Le 10 septembre 2026, le Commissariat à la protection de la vie privée du Canada (CPVP) a publié une orientation préliminaire visant à aider les organisations assujetties à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) à évaluer les pratiques en matière de protection de la vie privée de fournisseurs de services tiers éventuels avant de se procurer des produits, des services ou des technologies qui comportent la collecte, l’utilisation ou la communication de renseignements personnels. Le CPVP accepte les commentaires jusqu’au 4 décembre 2026 et pourrait réviser l’orientation par la suite. Entre-temps, l’orientation transmet un message clair du CPVP : la diligence raisonnable en matière de protection de la vie privée n’est pas un simple exercice d’approvisionnement; elle constitue un élément central des obligations de responsabilité d’une organisation.
La responsabilité demeure au cœur
Le principe 4.1.3 de la LPRPDE : (i) prévoit que les organisations demeurent « … responsables des renseignements personnels dont [elles ont] la gestion, y compris les renseignements confiés à une tierce partie aux fins de traitement »; et (ii) exige qu’elles « … utilisent des moyens contractuels ou autres pour assurer un degré comparable de protection pendant que les renseignements sont en cours de traitement par une tierce partie ».
S’appuyant sur les exigences de responsabilité qui précèdent, l’orientation présente une série de pratiques exemplaires conçues pour aider les organisations à évaluer des fournisseurs de services éventuels avant d’obtenir un produit, un service ou une technologie. Fait important, le CPVP souligne qu’une organisation devrait veiller à ce que les personnes chargées d’effectuer de telles évaluations possèdent la formation et l’expertise appropriées pour le faire efficacement.
Pratiques exemplaires
Ce qui suit résume les principales pratiques exemplaires relevées dans l’orientation.
1. Savoir quels renseignements personnels sont en cause
Les organisations devraient d’abord déterminer quels renseignements personnels seront recueillis, utilisés ou communiqués dans le cadre de l’utilisation proposée du produit, du service ou de la technologie. Le CPVP conseille expressément aux organisations de :
- déterminer si des renseignements personnels sensibles sont en cause (notamment des renseignements sur la santé, des données financières, des renseignements sur l’origine ethnique et raciale, des opinions politiques, des données génétiques, des données neuronales, des données biométriques permettant une identification unique, des renseignements sur l’orientation sexuelle et des renseignements sur les croyances religieuses);
- faire preuve d’une vigilance accrue lorsque des produits, des services ou des technologies reposent sur des renseignements accessibles au public, puisque la LPRPDE s’applique toujours aux renseignements personnels accessibles dans des espaces publics; et
- faire preuve d’une vigilance accrue lorsqu’un fournisseur tiers affirme que des données ont été anonymisées et se demander si des ensembles de données pourraient être réidentifiés.
Comprendre les renseignements personnels en cause est essentiel pour évaluer le caractère suffisant du dispositif de protection de la vie privée d’un fournisseur tiers.
2. Cartographier les flux de données
L’orientation recommande aux organisations d’établir une cartographie montrant comment les renseignements personnels circulent entre l’organisation, les personnes concernées, le fournisseur de services et toute autre entité participant à la fourniture du produit, du service ou de la technologie. Les organisations devraient aussi comprendre où les données sont stockées, y compris sur l’infrastructure infonuagique exploitée par le fournisseur ou ses sous-traitants.
3. Confirmer comment les données seront utilisées
L’orientation recommande de confirmer chacune des fins auxquelles un fournisseur recueillera, utilisera ou communiquera des renseignements personnels pour le compte de l’organisation.
Fait important, les organisations devraient déterminer si le fournisseur entend utiliser les renseignements personnels à ses propres fins, notamment pour entraîner ses algorithmes ou améliorer ses processus internes. Lorsque de telles utilisations sont envisagées, les organisations devraient évaluer si l’utilisation proposée est conforme à la LPRPDE et aux autres lois applicables en matière de protection de la vie privée, si un consentement additionnel des personnes est requis et si des changements doivent être apportés aux politiques de confidentialité de l’organisation si l’offre du tiers est adoptée.
4. Comprendre les fonctionnalités et le rendement
L’orientation recommande aux organisations d’évaluer si les technologies présentent des risques connus, notamment des biais systémiques, des vulnérabilités de sécurité et des facteurs susceptibles d’entraîner des inexactitudes ou un traitement discriminatoire.
Il convient de noter que l’orientation encourage les organisations à acquérir une compréhension suffisante de toute technologie qu’elles entendent se procurer et, au besoin, à obtenir des renseignements supplémentaires auprès du fournisseur de services et à consulter des sources tierces indépendantes concernant le rendement de la technologie. Cette attente pourrait s’avérer particulièrement difficile dans le contexte de certains produits et services fondés sur l’IA, surtout lorsque les modèles sous-jacents ou les processus décisionnels fonctionnent comme une « boîte noire » et offrent une transparence limitée quant à la façon dont les résultats sont générés.
5. Confirmer les rôles et responsabilités
Le CPVP recommande que les organisations comprennent si des sous-traitants auront accès aux renseignements personnels et identifient ces sous-traitants par écrit. Les organisations devraient aussi s’assurer que les sous-traitants sont assujettis à des protections en matière de vie privée équivalentes à celles imposées au principal fournisseur de services.
Il s’agit d’un rappel important que les obligations de responsabilité s’étendent à l’ensemble de l’écosystème des fournisseurs et non seulement au contractant de première partie.
6. Évaluer la collecte et les transferts à l’extérieur du pays
L’orientation réitère que les organisations devraient cerner les territoires où les renseignements personnels seront recueillis, utilisés, communiqués et stockés. Lorsque des renseignements sont traités à l’extérieur du Canada, on s’attend à ce que les organisations évaluent les risques liés à l’intégrité, à la sécurité et à la confidentialité des renseignements personnels.
7. Déterminer la source des données d’entraînement
L’orientation contient une section distincte portant sur les données d’entraînement. Si la technologie d’un fournisseur de services repose sur des données d’entraînement, les organisations sont censées exercer une diligence raisonnable pour s’assurer que la source de ces données est conforme à la LPRPDE. Cela peut comprendre le fait de demander au fournisseur d’où proviennent les données d’entraînement, comment elles ont été recueillies et si leur collecte et leur utilisation respectaient les lois applicables en matière de protection de la vie privée.
Il s’agit de l’une des dispositions de l’orientation propres à l’IA et cela laisse entendre que le CPVP s’intéresse de plus en plus aux données utilisées pour développer des systèmes d’apprentissage automatique.
8. Vérifier les pratiques de sécurité et les contrôles administratifs
Le CPVP continue de souligner l’obligation de confirmer les politiques et pratiques de sécurité utilisées pour protéger les renseignements personnels, y compris la cybersécurité, les contrôles d’accès physique et les contrôles de l’environnement de travail. L’orientation met particulièrement en évidence la nécessité (i) de cerner les fonctions de sécurité intégrées à la conception du produit ou de la technologie, et (ii) de confirmer qui est responsable de la gestion de ces paramètres.
Les organisations devraient veiller à ce que leurs ententes traitent clairement de la façon dont les atteintes à la protection des données et les incidents de sécurité seront gérés, y compris la répartition des responsabilités entre l’organisation, le fournisseur de services et tout sous-traitant. Cela devrait comprendre les responsabilités en matière d’intervention en cas d’incident, d’enquête, d’avis, de mesures correctives et de conformité aux exigences applicables de déclaration des atteintes.
9. Évaluer le risque de verrouillage et d’exclusion par le fournisseur
Fait intéressant, l’orientation souligne la nécessité d’évaluer les risques suivants :
- le verrouillage par le fournisseur, soit le risque qu’une organisation devienne dépendante de la technologie exclusive d’un fournisseur de services, ce qui rend difficile la transition vers un autre fournisseur et pourrait réduire le contrôle de l’organisation sur la façon dont les renseignements personnels sont traités; et
- l’exclusion par le fournisseur, soit le risque qu’un fournisseur cesse ses activités, ce qui compromet la capacité d’une organisation d’accéder aux renseignements personnels confiés à ce fournisseur ou de les récupérer.
Ces considérations ne sont pas traditionnellement perçues comme des questions propres à la protection de la vie privée. Leur inclusion laisse entendre que le CPVP considère de plus en plus la résilience opérationnelle et la continuité des activités comme des éléments essentiels d’une gouvernance responsable de l’information.
10. Confirmer la conservation des données et les procédures de fin de contrat
L’orientation prévoit que les organisations vérifient les procédures du fournisseur pour détruire de façon sécuritaire les renseignements personnels à la fin de leur cycle de vie, y compris les données sur les serveurs infonuagiques, dans les sauvegardes et chez les sous-traitants. En outre, les organisations sont censées comprendre comment les renseignements personnels sont gérés lorsque les services du fournisseur prennent fin, y compris leur retour à l’organisation et les méthodes de suppression des renseignements restants.
En pratique, cela laisse entendre que les organisations sont censées négocier dans leurs ententes avec les fournisseurs des dispositions relatives au retour et à la destruction des données, y compris des échéanciers clairs et des exigences de certification.
11. Déterminer les mécanismes de surveillance
Enfin, le CPVP indique clairement que la responsabilité ne prend pas fin à la signature du contrat. Les organisations devraient envisager des mécanismes permettant de surveiller et d’évaluer les fournisseurs de façon continue, y compris l’utilisation de journaux d’accès, d’outils de production de rapports, d’essais réguliers et d’audits indépendants. Cela renforce un thème récurrent de la réglementation moderne en matière de protection de la vie privée : la responsabilité est une obligation continue plutôt qu’un exercice ponctuel.
Points à retenir
L’orientation préliminaire du CPVP décrit les facteurs que les organisations devraient prendre en considération lorsqu’elles exercent une diligence raisonnable en matière de protection de la vie privée à l’égard de fournisseurs de services tiers éventuels afin de satisfaire à leurs obligations de responsabilité sous le régime de la LPRPDE. Bien qu’elle soit présentée comme une série de pratiques exemplaires plutôt que comme des exigences obligatoires, l’orientation fournit des indications utiles quant aux normes que le CPVP pourrait appliquer lorsqu’il évalue la conformité d’une organisation à ses obligations légales.
Il convient également de noter qu’il est prévu que le projet de loi C-36 abroge l’actuel régime fédéral de protection de la vie privée dans le secteur privé prévu par la LPRPDE et le remplace par la Loi édictant la Loi sur la protection de la vie privée et des données des consommateurs. En publiant l’orientation préliminaire à cette étape, le CPVP semble indiquer qu’il s’attend à ce que les organisations commencent dès maintenant à adopter des pratiques renforcées de gouvernance de la protection de la vie privée et de responsabilité, plutôt que d’attendre l’entrée en vigueur du nouveau cadre législatif.
Comment Bennett Jones peut vous aider
Comme il est indiqué ci-dessus, les organisations sont invitées à soumettre leurs commentaires au CPVP au sujet de l’orientation d’ici le 4 décembre 2026. Le groupe Confidentialité et protection des données de Bennett Jones est à la disposition de votre organisation pour l’aider à le faire et pour répondre à toute question que vous pourriez avoir au sujet de ce document ainsi que des obligations de votre organisation en matière de protection de la vie privée au Canada.
