Protocole d’entente (l’Autorité nationale de protection des données du Brésil)

PROTOCOLE D’ENTENTE
ENTRE
L’AUTORITÉ NATIONALE DE PROTECTION DES DONNÉES DU BRÉSIL (ANPD)
ET
LE COMMISSAIRE À LA PROTECTION DE LA VIE PRIVÉE DU CANADA (LE COMMISSAIRE)
SUR
L’ASSISTANCE MUTUELLE POUR L’APPLICATION DES LOIS SUR LA PROTECTION DE LA VIE PRIVÉE ET DES DONNÉES PERSONNELLES

---

Le présent protocole d’entente est conclu aujourd’hui, le 1er jour du mois de novembre de l’année 2024, entre :

L’AUTORITÉ NATIONALE DE PROTECTION DES DONNÉES DU BRÉSIL, ci-après appelée « l’ANPD », créée par le décret présidentiel provisoire no 869 du 27 décembre 2018, convertie par la suite en loi no 13.853 du 14 août 2019, et transformée en une agence gouvernementale fonctionnant sous un régime spécial par la loi no 14.460 du 25 octobre 2022, inscrite au registre national des contribuables constitués en société – CNPJ, sous le numéro 44.365.866/0001-71, située à Setor Comercial Norte – SCN, Quadra 6, Conjunto A, Ed. Venâncio 3000, Bloco A, 9ºandar, CEP 70.716-900 – Brasília – DF, Brésil, représentée par son président-directeur, M. WALDEMAR GONÇALVES ORTUNHO JÚNIOR,

et LE COMMISSAIRE À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, M. PHILIPPE DUFRESNE, ci-après appelé « le Commissaire », nommé en vertu de la Loi sur la protection des renseignements personnels, L.R.C. (1985), ch. P-21, situé au 30, rue Victoria, Gatineau (Québec), K1A 1H3, Canada.

L’ANPD et le commissaire seront ci-après désignés individuellement « participant » et collectivement « participants ».

RECONNAISSANT la nature de l’économie mondiale moderne, la circulation et la communication accrues des données et des renseignements personnels d’un pays à l’autre, la complexité croissante des technologies de l’information et le besoin connexe de renforcer la coopération transfrontalière en matière d’application des lois afin de protéger les données et les renseignements personnels;

RECONNAISSANT que l’article 55-J, point IX, de la Loi no 13.709 du 14 août 2018 – loi sur la protection des données du Brésil (LGPD) confère à l’ANPD le pouvoir de promouvoir des mesures de coopération internationale ou transnationale avec les autorités de protection des données personnelles d’autres pays;

RECONNAISSANT que l’article 23.1 de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), L.R.C. 2000, chap. 5 autorise le Commissaire à la protection de la vie privée du Canada (le Commissaire) à communiquer des renseignements à des autorités responsables de la protection des données et des renseignements personnels dans le secteur privé d’autres pays;

RECONNAISSANT que les participants ont chacun des attributions semblables en matière de protection des données et des renseignements personnels dans le secteur privé de leurs pays respectifs;

RECONNAISSANT que les participants souhaitent collaborer sur diverses questions liées à la protection des données et des renseignements personnels;

ONT CONVENU de coopérer dans le cadre du présent protocole d’entente de la manière suivante :

Clause un – définitions

1.1. Dans le cadre du présent protocole d’entente, les termes et acronymes suivants, lorsqu’ils sont utilisés au singulier ou au pluriel, ont le sens indiqué ci-dessous, à moins que le contexte n’indique un sens différent.

1. Les « Lois applicables » sont les lois et règlements du pays de chaque participant, dont l’application permet de protéger les données et les renseignements personnels. Cela comprend toute modification des lois sur la protection de la vie privée et des données personnelles des deux compétences, ainsi que d’autres lois et règlements que les participants peuvent, à l’occasion, décider conjointement par écrit d’inclure dans la catégorie des lois applicables du présent protocole d’entente.
   
   

   a.1) Dans le cas du Commissariat, la « loi applicable » est la partie 1 de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), L.R.C. 2000, ch. 5.

   a.2) Dans le cas de l’ANPD, la « loi applicable » est la Loi no 13.709 du 14 août 2018 – loi sur la protection des données du Brésil (LGPD).

2. Une « contravention visée en matière de protection de la vie privée », comme le prévoit le présent protocole d’entente, désigne tout comportement qui contreviendrait aux lois applicables du pays de l’un des participants et qui est identique ou essentiellement semblable à un comportement qui constitue une contravention aux lois applicables du pays de l’autre participant.
3. Une « personne » est une personne physique ou morale, y compris les sociétés par actions, les associations sans personnalité morale et les sociétés de personnes.
4. Une « demande » désigne une demande d’assistance écrite aux termes du présent protocole d’entente.
5. « Participant répondant » : Participant à qui une assistance est demandée aux termes du présent protocole d’entente ou qui fournit une telle assistance.
6. « Participant demandant » : Participant qui demande l’assistance aux termes du présent protocole d’entente ou qui la reçoit.

Clause deux – objectifs et portée

2.1. Au titre du présent protocole d’entente, les participants doivent déployer les efforts nécessaires pour promouvoir l’assistance mutuelle ainsi que la coopération technique, la coopération en matière de réglementation et la coopération en matière d’application de la loi sur les questions liées à la vie privée et à la protection des données et des renseignements personnels.

2.2. Les participants reconnaissent qu’il est dans leur intérêt commun de collaborer conformément au présent protocole d’entente afin de :

1. veiller à ce que les participants soient en mesure d’assurer la coopération en matière de réglementation nécessaire pour protéger le droit fondamental à la vie privée des citoyens du Brésil et du Canada, respectivement, conformément aux lois applicables de leurs compétences respectives;
2. coopérer en ce qui a trait à l’application de leurs lois applicables respectives;
3. se tenir mutuellement informé de l’évolution des lois applicables dans leurs pays respectifs, lesquelles ont une incidence sur le présent protocole d’entente;
4. fournir un soutien technique et mettre en commun des expériences relatives à la réglementation et à l’application de la loi en matière de protection des données et des renseignements personnels;
5. fournir, sur demande, des renseignements sur les enquêtes concomitantes;
6. promouvoir les enquêtes conjointes ou les mesures d’application de la loi d’intérêt commun en matière de protection des données et des renseignements personnels;
7. soutenir l’autre participant dans sa compétence aux fins d’enquête ou d’application de la loi en fonction des lois applicables respectives.

2.3. Dans le cadre du présent protocole d’entente, les participants peuvent choisir conjointement un ou plusieurs domaines ou initiatives de coopération, comme :

1. mettre en commun des expériences et échanger des pratiques exemplaires en matière de politiques de protection de la vie privée et des données personnelles;
2. élaborer des programmes d’éducation, de formation et de sensibilisation à la protection des données personnelles;
3. mettre en œuvre et réaliser des projets de recherche communs;
4. communiquer des renseignements (à l’exclusion des données ou des renseignements personnels) dans le cadre d’enquêtes potentielles ou en cours relativement à une contravention aux lois applicables en matière de protection de la vie privée et des données personnelles;
5. mener des enquêtes conjointes sur des questions transfrontalières touchant les deux compétences au titre des lois applicables (à l’exclusion de la communication de données personnelles ou de renseignements personnels);
6. convoquer des réunions bilatérales selon ce qui est décidé d’un commun accord par les participants.

2.4. Le présent protocole d’entente n’impose à aucun des participants l’obligation de coopérer l’un avec l’autre ou de communiquer des renseignements.

2.5. Lorsqu’un participant décide d’exercer son pouvoir discrétionnaire de coopérer ou de communiquer des renseignements, il peut limiter cette demande ou la soumettre à des conditions, dans les cas suivants :

1. si la demande ne s’inscrit pas dans la portée du présent protocole;
2. si la conformité à la demande constitue un manquement aux responsabilités légales du participant.

Clause trois – procédures d’assistance mutuelle

3.1. Chaque participant doit nommer une personne-ressource qui traitera les demandes d’assistance et les autres communications entre les parties du présent protocole d’entente.

3.2. Lorsqu’ils présenteront une demande d’assistance en matière de procédure, d’enquête et d’autres questions liées à l’application des lois applicables de part et d’autre des frontières, les participants veilleront à ce que la demande d’assistance contienne suffisamment de renseignements pour permettre au participant répondant d’établir si elle porte sur une contravention aux lois applicables en matière de protection de la vie privée et des données personnelles et d’intervenir si les circonstances le justifient.

3.3. Les demandes doivent être justifiées et inclure une description des faits sous-jacents et le type d’assistance demandée ainsi qu’une indication de toute précaution spéciale à prendre pour donner suite à la demande.

3.4. Les demandes d’assistance doivent préciser à quelle fin les renseignements demandés seront utilisés.

3.5. Avant de demander une assistance, le participant demandant doit réaliser un examen préliminaire pour confirmer que la demande est conforme à la portée du présent protocole d’entente et ne constitue pas un fardeau excessif pour le participant répondant.

3.6. Les participants s’efforceront de communiquer et de coopérer l’un avec l’autre, selon le cas et selon les termes du présent protocole d’entente, quand cela peut contribuer aux enquêtes en cours.

3.7. Les participants aviseront l’autre participant sans délai s’ils constatent que certains renseignements communiqués dans le cadre du présent protocole d’entente sont inexacts, incomplets ou périmés.

3.8. Les participants peuvent transmettre des demandes d’enquête, des plaintes ou des avis concernant de possibles contraventions aux lois applicables dans la compétence de l’autre participant.

Clause quatre – personne-ressource

4.1. Les personnes désignées ci-après sont les personnes-ressources des participants pour les questions visées par le présent protocole d’entente et les activités conjointes qui en découlent.

4.1.1. Pour l’ANPD :

Nom : Eduardo Gomes Salgado
Poste : Coordonnateur général pour les relations institutionnelles et internationales
Téléphone : +5561 2025 8138
Courriel : eduardo.salgado@anpd.gov.br
Adresse : Setor Comercial Norte – SCN, Quadra 6, Conjunto A, Edifício Venâncio 3000, Bloco A, 9º andar, CEP 70.716-900 – Brasília – DF, Brésil

4.1.2. Pour le Commissaire :

Nom : Miguel Bernal-Castillero
Poste : Directeur
Téléphone : 613-793-6941
Courriel : Miguel.Bernal-castillero@priv.gc.ca
Adresse : 30, rue Victoria, Gatineau (Québec), J8X 2A1, Canada.

4.2. Chaque participant peut modifier les personnes-ressources désignées aux fins du présent protocole d’entente au moyen d’un préavis écrit à l’autre participant.

Clause cinq – coûts

5.1. Les mesures prises dans le cadre du présent protocole d’entente seront menées sous un régime de coopération mutuelle.

5.2. Sauf si les participants en décident autrement, le participant répondant engagera tous les coûts nécessaires pour répondre à la demande.

5.3. Lorsque les coûts liés à la communication ou à l’obtention de renseignements dans le cadre du présent protocole d’entente sont importants, le participant répondant peut demander au participant demandant de les payer en tant que condition au traitement de la demande.

5.4. Dans un cas comme celui visé au point 5.3, les participants se consulteront sur la question à la demande de l’un ou l’autre d’entre eux.

Clause six – aucun échange de données personnelles ni de renseignements personnels

6.1. Les participants n’échangeront les données personnelles et les renseignements personnels au titre du présent protocole d’entente qu’en conformité avec les lois applicables de chaque participant et dans la mesure où cela est nécessaire pour atteindre les objectifs du présent protocole d’entente. Lorsqu’ils échangent des données personnelles ou des renseignements personnels, les participants s’efforcent, dans la mesure du possible, d’obtenir au préalable le consentement de la ou des personne(s) concernée(s).

6.2. Si les participants souhaitent échanger des données personnelles et des renseignements personnels, par exemple dans le cadre d’une affaire transfrontalière qui touche les deux compétences, chaque participant doit se conformer à ses propres lois applicables, qui peuvent exiger des participants de conclure un accord écrit précis à cette fin.

Clause sept – conservation des renseignements

7.1. Les renseignements reçus dans le cadre du présent protocole d’entente ne seront pas conservés plus longtemps que le temps nécessaire pour réaliser l’objectif à l’origine de la communication ou plus longtemps que ne l’autorisent les lois du pays du participant demandant.

7.2. Les participants feront de leur mieux pour renvoyer tous les renseignements qui ne sont plus requis si le participant répondant a demandé par écrit le renvoi des renseignements.

7.3. Si le participant répondant ne demande pas le renvoi des renseignements, le participant demandant les éliminera à l’aide des méthodes définies par le participant répondant ou, si ce dernier n’a pas précisé les méthodes, au moyen de méthodes sécuritaires, le plus rapidement possible une fois que les renseignements ne seront plus nécessaires.

7.4. Les participants communiqueront des renseignements personnels dans le cadre du présent protocole d’entente uniquement dans la mesure où cela est nécessaire à la réalisation des objectifs du protocole.

7.5. Le participant demandant n’utilisera pas les renseignements fournis par le participant répondant à d’autres fins que celles auxquelles ils ont été communiqués.

Clause huit – confidentialité

8.1. Les renseignements communiqués dans le cadre du présent protocole d’entente seront traités de manière confidentielle et ne seront pas autrement communiqués sans le consentement de l’autre participant.

8.2. Lorsque des documents confidentiels sont transmis entre les participants, ils seront marqués de la classification de sécurité appropriée.

8.3. Les participants s’engagent à garder le secret absolu sur tous les renseignements confidentiels dont ils ont connaissance ou auxquels ils ont accès en raison de l’exécution du présent protocole d’entente, sauf avec l’autorisation écrite du participant qui les a transmis.

8.4. Les renseignements confidentiels seront utilisés exclusivement aux fins précises prévues dans le présent protocole d’entente.

8.5. Les participants feront tout en leur pouvoir, dans les limites des lois de leurs pays, pour s’opposer à toute demande par une tierce partie de communication de renseignements ou de documents confidentiels fournis par le participant répondant, sauf si celui-ci consent à la communication.

8.6. Le participant qui reçoit une demande de communications de renseignements confidentiels par une tierce partie en informera immédiatement le participant répondant qui a fourni les renseignements confidentiels.

Clause neuf – signalement des atteintes à la sécurité des données

9.1. Des mesures de sécurité appropriées devront être convenues dans des cas particuliers pour protéger les transferts de renseignements en fonction de leur nature délicate et de toute classification appliquée par l’expéditeur.

9.2. Chaque participant fera de son mieux pour protéger les renseignements fournis aux termes du présent protocole d’entente et respecter toutes les mesures de protection établies par les participants.

9.3. En cas de consultation ou de communication non autorisée des renseignements, les participants mettront en place toutes les mesures nécessaires pour empêcher que cela se reproduise et informeront rapidement l’autre participant de la situation.

9.4. Si des documents confidentiels obtenus du participant répondant ou communiqués par celui-ci sont communiqués ou utilisés à tort par le participant demandant, ce dernier le signalera sans délai au participant répondant.

Clause dix – restrictions prévues par la loi et nature juridique du présent protocole

10.1. Le participant répondant peut exercer son pouvoir discrétionnaire et refuser de répondre à une demande d’assistance présentée par le participant demandant, limiter sa coopération ou imposer des conditions connexes, particulièrement lorsque la demande n’est pas visée par le présent protocole d’entente ou, plus généralement, lorsqu’elle est contraire à ses lois ou à des priorités ou à des intérêts importants.

10.2. Le participant demandant peut s’enquérir des motifs pour lesquels le participant répondant a refusé ou a limité son assistance ou sa coopération.

10.3. Aucune disposition du présent protocole d’entente ne vise à :

1. créer des obligations contraignantes ou à influer sur des obligations existantes au titre du droit international, ou à créer des obligations au titre des lois des pays respectifs des participants;
2. empêcher un participant de demander l’assistance ou la coopération de l’autre participant; ou de fournir une assistance à l’autre participant conformément à d’autres instruments juridiques;
3. avoir une incidence sur le droit d’un participant à tenter d’obtenir des renseignements de façon légale d’une personne située dans le pays de l’autre participant ni à empêcher une telle personne de fournir volontairement des renseignements obtenus selon la législation locale;
4. créer des obligations ou des attentes d’assistance ou de coopération qui dépassent le champ de compétence des participants.

Clause onze – publicité et communication

11.1. La publicité résultant des mesures prises dans le cadre du présent protocole d’entente doit être éducative, informative ou à vocation sociale, et ne peut contenir de noms, de symboles ou d’images caractérisant la promotion personnelle des autorités ou des fonctionnaires des deux participants.

Clause douze – modifications

12.1. Le présent protocole d’entente peut être modifié, en tout ou en partie, par la publication d’une modification ou d’un addenda écrit, signé par les participants, à condition que son objet soit maintenu.

Clause treize – durée de la coopération

13.1. La durée du présent protocole d’entente sera de cinq (5) ans à compter de la date de la dernière signature. Elle peut être prolongée pour une seule période de même durée, au moyen d’une modification ou d’un addenda, ou d’un commun accord, qui sera signé par les participants pendant la durée du présent instrument.

13.2. Le présent instrument peut être résilié pour un motif valable, à tout moment par l’un ou l’autre des participants, sous réserve d’un préavis d’au moins soixante (60) jours adressé par écrit à l’autre participant.

13.3. L’assistance fournie au titre du présent protocole d’entente s’applique aux contraventions visées en matière de protection des renseignements personnels qui surviennent avant ou après l’exécution du présent protocole.

13.4. Lorsque le présent protocole d’entente ne sera plus en vigueur, les participants continueront à assurer la confidentialité des renseignements communiqués par l’autre participant dans le cadre du présent protocole d’entente conformément aux clauses six et huit, et renverront ou détruiront les renseignements fournis par l’autre participant suivant le présent protocole d’entente conformément aux dispositions de la clause sept.

Clause quatorze – règlement des différends

14.1. Les participants feront de leur mieux pour régler tout désaccord qui pourrait survenir dans le cadre du présent protocole d’entente par l’intermédiaire des personnes-ressources désignées à la clause quatre.

14.2. À défaut d’un règlement entre les personnes-ressources dans un délai raisonnable, les conflits seront réglés par la discussion et la négociation entre les premiers dirigeants des participants.

Clause quinze – situations imprévues

15.1. Les situations non prévues dans le présent protocole d’entente seront réglées d’un commun accord entre les participants, en vue de la pleine exécution de son objet.

Clause seize – signature électronique

16.1. L’exécution du présent protocole d’entente par des moyens électroniques et numériques est reconnue par les deux participants comme valide et pleinement efficace lorsque les deux participants ont signé le présent protocole.

Signé en portugais, en anglais et en français, chaque version étant également valable, avec la même forme et le même contenu. En cas d’interprétation contradictoire, seule la version anglaise fait foi.