Le Projet de loi n° 64[1] visant à moderniser les lois québécoises en ce qui a trait à la protection des renseignements personnels (le « Projet de loi ») a été présenté vendredi dernier sans tambour ni trompette. Celui-ci n'a pourtant pas fini de faire parler de lui alors que les amendements proposés à la Loi sur la protection des renseignements personnels dans le secteur privé[2] (la « Loi sur le secteur privé ») accentuent de façon importante les obligations incombant aux entreprises lorsqu'elles gèrent des renseignements qui concernent et permettent d'identifier un individu (cliquez ici pour accéder à un aperçu de l'ensemble des changements proposés).
Malgré tout, certains amendements qui y sont proposés permettraient d'alléger les exigences imposées par la Loi sur le secteur privé dans quelques situations précises. C'est notamment le cas lors de la communication de renseignements personnels dans le cadre d'une transaction commerciale.
Régime actuel
Soulignons d'emblée que, dans sa mouture actuelle, la Loi sur le secteur privé requiert en principe qu'un consentement manifeste, libre, éclairé et donné à des fins spécifiques soit obtenu de la part des individus concernés afin qu'une entreprise puisse collecter, utiliser ou communiquer à un tiers leurs renseignements personnels[3].
Ce mécanisme pose toutefois d'embêtants problèmes d'application en pratique lorsque vient le temps de conclure ou bien même d'envisager une transaction commerciale d'envergure telle que la vente d'une grande entreprise, que ce soit par le biais d'une cession d'actifs ou de la vente d'actions. En effet, un acquéreur diligent voudra préalablement vérifier, entre autres, la liste des clients et des comptes client, la liste des employés, les régimes de retraite et d'intéressement qui leur sont applicables, les contrats et lettres d'emploi, la liste des consultants et des entrepreneurs indépendants faisant affaire avec la société, le détail de tout différend avec des employés ou des administrateurs, ainsi que tous les droits de propriété intellectuelle d'anciens et actuels employés sur les inventions et/ou technologies utilisées par la société cible.
Ceci étant, il est plus souvent qu'autrement inconcevable d'obtenir le consentement de tout ce beau monde à la communication de leurs renseignements personnels, et ce tant à l'étape de la vérification diligente que lors de la clôture de la transaction. Ainsi, lorsque leur consentement n'est pas obtenu en amont via une clause spécifique à cet effet dans le contrat d'emploi, de services ou autres, celui voulant communiquer des renseignements personnels dans le cadre d'une transaction commerciale d'envergure peut facilement se retrouver dans une impasse.
Ce décalage entre loi et réalité n'a pas empêché la Commission d'accès à l'information (« CAI ») d'appliquer la Loi sur le secteur privé au pied de la lettre dans une situation semblable. Ainsi, la CAI a tranché, dans une décision concernant la fusion de deux cabinets de courtage d'assurances, que le courtier du plaignant aurait dû obtenir le consentement de tous ses clients avant de communiquer leurs renseignements personnels à l'autre cabinet[4]. Le risque pour les parties est donc bien réel dans un tel contexte transactionnel.
Changements proposés
Bien qu'il soit possible d'affirmer aux termes du Projet de loi actuel que le modèle du consentement demeurera la pierre d'assise de la nouvelle Loi sur le secteur privé[5], cette pierre semble toutefois sur le point de subir un polissage. En effet, en vertu des amendements proposés, les modalités d'application de ce grand principe seraient revues considérablement[6].
Ainsi, 26 ans après l'entrée en vigueur de la Loi sur le secteur privé, le Projet de loi déposé le 12 juin dernier propose notamment deux amendements qui permettraient aux parties à une éventuelle transaction commerciale de se soustraire aux embêtantes restrictions précédemment discutées.
Inapplicabilité aux coordonnées d'affaires
D'abord, une première proposition plus générale permettrait de circonscrire le champ d'application matérielle des principales dispositions de la Loi sur le secteur privé en y retranchant les « renseignements personnels qui concernent l'exercice par la personne concernée d'une fonction au sein d'une entreprise, tel que son nom, son titre et sa fonction, de même que l'adresse, l'adresse de courrier électronique et le numéro de téléphone de son lieu de travail »[7].
Comme le soulignent Me Karl Delwaide et Me Antoine Aylwin dans une publication en l'honneur du 10e anniversaire de la Loi sur le secteur privée[8], la CAI a déjà estimé par le passé que le nom et la signature du représentant légal ou du mandataire d'une personne morale, telle une société par actions, ne constituaient pas des renseignements personnels puisqu'une société et son représentant doivent être considérés comme formant un tout indivisible. La CAI motivait ce raisonnement en expliquant qu'une société ne peut agir que par l'entremise de ses représentants et qu'en conséquence, le nom et la signature de ces derniers doivent donc être connus et vérifiés, à tout le moins « au nom de la sécurité juridique des contrats et de leur exécution »[9]. Le Projet de loi va toutefois au-delà de ce raisonnement en excluant également les renseignements personnels concernant l'exercice par toute personne « d'une fonction au sein d'une entreprise ».
Ainsi, selon ce que propose le Projet de loi, une certaine fraction des renseignements personnels devant être communiqués dans le cadre d'une transaction commerciale et de la vérification diligente préalable seraient automatiquement évacués de l'exigence d'obtenir le consentement des individus concernés.
Ailleurs au Canada, les lois fédérale[10], albertaine[11] et britanno-colombienne[12] sur la protection des renseignements personnels prévoient déjà un régime distinct pour les coordonnées d'affaires. À noter toutefois que l'exclusion proposée dans le Projet de loi, qui qualifie les coordonnées d'affaires uniquement en fonction de la nature des renseignements, est plus catégorique que celles prévues dans les autres lois canadiennes, où la finalité des coordonnées d'affaires est également déterminante pour les soustraire à l'application de ces textes.
Exception spécifique à l'exigence duconsentement dans le cadre de transactions commerciales
Ensuite, le Projet de loi propose également d'introduire une exception spécifique au principe du consentement dans un contexte transactionnel. Le nouvel article 18.4 qui serait ajouté à la Loi sur le secteur privé permettrait la communication de tout renseignement personnel entre deux parties à une transaction commerciale envisagée, et ce sans avoir à obtenir le consentement des individus concernés, pour autant que[13]:
- la transaction constitue une « transaction commerciale » au sens de cette disposition, c'est-à-dire qu'elle « implique un transfert de propriété de tout ou partie d'une entreprise »[14];
- la communication de ces renseignements personnels soit nécessaire aux fins de la conclusion de cette transaction;
- une entente soit d'abord conclue entre les parties et qu'elle prévoit que la partie recevant communication des renseignements s'engage à :
- n'utiliser ces renseignements qu'aux seules fins de la conclusion de la transaction;
- ne pas communiquer ces renseignements sans avoir obtenu le consentement des individus concernés;
- prendre les « mesures nécessaires pour assurer la protection du caractère confidentiel »[15] de ces renseignements; et
- détruire ces renseignements si la transaction n'est pas conclue ou si leur utilisation n'est plus nécessaire aux fins de sa conclusion.
Ce nouvel article précise également que, suite à la clôture de la transaction, la partie ayant reçu communication des renseignements personnels qui désire continuer à les utiliser ou les communiquer:
- demeure assujettie aux dispositions de la Loi sur le secteur privé dans le cadre de son utilisation et de la communication ultérieure de ces renseignements personnels; et
- doit, dans un « délai raisonnable »[16], aviser les individus concernés qu'elle détient maintenant des renseignements personnels les concernant en raison de la transaction.
En pratique, il s'agirait donc de bien vérifier les ententes de confidentialité habituellement signées à l'amorce de telles transactions pour s'assurer que les stipulations requises s'y trouvent et de notifier les individus concernés par écrit en tant qu'étape post-clôture.
Dans les faits, il s'agit d'un simple rattrapage par rapport aux autres lois canadiennes alors que les lois fédérale[17], britanno-colombienne[18] et albertaine[19] en matière de protection des renseignements personnels prévoient déjà des exceptions très similaires au consentement dans le cadre de transactions commerciales.
Une observation s'impose toutefois quant à la définition qui serait donnée à la notion de « transaction commerciale » faisant l'objet de l'exception au consentement aux termes du Projet de loi[20], c'est-à-dire une transaction « qui implique le transfert de propriété de tout ou partie de l'entreprise ». Cette définition minimaliste risque de diminuer l'efficacité de l'exception proposée considérant que des transactions telles qu'un financement par la dette, bien que nécessitant généralement elles aussi une vérification diligente préalable, n'impliquent pas à proprement parler de « transfert de propriété de tout ou partie de l'entreprise ». Il serait donc pertinent de se pencher sur les définitions fournies par les autres lois canadiennes alors que celles-ci sont beaucoup plus larges[21]. Par exemple, la loi fédérale définit les « transactions commerciales» de façon beaucoup plus détaillée, y incluant notamment « le fait de consentir un prêt à tout ou partie d'une organisation ou de lui fournir toute autre forme de financement »[22]. Les développements autour du Projet de loi quant à ce point précis seront donc à suivre de près.
Demeure néanmoins qu'il faut voir d'un bon oeil cet assouplissement des exigences en contexte transactionnel qui vient colmater une brèche de longue date dans la Loi sur le secteur privé et permet une certaine harmonisation canadienne des règles en matière de protection des renseignements personnels spécifiquement applicables à cette situation.
|
CENTRE DE RESSOURCES PL64 - Découvrez notre INSTITUT FASKEN - Inscrivez-vous à notre formation qui fera la lumière sur les principales modifications à la loi 64 et les impacts à prévoir dans la gestion de vos affaires. LISTE DE DISTRIBUTION - Pour ne pas manquer nos prochains bulletins, notre webinaire de formation et toutes autres informations pertinentes à ce sujet, inscrivez-vous dès maintenant sur notre liste de distribution. |
[1] PL n° 64, Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, 1ère sess., 42e législature, Québec, 12 juin 2020, (présentation) (« Projet de loi »).
[2] RLRQ c P-39.1 (« Loi sur le secteur privé »).
[3] Loi sur le secteur privé, art. 14.
[4] Gerald Desjardins c. Groupe Lyras & Godard, PV 99 17 45 (C.A.I.).
[5] Projet de loi, art. 102.
[6] L'ensemble des changements proposés en matière de consentement seront abordés dans un bulletin distinct qui sera publié prochainement.
[7] Projet de loi, art. 93.
[8] Karl Delwaide et Antoine Aylwin, Leçons tirées de dix ans d'expérienceL la Loi sur la protection des renseignements personnels dans le secteur privé du Québec, Commissaire à la protection de la vie privée du Canada, 2005.
[9] Lavoie c. Pinkerton du Québec ltée (C.A.I., 1996-02-05), avant-dernier paragraphe; voir également à ce sujet Leblond c. Assurances générales des Caisses Desjardins, [2003] CAI 391 (appel accordé sur des questions de secret professionnel J.E. 2004-2148 (C.Q.)).
[10] Loi sur la protection des renseignements personnels et les documents électroniques, LC 2000, c 5, arts. 2(1) et 4.01 (« LPRPDE »).
[11] Personal Information Protection Act, SA 2003, c P-6.5 arts. 1(1)(a) et 4(3) (« PIPA A »).
[12] Personal Information Protection Act, SBC 2003, c 63, art. 1 (« PIPA BC »).
[13] Projet de loi, art. 107.
[14] Id.
[15] Id.
[16] Id.
[17] LPRPDE, art. 7.2.
[18] PIPA BC, art. 20.
[19] PIPA A, art. 22.
[20] Projet de loi, art. 107.
[21] LPRPDE, art. 2(1); PIPA BC, art. 20(1); PIPA A, art. 22(1)(a)
[22] LPRPDE, art. 2(1).
