Le 11 juin 2019, le Commissariat à la protection de la vie privée du Canada (le « Commissariat ») a annoncé qu’il a révisé sa consultation sur la question des transferts des renseignements personnels aux fins de traitement, y compris la circulation transfrontalière des données.
L’annonce initiale
Nous avons analysé l’annonce initiale de la consultation entreprise par le Commissariat dans l’un de nos plus récents bulletins: Le Commissariat à la protection de la vie privée du Canada revoit sa position sur les transferts d’informations personnelles et ouvre une consultation sur la circulation transfrontière des renseignements personnels.
Tel qu’il était mentionné dans ce précédent bulletin, le Commissariat avait opéré un revirement surprenant de sa position de longue date sur le transfert des renseignements personnels en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (« LPRPDE ») (PDF). Dans le passé, le Commissariat considérait le transfert d’un renseignement personnel à des fins de traitement comme une « utilisation » du renseignement personnel par le cédant plutôt qu’une « communication » (ou « divulgation ») au sous-traitant, de sorte qu’un consentement additionnel n’était pas requis dès lors que le renseignement personnel était traité conformément aux finalités pour lesquelles il avait été initialement recueilli.
Le Commissariat déclare maintenant qu’il considère le transfert des renseignements personnels aux fins de traitement comme une communication nécessitant un consentement. La nouvelle position du Commissariat s’applique à tout transfert de renseignements personnels d’une organisation à une autre, y compris les transferts à l’intérieur du Canada, les transferts transfrontaliers et les transferts à des fournisseurs de services et à des affiliés. Dans son avis de consultation, le Commissariat sollicite des observations sur sa nouvelle position.
Dans le bulletin précédent, nous avons discuté de la position antérieure du Commissariat, de sa nouvelle position, de la portée de la Consultation, ainsi que de la question de savoir si le consentement à une communication aux fins de traitement doit être explicite. Nous avons également fait quelques suggestions sur ce que les organisations devraient faire à ce stade du processus et formulé quelques commentaires généraux supplémentaires sur l’incidence potentielle de ce changement de position du Commissariat.
La Consultation révisée
À la suite de commentaires formulés oralement par le Commissariat lors de récents colloques sur la vie privée, plusieurs ont été portés à croire que la Consultation était interrompue; mais celle-ci se poursuit et sa portée a été élargie.
Le Commissariat a révisé la Consultation en réponse à la présentation de la Charte numérique du Canada et à la possibilité que des modifications aux lois fédérales en matière de protection de la vie privée traitent de la circulation transfrontalière des données. Dans le document de consultation révisé, le Commissariat maintient ses questions initiales et ajoute des questions concernant la façon dont une future loi pourrait aborder la question des transferts transfrontaliers de données.
Malgré une opposition généralisée, le Commissariat réaffirme sa nouvelle position et étoffe ses précédents arguments voulant que le transfert de renseignements personnels aux fins de traitement constitue une communication nécessitant un consentement.
Principales préoccupations concernant la LPRPDE
Lorsqu’il aborde la question des modifications éventuelles à la LPRPDE, le Commissariat préconise (1) le droit d’inspecter de façon proactive les pratiques des organisations pour s’assurer qu’elles agissent réellement de manière responsable (plutôt que de n’agir qu’après avoir reçu une plainte), (2) l’adoption d’un régime fondé sur le concept d’adéquation du RGPD pour la circulation transfrontalière des données (ou, si l’adoption d’un régime fondé sur le concept d’adéquation échoue, l’obligation d’utiliser de clauses contractuelles types approuvées par le Commissariat), et (3) un consentement valable au moins pour certains transferts transfrontaliers de renseignements personnels.
Prolongation du délai pour présenter des mémoires ou des observations
La date limite pour soumettre un mémoire ou des observations dans le cadre de la Consultation a été repoussée au 6 août 2019.
Les organisations peuvent vouloir soumettre une réponse à la Consultation du Commissariat, surveiller le processus de consultation du Commissariat et examiner les modifications futures aux documents d’orientation du Commissariat sur les transferts de renseignements personnels aux fins de traitement, y compris la circulation transfrontalière des données.
Dans l’annonce de la Consultation révisée, le Commissariat mentionne qu’il ne s’attend pas à ce que les organisations changent leurs pratiques avant la fin de la Consultation. Les organisations devraient toutefois éviter de se fonder totalement sur cette déclaration. Il est possible que le Commissariat décide de mettre en application sa nouvelle position dans le cadre d’une enquête avant la fin de la Consultation, notamment si le Commissariat juge qu’il y a un manquement flagrant.
Nous continuerons à suivre l’évolution de la Consultation du Commissariat.
