La partie 1 édicte la Loi sur la protection de la vie privée des consommateurs afin de régir la protection des renseignements personnels des individus tout en tenant compte du besoin des organisations de recueillir, d’utiliser ou de communiquer de tels renseignements dans le cadre d’activités commerciales. En conséquence, elle abroge la partie 1 de la Loi sur la protection des renseignements personnels et les documents électroniques et remplace le titre abrégé de cette loi par le titre Loi sur les documents électroniques. Elle apporte aussi des modifications corrélatives et connexes à d’autres lois.

La partie 2 édicte la Loi sur le Tribunal de la protection des renseignements personnels et des données qui constitue un tribunal administratif pour entendre les appels interjetés à l’encontre de certaines décisions rendues par le Commissaire à la protection de la vie privée au titre de la Loi sur la protection de la vie privée des consommateurs et pour infliger des pénalités relatives à la contravention de certaines dispositions de cette dernière loi. De plus, elle apporte une modification connexe à la Loi sur le Service canadien d’appui aux tribunaux administratifs.

La partie 3 édicte la Loi sur l’intelligence artificielle et les données pour réglementer les échanges et le commerce internationaux et interprovinciaux en matière de systèmes d’intelligence artificielle et exiger que certaines personnes adoptent des mesures pour atténuer les risques de préjudices et de résultats biaisés liés aux systèmes d’intelligence artificielle à incidence élevée. Cette loi prévoit la publication de renseignements et autorise le ministre à ordonner la fourniture de documents relatifs aux systèmes d’intelligence artificielle. Elle établit également des interdictions relatives à la possession ou à l’utilisation de renseignements personnels obtenus illégalement afin de concevoir, de développer, d’utiliser ou de rendre disponible un système d’intelligence artificielle et liées au fait de rendre disponible un système d’intelligence artificielle dont l’utilisation cause un préjudice sérieux aux individus.

Préambule

Loi de 2022 sur la mise en œuvre de la Charte du numérique

Édiction

Loi sur la protection de la vie privée des consommateurs

Définitions

Désignation du ministre

Représentants autorisés

Objet

Champ d’application

Responsabilité à l’égard des renseignements personnels

Individus désignés

Programme de gestion de la protection des renseignements personnels

Accès au programme de gestion

Protection équivalente

Fins acceptables

Limite : collecte

Fins nouvelles

Consentement requis

Consentement obtenu par subterfuge

Retrait du consentement

Activités d’affaires

Transfert à des fournisseurs de services

Renseignements dépersonnalisés

Recherche, analyse et développement

Transaction commerciale éventuelle

Renseignement produit par l’individu

Relation d’emploi : entreprise fédérale

Communication à un avocat ou un notaire

Déclaration d’un témoin

Prévention, détection et suppression de la fraude

Recouvrement de créances

Intérêt de l’individu

Situation d’urgence : utilisation

Situation d’urgence : communication

Identification d’un individu

Communication : proche parent ou représentant autorisé

Exploitation financière

Statistiques, études ou recherches

Importance historique ou archivistique

Communication après une période de temps

Fins journalistiques, artistiques ou littéraires

Fins socialement bénéfiques

Violation d’un accord ou contravention au droit

Utilisation à des fins d’enquête

Atteinte aux mesures de sécurité

Application du droit : demande de l’institution gouvernementale

Contrôle d’application : demande de l’institution gouvernementale

Contravention au droit : sur initiative de l’organisation

Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes

Sécurité nationale, défense et affaires internationales : demande de l’institution gouvernementale

Sécurité nationale, défense et affaires internationales : initiative de l’organisation

Collecte en vue d’une communication exigée par la loi

Assignation, mandat ou ordonnance

Renseignements réglementaires

Définitions

Durée de conservation et retrait

Renseignements personnels utilisés pour prendre une décision

Retrait à la demande de l’individu

Exactitude des renseignements

Mesures de sécurité

Déclaration au commissaire

Avis à une organisation

Registre

Fournisseur de services

Politiques et pratiques

Information et accès

Demande par écrit

Renseignements nécessaires

Langage clair

Délai de réponse

Coût

Conservation des renseignements

Cas où la communication est interdite

Modification des renseignements personnels

Communication conformément à un cadre de mobilité des données

Plaintes et demandes de renseignements

Proportionnalité des procédés techniques et administratifs

Interdiction 

Définition de entité

Programme de certification

Réponse du commissaire

Décision publique

Précision

Pouvoirs du commissaire

Contravention

Examen des plaintes par le commissaire

Exception

Fin de l’examen

Mode de règlement des différends

Conclusion d’un accord de conformité

Avis et motifs

Investigation : plainte

Investigation : accord de conformité

Règles de preuve

Règles

Conclusion de l’investigation

Recommandation

Infliction d’une pénalité

Recouvrement

Vérification de la conformité

Rapport des conclusions et recommandations du commissaire

Pouvoirs du commissaire

Délégation

Droit d’appel

Appel avec autorisation

Sort de l’appel

Ordonnances de conformité

Ordonnances du Tribunal

Dépôt au greffe de la cour

Dommages et intérêts : contravention

Certificat délivré au titre de la Loi sur la preuve au Canada

Éléments à prendre en compte

Promotion de l’objet de la loi

Interdiction : utilisation des renseignements

Manière d’exercer ses attributions

Secret

Qualité pour témoigner

Immunité du commissaire

Renseignements dépersonnalisés

Accords ou ententes : ministre

Accords ou ententes : CRTC et commissaire de la concurrence

Consultation avec les provinces

Communication de renseignements à des États étrangers

Rapport annuel

Règlements

Cadre de mobilité des données

Traitement différent : catégories

Règlements : codes de pratique et programmes de certification

Dénonciation

Interdiction

Infraction et peine

Examen par un comité parlementaire

Décret

Loi sur la protection des renseignements personnels et les documents électroniques

Loi sur l’accès à l’information

Loi sur l’aéronautique

Loi sur la preuve au Canada

Loi sur le Conseil de la radiodiffusion et des télécommunications canadiennes

Loi sur la concurrence

Loi canadienne sur les sociétés par actions

Loi sur les télécommunications

Loi sur la protection des fonctionnaires divulgateurs d’actes répréhensibles

Chapitre 23 des Lois du Canada (2010)

Loi sur la modernisation des transports

Remplacement de « Loi sur la protection des renseignements personnels et les documents électroniques »

Définitions

Projet de loi C-11

2018, ch. 10

Édiction

Loi sur le Tribunal de la protection des renseignements personnels et des données

Définition de ministre

Désignation du ministre

Constitution

Compétence

Membres

Président et vice-président

Fonctions du président

Intérim — président

Mandat

Rémunération

Incompatibilité

Siège

Séances

Audiences

Pouvoirs

Motifs

Décisions publiques

Règles de procédure

Dépens

Décision définitive

Édiction de la loi

Loi sur l’intelligence artificielle et les données

Définitions

Non-application

Objet

Définitions

Données anonymisées

Évaluation : système à incidence élevée

Mesures relatives aux risques

Contrôle des mesures d’atténuation

Tenue de documents généraux

Publication de la description : système rendu disponible

Avis : préjudice important

Fourniture de documents visés au par. 10(1)

Fourniture de documents visés au par. 10(2)

Vérification

Mise en œuvre de mesures

Cessation

Publication

Respect

Dépôt à la Cour fédérale

Loi sur les textes réglementaires

Maintien du caractère confidentiel

Obligation du ministre

Communication de renseignements commerciaux confidentiels : assignation, mandat, etc.

Communication de renseignements : analyste

Communication de renseignements : autres

Publication de renseignements : contravention

Publication de renseignements : préjudice

Sanctions administratives pécuniaires

Contravention : articles 6 à 12

Désignation

Pouvoirs généraux du ministre

Commissaire à l’intelligence artificielle et aux données

Analystes

Comité consultatif

Règlements du gouverneur en conseil

Règlements du ministre

Possession ou utilisation de renseignements personnels

Système rendu disponible

Peine

Décret

Décret

Préambule

Attendu :

qu’il est nécessaire de moderniser le cadre législatif canadien afin qu’il soit adapté à l’ère numérique;

que la protection du droit à la vie privée des individus en ce qui a trait à leurs renseignements personnels est essentielle à leur autonomie et à leur dignité et à la pleine jouissance des droits et libertés fondamentaux au Canada;

que le Parlement reconnaît l’importance des principes de protection de la vie privée et des données qui sont exprimés dans divers instruments internationaux;

que la confiance dans l’économie axée sur le numérique et les données est cruciale pour la croissance de cette économie et pour que le Canada soit plus inclusif et prospère;

que le Canada est une nation commerçante et que le commerce repose sur l’analyse, la circulation et l’échange de renseignements personnels et de données sans frontières ni limites géographiques;

que la conception, l’élaboration et le déploiement de systèmes d’intelligence artificielle de part et d’autre des frontières provinciales et internationales devraient se faire en cohérence avec les normes nationales et internationales pour protéger les individus des préjudices potentiels;

que des organisations de toute taille évoluent dans l’économie axée sur le numérique et les données et qu’un cadre réglementaire flexible est nécessaire pour les aider à respecter les règles et favoriser l’innovation en leur sein;

que les individus s’attendent à un cadre réglementaire qui assure un traitement transparent et responsable de leurs renseignements personnels par les organisations et qui est appuyé par un contrôle d’application substantiel;

que la modernisation des normes nationales en matière de protection de la vie privée, en arrimant celles-ci aux normes internationales, assure l’existence de conditions de concurrence équitables partout au Canada et aide à maintenir la compétitivité des organisations;

qu’un cadre réglementaire moderne de protection des renseignements personnels devrait encourager la collecte, l’utilisation et la communication responsables des renseignements personnels par les organisations dans la poursuite d’objectifs d’intérêt public;

que le Parlement reconnaît que les systèmes d’intelligence artificielle et autres technologies émergentes devraient maintenir les normes et les valeurs canadiennes conformes aux principes du droit international en matière de droits de la personne;

que la présente loi vise à soutenir les efforts du gouvernement du Canada pour favoriser un environnement permettant aux Canadiens de saisir les avantages de l’économie axée sur le numérique et les données et pour établir un cadre réglementaire soutenant et protégeant les normes et les valeurs canadiennes, notamment le droit à la vie privée,

Sa Majesté, sur l’avis et avec le consentement du Sénat et de la Chambre des communes du Canada, édicte :

An Act to support and promote electronic commerce by protecting personal information that is collected, used or disclosed in the course of commercial activities

Short Title

1 This Act may be cited as the Consumer Privacy Protection Act.

Interpretation

2 (1) The following definitions apply in this Act.

alternative format, with respect to personal information, means a format that allows an individual with a sensory disability to read or listen to the personal information. (support de substitution)

anonymize means to irreversibly and permanently modify personal information, in accordance with generally accepted best practices, to ensure that no individual can be identified from the information, whether directly or indirectly, by any means. (anonymiser)

automated decision system means any technology that assists or replaces the judgment of human decision-makers through the use of a rules-based system, regression analysis, predictive analytics, machine learning, deep learning, a neural network or other technique. (système décisionnel automatisé)

breach of security safeguards means the loss of, unauthorized access to or unauthorized disclosure of personal information resulting from a breach of an organization’s security safeguards that are referred to in section 57 or from a failure to establish those safeguards. (atteinte aux mesures de sécurité)

business transaction includes

commercial activity means any particular transaction, act or conduct or any regular course of conduct that is of a commercial character, including the selling, bartering or leasing of donor, membership or other fundraising lists. (activité commerciale)

Commissioner means the Privacy Commissioner appointed under section 53 of the Privacy Act. (commissaire)

de-identify means to modify personal information so that an individual cannot be directly identified from it, though a risk of the individual being identified remains. (dépersonnaliser)

dispose means to permanently and irreversibly delete personal information or to anonymize it. (retrait)

federal work, undertaking or business means any work, undertaking or business that is within the legislative authority of Parliament. It includes

Minister means the member of the Queen’s Privy Council for Canada designated under section 3 or, if no member is designated, the Minister of Industry. (ministre)

organization includes an association, a partnership, a person or a trade union. (organisation)

personal information means information about an identifiable individual. (renseignement personnel)

prescribed means prescribed by regulation. (Version anglaise seulement)

record means any documentary material, regardless of medium or form. (document)

service provider means an organization, including a parent corporation, subsidiary, affiliate, contractor or subcontractor, that provides services for or on behalf of another organization to assist the organization in fulfilling its purposes. (fournisseur de services)

Tribunal means the Personal Information and Data Protection Tribunal established under section 4 of the Personal Information and Data Protection Tribunal Act. (Tribunal)

(2) For the purposes of this Act, the personal information of minors is considered to be sensitive information.

(3) For the purposes of this Act, other than sections 20 and 21, subsections 22(1) and 39(1), sections 55 and 56, subsection 63(1) and sections 71, 72, 74, 75 and 116, personal information that has been de-identified is considered to be personal information.

3 The Governor in Council may, by order, designate any member of the Queen’s Privy Council for Canada to be the Minister for the purposes of this Act.

4 The rights and recourses provided under this Act may be exercised

Purpose and Application

5 The purpose of this Act is to establish — in an era in which data is constantly flowing across borders and geographical boundaries and significant economic activity relies on the analysis, circulation and exchange of personal information — rules to govern the protection of personal information in a manner that recognizes the right of privacy of individuals with respect to their personal information and the need of organizations to collect, use or disclose personal information for purposes that a reasonable person would consider appropriate in the circumstances.

6 (1) This Act applies to every organization in respect of personal information that

(2) For greater certainty, this Act applies in respect of personal information

(3) This Act also applies to an organization set out in column 1 of the schedule in respect of personal information set out in column 2.

(4) This Act does not apply to

(5) For greater certainty, this Act does not apply in respect of personal information that has been anonymized.

(6) Every provision of this Act applies despite any provision, enacted after December 31, 2000, of any other Act of Parliament, unless the other Act expressly declares that that provision operates despite the provision of this Act.

PART 1 

Obligations of Organizations

7 (1) An organization is accountable for personal information that is under its control.

(2) Personal information is under the control of the organization that decides to collect it and that determines the purposes for its collection, use or disclosure, regardless of whether the information is collected, used or disclosed by the organization itself or by a service provider on behalf of the organization.

8 (1) An organization must designate one or more individuals to be responsible for matters related to its obligations under this Act. It must provide the designated individual’s business contact information to any person who requests it.

(2) The designation of an individual under subsection (1) does not relieve the organization of its obligations under this Act.

9 (1) Every organization must implement and maintain a privacy management program that includes the policies, practices and procedures the organization has put in place to fulfill its obligations under this Act, including policies, practices and procedures respecting

(2) In developing its privacy management program, the organization must take into account the volume and sensitivity of the personal information under its control.

10 (1) An organization must, on request of the Commissioner, provide the Commissioner with access to the policies, practices and procedures that are included in its privacy management program.

(2) The Commissioner may, after reviewing the policies, practices and procedures, provide guidance on, or recommend that corrective measures be taken by the organization in relation to, its privacy management program.

11 (1) If an organization transfers personal information to a service provider, the organization must ensure, by contract or otherwise, that the service provider provides a level of protection of the personal information equivalent to that which the organization is required to provide under this Act.

(2) The obligations under this Part, other than those set out in sections 57 and 61, do not apply to a service provider in respect of personal information that is transferred to it. However, the service provider is subject to all of the obligations under this Part if it collects, uses or discloses that information for any purpose other than the purposes for which the information was transferred.

12 (1) An organization may collect, use or disclose personal information only in a manner and for purposes that a reasonable person would consider appropriate in the circumstances, whether or not consent is required under this Act.

(2) The following factors must be taken into account in determining whether the manner and purposes referred to in subsection (1) are appropriate:

(3) An organization must determine at or before the time of the collection of any personal information each of the purposes for which the information is to be collected, used or disclosed and record those purposes.

(4) If the organization determines that the personal information it has collected is to be used or disclosed for a new purpose, the organization must record that new purpose before using or disclosing that information for the new purpose.

13 The organization may collect only the personal information that is necessary for the purposes determined and recorded under subsection 12(3).

14 (1) An organization must not use or disclose personal information for a purpose other than a purpose determined and recorded under subsection 12(3), unless the organization obtains the individual’s valid consent before any use or disclosure for that other purpose.

(2) Despite subsection (1), an organization may

15 (1) Unless this Act provides otherwise, an organization must obtain an individual’s valid consent for the collection, use or disclosure of the individual’s personal information.

(2) The individual’s consent must be obtained at or before the time of the collection of the personal information or, if the information is to be used or disclosed for a purpose other than a purpose determined and recorded under subsection 12(3), before any use or disclosure of the information for that other purpose.

(3) The individual’s consent is valid only if, at or before the time that the organization seeks the individual’s consent, it provides the individual with the following information: