Quels organismes canadiens doivent se conformer à la LPRPDE

Le Commissariat à la protection de la vie privée du Canada a reçu 2 706 déclarations d'atteinte à la vie privée au cours de l'exercice 2023-2024, selon le rapport du CPVP au Parlement. Presque toutes ces déclarations provenaient d'organisations visées par la même loi fédérale : la Loi sur la protection des renseignements personnels et les documents électroniques, ou LPRPDE. L'écart entre « on est une petite boîte, ça ne s'applique pas à nous » et le texte réel de la loi, c'est là que beaucoup d'entreprises canadiennes se font prendre.

La LPRPDE couvre les organisations du secteur privé qui recueillent, utilisent ou communiquent des renseignements personnels dans le cadre d'une activité commerciale. C'est le critère. Pas le nombre d'employés, pas le chiffre d'affaires, pas le secteur d'activité, à quelques exceptions près décrites plus bas. Pour toute équipe qui évalue en ce moment une plateforme d'IA canadienne pour traiter ces données, la question de la couverture détermine ce que le contrat avec le fournisseur doit contenir.

Qui est réellement visé

Les lignes directrices du gouvernement fédéral sont directes quant à la portée de la loi. Toute organisation exerçant une activité commerciale au Canada est couverte, et trois catégories font le gros du travail :

• Les entreprises à réglementation fédérale — banques, compagnies aériennes, entreprises de télécommunications, diffuseurs — peu importe où elles exercent leurs activités au Canada.
• Les organisations du secteur privé dans les provinces qui n'ont pas leur propre loi sur la protection de la vie privée jugée « essentiellement similaire », ce qui, en 2026, couvre la majeure partie du pays à l'extérieur du Québec, de la Colombie-Britannique et de l'Alberta.
• Toute organisation, n'importe où au Canada, dès que des renseignements personnels traversent des frontières provinciales ou internationales.

C'est cette troisième catégorie que les gens ratent le plus souvent. Une entreprise québécoise qui fonctionne entièrement sous la Loi 25 pour sa clientèle provinciale demeure assujettie à la LPRPDE dès qu'elle envoie des données personnelles à un processeur de paiements en Ontario ou à un fournisseur infonuagique à l'étranger. La loi provinciale et la LPRPDE ne s'excluent pas mutuellement; elles se superposent.

Les organismes sans but lucratif et les partis politiques échappent généralement à la LPRPDE parce qu'ils ne mènent pas d'activité commerciale, quoiqu'un organisme sans but lucratif qui vend de la marchandise ou qui exploite un programme d'adhésion payant peut déclencher la couverture de la loi pour cette portion de ses activités.

L'exception québécoise, et pourquoi ce n'en est pas vraiment une

Le Québec, la Colombie-Britannique et l'Alberta ont chacun vu leur loi sur la protection de la vie privée dans le secteur privé être déclarée « essentiellement similaire » à la LPRPDE, ce qui signifie que la LPRPDE s'efface pour les activités commerciales purement intraprovinciales dans ces juridictions. La version québécoise, c'est la Loi 25 (anciennement le projet de loi 64), mise en œuvre par étapes jusqu'en septembre 2023 et aujourd'hui parmi les régimes les plus sévères au pays, avec des pénalités pouvant atteindre 4 % du chiffre d'affaires mondial pour les violations les plus graves.

Mais « essentiellement similaire » ne couvre que les activités qui restent à l'intérieur de la province. Une firme d'avocats montréalaise qui utilise un outil de révision de documents hébergé hors Québec, ou qui partage des dossiers clients avec un bureau partenaire à Toronto, vient de créer un flux de données pertinent pour la LPRPDE, en plus de ses obligations sous la Loi 25. Les entreprises québécoises à réglementation fédérale — une compagnie aérienne établie au Québec, une succursale bancaire québécoise — n'ont jamais quitté la juridiction de la LPRPDE.

« Les organisations demeurent responsables des renseignements personnels qui relèvent de leur contrôle, y compris les renseignements qui ont été transférés à un tiers aux fins de traitement », a déclaré le CPVP dans ses lignes directrices sur la responsabilité.

C'est ce principe qui fait trébucher les équipes d'approvisionnement qui évaluent des fournisseurs de logiciels, y compris des fournisseurs d'IA. Confier des données à un processeur ne transfère pas l'obligation légale.

Où les outils d'IA compliquent le portrait de la conformité

Chacun des dix principes de l'annexe 1 de la LPRPDE — consentement, limitation de la collecte, mesures de sécurité, responsabilité — s'applique toujours lorsque le tiers responsable du traitement est un grand modèle de langage plutôt qu'un bureau de paie. La complication, c'est qu'une bonne partie des outils d'IA utilisés au quotidien par les entreprises canadiennes sont des produits américains, assujettis au CLOUD Act des États-Unis, qui permet aux autorités américaines d'obliger des entreprises américaines à produire des données qu'elles contrôlent, peu importe où ces données sont physiquement stockées.

C'est une véritable tension pour une organisation qui tente de satisfaire aux principes de sécurité et de responsabilité de la LPRPDE : il est difficile de représenter à un client ou à un régulateur que les données sont adéquatement protégées quand le fournisseur qui les détient peut être contraint par un gouvernement étranger de les divulguer, indépendamment de toute procédure canadienne. C'est cet écart qui a poussé une vague d'intérêt vers les outils d'IA canadiens au cours des deux dernières années — une lecture assez directe de ce que la responsabilité exige une fois un contrat de fournisseur signé.

Une poignée d'entreprises ont bâti leur offre spécifiquement pour combler cet écart. Augure, une plateforme d'IA fondée à Montréal, stocke les données clients au Canada et exécute l'inférence sur une infrastructure canadienne par défaut, avec une capacité de secours en Europe plutôt qu'une infrastructure américaine. L'entreprise affirme n'avoir aucune société mère américaine ni investisseurs américains, ce qui, selon elle, place son architecture hors de la juridiction américaine et hors de portée du CLOUD Act — une distinction qui compte pour l'analyse des mesures de sécurité exigée par la LPRPDE et, pour les entreprises québécoises, pour l'évaluation des transferts transfrontaliers exigée par la Loi 25. Là où le secours en Europe est pertinent pour cette analyse de transfert, la démarche honnête consiste à le divulguer plutôt que de laisser croire que tout reste au Canada; Augure divulgue ce secours en Europe plutôt que de présenter l'ensemble du traitement comme domestique. D'autres plateformes d'IA canadiennes avancent des arguments architecturaux semblables, et les équipes d'approvisionnement demandent de plus en plus aux fournisseurs de documenter précisément où se déroule l'inférence, pas seulement ce que dit le matériel marketing à ce sujet.

Ce que la conformité exige réellement en pratique

La LPRPDE ne délivre aucun certificat de conformité, et aucun fournisseur, Augure y compris, ne peut promettre que l'utilisation d'une plateforme donnée satisfait la loi au nom d'une organisation. Ce que la loi exige, c'est un ensemble de pratiques : un consentement valable avant la collecte, une utilisation limitée à une fin déclarée, des mesures de sécurité raisonnables, et une personne désignée responsable de toute la chaîne, y compris tous les tiers processeurs qui touchent à ces données.

Pour une organisation qui évalue si un outil de clavardage IA, un système de questions-réponses sur documents ou un produit de révision de contrats s'inscrit dans ce cadre, les questions sont concrètes. Où l'inférence s'exécute-t-elle. Les données clients servent-elles à entraîner le modèle sous-jacent. Qu'advient-il d'un document téléversé pour révision une fois la session terminée. Une firme d'avocats qui utilise un outil d'IA de révision de contrats pour trier des accords de confidentialité communique des renseignements personnels de ses clients à ce fournisseur et a besoin d'une réponse à ces trois questions avant la signature du contrat, pas après le dépôt d'une déclaration d'incident auprès du CPVP.

La réforme fédérale tourne autour de ce dossier depuis un moment. Le projet de loi C-27, qui aurait remplacé les dispositions de la LPRPDE sur la protection des consommateurs par la Loi sur la protection de la vie privée des consommateurs et introduit une nouvelle loi spécifique à l'IA, est mort au feuilleton lors de la prorogation du Parlement en janvier 2025. La LPRPDE demeure la loi fédérale en vigueur au moment d'écrire ces lignes, et tout ce qui finira par la remplacer risque peu d'assouplir le principe de responsabilité qui cause déjà les maux de tête liés aux fournisseurs d'IA décrits plus haut.

Ce que ça signifie pour les équipes d'approvisionnement

Rien de tout ça n'est exotique. C'est le même exercice de diligence raisonnable que les responsables de la conformité canadiens appliquent depuis vingt ans à l'impartition de la paie et au stockage infonuagique, appliqué à une catégorie plus récente de fournisseurs. Les organisations les plus exposées en ce moment sont celles qui ont adopté un clavardeur IA grand public pour du travail interne — rédaction, résumé de dossiers clients, tri de correspondance — sans jamais le soumettre au processus d'évaluation des risques fournisseurs qu'un fournisseur de paie aurait automatiquement déclenché.

La documentation d'Augure elle-même, en plus des lignes directrices du CPVP sur la responsabilité et du matériel publié par la CAI sur la Loi 25, constitue un bon point de départ pour quiconque entreprend cette révision ce trimestre.