la contravention aux dispositions concernées;g)le fait que le défaut de l’organisation et du plaignant d’exercer les recours prévus à l’article 109 à l’égard d’une ordonnance proposée vaut déclaration de responsabilité à l’égard de la contravention aux dispositions concernées et entraîne la prise de l’ordonnance proposée par la Commission.Avis au plaignant(2)Le commissaire avise le plaignant de la signification de l’avis de contravention et de la possibilité pour lui de présenter une demande de révision et des observations à la Commission au titre de l’article 109 dans le délai prévu par l’avis de contravention.Ordonnance proposée(3)Le commissaire, s’il l’estime raisonnablement nécessaire pour assurer la conformité avec la présente loi, peut proposer d’ordonner à l’organisation : a)de prendre toute mesure afin de se conformer à la présente loi;b)de cesser toute action qui contrevient à la présente loi;c)de rendre publique toute action prise ou envisagée pour corriger les politiques, les pratiques ou les procédures qu’elle a mises en place afin de respecter les obligations qui lui incombent sous le régime de la présente loi.Paiement de la pénalité(4)Sous réserve de l’article 103, le paiement de la pénalité en conformité avec l’avis de contravention vaut aveu de responsabilité à l’égard de la contravention des dispositions concernées, entraîne, le cas échéant, la prise, telle quelle, par la Commission de toute ordonnance proposée concernant les dispositions visées par la pénalité et met fin à la procédure concernant ces dispositions. La Commission avise le plaignant.Présomption(5)Sous réserve de l’article 103, le défaut de l’organisation d’effectuer le paiement de la pénalité, le cas échéant, en conformité avec l’avis de contravention ou le défaut de l’organisation et du plaignant d’exercer les recours prévus à l’article 109 vaut déclaration de responsabilité à l’égard de la contravention des dispositions concernées, emporte, le cas échéant, application de la pénalité mentionnée dans l’avis et entraîne, le cas échéant, la prise, telle quelle, par la Commission de toute ordonnance proposée concernant la contravention. La Commission avise le plaignant.Présomption(6)Sous réserve de l’article 103, le défaut de l’organisation et du plaignant d’exercer les recours prévus à l’article 109 à l’égard d’une ordonnance proposée vaut déclaration de responsabilité à l’égard de la contravention aux dispositions concernées par l’ordonnance et entraîne la prise, telle quelle, par la Commission de l’ordonnance proposée. La Commission avise le plaignant.

Avis de contravention : accord de conformité108(1)L’avis de contravention mentionné à l’article 106 comporte les éléments suivants : a)les faits reprochés donnant lieu au non respect de l’accord de conformité et les motifs du commissaire lui permettant de croire qu’il y a non respect de cet accord;b)les dispositions de la présente loi auxquelles il a été contrevenu;c)le cas échéant, le montant de la pénalité à payer ainsi que le délai et les modalités de paiement de celle-ci;d)le cas échéant, l’ordonnance proposée que le commissaire estime raisonnablement nécessaire pour assurer la conformité avec la présente loi et les motifs qui justifient sa décision;e)un sommaire des droits et obligations de l’organisation prévus par la présente loi, notamment le droit de présenter une demande de révision et des observations au titre de l’article 109 dans les trente jours suivant la date de la signification de l’avis, ou tout délai plus long prévu par celui-ci et la façon de le faire;f)le fait que le défaut de l’organisation d’effectuer le paiement, le cas échéant, en conformité avec l’avis ou le défaut de l’organisation et du plaignant d’exercer les recours prévus à l’article 109 vaut déclaration de responsabilité à l’égard de la contravention aux dispositions concernées ou à l’égard du non respect de l’accord de conformité;g)le fait que le défaut de l’organisation et du plaignant d’exercer les recours prévus à l’article 109 à l’égard d’une ordonnance proposée vaut déclaration de responsabilité à l’égard de la contravention aux dispositions concernées ou à l’égard du non respect de l’accord de conformité et entraîne la prise de l’ordonnance proposée par la Commission.Avis au plaignant(2)Le commissaire avise le plaignant de la signification de l’avis de contravention et de la possibilité pour lui de présenter une demande de révision et des observations à la Commission au titre de l’article 109 dans le délai prévu par l’avis de contravention.Ordonnance proposée(3)Le commissaire, s’il l’estime raisonnablement nécessaire pour assurer la conformité avec la présente loi, peut proposer d’ordonner à l’organisation : a)de prendre toute mesure afin de se conformer à la présente loi;b)de cesser toute action qui contrevient à la présente loi;c)de respecter l’accord de conformité qu’elle a conclu;d)de rendre publique toute action prise ou envisagée pour corriger les politiques, les pratiques ou les procédures qu’elle a mises en place afin de respecter les obligations qui lui incombent sous le régime de la présente loi.Paiement de la pénalité(4)Le paiement de la pénalité en conformité avec l’avis de contravention vaut aveu de responsabilité à l’égard de la contravention des dispositions concernées, entraîne, le cas échéant, la prise, telle quelle, par la Commission de toute ordonnance proposée concernant les dispositions visées par la pénalité et met fin à la procédure concernant ces dispositions. La Commission avise le plaignant.Présomption(5)Le défaut de l’organisation d’effectuer le paiement de la pénalité, le cas échéant, en conformité avec l’avis de contravention ou le défaut de l’organisation et du plaignant d’exercer les recours prévus à l’article 109 vaut déclaration de responsabilité à l’égard de la contravention des dispositions concernées, emporte, le cas échéant, application de la pénalité mentionnée dans l’avis et entraîne, le cas échéant, la prise, telle quelle, par la Commission de toute ordonnance proposée concernant la contravention. La Commission avise le plaignant.Présomption(6)Le défaut de l’organisation et du plaignant d’exercer les recours prévus à l’article 109 à l’égard d’une ordonnance proposée vaut déclaration de responsabilité à l’égard de la contravention aux dispositions concernées par l’ordonnance et entraîne la prise, telle quelle, par la Commission de l’ordonnance proposée. La Commission avise le plaignant.

Demande de révision109(1)Dans le délai prévu par l’avis de contravention, le plaignant et l’organisation peuvent demander une révision de toute décision relative aux éléments mentionnés aux alinéas 107(1)a) à d) ou 108(1)a) à d), selon le cas, et présenter des observations à la Commission en conformité avec l’avis.Audience(2)La Commission peut tenir une audience pour décider de la demande. L’audience peut être tenue à huis clos, en tout ou en partie.Règles de preuve(3)La Commission n’est pas liée par les règles juridiques ou techniques applicables en matière de preuve dans toute procédure visée au paragraphe (1). Dans la mesure où les circonstances, l’équité et la justice naturelle le permettent, il lui appartient d’agir rapidement et sans formalisme.Prépondérance des probabilités(4)La Commission décide, selon la prépondérance des probabilités, si l’organisation est responsable à l’égard de la contravention.

Décision110(1)Après avoir entendu les observations, la Commission peut maintenir, annuler ou modifier toute décision visée par la procédure prévue au paragraphe 109(1) et, le cas échéant, décider de rendre ou non l’ordonnance proposée et en modifier le contenu. Elle peut, en outre, dans la mesure où cela est raisonnablement nécessaire pour assurer la conformité avec la présente loi, ordonner à l’organisation : a)de prendre toute mesure afin de se conformer à la présente loi;b)de cesser toute action qui contrevient à la présente loi;c)de respecter l’accord de conformité qu’elle a conclu;d)de rendre publique toute action prise ou envisagée pour corriger les politiques, les pratiques ou les procédures qu’elle a mises en place afin de respecter les obligations qui lui incombent sous le régime de la présente loi.Effet de la non-responsabilité(2)La décision de la Commission prise au titre du paragraphe (1) portant que l’organisation n’est pas responsable à l’égard de la contravention met fin à la procédure à l’égard de la contravention.Copie de la décision(3)Le commissaire envoie une copie de la décision, motifs à l’appui, sans délai, au plaignant et à l’organisation.

Incompatibilité : intérêt pécuniaire ou autre111(1)Les membres de la Commission qui sont appelés à entendre la demande visée à l’article 109, soit seuls, soit en comité et qui détiennent un intérêt pécuniaire ou autre susceptible d’être incompatible avec l’exercice de leurs attributions quant à la demande le portent sans délai à la connaissance du président. Ils font de même si leur participation pourrait vraisemblablement paraître entachée de partialité.Incompatibilité : commissaire(2)Le commissaire n’a pas compétence pour entendre une demande visée à l’article 109.Précision(3)Il est entendu que le seul fait qu’un membre de la Commission participe aux travaux de la Section n’emporte pas incompétence à l’égard de la demande visée à l’article 109.

Règles112La Commission établit les règles concernant la conduite de la procédure relative à la demande visée à l’article 109, notamment en matière de preuve. Elle les rend accessibles au public.

Pénalité113(1)Une pénalité ne peut être infligée à une organisation qu’à l’égard d’une contravention à l’une ou plusieurs des dispositions suivantes : a)le paragraphe 9(1);b)le paragraphe 11(1);c)les paragraphes 12(1), (3) et (4);d)l’article 13;e)le paragraphe 14(1);f)les paragraphes 15(1) et (7);g)l’article 16;h)le paragraphe 17(2);i)l’article 52;j)les paragraphes 54(1) et (5);k)le paragraphe 56(1);l)les paragraphes 58(1) et (3);m)l’article 61;n)le paragraphe 62(1).Éléments à prendre en compte(2)Il est tenu compte, pour déterminer le montant de la pénalité, des éléments suivants : a)la nature et la portée de la contravention;b)la preuve que l’organisation a pris toutes les précautions voulues pour empêcher la contravention;c)les efforts raisonnables que l’organisation a déployés pour atténuer ou neutraliser les incidences de la contravention;d)les antécédents de l’organisation en ce qui concerne le respect de la présente loi;e)la capacité de l’organisation à payer la pénalité et l’effet probable du paiement de celle-ci sur sa capacité à exercer ses activités;f)tout avantage financier que l’organisation a retiré de la contravention;g)tout élément prévu par règlement;h)tout autre élément pertinent.Restrictions(3)Une pénalité ne peut être infligée si, selon le cas : a)au moment de la contravention de la disposition en cause l’organisation se conformait aux exigences d’un programme de certification que la Section a approuvé au titre du paragraphe 93(2) et qui concerne la disposition;b)une poursuite a été engagée contre l’organisation pour l’action ou l’omission constituant la contravention;c)l’organisation établit qu’elle a pris les précautions voulues pour empêcher la contravention.Receveur général(4)La pénalité perçue au titre d’une contravention est versée au receveur général.

Montant maximal de la pénalité114Le montant maximal de la pénalité infligée pour l’ensemble des contraventions dont une organisation a été reconnue responsable à la suite de la conclusion de toute procédure relative à un même examen est de dix millions de dollars ou, si elle est plus élevée, de la somme équivalant à 3 % des recettes globales brutes de l’organisation au cours de son exercice précédant celui pendant lequel la pénalité est infligée.

But de la pénalité115L’infliction de la pénalité vise non pas à punir mais à favoriser le respect de la présente loi.

Créances de Sa Majesté116(1)Constituent des créances de Sa Majesté qui sont exigibles et dont le recouvrement peut être poursuivi à ce titre par le ministre devant la Cour fédérale : a)toute pénalité mentionnée dans l’avis de contravention, à compter de la date de paiement qui est précisée dans l’avis, sauf en cas de présentation d’une demande de révision au titre de l’article 109 dans le délai et selon les modalités qui sont prévues dans l’avis ou de conclusion d’un accord de conformité en application de l’article 103;b)si une telle demande est présentée : (i)toute pénalité prévue dans la décision de la Commission, à compter de la date de paiement qui y est précisée, dans le cas où cette décision modifie le montant de la pénalité,(ii)toute pénalité mentionnée dans un avis de contravention, à compter de la date précisée dans la décision de la Commission, dans le cas contraire;c)si la décision de la Commission est portée en appel en vertu de l’article 126 : (i)toute pénalité prévue dans la décision de la Cour fédérale à compter de la date de paiement qui y est précisée, dans le cas où cette décision modifie le montant de la pénalité,(ii)toute pénalité prévue dans la décision de la Commission, à compter de la date précisée dans la décision de la Cour fédérale, dans le cas contraire;d)si la décision de la Cour fédérale est portée en appel, toute pénalité prévue dans la décision définitive après épuisement de tous les recours.Prescription(2)Le recouvrement des créances se prescrit par cinq ans à compter de la date à laquelle elles sont devenues exigibles.

Certificat de non-paiement117(1)La Commission peut établir un certificat de non-paiement pour la partie impayée de toute créance visée à l’article 116.Enregistrement en Cour fédérale(2)L’enregistrement à la Cour fédérale confère au certificat la valeur d’un jugement de cette juridiction pour la somme visée et les frais afférents.

Vérification

Vérification de la conformité118Le commissaire peut, sur préavis suffisant et à toute heure convenable, procéder à la vérification des pratiques de l’organisation en matière de gestion des renseignements personnels s’il a des motifs raisonnables de croire qu’elle a contrevenu, contrevient ou est susceptible de contrevenir à la partie 1.

Rapport technique119(1)Dans le cadre de la vérification, le commissaire peut exiger de l’organisation en cause, sous réserve des conditions qu’il peut préciser, qu’elle fasse préparer un rapport par un tiers qu’il approuve — et le lui présente — sur toute question qu’il précise relativement à la conformité de l’organisation avec la partie 1.Délai de présentation(2)Le commissaire précise le délai de présentation du rapport.Refus motivé(3)Lorsque le commissaire refuse la désignation d’un tiers par l’organisation, il notifie par écrit son refus motivé à celle-ci.Assistance et coûts(4)L’organisation est tenue de prêter toute assistance raisonnable au tiers. Les coûts de préparation du rapport sont à la charge de l’organisation.

Rapport des conclusions et recommandations du commissaire120(1)À l’issue de la vérification, le commissaire adresse à l’organisation en cause un rapport où il présente ses conclusions ainsi que les recommandations qu’il juge indiquées.Incorporation du rapport(2)Ce rapport peut être incorporé dans le rapport visé à l’article 83.

Pouvoirs de la Commission et du commissaire : examens, vérifications et procédures

Ordonnance provisoire121(1)La Commission peut, dans le cadre de la procédure relative à la demande visée à l’article 109, rendre toute ordonnance provisoire qu’elle juge indiquée, si l’urgence de la situation le justifie.Pouvoirs de la Commission(2)La Commission peut, dans le cadre de la procédure relative à la demande visée à l’article 109 ou à l’ordonnance provisoire visée au paragraphe 123(4) : a)assigner et contraindre des témoins à comparaître devant elle, à déposer verbalement ou par écrit sous la foi du serment et à produire les documents ou pièces qu’elle juge nécessaires dans le cadre de la procédure, de la même façon et dans la même mesure qu’une cour supérieure d’archives;b)faire prêter serment;c)recevoir les éléments de preuve ou les renseignements — fournis notamment par déclaration verbale ou écrite sous serment — qu’elle estime indiqués, indépendamment de leur admissibilité devant les tribunaux;d)ordonner à toute organisation qui, relativement à la procédure, détient des renseignements pertinents, de les conserver le temps nécessaire pour lui permettre de conclure la procédure;e)visiter, à toute heure convenable, tout local — autre qu’une maison d’habitation — occupé par l’organisation, à condition de satisfaire aux normes de sécurité établies par celle-ci pour ce local;f)s’entretenir en privé avec toute personne se trouvant dans le local et mener dans ce local les enquêtes qu’elle estime nécessaires;g)examiner les documents trouvés dans le local qui contiennent des éléments utiles dans le cadre de la procédure, ou s’en faire remettre des copies ou des extraits.Renvoi des documents(3)La Commission ou son délégué renvoie, dans un délai raisonnable, les documents ou pièces demandés en vertu du présent article aux personnes ou organisations qui les ont produits, mais rien n’empêche la Commission ou son délégué de réclamer leur production de nouveau.

Pouvoirs du commissaire122(1)Le commissaire peut, dans le cadre de l’examen des plaintes ou d’une vérification : a)assigner et contraindre des témoins à comparaître devant lui, à déposer verbalement ou par écrit sous la foi du serment et à produire les documents ou pièces qu’il juge nécessaires pour examiner la plainte ou pour procéder à la vérification dont il est saisi, de la même façon et dans la même mesure qu’une cour supérieure d’archives;b)faire prêter serment;c)recevoir les éléments de preuve ou les renseignements — fournis notamment par déclaration verbale ou écrite sous serment — qu’il estime indiqués, indépendamment de leur admissibilité devant les tribunaux;d)si l’urgence de la situation le justifie émettre un avis de proposition d’ordonnance provisoire;e)ordonner à toute organisation qui, relativement à une plainte ou une vérification, détient des renseignements pertinents, de les conserver le temps nécessaire pour lui permettre d’examiner la plainte ou de procéder à la vérification;f)visiter, à toute heure convenable, tout local — autre qu’une maison d’habitation — occupé par l’organisation, à condition de satisfaire aux normes de sécurité établies par elle pour ce local;g)s’entretenir en privé avec toute personne se trouvant dans le local et mener dans ce local les enquêtes qu’il estime nécessaires;h)examiner les documents trouvés dans le local qui contiennent des éléments utiles à l’examen de la plainte ou à la vérification, ou s’en faire remettre des copies ou des extraits.Renvoi des documents(2)Le commissaire ou son délégué renvoie, dans un délai raisonnable, les documents ou pièces demandés en vertu du présent article aux personnes ou organisations qui les ont produits, mais rien n’empêche le commissaire ou son délégué de réclamer leur production de nouveau.Avis de proposition d’ordonnance provisoire(3)L’avis de proposition d’ordonnance provisoire visé à l’alinéa (1)d) comporte les éléments suivants : a)l’ordonnance provisoire proposée;b)les motifs qui sous-tendent l’ordonnance provisoire proposée;c)la mention du droit de l’organisation et du plaignant de présenter des observations à la Commission dans les dix jours de la signification de l’avis, ou tout délai plus long prévu dans celui-ci, et la procédure pour le faire;d)la mention que le défaut de présenter des observations en conformité avec l’avis emporte imposition de l’ordonnance provisoire proposée.

Observations123(1)Dans le délai prévu dans l’avis de proposition d’ordonnance provisoire et en conformité avec celui-ci, le plaignant et l’organisation peuvent présenter des observations à la Commission.Audience(2)La Commission peut tenir une audience pour examiner l’ordonnance provisoire proposée et les motifs qui la sous-tendent. L’audience peut être tenue à huis clos, en tout ou en partie.Règles de preuve(3)La Commission n’est pas liée par les règles juridiques ou techniques applicables en matière de preuve dans toute procédure visée au paragraphe (1). Dans la mesure où les circonstances, l’équité et la justice naturelle le permettent, il lui appartient d’agir rapidement et sans formalisme.Décision : prépondérance des probabilités(4)Après avoir entendu les observations, la Commission décide, selon la prépondérance des probabilités, si elle rend ou non l’ordonnance provisoire. Elle peut également modifier le contenu de l’ordonnance provisoire proposée.Copie de la décision(5)La Commission envoie une copie de la décision, motifs à l’appui, sans délai, au plaignant et à l’organisation.Présomption(6)Le défaut de l’organisation ou du plaignant d’exercer les recours mentionnés à l’alinéa 122(3)c) entraîne la prise de l’ordonnance provisoire proposée telle quelle par la Commission.

Incompatibilité : intérêt pécuniaire ou autre124(1)Les membres de la Commission qui sont appelés à entendre une procédure visée au paragraphe 123(1), soit seuls, soit en comité et qui détiennent un intérêt pécuniaire ou autre susceptible d’être incompatible avec l’exercice de leurs attributions quant à la procédure le portent sans délai à la connaissance du président. Ils font de même si leur participation pourrait vraisemblablement paraître entachée de partialité.Incompatibilité : commissaire(2)Le commissaire n’a pas compétence pour entendre la procédure visée au paragraphe 123(1).Précision(3)Il est entendu que le seul fait qu’un membre de la Commission participe aux travaux de la Section n’emporte pas incompétence à entendre de la procédure visée au paragraphe 123(1).

Règles125La Commission établit les règles concernant la conduite de la procédure visée au paragraphe 123(1), notamment en matière de preuve. Elle les rend accessibles au public.

Appels

Droit d’appel126(1)Peuvent être portées en appel devant la Cour fédérale par le plaignant ou l’organisation touchés : a)toute décision rendue au titre du paragraphe 110(1);b)toute ordonnance rendue en vertu de ce paragraphe;c)la décision de modifier le montant de la pénalité rendue au titre de ce paragraphe.Délai d’appel(2)Le délai d’appel est de trente jours après le jour où la Commission rend une décision au titre du paragraphe 110(1).

Appel avec autorisation127(1)Le plaignant ou l’organisation touchés par une ordonnance provisoire rendue en vertu de l’article 121 ou du paragraphe 123(4) peuvent, avec l’autorisation de la Cour fédérale, la porter en appel devant cette dernière.Délai(2)Le délai pour présenter une demande d’autorisation d’appel est de trente jours après le jour où l’ordonnance est rendue.

Sort de l’appel128La Cour fédérale peut rejeter l’appel ou y faire droit et soit substituer sa propre conclusion, ordonnance ou décision à celle en cause ou soit renvoyer l’affaire à la Commission pour réexamen.

Exécution des ordonnances

Ordonnances : avis de contravention129(1)L’ordonnance rendue par la Commission au titre des paragraphes 107(4), (5) ou (6) ou 108(4), (5) ou (6) peut, en vue de son exécution, être homologuée par la Cour fédérale; son exécution s’effectue dès lors selon les mêmes modalités que les ordonnances de la cour.Ordonnances de conformité(2)Si l’ordonnance rendue par la Commission au titre du paragraphe 110(1) n’est pas portée en appel devant la Cour fédérale ou si cette dernière rejette l’appel interjeté à l’encontre d’une telle ordonnance, celle-ci peut, en vue de son exécution, être homologuée par la Cour fédérale; son exécution s’effectue dès lors selon les mêmes modalités que les ordonnances de la cour.Ordonnances provisoires(3)Si l’ordonnance rendue par la Commission en vertu des paragraphes 121(1) ou 123(4) ne fait pas l’objet d’une demande d’autorisation d’appel devant la Cour fédérale ou qu’une telle demande est rejetée par cette dernière ou encore si la Cour fédérale fait droit à une telle demande mais rejette l’appel, l’ordonnance peut, en vue de son exécution, être homologuée par la Cour fédérale; son exécution s’effectue dès lors selon les mêmes modalités que les ordonnances de la cour.

Dépôt au greffe de la cour130L’ordonnance visée à l’article 129 est homologuée sur dépôt d’une copie certifiée conforme au greffe de la Cour fédérale.

Dépens131La Cour fédérale peut adjuger les dépens en conformité avec ses règles. Toutefois, elle ne peut adjuger de dépens à l’encontre de la Commission que si elle est convaincue : a)soit que cela est nécessaire pour ne pas miner la confiance du public envers l’administration de la justice;b)soit que l’absence d’adjudication aurait un effet négatif important sur la capacité de l’autre partie à exercer ses activités.

Droit privé d’action

Dommages et intérêts : contravention132(1)L’individu touché par les actes ou omissions d’une organisation qui constituent une contravention à la présente loi a une cause d’action en dommages-intérêts, contre cette organisation, pour la perte ou le préjudice résultant de la contravention si, selon le cas : a)le commissaire conclut pour l’application du paragraphe 105(1) ou de l’article 106 que l’organisation a contrevenu à la présente loi et : (i)soit, l’organisation a payé la pénalité et le paragraphe 107(4) ou 108(4) s’applique, selon le cas,(ii)soit, à l’expiration du délai de révision prévu par l’avis de contravention, la conclusion ne fait pas l’objet d’une révision au titre de l’article 109,(iii)soit la Commission maintient ou modifie la conclusion, en vertu du paragraphe 110(1);(iv)soit, à l’expiration du délai d’appel prévu au paragraphe 126(2), la conclusion ne fait pas l’objet d’un appel,(v)soit la Cour fédérale rejette, en vertu de l’article 128, l’appel interjeté à l’encontre de la conclusion;b)la Cour fédérale a conclu, en vertu de l’article 128, que l’organisation a contrevenu à la présente loi;c)l’appel interjeté à l’encontre de la conclusion est rejeté ou il est conclu que l’organisation a contrevenu à la présente loi dans une décision définitive, après épuisement de tous les recours;d)le commissaire a conclu un accord de conformité en application de l’article 103 avec l’organisation intéressée, et cet accord ne prévoit pas de paiement de dommages-intérêts pour cette perte ou ce préjudice.Dommages et intérêts : infraction(2)Si une organisation est déclarée coupable d’une infraction visée à l’article 145 pour une infraction à la présente loi, l’individu touché par les actes ou omissions ayant donné lieu à l’infraction a une cause d’action en dommages-intérêts contre cette organisation, pour la perte ou le préjudice résultant des actes ou omissions.Précision(3)Il est entendu que les paragraphes (1) et (2) n’ont pas pour effet de porter atteinte au droit de l’individu de se prévaloir de tout recours civil découlant d’une autre loi fédérale, d’une loi provinciale ou de la common law.Prescription(4)L’action en dommages-intérêts se prescrit par deux ans à compter de la date où l’individu a eu connaissance : a)de la conclusion du commissaire, si une révision est demandée au titre de l’article 109, de la décision de la Commission ou, si un appel est interjeté, de la décision du jugement définitif après épuisement de tous les recours, dans le cas d’une action mentionnée au paragraphe (1);b)de la condamnation, dans le cas d’une action mentionnée au paragraphe (2).Cour compétente(5)Toute action mentionnée au paragraphe (1) ou (2) est introduite devant la Cour fédérale ou la cour supérieure d’une province.

Certificat délivré au titre de la Loi sur la preuve au Canada

Certificat délivré au titre de la Loi sur la preuve au Canada133(1)Dans le cas où a été délivré au titre des articles 38.13 ou 38.41 de la Loi sur la preuve au Canada un certificat interdisant la divulgation de renseignements personnels concernant un individu donné avant le dépôt par celui-ci d’une plainte au titre de la présente loi relative à une demande d’accès à ces renseignements, les dispositions de cette loi concernant le droit d’accès de l’individu aux renseignements personnels le concernant ne s’appliquent pas aux renseignements visés par le certificat.Certificat postérieur au dépôt d’une plainte(2)Malgré toutes dispositions de la présente loi, dans le cas où a été délivré au titre des articles 38.13 ou 38.41 de la Loi sur la preuve au Canada un certificat interdisant la divulgation de renseignements personnels concernant un individu donné après le dépôt d’une plainte de refus d’accès au titre de la présente loi relativement à la demande de communication de ces renseignements : a)toute procédure — notamment l’examen d’une plainte, la procédure relative à la demande visée à l’article 109 ou à une ordonnance provisoire visée au paragraphe 123(4), une vérification, un appel ou une révision judiciaire — prévue par la présente loi et portant sur ces renseignements est interrompue;b)la Commission, le commissaire et la Section ne peuvent communiquer les renseignements et prennent les précautions nécessaires pour empêcher leur communication;c)la Commission, le commissaire et la Section renvoient les renseignements à l’organisation qui les a fournis dans les dix jours suivant la publication du certificat dans la Gazette du Canada.Précautions à prendre(3)Dans l’exercice des attributions que la présente loi confère à la Commission, au commissaire ou à la Section, ceux-ci et les personnes agissant en leur nom ou sous leur autorité ne peuvent communiquer, et prennent toutes les précautions pour éviter que ne soient communiqués les renseignements visés par un certificat délivré au titre des articles 38.13 ou 38.41 de la Loi sur la preuve au Canada.Pouvoir de délégation : commissaire(4)Le commissaire ne peut déléguer l’examen d’une plainte portant sur des renseignements visés par un certificat délivré au titre des articles 38.13 ou 38.41 de la Loi sur la preuve au Canada qu’à un employé de la Commission choisis parmi jusqu’à quatre employés de la Commission qu’il désigne spécialement pour tenir l’examen.Pouvoir de délégation : Commission(5)La Commission ne peut déléguer l’examen d’une demande de révision visée à l’article 109 ou une procédure relative à une ordonnance provisoire visée au paragraphe 123(4) portant sur des renseignements visés par un certificat délivré au titre des articles 38.13 ou 38.41 de la Loi sur la preuve au Canada qu’à un de ses employés choisis parmi jusqu’à quatre de ses employés qu’elle désigne spécialement pour tenir l’examen ou la procédure, selon le cas.

Normes de sécurité134La Commission, le commissaire et la Section, et les personnes agissant en leur nom ou sous leur autorité qui reçoivent ou recueillent des renseignements dans le cadre des enquêtes prévues par la présente loi, sont tenus, quant à l’accès à ces renseignements et à leur utilisation, de satisfaire aux normes applicables en matière de sécurité et de prêter les serments imposés à leurs usagers habituels.

Secret135(1)Sous réserve des paragraphes (3) à (8), 80(2), 81(3) et 82(1), de l’article 83, de l’alinéa 85(2)c), de l’article 95, des paragraphes 97(4), 98(2) et 100(1), des articles 103 à 106 et des paragraphes 107(2) et (4) à (6), 108(2) et (4) à (6), 110(3), 120(1) et 123(5), la Commission, le commissaire et la Section, et les personnes agissant en leur nom ou sous leur autorité, sont tenus au secret en ce qui concerne les renseignements dont ils prennent connaissance par suite de l’exercice des attributions que la présente loi leur confère, à l’exception de celles visées aux paragraphes 58(1) ou 60(2).Secret : déclarations et registre(2)Sous réserve des paragraphes (3) à (8), 80(2), 81(3) et 82(1), de l’article 83, de l’alinéa 85(2)c), de l’article 95, des paragraphes 97(4), 98(2) et 100(1), des articles 103 à 106 et des paragraphes 107(2) et (4) à (6), 108(2) et (4) à (6), 110(3), 120(1) et 123(5), la Commission, le commissaire et la Section, et les personnes agissant en leur nom ou sous leur autorité, sont tenus au secret en ce qui concerne les renseignements figurant dans une déclaration obtenue en application du paragraphe 58(1) ou dans un registre obtenu en application du paragraphe 60(2).Intérêt public(3)La Commission, le commissaire et la Section peuvent rendre publique toute information dont ils prennent connaissance par suite de l’exercice des attributions que la présente loi leur confère, s’ils estiment que cela est dans l’intérêt public.Communication de renseignements nécessaires(4)Ils peuvent communiquer — ou autoriser les personnes agissant en leur nom ou sous leur autorité à communiquer — les renseignements qui, à leur avis, sont nécessaires pour : a)examiner une plainte ou procéder à une vérification en vertu de la présente loi ou examiner une demande visée à l’article 109 ou entendre une affaire visée au paragraphe 123(1);b)motiver les conclusions et recommandations contenues dans les rapports ou décisions prévus par la présente loi.Communication dans le cadre de certaines procédures(5)Ils peuvent également communiquer — ou autoriser les personnes agissant en leur nom ou sous leur autorité à communiquer — des renseignements : a)dans le cadre des procédures intentées pour l’infraction visée à l’article 145;b)dans le cadre des procédures intentées pour l’infraction visée à l’article 132 du Code criminel (parjure) se rapportant à une déclaration faite en vertu de la présente loi;c)lors d’une audience ou d’un appel devant la Cour fédérale prévu par la présente loi.Communication autorisée(6)Dans les cas où, à son avis, il existe des éléments de preuve touchant la perpétration d’infractions au droit fédéral ou provincial par un cadre ou employé d’une organisation, la Commission, le commissaire et la Section peuvent communiquer au procureur général du Canada ou d’une province, selon le cas, des renseignements qu’ils détiennent à cet égard.Communication : atteinte aux mesures de sécurité(7)Ils peuvent également communiquer — ou autoriser les personnes agissant en leur nom ou sous leur autorité à communiquer — tout renseignement figurant dans une déclaration obtenue en application du paragraphe 58(1) ou dans un registre obtenu en application du paragraphe 60(2) à une institution gouvernementale ou à une subdivision d’une telle institution, s’ils ont des motifs raisonnables de croire qu’il pourrait être utile à une enquête sur une contravention au droit fédéral ou provincial qui a été commise ou est en train ou sur le point de l’être.Communication de renseignements(8)La Commission, le commissaire et la Section peuvent communiquer — ou autoriser les personnes agissant en leur nom ou sous leur autorité à communiquer — des renseignements en conformité avec les paragraphes 58(3) ou 60(1) de la Loi visant à promouvoir l’efficacité et la capacité d’adaptation de l’économie canadienne par la réglementation de certaines pratiques qui découragent l’exercice des activités commerciales par voie électronique et modifiant la Loi sur le Conseil de la radiodiffusion et des télécommunications canadiennes, la Loi sur la concurrence, la Loi sur la protection des renseignements personnels et les documents électroniques et la Loi sur les télécommunications.

Qualité pour témoigner136En ce qui concerne les questions venues à leur connaissance par suite de l’exercice des attributions que la présente loi confère à la Commission, au commissaire ou à la Section, ceux-ci et les personnes agissant en leur nom ou sous leur autorité n’ont qualité pour témoigner que dans le cadre des procédures suivantes : a)les procédures intentées pour l’infraction visée à l’article 145;b)les procédures intentées pour l’infraction visée à l’article 132 du Code criminel (parjure) se rapportant à une déclaration faite en vertu de la présente loi;c)une audience ou un appel devant la Cour fédérale prévu par la présente loi.

Immunité de la Commission, du commissaire et de la Section137(1)La Commission, le commissaire et la Section et les personnes agissant en leur nom ou sous leur autorité bénéficient de l’immunité en matière civile ou pénale pour les actes accomplis, les rapports établis, les décisions rendues et les paroles prononcées de bonne foi par suite de l’exercice effectif ou censé tel des attributions que la présente loi confère à la Commission, au commissaire ou à la Section.Diffamation(2)Ne peuvent donner lieu à poursuites pour diffamation : a)les paroles prononcées, les renseignements fournis ou les documents ou pièces produits de bonne foi au cours de l’examen d’une plainte, d’une procédure relative à demande visée à l’article 109, ou à une ordonnance provisoire visée au paragraphe 123(4) ou d’une vérification effectué par la Commission, le commissaire ou la Section ou en leur nom dans le cadre de la présente loi;b)les rapports établis ou les décisions rendues de bonne foi par la Commission, le commissaire ou la Section dans le cadre de la présente loi, ainsi que les relations qui en sont faites de bonne foi pour des comptes rendus d’événements d’actualités.

Renseignements personnels dépersonnalisés138Pour l’application de l’alinéa 75i), la Section peut, sur demande de l’organisation, approuver, lorsqu’elle l’estime manifestement dans l’intérêt de l’individu, une fin pour laquelle, ou une situation dans laquelle, des renseignements personnels qui ont été dépersonnalisés, peuvent être utilisés, seuls ou en combinaison avec d’autres renseignements, par l’organisation afin d’identifier un individu.

Dispositions générales

Règlements139(1)Le gouverneur en conseil peut, par règlement, prendre toute mesure d’application de la présente loi, notamment : a)régir l’anonymisation des renseignements personnels;b)régir la portée des activités visées aux alinéas 18(2)a) à c) et, notamment, préciser celles qui ne sont pas des activités d’affaires pour l’application du paragraphe 18(1);c)préciser, pour l’application de toute disposition de la présente loi, les institutions gouvernementales et les subdivisions d’institutions gouvernementales;d)préciser tout renseignement pour l’application de l’article 50;e)régir le retrait des renseignements personnels, pour l’application de l’article 54;f)régir les mesures de sécurité, pour l’application de l’article 56;g)préciser les renseignements qui doivent être tenus et conservés au titre du paragraphe 60(1);h)régir le droit d’accès de l’individu aux renseignements personnels le concernant;i)prendre toute mesure d’ordre réglementaire prévue par la présente loi.Décret(2)Il peut, par décret : a)prévoir que la présente loi lie tout mandataire de Sa Majesté du chef du Canada qui n’est pas assujetti à la Loi sur la protection des renseignements personnels;b)s’il est convaincu qu’une loi provinciale essentiellement semblable à la présente loi s’applique à une organisation — ou catégorie d’organisations — ou à une activité — ou catégorie d’activités —, soustraire l’organisation, l’activité ou la catégorie à l’application de la présente loi à l’égard de la collecte, de l’utilisation ou de la communication de renseignements personnels qui s’effectue à l’intérieur de la province en cause;c)modifier l’annexe par adjonction ou par suppression, dans la colonne 1, du nom d’une organisation ou, dans la colonne 2, de la description des renseignements personnels à l’égard de toute organisation figurant à la colonne 1.Règlements : loi provinciale essentiellement semblable(3)Le gouverneur en conseil peut, par règlement : a)établir les critères et le processus lui permettant, pour l’application de l’alinéa (2)b), de conclure qu’une loi provinciale est essentiellement semblable à la présente loi;b)établir les critères et le processus lui permettant de reconsidérer cette conclusion.

Cadre de mobilité des données140Le gouverneur en conseil peut prendre des règlements concernant la communication de renseignements personnels au titre de l’article 72, notamment des règlements : a)concernant les cadres de mobilité des données et prévoyant : (i)les mesures de sécurité que l’organisation doit mettre en place afin de permettre une communication sécuritaire des renseignements personnels au titre de l’article 72 ainsi que la collecte sécuritaire de ces renseignements,(ii)les paramètres des moyens techniques permettant d’assurer l’interopérabilité de systèmes à l’égard de la communication et de la collecte de ces renseignements;b)précisant les organisations qui sont assujetties à un cadre de mobilité des données;c)prévoyant des exceptions à l’obligation de communiquer des renseignements personnels, notamment en ce qui a trait à la protection des renseignements commerciaux exclusifs et confidentiels.

Traitement différent : catégories141Les règlements pris au titre du paragraphe 139(1) ou de l’article 140 peuvent traiter différemment les catégories d’activités, d’institutions gouvernementales et de subdivisions d’institutions gouvernementales, de renseignements, d’organisations ou d’entités.

Règlements : codes de pratique et programmes de certification142Le ministre peut prendre des règlements : a)concernant les circonstances dans lesquelles le commissaire peut faire la recommandation mentionnée à l’alinéa 85(2)c), les critères applicables ainsi que la manière de faire la recommandation;b)concernant les circonstances dans lesquelles une approbation peut être révoquée en application de l’alinéa 85(2)d), les critères applicables ainsi que la manière de procéder à la révocation;c)concernant la présentation de la demande mentionnée au paragraphe 92(2);d)prévoyant les critères de conformité pour l’application du paragraphe 92(3);e)concernant la révision de la décision mentionnée au paragraphe 92(3);f)concernant la présentation de la demande mentionnée au paragraphe 93(1);g)prévoyant les autres éléments qu’un programme de certification doit comprendre pour l’application de l’alinéa 93(1)f);h)prévoyant les critères pour l’application du paragraphe 93(2);i)concernant la révision de la décision mentionnée au paragraphe 93(2);j)précisant le délai de réponse à une demande pour l’application de l’article 94;k)concernant les obligations en matière de rapports et de tenue de registres auxquelles sont assujetties les entités qui gèrent des programmes de certification approuvés, notamment l’obligation de faire rapport à la Commission relativement aux programmes de certification approuvés.

Dénonciation143(1)Toute personne qui a des motifs raisonnables de croire qu’une autre personne a contrevenu à la partie 1, ou a l’intention d’y contrevenir, peut notifier à la Commission des détails sur la question et exiger l’anonymat relativement à cette dénonciation.Caractère confidentiel(2)La Commission est tenue de garder confidentielle l’identité du dénonciateur auquel elle donne l’assurance de l’anonymat.

Interdiction144(1)Il est interdit à l’employeur de congédier un employé, de le suspendre, de le rétrograder, de le punir, de le harceler ou de lui faire subir tout autre inconvénient, ou de le priver d’un avantage lié à son emploi parce que : a)l’employé, agissant de bonne foi et se fondant sur des motifs raisonnables, a informé la Commission que l’employeur ou une autre personne a contrevenu à la partie 1, ou a l’intention d’y contrevenir;b)l’employé, agissant de bonne foi et se fondant sur des motifs raisonnables, a refusé ou a fait part de son intention de refuser d’accomplir un acte qui constitue une contravention à la partie 1;c)l’employé, agissant de bonne foi et se fondant sur des motifs raisonnables, a accompli ou a fait part de son intention d’accomplir un acte nécessaire pour empêcher la contravention à la partie 1;d)l’employeur croit que l’employé accomplira un des actes prévus aux alinéas a), b) ou c).Précision(2)Le présent article n’a pas pour effet de restreindre les droits d’un employé, que ce soit en général ou dans le cadre d’un contrat de travail ou d’une convention collective.Définitions de employé et employeur(3)Au présent article, employé s’entend notamment d’un travailleur autonome et employeur a un sens correspondant.

Infraction et peine145Toute organisation qui contrevient sciemment à l’article 58, au paragraphe 60(1), aux articles 69 ou 75 ou au paragraphe 144(1) ou à une ordonnance rendue en vertu du paragraphe 110(1) ou qui entrave l’action du commissaire — ou de son délégué — dans le cadre d’une vérification ou de l’examen d’une plainte ou l’action de la Commission ou de son délégué dans le cadre d’une procédure relative à une demande de révision visée à l’article 109 ou à une ordonnance provisoire visée au paragraphe 123(4) commet une infraction et encourt, sur déclaration de culpabilité : a)par mise en accusation, une amende maximale de vingt-cinq millions de dollars ou, s’il est supérieur, d’un montant égal à 5 % des recettes globales brutes de l’organisation au cours de son exercice précédant celui pendant lequel elle a été condamnée;b)par procédure sommaire, une amende maximale de vingt millions de dollars ou, s’il est supérieur, d’un montant égal à 4 % des recettes globales brutes de l’organisation au cours de son exercice précédant celui pendant lequel elle a été condamnée.

Examen par un comité parlementaire146(1)Tous les cinq ans suivant la date d’entrée en vigueur du présent article, le comité soit du Sénat, soit de la Chambre des communes, soit mixte, que le Sénat, la Chambre des communes ou le Sénat et la Chambre des communes, selon le cas, désignent ou constituent à cette fin commence un examen approfondi des dispositions de la présente loi et de son application.Rapport(2)Dans un délai d’un an à compter de la date du début de l’examen, ou dans tout délai supérieur que le Sénat, la Chambre des communes ou les deux chambres, selon le cas, lui accordent, le comité remet son rapport d’examen, au Sénat, à la Chambre des communes ou au Sénat et à la Chambre des communes, selon le cas, accompagné des modifications qu’il recommande.

PARTIE 3Entrée en vigueur

Décret147Les dispositions de la présente loi entrent en vigueur à la date ou aux dates fixées par décret, cette date ou ces dates ne pouvant toutefois pas précéder la date d’entrée en vigueur de la partie 3 de la Loi édictant la Loi visant à protéger la vie privée et les données des consommateurs, modifiant la Loi sur la protection des renseignements personnels et les documents électroniques et apportant des modifications à d’autres lois.