Projet de loi C-27 et LPVPC : ce qui change pour les entreprises canadiennes et comment être prêt dès le premier jour

Un détaillant ontarien de taille moyenne a reçu une plainte l'an dernier. Un client voulait savoir partout où l'entreprise avait partagé son historique d'achats. En vertu de la loi telle qu'elle existe, le détaillant a temporisé, donné une réponse vague, et l'affaire est tranquillement tombée à l'eau. Le Commissariat à la protection de la vie privée peut enquêter et publier des conclusions, mais il ne peut pas vous imposer un seul dollar d'amende pour ce genre d'évasion. Ce simple fait est ce que le projet de loi C-27 a été conçu pour changer.

Pendant une vingtaine d'années, le régime fédéral de protection de la vie privée du secteur privé, la LPRPDE, a fonctionné sur la bonne volonté et la pression réputationnelle. Le commissaire pouvait nommer et blâmer. Les tribunaux pouvaient accorder des dommages-intérêts, mais seulement après un long parcours devant la Cour fédérale. Pendant ce temps, le Québec a réécrit ses propres règles sous la Loi 25 et a commencé à bâtir des sanctions qui piquent réellement. L'écart entre une loi fédérale sans mordant et une loi provinciale tranchante est devenu impossible à ignorer.

Ce que le projet de loi C-27 et la LPVPC remplacent réellement

Le projet de loi C-27 était un ensemble, pas une seule loi. Il regroupait trois pièces : la Loi sur la protection de la vie privée des consommateurs (LPVPC), la Loi sur le Tribunal de la protection des renseignements personnels et des données, et la Loi sur l'intelligence artificielle et les données (LIAD). La LPVPC est la partie qui touche presque toutes les entreprises au pays, c'est donc là que votre attention doit se porter.

La LPVPC abrogerait les dispositions sur la protection de la vie privée de la LPRPDE et mettrait une loi moderne à leur place. Voyez cela moins comme un ajustement et plus comme un remplacement de châssis. Les règles de consentement sont réécrites. Les droits individuels s'élargissent. Et le modèle d'application passe de « nous publierons un rapport » à « nous pouvons recommander une amende qui se termine par plusieurs virgules ».

Un mot sur l'état du projet de loi. Le C-27 a été déposé en juin 2022, a franchi la deuxième lecture et a passé une longue période en comité à l'INDU. Lorsque le Parlement a été prorogé au début de 2025, le projet de loi est mort au feuilleton. Le projet lui-même n'est pas mort. La pression stratégique derrière lui n'a fait que croître, et toute réforme sérieuse de la vie privée qui reviendra portera le même ADN : de vraies sanctions, un consentement renforcé, un tribunal d'application. Se préparer à la LPVPC, c'est se préparer à ce qu'Ottawa réintroduira, parce que la direction est établie même là où le libellé exact ne l'est pas.

Les chiffres des sanctions qui attirent l'attention d'un chef des finances

Voici la ligne qui change la conversation en salle du conseil. En vertu de la LPVPC, les contraventions les plus graves pourraient entraîner des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 3 % du chiffre d'affaires brut mondial, selon le montant le plus élevé. Pour certaines infractions poursuivies par mise en accusation, le plafond grimpe à 25 millions de dollars ou 5 % du chiffre d'affaires brut mondial.

Comparez cela à aujourd'hui. Les dispositions d'infraction existantes de la LPRPDE plafonnent les amendes à 100 000 $, et elles ne sont presque jamais utilisées. La LPVPC ne fait pas qu'augmenter le chiffre. Elle bâtit la machinerie pour l'imposer par l'entremise d'un Tribunal de la protection des renseignements personnels et des données dédié qui entend les recommandations du commissaire. Le CPVP enquête et recommande une sanction; le Tribunal a le dernier mot sur l'imposition d'une sanction et son ampleur. Cette séparation est délibérée, et elle rend la menace crédible d'une façon que la LPRPDE n'a jamais réussi à atteindre.

Si votre entreprise a un chiffre d'affaires mondial de dizaines de millions, une exposition de 3 % n'est pas une erreur d'arrondi. C'est un chiffre qui justifie un programme de protection de la vie privée à lui seul.

De nouveaux droits et devoirs que vous devrez honorer

La LPVPC remet aux personnes des outils qu'elles n'ont pas véritablement en vertu de la LPRPDE. Les quatre qui comptent le plus :

• La mobilité des données. Les gens pourraient demander que leurs renseignements passent d'une organisation à une autre, là où un cadre de mobilité des données s'applique. Vous devriez exporter des données personnelles structurées sur demande.
• La disposition sur demande. Les personnes pourraient vous demander de supprimer leurs renseignements, sous réserve d'exceptions limitées. « Nous ne savons pas vraiment partout où ils se trouvent » cesse d'être une réponse acceptable.
• La transparence algorithmique. Lorsque vous utilisez un système décisionnel automatisé pour prendre une prédiction ou une décision au sujet d'une personne qui pourrait l'affecter de façon importante, vous devriez l'expliquer sur demande. Cela entraîne discrètement dans la portée toute entreprise utilisant l'évaluation par IA ou les approbations automatisées.
• Le consentement en langage simple. Le consentement doit être valable, et l'information que vous fournissez pour l'obtenir doit être compréhensible pour les personnes à qui vous le demandez. Des politiques de trente pages enfouies ne suffiront pas.

Il y a aussi de nouveaux devoirs de responsabilité. Vous devriez maintenir un programme de gestion de la protection de la vie privée et le rendre disponible au commissaire sur demande. Ce programme n'est pas un cartable que vous rédigez une fois. Ce sont des politiques documentées, un registre des données que vous détenez et pourquoi, et la preuve que vous suivez réellement vos propres règles.

Le Québec nous a déjà montré l'avenir

Vous voulez savoir à quoi ressemble l'application une fois que les règles ont du mordant? Regardez la Commission d'accès à l'information, l'organisme de réglementation de la vie privée du Québec. La Loi 25 a été mise en œuvre progressivement de 2022 à 2024. Ses sanctions administratives pécuniaires atteignent jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial, tandis que les infractions pénales les plus graves entraînent des amendes pouvant atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé. La CAI a été active. La nomination d'une personne responsable de la protection des renseignements personnels est devenue obligatoire, le signalement des atteintes s'est formalisé, et les entreprises exerçant au Québec ont dû publier des politiques de gouvernance et réaliser des évaluations des facteurs relatifs à la vie privée pour les nouveaux projets traitant des renseignements personnels.

Les entreprises qui ont traité la Loi 25 comme un exercice d'incendie se sont précipitées. Celles qui ont bâti un véritable programme trouvent que les exigences probables de la LPVPC leur semblent familières, parce qu'Ottawa s'est largement inspiré du manuel québécois. Si vous exercez déjà au Québec et avez pris la Loi 25 au sérieux, vous êtes presque rendu à la conformité à la LPVPC. Si vous l'avez ignorée parce que « nous ne sommes pas vraiment une entreprise québécoise », cet écart est sur le point de devenir coûteux deux fois.

L'avantage du jour zéro est réel

Voici le point stratégique que la plupart des couvertures ratent. Lorsqu'un régime de conformité majeur entre en vigueur, il y a une ruée brutale. Les consultants sont réservés à pleine capacité et leurs tarifs montent en flèche. Les cabinets d'avocats traitent leurs plus gros clients en priorité, et tout le monde attend. Les entreprises qui s'en sortent gagnantes sont celles qui ont fait le travail ingrat avant que l'échéance n'existe.

Vous n'avez pas besoin du texte final de la LPVPC pour commencer. Les fondations sont stables et utiles peu importe ce qui sera adopté. Trois mesures que vous pouvez prendre dès maintenant :

Cartographiez vos données. Vous ne pouvez pas honorer une demande de suppression, une demande de mobilité ou une demande de transparence si vous ne savez pas quels renseignements personnels vous détenez, où ils se trouvent et avec qui vous les partagez. Un inventaire de données à jour est la chose à plus fort levier qu'une entreprise canadienne peut bâtir aujourd'hui. La Loi 25 l'exige déjà, la LPVPC l'exigerait, et cela rend la réponse aux atteintes plus rapide dans tous les cas.

Corrigez vos flux de consentement. Vérifiez chaque point où vous recueillez des données personnelles. La fin est-elle claire? Le langage est-il simple? Recueillez-vous plus que nécessaire? Le critère des fins appropriées de la LPVPC et les attentes de minimisation des données du Québec punissent tous deux la surcollecte.

Mettez en place un véritable programme de gestion de la protection de la vie privée. Nommez une personne responsable. Mettez vos politiques par écrit. Documentez votre calendrier de conservation. Réalisez une évaluation pour tout nouveau projet touchant des données personnelles. C'est le livrable qu'un organisme de réglementation peut exiger, et c'est la chose la plus longue à fabriquer après coup.

La plupart des entreprises canadiennes ne vont pas embaucher un consultant d'entreprise à 500 000 $ pour cela, et elles ne devraient pas avoir à le faire. Le travail est structuré et reproductible : inventorier, évaluer, documenter, surveiller. Les entreprises qui fonctionnent sans équipe interne de protection de la vie privée ont besoin d'outils qui font le gros du travail et tiennent un registre qu'elles peuvent remettre à un organisme de réglementation.

C'est l'écart que le suivi de préparation au projet de loi C-27 de Valdra a été conçu pour combler, afin que vous puissiez voir exactement où vous en êtes par rapport aux exigences probables de la LPVPC et combler les écarts avant que la loi ne vous force la main.