Une comparaison de la LPVPDC, de la LPRPDE, de la Loi sur la protection des renseignements personnels dans le secteur privé du Québec et des PIPA

Sous réserve de ses conditions, la LPVPDC s’applique à toute « organisation », notamment des associations, des sociétés de personnes, des personnes et des organisations syndicales.

Sous réserve de ses dispositions, la LPRPDE s’applique à toute « organisation », notamment des associations, des sociétés de personnes, des personnes et des organisations syndicales.

Sous réserve de ses dispositions, la Loi sur la protection des renseignements personnels du Québec s’applique à toute personne qui exploite une entreprise au Québec.

La Loi sur la protection des renseignements personnels du Québec s’applique également à un ordre professionnel dans la mesure prévue par le Code des professions (chapitre C-26), ainsi qu’à un parti politique, à un député indépendant ou à un candidat indépendant dans la mesure prévue par la Loi électorale (chapitre E-3.3).

Sous réserve de ses dispositions, la PIPA de l’Alberta s’applique à toute « organisation », comprenant notamment :

• [traduction] « [...] une personne morale;
• une association non constituée en personne morale,
• une organisation syndicale au sens du Labour Relations Code,
• une société de personnes au sens du Partnership Act,
• une personne agissant dans le cadre d’une activité commerciale,

mais ne comprend pas une personne agissant à titre personnel ou dans un contexte domestique ».

La PIPA de l’Alberta ne s’applique qu’aux organismes sans but lucratif à l’égard de leurs activités commerciales.

Sous réserve de ses dispositions, la PIPA de la Colombie-Britannique s’applique à toute « organisation », qui comprend [traduction] « [...] une personne physique, une association non constituée en personne morale, une organisation syndicale, une fiducie ou une organisation sans but lucratif, mais ne comprend pas : 

• une personne agissant à titre personnel ou dans un contexte domestique ou à titre d’employée,
• un organisme public,
• la Cour provinciale, la Cour suprême ou la Cour d’appel,
• le gouvernement Nisga’a, comme défini dans l’Accord définitif Nisga’a,

• une fiducie privée au profit d’une ou de plusieurs personnes désignées qui sont des amies ou des membres de la famille du constituant ».
   

   

La LPVPDC s’applique :

• à la collecte, à l’utilisation et à la communication de renseignements personnels par une organisation dans le cadre de ses activités commerciales dans une province n’ayant pas de législation sur la protection de la vie privée essentiellement semblable;
• au transfert de renseignements personnels d’une province à l’autre ou à l’international;
• aux installations, aux ouvrages et aux entreprises fédérales (IOEF);
• à la collecte, à l’utilisation et à la communication de renseignements sur les employés en lien avec les IOEF.

La LPRPDE s’applique :

• à la collecte, à l’utilisation et à la communication de renseignements personnels par une organisation dans le cadre de ses activités commerciales dans une province n’ayant pas de législation sur la protection de la vie privée essentiellement similaire;
• au transfert de renseignements personnels d’une province à l’autre ou à l’international;
• aux IOEF;
• à la collecte, à l’utilisation et à la communication de renseignements sur les employés en lien avec les IOEF.

Certaines décisions judiciaires ont statué que la LPRPDE a une application extraterritoriale lorsque, par exemple, il existe un « lien réel et substantiel » entre le Canada et l’activité entreprise dans un territoire étranger.

La Loi sur la protection des renseignements personnels du Québec s’applique à la collecte, à l’utilisation et à la communication de renseignements personnels, y compris les renseignements personnels des employés, par une personne dans le cadre de l’exploitation d’une entreprise au Québec.

La Loi sur la protection des renseignements personnels du Québec a été jugée essentiellement analogue à la LPRPDE.

Les PIPA s’appliquent à la collecte, à l’utilisation et à la communication de renseignements personnels, y compris les renseignements personnels des employés, par une organisation en Alberta ou en Colombie-Britannique.

Les PIPA ont été jugées essentiellement analogues à la LPRPDE.

La LPVPDC définit « renseignements personnels » comme étant « tout renseignement, y compris les renseignements déduits, concernant un individu identifiable ». Bien que ce terme soit défini au sens large, l’application de cette loi est assujettie à diverses exceptions.

La LPRPDE définit « renseignements personnels » comme étant tout renseignement concernant un individu identifiable.

Bien que ce terme soit défini au sens large, l’application de cette loi est assujettie à diverses exceptions.

La Loi sur la protection des renseignements personnels du Québec définit les renseignements personnels comme étant tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l’identifier. Bien que ce terme soit défini au sens large, l’application de cette loi est assujettie à diverses exceptions.

La PIPA de l’Alberta définit « renseignements personnels » comme étant [traduction] « tout renseignement concernant une personne identifiable ». Bien que ce terme soit défini au sens large, l’application de cette loi est assujettie à diverses exceptions.

La PIPA de la Colombie-Britannique définit « renseignements personnels » comme étant [traduction] « des renseignements concernant une personne identifiable et inclut les renseignements personnels des employés, mais n’inclut pas :

• leurs coordonnées, ou
• les renseignements portant sur le produit du travail ».

Bien que ce terme soit défini au sens large, l’application de cette loi est assujettie à diverses exceptions.

Le consentement exprès est requis aux fins de la collecte, de l’utilisation ou de la communication de renseignements personnels, sauf s’il convient de se fier au consentement implicite d’une personne, en tenant compte des attentes raisonnables de cette personne et de la sensibilité des renseignements personnels qui doivent être recueillis, utilisés ou communiqués.

La LPVPDC exige explicitement que les organisations obtiennent le consentement exprès pour la collecte, l’utilisation ou la communication de renseignements personnels sensibles.

Notamment, la LPVPDC introduit ce qui suit :

• une exception fondée sur l’« intérêt légitime » qui peut être invoquée si la collecte, l’utilisation ou la communication est effectuée aux fins d’une activité dans laquelle l’organisation a un intérêt légitime qui l’emporte sur tout effet négatif raisonnablement prévisible pour l’individu qui pourrait résulter de cette collecte, utilisation ou communication, à condition qu’une personne raisonnable s’attende à ce que la collecte, l’utilisation et la communication aient lieu dans le cadre de cette activité et que les renseignements personnels ne sont pas collectés, utilisés ou communiqués en vue d’influencer le comportement ou les décisions de l’individu;

• une exception relative à l’« activité d’affaires » qui peut être invoquée dans le cadre d’une activité nécessaire : (i) à la fourniture d’un produit ou à la prestation d’un service demandé par l’individu à l’organisation; (ii) à la sécurité de l’information, des systèmes ou des réseaux de l’organisation; ou (iii) pour garantir la sécurité d’un produit ou d’un service que l’organisation fournit.
   

   

Sous réserve de diverses exceptions, le consentement de la personne concernée est généralement requis pour la collecte, l’utilisation ou la communication de ses renseignements personnels.

La LPRPDE prévoit expressément qu’un tel consentement n’est valide que s’il est raisonnable de s’attendre à ce que la personne concernée comprenne la nature, les fins et les conséquences de la collecte, de l’utilisation ou de la communication des renseignements personnels auxquelles elle consent.

Dans un document d’orientation publié conjointement avec ses homologues provinciaux de la Colombie-Britannique et de l’Alberta, le Commissariat à la protection de la vie privée du Canada a jugé que le consentement doit être « valable » (c’est-à-dire qu’une personne doit comprendre ce que fait une organisation avec ses renseignements).

La LPRPDE reconnaît que le consentement peut être implicite dans certains cas et qu’il peut être présumé dans des circonstances précises.

La Loi sur la protection des renseignements personnels du Québec est fondée sur le consentement. Les renseignements personnels doivent être collectés, utilisés et communiqués pour une raison sérieuse et légitime.

Le consentement à l’utilisation ou à la communication de renseignements personnels sensibles doit être donné expressément.

Le consentement à l’utilisation ou à la communication de renseignements personnels peut être réputé avoir été donné si l’avis prescrit a été fourni.

La Loi sur la protection des renseignements personnels du Québec impose également des exigences d’avis supplémentaires pour la collecte de renseignements personnels à l’aide d’une technologie qui comprend des fonctions permettant d’identifier une personne, de la localiser ou d’effectuer un profilage de celle-ci, ainsi que certaines exigences en matière de confidentialité par défaut lorsqu’un produit ou un service technologique offrant des paramètres de confidentialité est offert.
 

Sous réserve de diverses exceptions, le consentement de la personne concernée est généralement requis pour la collecte, l’utilisation ou la communication de ses renseignements personnels.

Dans un document d’orientation publié conjointement avec leur homologue fédéral, les commissariats à l’information et à la protection de la vie privée de l’Alberta et de la Colombie-Britannique ont estimé que le consentement devait être « valable » (c’est-à-dire qu’une personne doit comprendre ce qu’une organisation fait de ses données).

Les PIPA reconnaissent que le consentement peut être implicite dans certains cas et qu’il peut être présumé dans des circonstances précises.

Une organisation est responsable de tout renseignement personnel sous son contrôle et doit désigner une ou plusieurs personnes qui seront responsables de la conformité de l’organisation en matière de protection des renseignements personnels.

L’organisation doit mettre en œuvre « un programme de gestion de la protection des renseignements personnels qui comprend les politiques, les pratiques et les procédures qu’elle a mises en place pour se conformer aux obligations qui lui incombent sous le régime de la présente loi, notamment des politiques, des pratiques et des procédures relatives :
a) à la protection des renseignements personnels;
b) à la réception et au traitement des demandes de renseignements et des plaintes;
c) à la formation et à l’information fournies à son personnel relativement à ses politiques, à ses pratiques et à ses procédures;
d) à l’élaboration de contenu expliquant ses politiques et ses procédures. »
 

Une organisation est responsable de tout renseignement personnel dont elle a la gestion et doit désigner une ou plusieurs personnes qui seront responsables de la conformité de l’organisation en matière de protection des renseignements personnels.

Les organisations doivent mettre en œuvre les politiques et les pratiques applicables pour donner effet aux principes de la LPRPDE, notamment : 
a) « la mise en œuvre des procédures pour protéger les renseignements personnels;
b) la mise en place des procédures pour recevoir les plaintes et les demandes de renseignements et y donner suite; 
c) la formation du personnel et la transmission au personnel de l’information relative aux politiques et pratiques de l’organisation; et
d) la rédaction des documents explicatifs concernant leurs politiques et procédures ».
 

Une entreprise est responsable de la protection des renseignements personnels qu’elle détient.

La personne ayant la plus haute autorité est responsable de veiller à assurer le respect et la mise en œuvre de la Loi sur la protection des renseignements personnels du Québec au sein de l’entreprise. Cette personne peut déléguer cette fonction par écrit à toute personne.

L’entreprise doit établir et mettre en œuvre des politiques et des pratiques de gouvernance pour assurer la protection des renseignements personnels. Ces politiques et pratiques doivent, en particulier :
a) fournir un cadre pour la conservation et la destruction des renseignements personnels;
b) définir les rôles et responsabilités des membres de son personnel tout au long du cycle de vie des renseignements;
c) prévoir un processus de traitement des plaintes. 
Des informations détaillées au sujet de ces politiques et de ces pratiques, notamment en ce qui concerne le contenu exigé ci-dessus, sont, en termes simples et clairs, publiées sur le site Internet de l’entreprise ou, si elle n’a pas de site, rendues accessibles par tout autre moyen approprié.
 

Une organisation est responsable de tout renseignement personnel sous sa garde et son contrôle et doit désigner une ou plusieurs personnes qui seront responsables de la conformité de l’organisation en matière de protection des renseignements personnels.

Les organisations doivent mettre en œuvre les politiques et les pratiques applicables pour donner effet aux PIPA.
 

Une organisation doit protéger les renseignements personnels au moyen de mesures de sécurité matérielles, organisationnelles et techniques. De telles mesures de sécurité protègent les renseignements personnels contre, entre autres, la perte ou le vol ainsi que l’accès, la communication, la copie, l’utilisation ou la modification non autorisés et elles comprennent notamment des mesures raisonnables d’authentification de l’identité de l’individu auquel ces renseignements se rapportent.

Dans l’établissement de ses mesures de sécurité, une organisation doit tenir compte de la sensibilité des renseignements et « de la quantité, de la répartition, du format et de la méthode de stockage des renseignements, ainsi que de toute répercussion raisonnablement prévisible sur la vie privée d’un individu que le transfert des renseignements à un fournisseur de service pourrait avoir ».

Une organisation doit adopter des mesures de sécurité pour protéger les renseignements personnels qui sont sous sa garde et son contrôle contre la perte ou le vol, ainsi que contre la consultation, la communication, la copie, l’utilisation ou la modification non autorisées. Les méthodes de protection doivent comprendre des moyens matériels, et des mesures administratives et techniques.

Lors de l’établissement de ses mesures de sécurité, une organisation doit tenir compte « du degré de sensibilité des renseignements personnels recueillis, de la quantité, de la répartition et du format des renseignements personnels ainsi que des méthodes de conservation ».

Une entreprise doit prendre les mesures de sécurité nécessaires pour assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits, qui sont raisonnables compte tenu de la sensibilité des renseignements, de la finalité de leur utilisation, de leur quantité et de leur répartition, ainsi que du support sur lequel ils paraissent.

Une organisation doit protéger les renseignements personnels qui sont sous sa garde ou sous son contrôle en prenant des mesures de sécurité raisonnables contre des risques tels que l’accès non autorisé, la collecte, l’utilisation, la communication, la reproduction, la modification, l’élimination ou la destruction.

Lorsque l’organisation retient les services d’une personne, qu’il s’agisse d’un mandataire, ou que ce soit conformément à un contrat ou à une autre forme d’engagement, elle est responsable, à l’égard de ces services, de la conformité de cette personne à la présente loi.

Une organisation est responsable des renseignements personnels sous son contrôle, y compris des renseignements personnels dont elle n’a pas la garde.

La LPVPDC prévoit que les personnes ont les droits suivants :

• savoir si l’organisation détient des renseignements personnels les concernant, comment elle les utilise et si elle les a communiqués;
• accéder à leurs renseignements personnels (y compris les catégories de renseignements personnels déduits) qui sont sous la garde d’une organisation ou relèvent d’elle;
• faire modifier leurs renseignements personnels lorsqu’une personne prouve l’inexactitude ou le caractère incomplet de ces renseignements;
• retirer leur consentement à tout moment, sous réserve de la LPVPDC, de la législation fédérale ou provinciale ou des conditions raisonnables d’un contrat, et d’un préavis raisonnable;
• demander le retrait de leurs renseignements personnels qui relèvent de l’organisation;

• demander que les renseignements personnels qu’une organisation a collectés à leur sujet soient communiqués à une autre organisation, si les deux organisations sont assujetties à un cadre de mobilité des données.
   

   

   

La LPRPDE prévoit que les personnes ont les droits suivants : 

• consulter leurs renseignements personnels qui sont sous la garde ou la gestion d’une organisation;
• avoir leurs renseignements personnels exacts, complets et à jour (comme l’exigent les fins auxquelles ils sont destinés);
• faire modifier leurs renseignements personnels (par la correction, la suppression ou l’ajout de renseignements) lorsqu’une personne en prouve l’inexactitude ou le caractère incomplet;

• retirer leur consentement à tout moment, sous réserve des restrictions légales ou contractuelles et moyennant un préavis raisonnable.
   

   

   

La Loi sur la protection des renseignements personnels du Québec prévoit que les personnes ont les droits suivants :

• accéder à leurs renseignements personnels détenus par une entreprise;
• demander une rectification si les renseignements personnels sont inexacts, incomplets ou équivoques, ou si leur collecte, leur communication ou leur conservation n’est pas autorisée par la loi;
• retirer leur consentement à la collecte, à l’utilisation ou à la communication de leurs renseignements personnels;
• demander que leurs renseignements personnels informatisés soient communiqués à une autre organisation;

• demander à une entreprise de cesser de diffuser les renseignements personnels d’une personne ou de désindexer tout hyperlien rattaché au nom de cette personne qui donne accès à ces renseignements par des moyens technologiques, lorsque la diffusion contrevient à la loi ou à une ordonnance judiciaire, ou lorsque les conditions prescrites sont remplies (y compris également le droit d’exiger la réindexation d’un lien désindexé).  
   

   

   

Les PIPA prévoient que les personnes ont les droits suivants :

• accéder à leurs renseignements personnels qui sont sous la garde ou le contrôle d’une organisation;
• connaître les fins auxquelles leurs renseignements ont été et continuent d’être utilisés;
• faire corriger toute erreur ou omission relative à leurs renseignements personnels lorsqu’une personne prouve l’inexactitude ou le caractère incomplet de ces renseignements;

• retirer ou modifier leur consentement à tout moment, sous réserve des restrictions légales ou contractuelles et moyennant un préavis raisonnable.
   

   

   

La LPVPDC exige que les organisations :

• offrent une explication générale de l’usage qu’elles font des systèmes décisionnels automatisés pour faire des prédictions, formuler des recommandations ou prendre des décisions qui pourraient avoir des effets juridiques pour les individus concernés ou qui, de façon similaire, pourraient avoir une incidence importante sur ces derniers;

• sur demande, offrent à une personne une explication de la prédiction, de la recommandation ou de la décision si l’organisation a utilisé un système décisionnel automatisé pour faire une prédiction ou formuler une recommandation, ou prendre une décision qui pourrait avoir des effets juridiques pour la personne concernée ou qui, de façon similaire, pourrait avoir une incidence importante sur cette personne.
   

   

   

La LPVPDC définit au sens large le terme « système décisionnel automatisé » comme étant toute technologie utilisant des systèmes basés sur des règles, l’analyse de régression, l’analytique prédictive, l’apprentissage automatique, l’apprentissage profond, des réseaux neuronaux ou d’autres techniques afin d’appuyer ou de remplacer le jugement de décideurs humains.

La LPRPDE n’aborde pas explicitement les systèmes décisionnels automatisés, bien que les principes généraux de protection des renseignements personnels (y compris la transparence et la responsabilité) continuent de s’appliquer aux renseignements personnels utilisés en relation avec de tels systèmes.

La Loi sur la protection des renseignements personnels du Québec exige qu’une entreprise qui utilise des renseignements personnels pour rendre une décision fondée exclusivement sur le traitement automatisé de ces renseignements informe la personne concernée au plus tard au moment où elle l’informe de la décision.

De plus, l’entreprise doit informer la personne concernée, à sa demande :
(i) des renseignements personnels utilisés pour rendre la décision;
(ii) des raisons et des principaux facteurs et paramètres ayant mené à la décision;
(iii) de son droit de faire rectifier les renseignements personnels utilisés pour rendre la décision.

La personne concernée doit avoir l’occasion de présenter ses observations à un membre du personnel de l’entreprise en mesure de réviser la décision.
 

Les PIPA n’abordent pas explicitement des systèmes décisionnels automatisés, bien que les principes généraux de protection des renseignements personnels (y compris la transparence et la responsabilité) continuent de s’appliquer aux renseignements personnels utilisés en relation avec de tels systèmes.

La LPVPDC exige qu’une organisation : (i) procède à une évaluation des facteurs relatifs à la vie privée avant de transférer des renseignements personnels à l’étranger; et (ii) mette en place des mesures de réduction des risques cernés dans le cadre de cette évaluation. Sur demande, une organisation doit donner à la Commission accès à l’évaluation ou lui en remettre une copie.

Les politiques d’une organisation doivent indiquer si elle effectue ou non des transferts ou des communications de renseignements personnels interprovinciaux ou à l’extérieur du Canada pouvant avoir des répercussions raisonnablement prévisibles sur la vie privée.
 

La LPRPDE n’aborde pas explicitement le transfert de renseignements personnels à un fournisseur de services tiers dans un territoire étranger.

Le commissaire à la protection de la vie privée du Canada a toutefois estimé qu’une organisation peut transmettre des renseignements personnels à un fournisseur de services tiers à l’étranger si elle : (i) est convaincue que le fournisseur de services a mis en place des politiques et des procédures (y compris la formation de son personnel et des mesures de sécurité efficaces) pour garantir que les renseignements dont il a la garde sont protégés en tout temps; (ii) utilise des moyens contractuels ou autres pour assurer « un degré comparable de protection aux renseignements qui sont en cours de traitement par une tierce partie »; (iii) a le droit de vérifier et d’inspecter la façon dont le tiers traite et conserve les renseignements personnels; et (iv) au moment où les renseignements personnels sont recueillis auprès d’une personne, indique expressément que ces renseignements peuvent être traités dans un pays étranger et qu’ils peuvent être accessibles aux forces de l’ordre et aux autorités de sécurité nationale de ce territoire.
 

La Loi sur la protection des renseignements personnels du Québec exige qu’une évaluation des facteurs relatifs à la vie privée soit effectuée avant de communiquer des renseignements personnels à l’extérieur du Québec. L’évaluation des facteurs relatifs à la vie privée doit tenir compte de la sensibilité des renseignements, de la finalité de son utilisation, des mesures de protection dont les renseignements bénéficieraient et du régime juridique applicable dans l’État où ces renseignements seraient communiqués.

Les renseignements peuvent être communiqués si l’évaluation établit qu’ils recevront une protection adéquate, notamment au regard des principes de protection des renseignements personnels généralement reconnus. La communication doit faire l’objet d’une entente écrite qui tient compte des risques identifiés dans l’évaluation, ainsi que des exigences prescrites applicables aux communications de renseignements personnels à des fournisseurs de services tiers.

Les personnes doivent également être informées de la possibilité que leurs renseignements personnels puissent être communiqués à l’extérieur du Québec.
 

De façon générale, la PIPA de l’Alberta prévoit qu’une organisation peut transférer des renseignements personnels à un fournisseur de services tiers dans un territoire à l’extérieur du Canada si ses politiques et ses pratiques comprennent des renseignements concernant : (i) les pays étrangers où de telles activités peuvent être menées; et (ii) la finalité pour laquelle le fournisseur de services a été autorisé à recueillir, à utiliser ou à communiquer des renseignements personnels. Une organisation doit mettre à disposition l’information écrite relative à ces politiques et pratiques. Avant et pendant la collecte ou le transfert des renseignements personnels, un avis doit aussi être donné concernant : (i) la manière dont la personne peut consulter de la documentation écrite sur les politiques et les pratiques de l’organisation à l’égard des fournisseurs de services à l’extérieur du Canada; et (ii) le nom ou le titre d’une personne qui est en mesure de répondre aux questions concernant la collecte, l’utilisation, la communication ou le stockage des renseignements personnels par les fournisseurs de services à l’extérieur du Canada.

La PIPA de la Colombie-Britannique n’aborde pas explicitement le transfert de renseignements personnels à un fournisseur de services tiers d’un territoire étranger. Néanmoins, cette loi semble prévoir une telle possibilité en indiquant qu’une organisation est [traduction] « responsable des renseignements personnels dont elle a la gestion, y compris les renseignements personnels dont elle n’a pas la garde. »
 

Des pénalités pouvant atteindre 10 millions de dollars canadiens ou 3 % des recettes globales brutes de l’organisation pour les contraventions dont elle a été reconnue responsable à la suite de la conclusion d’une procédure dans le cadre de toute enquête.

Des amendes pouvant atteindre le montant le plus élevé entre 25 millions de dollars canadiens ou 5 % des recettes globales brutes de l’organisation pour les infractions à des obligations précises en vertu de la LPVPDC, y compris l’obligation de : (i) déclarer à la Commission une atteinte aux mesures de sécurité; (ii) de tenir et de conserver un registre de toute atteinte aux mesures de sécurité; et (iii) de ne pas utiliser des renseignements personnels dépersonnalisés pour identifier une personne.
 

Des amendes pouvant atteindre 100 000 dollars canadiens peuvent être imposées par la Cour fédérale si une entreprise, en connaissance de cause : (i) congédie, suspend, rétrograde, punit, harcèle ou désavantage autrement un employé qui a agi comme « dénonciateur »; (ii) ne conserve pas les renseignements personnels qui font l’objet d’une demande aussi longtemps que nécessaire pour permettre à la personne d’épuiser tous les recours qu’elle a; (iii) ne signale pas au commissaire une atteinte aux mesures de sécurité applicable; (iv) ne conserve pas et ne tient pas un registre des atteintes aux mesures de sécurité applicable; ou (v) entrave l’enquête du commissaire à la protection de la vie privée du Canada sur une plainte ou à la réalisation d’un audit.

La Loi sur la protection des renseignements personnels du Québec prévoit à la fois des sanctions pécuniaires administratives et des amendes pénales. Les sanctions pécuniaires administratives peuvent atteindre le montant le plus élevé entre 10 millions de dollars canadiens et 2 % du chiffre d’affaires mondial, tandis que les amendes pénales peuvent atteindre le montant le plus élevé entre 25 millions de dollars canadiens et 4 % du chiffre d’affaires mondial.

Des amendes pénales peuvent être imposées, par exemple, à quiconque : (i) recueille, utilise, communique, conserve ou détruit des renseignements personnels en contravention à la Loi sur la protection des renseignements personnels du Québec; (ii) omet de déclarer, s’il est tenu de le faire, un incident de confidentialité à la Commission ou aux personnes concernées; (iii) ne prend pas les mesures de sécurité propres à assurer la protection des renseignements personnels conformément à l’article 10 de la Loi sur la protection des renseignements personnels du Québec; (iv) procède ou tente de procéder à l’identification d’une personne physique à partir de renseignements dépersonnalisés sans l’autorisation de la personne les détenant ou à partir de renseignements anonymisés; (v) entrave le déroulement d’une enquête ou d’une inspection de la Commission ou l’instruction d’une demande par celle-ci en lui communiquant des renseignements faux ou inexacts, ou en omettant de lui communiquer des renseignements qu’elle requiert ou autrement; et (vi) contrevient à une ordonnance de la Commission.

Une organisation qui commet une infraction visée par la PIPA est passible d’une amende maximale de 100 000 dollars canadiens.

En vertu de la PIPA de l’Alberta, une telle amende peut être imposée, par exemple, si une organisation : (i) recueille, utilise ou communique des renseignements personnels en violation de la PIPA de l’Alberta; (ii) tente d’obtenir des renseignements personnels ou obtient l’accès à de tels renseignements en violation de la PIPA de l’Alberta; (iii) prend des mesures disciplinaires à l’encontre d’un employé qui a agi comme « dénonciateur »; ou (iv) ne se conforme pas à une ordonnance rendue par la commissaire à la protection de la vie privée de l’Alberta.

En vertu de la PIPA de la Colombie-Britannique, une telle amende peut être imposée, par exemple, si une organisation : (i) a recours à la tromperie ou à la contrainte pour recueillir des renseignements personnels; (ii) procède au retrait de renseignements personnels dans le but d’échapper à une demande d’accès; (iii) congédie, suspend, rétrograde, punit, harcèle ou désavantage un employé qui est un dénonciateur; ou (iv) ne se conforme pas à une ordonnance rendue par le commissaire à la protection de la vie privée de la Colombie-Britannique.
 

La LPVPDC prévoit un droit privé d’action qui permet à une personne d’intenter une action en dommages-intérêts contre une organisation dans diverses circonstances, notamment si « l’appel interjeté à l’encontre de la conclusion est rejeté ou il est conclu que l’organisation a contrevenu à la présente loi dans une décision définitive, après épuisement de tous les recours ».

En particulier, la LPVPDC n’a pas pour effet de porter atteinte au droit de l’individu de se prévaloir de tout recours civil découlant d’une autre loi fédérale, d’une loi provinciale ou de la common law.
 

La LPRPDE ne confère pas de droit de recours indépendant par lequel les personnes peuvent intenter des recours judiciaires contre une organisation en cas de non-conformité à cette loi.

En vertu de la Loi sur la protection des renseignements personnels du Québec, les personnes peuvent intenter une action privée en dommages-intérêts découlant d’atteintes à la vie privée. Des dommages-intérêts punitifs d’au moins 1 000 dollars canadiens peuvent être accordés en cas d’atteinte à un droit prévu dans la Loi sur la protection des renseignements personnels du Québec ou dans les articles 35 à 40 du Code civil du Québec, si cette atteinte est intentionnelle ou résulte d’une faute lourde.

Une personne dispose d’un recours en dommages-intérêts contre une organisation si : (i) la commissaire à la protection de la vie privée de l’Alberta ou le commissaire à la protection de la vie privée de la Colombie-Britannique a rendu une ordonnance à l’encontre de l’organisation; ou (ii) une personne a été reconnue coupable d’une infraction en vertu de la PIPA et que cette personne n’a plus de droit d’appel dans l’un ou l’autre de ces cas.