L'Ontario pourrait rejoindre les rangs de l'Alberta, de la Colombie-Britannique et du Québec en présentant son projet de loi 14, la Loi de 2018 sur la protection des renseignements personnels (« LPRP ») qui a passé l'étape de la première lecture le 21 mars 2018 et de la deuxième lecture le 22 mars 2018. Si la LPRP est adoptée, l'Ontario aurait sa propre loi régissant la collecte, l'utilisation et la divulgation des renseignements personnels dans le secteur privé.
La LPRP est en grande partie similaire au régime de la Loi sur la protection des renseignements personnels et les documents électroniques (la « LPRPDE ») qui vise le secteur privé fédéral. Les aspects importants de la LPRP comprennent ce qui suit :
Protection des renseignements personnels sur un employé – À l'heure actuelle, il n'existe aucune loi régissant les renseignements personnels sur un employé que recueillent les employeurs du secteur privé assujettis aux lois provinciales aux fins de l'emploi. Si la LPRP est adoptée, la plupart des employeurs de l'Ontario se verraient imposer de nouvelles obligations relativement à la protection de la vie privée des employés, ce qui les obligerait à passer en revue et à modifier leurs politiques et leurs programmes liés à la conformité à cet égard.
Pouvoirs du commissaire à l'information et à la protection de la vie privée en matière d'application de la loi – À l'heure actuelle, les pouvoirs du commissaire à l'information et à la protection de la vie privée de l'Ontario se limitent au secteur public et à celui de la santé. Si la LPRP est adoptée, le commissaire à l'information de l'Ontario sera doté de nouveaux pouvoirs lui permettant de mener des enquêtes et des vérifications de conformité dans le secteur privé, et de mener des enquêtes et rendre des ordonnances relatives aux plaintes en matière protection de la vie privée. Tout non-respect de l'ordonnance rendue par le commissaire serait considéré comme une infraction aux termes de la LPRP. Un particulier pourrait se voir imposer une amende maximale de 10 000 $, et une personne morale une amende de 100 000 $. Lorsqu'une déclaration de culpabilité ou une ordonnance est devenue définitive (c.-à-d. après avoir épuisé toutes les voies de recours), la victime de la conduite disposera d'une cause d'action pour le préjudice réel qu'elle a subi.
Cette démarche s'arrime à la position du Comité permanent de l'accès à l'information, de la protection des renseignements personnels et de l'éthique de la Chambre des communes qui a récemment recommandé que la LPRPDE soit modifiée pour accorder au commissaire à la protection de la vie privée du Canada des pouvoirs élargis en matière de vérification et d'application de la loi.
Absence de dispositions relatives aux avis en cas de non-respect - La LPRP ne contient aucune disposition relative aux avis en cas de non-respect. D'autres lois canadiennes en matière de protection des renseignements personnels, notamment celles de l'Alberta et d'autres lois provinciales visant la protection de renseignements personnels sur la santé, contiennent des dispositions relatives aux avis en cas de non-respect. Les modifications apportées à la LPRPDE portant sur l'atteinte à la vie privée et les avis à cet égard devraient entrer en vigueur cette année.
Or, la LPRP est un projet de loi d'initiative parlementaire présenté la veille d'élections. Au cours des années passées, la probabilité que la LPRP soit adoptée aurait été faible. Toutefois, dans la foulée de la couverture médiatique des préoccupations en matière de protection de la vie privée et de la sécurité des données et du débat public à cet égard, la LPRP est plus attrayante ce printemps. L'alouette est en plein vol. C'est à suivre.
