Le 23 septembre 2019, le Commissariat à la protection de la vie privée du Canada (le « CPVP ») a annoncé qu’il mettait fin à sa Consultation sur les transferts aux fins de traitement (la « Consultation ») et que ses Lignes directrices sur le transfert transfrontalier de renseignements personnels établies en 2009 (les « Lignes directrices ») ne seraient pas modifiées avant une réforme de la Loi sur la protection des renseignements personnels et les documents électroniques (la « LPRPDE »). Ce faisant, le CPVP a clairement indiqué qu’à son avis les mesures de protection de la vie privée actuelles sont « clairement insuffisantes » et qu’il formulera des recommandations pour « renforcer ces mesures de protection dans une future loi ».
Lors de la Consultation, le CPVP a proposé de s’écarter de façon importante de son interprétation existante concernant l’application de la LPRPDE aux transferts de renseignements personnels à des tierces parties aux fins de traitement (vous pouvez consulter nos précédents bulletins sur les deux documents de consultation en cliquant dans Le Commissariat à la protection de la vie privée du Canada revoit sa position sur les transferts d’informations personnelles et ouvre une consultation sur la circulation transfrontière des renseignements personnels et Le Commissariat à la protection de la vie privée du Canada révise sa consultation sur les transferts de données aux fins de traitement). Dans les documents de consultation, le CPVP avait fait part de son intention de considérer les transferts de renseignements personnels comme des communications nécessitant un consentement plutôt que comme des utilisations dès lors que « si les renseignements personnels sont utilisés aux fins auxquels ils ont été recueillis, aucun consentement supplémentaire n’est requis pour procéder au transfert ». L’interprétation proposée de la LPRPDE par le CPVP prévoit que « les particuliers doivent avoir la possibilité d’exercer leur droit légal de consentir » aux transferts à des tierces parties aux fins de traitement.
Nous sommes dans l’ère de l’informatique en ligne et de l’infonuagique, et les organisations qui traitent les renseignements personnels sollicitent souvent l’aide de fournisseurs de services pour traiter ces renseignements pour leur compte. L’interprétation proposée par le CPVP a suscité de l’inquiétude au sein de ces organisations et parmi les professionnels de la protection des renseignements personnels. Le CPVP a indiqué qu’il avait reçu 87 mémoires dans le cadre de la Consultation et que « La grande majorité des intervenants étaient d’avis qu’il n’était pas nécessaire, en vertu de la [LPRPDE], d’obtenir le consentement pour les transferts aux fins de traitement ». Cette pensée est résumée ainsi dans le mémoire de la Section du droit de la vie privée et de l’accès à la vie privée de l’Association du Barreau canadien : « [TRADUCTION] À notre avis, le principe du consentement ne s’applique pas aux transferts aux fins de traitement qui sont assujettis à la [LPRPDE] … et ce principe ne devrait pas être modifié pour le moment. »
Le CPVP a indiqué qu’il « se fonde sur cette approche pragmatique pour conclure qu’il maintient le statu quo jusqu’à ce que la loi soit modifiée ». Les innovations réalisées en matière de technologies et des pratiques commerciales depuis que la LPRPDE a été adoptée peuvent faire en sorte que la LPRPDE soit appliquée dans de nouvelles circonstances, mais il y a toujours un risque que de nouvelles interprétations d’éléments fondamentaux d’une loi non modifiée aient des conséquences importantes pour ceux qui ont fondé leurs processus commerciaux sur les interprétations existantes. La fin de la Consultation et la confirmation des Lignes directrices seront bien accueillies par la plupart des organisations, car les Lignes directrices sont devenues un élément du droit canadien en matière de protection des renseignements personnels sur lequel sont fondés bon nombre de processus commerciaux dans l’ensemble des secteurs d’activité.
