Les lois PIPA de l'Alberta et de la Colombie-Britannique : quelle loi sur la vie privée s'applique réellement à vous

Une entreprise de logiciels de Calgary avec qui j'ai discuté l'an dernier était convaincue d'avoir maîtrisé sa conformité en matière de vie privée. Elle s'était renseignée sur la LPRPDE, avait rédigé une politique, désigné quelqu'un pour traiter les plaintes. Puis elle a embauché son premier employé à Vancouver, ouvert un petit bureau et commencé à y conserver des dossiers RH. Personne ne l'avait prévenue qu'à cet instant, une deuxième loi sur la vie privée s'activait. Et ce n'était pas la loi fédérale.

C'est la facette de la vie privée canadienne qui prend de court les entreprises pourtant prudentes. La LPRPDE n'est pas toute la carte. Trois provinces — l'Alberta, la Colombie-Britannique et le Québec — ont leur propre loi sur la vie privée dans le secteur privé, qui écarte la LPRPDE à l'intérieur de leurs frontières pour la plupart des activités commerciales. Si vous exercez vos activités dans l'une d'elles, les règles auxquelles vous répondez réellement ne sont peut-être pas celles que vous avez étudiées au fédéral.

Pourquoi des lois provinciales existent

La LPRPDE, la Loi sur la protection des renseignements personnels et les documents électroniques, est la norme de base fédérale. La Loi comporte toutefois une porte de sortie intégrée. En vertu de l'alinéa 26(2)b), le Cabinet fédéral peut déclarer qu'une loi provinciale est « essentiellement similaire » à la LPRPDE et, le cas échéant, cette loi provinciale régit les activités commerciales intraprovinciales à sa place.

Trois provinces ont franchi ce seuil. L'Alberta et la Colombie-Britannique ont chacune adopté une Personal Information Protection Act, toutes deux abrégées de façon déroutante par PIPA, entrées en vigueur le 1er janvier 2004. La loi québécoise sur le secteur privé est encore plus ancienne, remontant à 1994, et a été refondue de fond en comble par la Loi 25. Les trois ont été déclarées essentiellement similaires, ce qui signifie qu'une entreprise exerçant ses activités uniquement en Alberta est régie par la PIPA albertaine, et non par la LPRPDE, et répond au Commissariat à l'information et à la protection de la vie privée de l'Alberta plutôt qu'au CPVP fédéral.

L'expression « essentiellement similaire » accomplit beaucoup de travail en silence. Elle ne veut pas dire identique. Les régulateurs provinciaux, l'OIPC en Alberta et l'OIPC en Colombie-Britannique, appliquent leurs propres lois, rendent leurs propres ordonnances et ont interprété des termes clés différemment d'Ottawa. Traiter les PIPA de l'Alberta et de la C.-B. comme des copies conformes de la LPRPDE est exactement la façon dont les lacunes de conformité se forment.

Les PIPA de l'Alberta et de la C.-B. : qui y est réellement assujetti

Voici la règle empirique qui compte. Les lois provinciales s'appliquent aux organisations du secteur privé qui recueillent, utilisent ou communiquent des renseignements personnels dans le cadre d'activités se déroulant entièrement à l'intérieur de cette province. La LPRPDE reprend ses droits dès que des données franchissent une frontière provinciale ou nationale dans le cadre d'une activité commerciale, ou lorsqu'une entreprise fédérale (banque, transporteur aérien, télécom ou société de transport interprovincial) est en cause.

Ainsi, un cabinet comptable de Lethbridge servant des clients de Lethbridge relève de la PIPA albertaine. Un détaillant de Victoria vendant uniquement à des clients britanno-colombiens en magasin relève de la PIPA de la C.-B. Mais dès que ce détaillant de Victoria expédie une commande à un client de l'Ontario, la transaction est interprovinciale, et c'est la LPRPDE qui la régit. La plupart des vraies entreprises finissent à cheval sur les deux, ce qui est la partie véritablement délicate.

Il y a une seconde raison, plus importante, pour laquelle les PIPA de l'Alberta et de la C.-B. comptent plus qu'on ne le croit : les renseignements personnels des employés. La LPRPDE ne couvre pas, en grande partie, les dossiers du personnel des employés relevant des provinces. Les PIPA provinciales, oui. Si vous avez du personnel en Alberta ou en C.-B., ses dossiers RH, ses évaluations de rendement, ses vérifications d'antécédents et ses données de paie relèvent carrément de la loi provinciale, même si vos données destinées à la clientèle, elles, n'en relèvent pas. C'est exactement ce fil que cette entreprise de Calgary a fait trébucher en embauchant en C.-B.

Quelques distinctions à connaître :

• La PIPA de l'Alberta a le déclencheur de signalement d'incident le plus exigeant des deux. Depuis 2010, elle oblige les organisations à aviser le Commissaire de tout incident présentant un « risque réel de préjudice grave », après quoi le Commissaire décide si les personnes doivent être informées. L'Alberta a rendu le signalement obligatoire huit ans entiers avant que la LPRPDE ne fasse de même en 2018.
• La PIPA de la C.-B. n'a toujours aucune obligation de signalement d'incident pour les organisations privées. L'OIPC de la C.-B. recommande un signalement volontaire et a exhorté le législateur à ajouter un régime obligatoire harmonisé avec l'Alberta et la LPRPDE, mais à la mi-2026 cet amendement n'a pas été adopté. Ne voyez pas ce vide comme un laissez-passer : un incident grave que vous gardez pour vous peut tout de même refaire surface sous forme de plainte et d'enquête.
• Les deux lois couvrent les organismes sans but lucratif dans une mesure que la LPRPDE n'atteint pas. La LPRPDE ne vise les OSBL que lorsqu'ils exercent une activité commerciale. La PIPA de la C.-B. en particulier rejoint beaucoup plus largement les organisations non commerciales comme les clubs, les associations et les organismes de bienfaisance. Un OSBL albertain ou britanno-colombien qui présumait être exempté parce que la LPRPDE l'épargnait peut se tromper lourdement.

Le cas particulier du Québec

Le Québec a sa place dans cette conversation, mais à part. Son régime du secteur privé, dopé par la Loi 25, est désormais la loi sur la vie privée la plus exigeante du pays, plus lourde que tout ce qui existe en Alberta ou en C.-B. La Commission d'accès à l'information, la CAI, l'applique, et elle comporte des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le plus élevé des deux, en plus d'amendes pénales qui peuvent grimper plus haut et d'un droit d'action privé en dommages-intérêts. Évaluations des facteurs relatifs à la vie privée obligatoires, responsable de la protection des renseignements personnels désigné par défaut, normes de consentement explicite, portabilité des données, et le reste.

Si vous avez des activités, des clients ou du personnel au Québec, vous n'êtes ni en territoire LPRPDE ni même dans la confortable zone « essentiellement similaire ». Vous êtes dans un régime plus strict, avec ses propres règles linguistiques et de consentement. Traitez le Québec comme un projet de conformité distinct, et non comme une note de bas de page.

Comment déterminer quelle loi est la vôtre

La réponse honnête pour la plupart des entreprises est : plus d'une. Une entreprise de taille moyenne avec un siège social à Calgary, du personnel d'entrepôt en C.-B., des clients en ligne partout au Canada et un représentant à Montréal est simultanément assujettie à la PIPA albertaine pour ses activités et employés albertains, à la PIPA de la C.-B. pour ses employés britanno-colombiens, à la LPRPDE pour les transactions interprovinciales avec ses clients, et à la Loi 25 du Québec pour toute donnée québécoise. Ce n'est pas un cas limite exotique. C'est une PME canadienne ordinaire.

Procédez dans cet ordre :

1. Où vos employés se trouvent-ils physiquement? Du personnel en Alberta ou en C.-B. vous attire dans ces PIPA provinciales pour les données RH, point final.
2. Où vos clients et leurs données résident-ils, et les données franchissent-elles des frontières? L'intraprovincial reste provincial; l'interprovincial ou l'international bascule vers la LPRPDE.
3. Touchez-vous au Québec, ne serait-ce qu'un peu? Si oui, la Loi 25 s'applique et c'est ce que vous affronterez de plus strict.
4. Êtes-vous une entreprise sous réglementation fédérale? Les banques, les transporteurs aériens, les télécoms et le transport interprovincial restent sous la LPRPDE, peu importe la province.

Les sanctions ne sont plus théoriques. Sur poursuite, la loi albertaine permet des amendes pouvant atteindre 100 000 $ contre une organisation, bien qu'elles soient imposées par un tribunal et non perçues par le Commissaire. Le plafond du Québec se compte en millions. Le portrait fédéral est plus statique qu'on ne le croit : le projet de loi C-27, qui aurait conféré au CPVP des pouvoirs d'ordonnance et de sanction par l'entremise de la Loi sur la protection de la vie privée des consommateurs, est mort au feuilleton lors de la prorogation du Parlement en janvier 2025 et n'a pas été redéposé. Pour l'instant, le CPVP fédéral enquête et recommande encore plutôt que d'imposer des amendes, mais les régulateurs provinciaux et la CAI du Québec ont déjà de vrais pouvoirs, et l'ère de la lettre fermement formulée tire à sa fin.

Ce qui rend cela véritablement difficile pour les plus petites entreprises, ce n'est pas la lecture. C'est que la réponse change chaque fois que vous embauchez quelqu'un dans une nouvelle province, que vous ouvrez un emplacement ou que vous signez un client de l'autre côté d'une frontière. La carte juridique est une cible mouvante, et la plupart des propriétaires ne découvrent qu'ils ont franchi une ligne qu'après l'arrivée d'une plainte.

C'est l'écart que nous avons conçu Valdra pour combler, et c'est pourquoi une évaluation rapide vaut mieux que de deviner. Si vous n'êtes pas certain de savoir si la PIPA de l'Alberta, la PIPA de la C.-B., la LPRPDE ou la Loi 25 régit votre entreprise, découvrez exactement quelles lois canadiennes sur la vie privée s'appliquent à vous avant qu'un régulateur ne le fasse à votre place.