Annonce

Le 23 septembre 2019

Le Commissariat tire ses conclusions suite à la consultation sur les transferts aux fins de traitement

À la suite d’une consultation au sujet de transferts de renseignements personnels aux fins de traitement, le Commissariat à la protection de la vie privée du Canada a conclu que ses lignes directrices sur le transfert transfrontalier de renseignements personnels demeureront les mêmes en vertu de la loi actuelle. Le Commissariat concentrera maintenant ses efforts sur la façon dont une loi révisée peut protéger au mieux le droit à la vie privée des Canadiens lors du transfert de leurs renseignements d’une organisation à une autre.

L’objectif à long terme du Commissariat demeure d’assurer une protection efficace de la vie privée dans le contexte des transferts aux fins de traitement, tout en étant conscient, d’une part, que la circulation transfrontalière de données fait l’objet d’accords commerciaux internationaux et, d’autre part, que les transferts nationaux et internationaux apportent des avantages importants aux personnes et aux organisations.

Au cours de sa consultation, le Commissariat a reçu 87 mémoires. Des intervenants, dont plusieurs représentants de l’industrie, ont fait part de leurs préoccupations au sujet de l’interprétation selon laquelle le consentement peut être requis pour les transferts aux fins de traitement.

La grande majorité des intervenants étaient d’avis qu’il n’était pas nécessaire, en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), d’obtenir le consentement pour les transferts aux fins de traitement; obtenir ce consentement créerait, selon eux, d’énormes défis en ce qui concerne leurs processus opérationnels.

D’après nous, il s’agit là d’une situation assez courante où plus d’une interprétation de la loi est possible. La Cour d’appel fédérale a conclu, en raison du « caractère non législatif » de la rédaction de la LPRPDE et du fait que cette loi « est un compromis sous le rapport aussi bien de la forme que du fond », qu’une règle spéciale d’interprétation s’applique à cet égard. La cour a précisé ce qui suit : « L’annexe 1 ne se prête pas à l'interprétation rigoureuse habituellement possible. Cela étant, la meilleure solution pour la Cour est de se confier aux critères de la souplesse, du sens commun et du pragmatisme. »

Le Commissariat se fonde sur cette approche pragmatique pour conclure qu’il maintient le statu quo jusqu’à ce que la loi soit modifiée. À cette fin, il a tenu compte des mémoires reçus et considéré que l’interprétation proposée ne serait probablement pas mise en pratique avant des années, sans doute bien après la réforme législative. 

Bien que les lignes directrices du Commissariat sur les transferts aux fins de traitement demeurent les mêmes, nous rappelons aux entreprises qu’elles sont tenues par la loi de faire preuve de transparence en ce qui concerne les pratiques de traitement des renseignements personnels. Les organisations devraient informer les consommateurs que leurs renseignements personnels pourraient être envoyés dans un autre territoire de compétence aux fins de traitement, et que les tribunaux, organismes d’application de la loi et agences de sécurité nationale de ce territoire pourraient y accéder.

De plus, le Commissariat s’attend à ce que les organisations continuent d’appliquer ses lignes directrices pour l’obtention d’un consentement valable, afin que chacun puisse prendre des décisions éclairées au moment d’utiliser un service ou un produit, de procéder à un achat, ou encore de télécharger une application. Ces lignes directrices indiquent que les organisations, y compris celles qui ont recours à un tiers aux fins de traitement, doivent mettre en évidence des éléments clés dans leur avis de confidentialité : quels renseignements personnels sont recueillis; à quels tiers les renseignements personnels sont communiqués; à quelles fins les renseignements personnels sont recueillis, utilisés ou communiqués; et quels sont les risques de préjudice et autres conséquences.

Alors qu’il élabore des recommandations pour moderniser la loi fédérale qui s’applique au secteur privé au Canada, le Commissariat tiendra compte des mémoires reçus qui traitent de la réforme législative et de la façon dont une future loi pourrait aborder les transferts aux fins de traitement et la circulation transfrontalière des données de manière à protéger efficacement la vie privée.

Les transferts aux fins de traitement et la circulation transfrontalière des données peuvent présenter d’importants avantages pour les consommateurs et les organisations. L’un des objectifs de la LPRPDE est d’ailleurs de soutenir et de favoriser le commerce électronique. Toutefois, ces transferts et cette circulation des données comportent des risques pour la protection de la vie privée, qui doivent être abordés au moyen de protections juridiques solides. Nous sommes d’avis que les mesures de protection de la vie privée actuelles sont clairement insuffisantes. Nous formulerons donc des recommandations pour renforcer ces mesures de protection dans une future loi.