PIPEDA en langage clair : ce que les entreprises canadiennes doivent vraiment à leurs clients

Le Commissariat à la protection de la vie privée du Canada a clos 373 enquêtes sur plainte au cours de l'exercice 2023-2024, selon le rapport annuel du CPVP au Parlement. La plupart concernaient des petites et moyennes entreprises qui ignoraient totalement être visées jusqu'à ce qu'un client dépose une plainte.

Presque toute entreprise canadienne qui recueille des données clients dans le cadre d'une activité commerciale tombe sous le coup de la LPRPDE. Une boulangerie avec une liste de diffusion par courriel. Un entrepreneur avec une base de données clients. Un cabinet d'avocats qui fait transiter ses dossiers par une plateforme d'IA. La loi est plus vieille que la plupart des outils que les entreprises utilisent aujourd'hui pour s'y conformer, et c'est précisément dans ce décalage que loge la confusion.

Quatre règles qui font tout le travail

La LPRPDE repose sur dix principes, empruntés à un code type de 1996 et greffés à la loi fédérale en 2000. Quatre d'entre eux couvrent à peu près tout ce dont une petite entreprise doit se soucier.

Le consentement vient en premier : une entreprise a besoin de la connaissance et de l'accord d'un client pour recueillir, utiliser ou communiquer des renseignements personnels, avec des exceptions étroites, par exemple pour les enquêtes sur la fraude. La limitation de la collecte est la deuxième règle — ne recueillir que ce qu'exige réellement un objectif précis, pas tout ce qu'un formulaire pourrait techniquement capter. Troisièmement, les mesures de sécurité : les renseignements personnels doivent être protégés par des mesures « proportionnelles à la sensibilité » des données. La loi ne précise ni normes de chiffrement ni exigences envers les fournisseurs, ce qui explique justement pourquoi tant d'entreprises se trompent dans leurs suppositions. Quatrièmement, la déclaration des atteintes, ajoutée en 2018 par les modifications de la Loi sur la protection des renseignements personnels numériques. Elle impose de faire rapport au CPVP et aux personnes concernées lorsqu'une atteinte crée un « risque réel de préjudice grave ».

Cette dernière règle a les dents les plus longues. Omettre de déclarer constitue en soi une infraction, distincte de l'atteinte elle-même. Les lignes directrices du CPVP sur la déclaration des atteintes précisent le seuil et l'échéancier, et ça vaut vingt minutes du temps d'un propriétaire d'entreprise plutôt que de deviner.

Un propriétaire sceptique pourrait faire remarquer que « risque réel de préjudice grave » relève du jugement, pas d'une ligne claire — et il aurait raison. Les lignes directrices du CPVP énumèrent des facteurs — la sensibilité des renseignements, la probabilité qu'ils aient été ou soient utilisés à mauvais escient — mais laissent l'organisation qui a subi l'atteinte peser elle-même ces facteurs. Cette ambiguïté joue dans les deux sens. Elle signifie qu'une entreprise peut parfois raisonnablement conclure qu'une exposition mineure ne franchit pas le seuil. Elle signifie aussi qu'une entreprise qui se trompe et garde le silence n'a aucun texte réglementaire derrière lequel se retrancher par la suite. Le CPVP s'est montré disposé à traiter la sous-déclaration comme le problème le plus grave, sur la théorie qu'une entreprise qui décide elle-même de ce qui constitue un faible risque exerce exactement le jugement que la loi a voulu lui retirer.

L'exception québécoise

Les entreprises québécoises évoluent sous un régime plus strict. La Loi 25, mise en œuvre progressivement jusqu'en septembre 2023 et complétée en septembre 2024 par les règles sur le droit à la portabilité, a remplacé l'ancienne loi provinciale sur la protection des renseignements personnels dans le secteur privé. Elle a ajouté des exigences que la LPRPDE n'a pas : des évaluations des facteurs relatifs à la vie privée obligatoires pour certains projets de données, un responsable de la protection des renseignements personnels désigné par défaut, et des règles précises sur la prise de décision automatisée.

La Commission d'accès à l'information du Québec applique la Loi 25 et peut imposer des sanctions administratives pécuniaires allant jusqu'à 10 M $ ou 2 % du chiffre d'affaires mondial pour une entreprise, selon le montant le plus élevé. Ce plafond dépasse de loin tout ce que la structure d'application actuelle de la LPRPDE permet. Une entreprise québécoise qui traite des données clients au moyen d'un outil d'IA doit satisfaire aux deux régimes à la fois, pas choisir entre les deux.

La transparence occupe une place centrale dans les lignes directrices de la CAI sur la Loi 25 : les organisations doivent être claires avec leurs clients sur l'utilisation faite de leurs renseignements personnels. Ça se lit comme une simple phrase. En pratique, c'est celle que la plupart des entreprises sautent.

L'évaluation des facteurs relatifs à la vie privée, c'est là que ça devient concret, et là que la plupart des propriétaires sous-estiment le travail. Une EFVP en vertu de la Loi 25 n'est pas un formulaire rempli une fois puis oublié — elle doit avoir lieu avant le lancement d'un nouveau projet de données, couvrir ce qui est recueilli, pourquoi, avec qui c'est partagé, et ce qui se passe si ça traverse des frontières provinciales ou nationales. Pour une entreprise qui adopte un outil d'IA touchant aux dossiers clients, cela signifie documenter précisément les flux de données du fournisseur, pas décrire la posture générale de l'entreprise en matière de vie privée. Une firme qui a acheté une plateforme d'IA sans demander où l'inférence se déroule est celle qui découvre, en pleine évaluation, qu'elle ne peut pas répondre à la première question de la CAI.

L'application de la loi, en dollars

La LPRPDE elle-même ne prévoit pas le genre de sanctions administratives pécuniaires que prévoit la Loi 25, du moins pas encore. Le projet de loi C-27, la refonte fédérale proposée, aurait introduit des amendes pouvant atteindre 5 % du chiffre d'affaires mondial ou 25 M $ pour les violations les plus graves, par l'entremise d'un nouveau Tribunal de la protection des renseignements personnels et des données. Ce projet de loi est mort au feuilleton lors de la prorogation du Parlement en janvier 2025. Son remplacement n'a pas été redéposé sous une forme sur laquelle les entreprises peuvent planifier.

Ce qui existe aujourd'hui est plus souple, mais pas sans mordant. Le CPVP peut nommer publiquement des entreprises dans ses conclusions, négocier des accords de conformité, et renvoyer des dossiers à la Cour fédérale, qui peut ordonner des dommages-intérêts. Un résultat de recherche montrant qu'une entreprise fait l'objet d'une enquête du CPVP fait plus de dégâts à une firme de douze employés que n'importe quelle amende actuellement prévue par la loi.

Le plafond de 10 M $ du Québec, juxtaposé à l'application relativement inoffensive de la loi fédérale, constitue en soi un enjeu de politique publique. Ottawa tente de combler cet écart depuis 2020, sans succès.

Ce que cet écart signifie en pratique, c'est qu'une entreprise qui n'opère qu'en dehors du Québec parie, pour l'instant, sur une conséquence réputationnelle plutôt que financière. C'est une distinction réelle, pas un détail technique. Un renvoi à la Cour fédérale prend des années et produit une indemnisation liée à un préjudice démontré, ce qui représente une barre haute pour un client dont l'adresse courriel a fui mais qui ne peut chiffrer sa perte. Une pénalité de la CAI au Québec n'exige pas cette démonstration. Deux entreprises ayant subi une atteinte identique, l'une à Toronto et l'autre à Montréal, font actuellement face à des conséquences défavorables sensiblement différentes — un écart qui n'a rien à voir avec le niveau de négligence de l'une ou de l'autre.

Peu coûteux maintenant, dispendieux plus tard

La conformité n'exige pas d'embaucher un responsable de la conformité, et la plupart des petites entreprises n'en ont pas. Elle exige une politique de confidentialité écrite qui correspond à ce que l'entreprise fait réellement. Une personne désignée qui répond des questions de confidentialité, même si c'est une responsabilité à temps partiel. Un inventaire des données recueillies et de leurs finalités. Un plan de réponse aux incidents esquissé avant qu'il ne soit nécessaire plutôt que pendant une crise. Rien de tout ça ne coûte sensiblement plus que quelques heures du temps d'un gestionnaire et, dans certains cas, une révision par un avocat pour quelques centaines de dollars.

C'est en sautant ces étapes préalables que ça devient dispendieux. Une atteinte pour laquelle personne n'a de plan. Une plainte de client qui se transforme en dossier au CPVP. Un mandat québécois qui a fait l'impasse sur l'évaluation des facteurs relatifs à la vie privée exigée par la Loi 25. Les frais de défense juridique, les frais de notification aux clients touchés et les conclusions publiques du CPVP s'additionnent bien plus vite que ne l'aurait coûté la prévention.

Le coût de la notification en particulier tend à surprendre les propriétaires qui ne l'ont jamais chiffré. Notifier les personnes touchées, ce n'est pas un courriel type; les lignes directrices du CPVP s'attendent à une notification directe, à moins que l'entreprise ne puisse démontrer que c'est impraticable, et pour une liste de clients qui se chiffre en milliers, ça veut dire une campagne postale ou courriel, un pic d'appels au service à la clientèle pour les semaines suivantes, et souvent une offre de surveillance de crédit si des données financières étaient en cause — tout ça avant même de recevoir la facture d'un avocat. Les entreprises qui ont chiffré tout ça après coup, plutôt qu'avant, décrivent cette dépense comme celle qui fait paraître les heures investies plus tôt dans un plan de réponse aux incidents franchement bon marché en comparaison.

Un nombre croissant d'entreprises canadiennes font désormais transiter leurs données clients, billets de soutien, contrats, dossiers RH par des outils d'IA conversationnelle et documentaire, souvent sans vérifier où ces données sont traitées ou stockées. Un outil d'IA basé aux États-Unis achemine les données par une infrastructure américaine, ce qui les assujettit au CLOUD Act américain, peu importe où se trouve l'entreprise elle-même. Ça complique toute évaluation de transfert au sens de la Loi 25. Une plateforme canadienne qui conserve le stockage des données au Canada évite cette exposition particulière — non pas en promettant la conformité, mais en retirant une variable de l'analyse.

Augure, une plateforme d'IA conçue à Vancouver, fait partie du petit nombre d'options bâties autour de cette distinction. Les données clients sont stockées au Canada. L'inférence s'exécute par défaut sur une infrastructure canadienne, avec une capacité de secours dans l'Union européenne lorsque la capacité canadienne n'est pas disponible — un détail qui vaut la peine d'être divulgué par toute entreprise qui réalise sa propre évaluation de transfert au sens de la Loi 25, puisque la comparaison pertinente se fait avec les outils hébergés aux États-Unis, pas avec une norme fictive de mouvement transfrontalier nul. Aucune partie de l'infrastructure ne relève de la juridiction américaine : pas de société mère américaine, pas d'investisseurs américains, pas d'exposition au CLOUD Act. Rien de tout ça ne constitue une garantie de conformité. Aucun fournisseur ne peut en offrir une. Mais ça change ce qu'une entreprise doit expliquer dans sa propre politique de confidentialité quand un client demande où vont ses données.

Vers où ça s'en va

Le projet de loi C-27 est mort, mais la pression qui l'a produit n'a pas disparu. Les régulateurs provinciaux, en particulier la CAI au Québec, ont montré qu'ils appliqueront la loi avec vigueur là où le fédéral reste silencieux, et d'autres provinces observent ce modèle. Une entreprise qui bâtit sa pratique de confidentialité autour du régime d'application actuel, relativement permissif, de la LPRPDE, pourrait bien se retrouver en retard lorsque la réforme fédérale finira par passer.

Attendre après Ottawa n'est pas la chose à faire. Bâtir les quatre bases, ça l'est : consentement, collecte minimale, mesures de sécurité, préparation aux incidents. Ajoutez des fournisseurs qui n'empilent pas de complexité transfrontalière par-dessus ce portrait, et le gros du travail est fait.

Pour en savoir plus sur la façon dont Augure gère la résidence des données et l'arrimage entre la Loi 25 et la LPRPDE, voir augureai.ca.