Gouvernail des données de Blakes : Été 2026

Voici l’édition de l’été 2026 de l’infolettre Gouvernail des données de Blakes, une publication de notre groupe Protection de la vie privée et des données. Cette infolettre a pour but d’effectuer un survol des développements récents relatifs à la législation canadienne en matière de protection de la vie privée, de cybersécurité, d’accès à l’information et de gouvernance de l’intelligence artificielle (l’« IA »), ainsi que de fournir aux lecteurs des pistes de réflexion concrètes sur les diverses questions soulevées par ces développements.

Dans ce numéro

• Astuces pour mettre à jour votre programme de protection de la vie privée au Canada.Considérant la présentation du projet de loi C-36 et l’adoption de la nouvelle législation fédérale sur la cybersécurité, obtenez des précisions sur ce qui changera réellement pour les entreprises canadiennes et sur les modifications qu’elles devraient songer à apporter à leur programme de protection de la vie privée.
• Loi sur les médias sociaux sécuritaires. Découvrez la manière dont les services de médias sociaux, les services d’agents conversationnels et d’autres services en ligne pourraient être réglementés afin de protéger les enfants et de limiter les contenus préjudiciables en ligne.
• Loi visant à protéger la vie privée et les données des consommateurs. Apprenez tout ce qu’il faut savoir sur les modifications au cadre fédéral de protection de la vie privée dans le secteur privé que pourrait introduire le projet de loi C-36.
• Stratégie fédérale : « L’IA pour tous ». Comprenez mieux comment le gouvernement fédéral donne la priorité aux investissements dans l’IA et dans les infrastructures numériques contrôlées et exploitées par des entités canadiennes.
• Étude sur les tendances en matière de cybersécurité – Sixième édition. Consultez la sixième édition de notre étude pour être bien au fait des menaces qui transforment le paysage des cyberrisques, selon l’expérience que nous avons acquise en conseillant des organisations sur des questions complexes de cybersécurité partout au Canada.
• Quand l’IA « invente » le droit : annulation d’une sentence arbitrale. Prenez connaissance des points saillants d’une décision rendue par la Cour supérieure du Québec dans un cas de recours démesuré à l’IA par un arbitre.

À l’horizon

Mise à jour de votre programme canadien de protection de la vie privée

De nombreux spécialistes de la protection de la vie privée et mordus de la politique dans ce domaine partout au pays ont bien accueilli le projet de loi C-36, la Loi visant à protéger la vie privée et les données des consommateurs, présenté par le gouvernement fédéral le 15 juin 2026. D’autres, en revanche, se gardent de se réjouir trop vite. En fait, le projet de loi C-36 constitue la troisième tentative de réforme de la législation fédérale sur la protection de la vie privée dans le secteur privé depuis 2020 et, même si le gouvernement dispose d’une majorité, les débats à la Chambre des communes et au Sénat donnent l’impression qu’il faudra peut-être encore bien des années avant l’entrée en vigueur d’une nouvelle loi sur la protection de la vie privée.

Or, même si l’adoption du projet de loi devait prendre des mois, voire des années, il n’y a pas lieu pour les entreprises canadiennes de reporter la modernisation de leur programme de protection de la vie privée. Toutes les initiatives qui visaient à réformer le cadre par le passé ainsi que les différents rapports publiés récemment par le Commissaire à la protection de la vie privée du Canada font ressortir une orientation réglementaire évidente : assurer une responsabilité claire, accroître la transparence, protéger les droits individuels fondamentaux et renforcer le contrôle exercé par les autorités de réglementation. Compte tenu de la hausse récente du nombre d’actions collectives en matière de protection de la vie privée qui concernent des pratiques mises en œuvre par des organisations plutôt que la survenance de cyberincidents, les entreprises pourraient vouloir s’appuyer sur le contenu du projet de loi C-36 pour améliorer leur niveau de conformité et être mieux préparées aux nouveaux problèmes liés à la protection de la vie privée au Canada.

Voici nos principales recommandations pour mettre à jour votre programme de protection de la vie privée.

Comprendre vos données

Un grand nombre d’organisations n’ont toujours pas une bonne compréhension des considérations suivantes :

• Quels renseignements personnels elles recueillent
• Pourquoi elles recueillent ces renseignements
• Où elles les entreposent 
• Qui y a accès
• Quelles tierces parties les reçoivent

Il est essentiel de tenir un inventaire actualisé des données recueillies pour demeurer conformes aux nouvelles exigences en matière de protection de la vie privée, pour traiter les demandes d’accès et de rectification, pour gérer les consentements et pour intervenir en cas d’atteintes à la protection de la vie privée. Il est également crucial de comprendre les répercussions des nouveaux outils et systèmes d’IA. À l’instar d’autres législations internationales modernes en matière de protection de la vie privée, le projet de loi C-36 accorde une grande importance à la transparence et au traitement responsable des données, faisant ainsi du mappage de données une étape initiale capitale.

Passer en revue vos pratiques en matière de consentement

Les organisations devraient vérifier si leurs mécanismes en matière de consentement sont clairs et compréhensibles, s’ils sont adaptés aux fins visées, s’ils permettent aux personnes concernées de retirer facilement leur consentement et s’ils sont étayés par des avis de confidentialité rédigés en mots simples.

La législation proposée continue de s’appuyer en grande partie sur les lignes directrices pour l’obtention d’un consentement valable, tout en renforçant les exigences en matière de transparence et d’explications. Les organisations qui veillent dès maintenant à simplifier leurs pratiques en matière d’avis de confidentialité et de consentement devraient avoir moins de difficulté à demeurer conformes dans le futur.

Les organisations qui proposent des services en ligne devraient déterminer s’il convient de mettre en place des mesures de sécurité spécifiques pour les mineurs, notamment des procédures de contrôle de l’âge, des processus de consentement et des paramètres de confidentialité par défaut.

Passer en revue les pratiques transfrontalières

À l’heure actuelle, les lois sur la protection des renseignements personnels dans le secteur privé permettent généralement le transfert des renseignements personnels à des fournisseurs de services à l’extérieur du Canada. Toutefois, les organisations assujetties aux lois fédérales et/ou provinciales canadiennes sur la protection des renseignements personnels dans le secteur privé doivent satisfaire à certaines exigences lorsqu’elles transfèrent des renseignements personnels à un fournisseur de services à l’extérieur du Canada. Entre autres, elles peuvent être tenues de conclure certaines ententes écrites, de faire preuve de transparence au sujet de leurs pratiques de traitement transfrontalier des renseignements personnels et, dans certaines circonstances, de réaliser une évaluation des facteurs relatifs à la vie privée. Le projet de loi C-36 propose des règles plus explicites concernant les fournisseurs de services et les transferts internationaux de données, y compris des exigences en matière d'évaluation des facteurs relatifs à la vie privée dans certaines circonstances.

Les organisations devraient examiner régulièrement leurs contrats avec des fournisseurs, les modalités de transfert transfrontalier, les obligations en matière de sécurité, les droits d’audit et les exigences relatives à la conservation des données. Même lorsque les lois ou les politiques gouvernementales permettent le transfert des renseignements personnels à l’extérieur du Canada, une entité – notamment une entité agissant en qualité de fournisseur de services – peut être assujettie à des restrictions contractuelles exigeant que les renseignements personnels demeurent au Canada. Les entités devraient passer en revue leurs engagements contractuels avant de transférer des renseignements personnels à l’extérieur du Canada et d’accéder à des renseignements personnels stockés à l’extérieur du pays. De plus, la mise en place de pratiques rigoureuses en matière de gouvernance par les fournisseurs de services permet de réduire à la fois le risque de non-conformité et l’exposition aux cybermenaces.

S’adapter aux droits individuels élargis

De nombreuses organisations composent actuellement avec une forte augmentation du nombre de demandes émanant de particuliers souhaitant accéder à leurs renseignements personnels ou retirer leur consentement. Le projet de loi C-36 propose de renforcer les droits des particuliers au-delà de ceux actuellement établis par la Loi sur la protection des renseignements personnels et les documents électroniques (la « LPRPDE »). Afin d’alléger le fardeau du traitement de ces demandes, les organisations devraient actualiser leurs politiques et procédures afin de :

• répondre aux demandes d’accès et de rectification dans les délais prescrits;
• accorder aux particuliers davantage de contrôle quant à leurs droits en matière de portabilité des données pour transférer leurs renseignements personnels d’une organisation à l’autre;
• faire preuve d’une plus grande transparence relativement aux systèmes décisionnels automatisés;
• retirer des renseignements personnels sur demande, dans les circonstances prévues par la loi.

Faire preuve de transparence en ce qui concerne l’utilisation de l’IA

L’un des principaux objectifs des réformes qui ont été proposées est le renforcement de la surveillance des systèmes de traitement fondé sur l’IA et des systèmes décisionnels automatisés. Le projet de loi C-36 exigerait une plus grande transparence à l’égard des systèmes décisionnels automatisés et reconnaît les risques pour la vie privée liés aux renseignements personnels déduits.

Les organisations qui utilisent l’IA devraient veiller à disposer d’une documentation claire sur leur recours à cette technologie, à évaluer les facteurs relatifs à la vie privée, à surveiller la manière dont l’IA utilise les renseignements personnels et à conserver des traces de la prise de décisions algorithmique. Ces mesures de contrôle sont de plus en plus attendues par les organismes de réglementation de la consommation à l'échelle mondiale, quel que soit le moment de l’entrée en vigueur de dispositions législatives en la matière au Canada.

Perspectives en vedette

La Loi sur les médias sociaux sécuritaires

Dans la foulée des efforts déployés par le gouvernement fédéral pour mettre en place un régime réglementaire complet visant à éliminer les préjudices en ligne au Canada, le gouvernement fédéral a présenté le projet de loi C-34, dont le titre abrégé est la Loi sur la sécurité des réseaux sociaux. S’il est adopté, le projet de loi C-34 mettrait en place un régime fédéral en matière de sécurité numérique en édictant la Loi sur la sécurité numérique et créerait la Commission canadienne de la sécurité numérique en vertu de la Loi sur la Commission canadienne de la sécurité numérique. Dans notre Bulletin Blakes intitulé Loi sur la sécurité numérique du Canada : Remaniement du régime réglementaire sur la sécurité en ligne, nous examinons les nouvelles obligations potentiellement contraignantes qui pourraient être imposées aux entités qui pourraient être considérées comme des services de médias sociaux, des services d’agent conversationnel et d’autres services en ligne au sens du projet de loi C-34.

La Loi visant à protéger la vie privée et les données des consommateurs

Le projet de loi C-36 constitue la troisième tentative de réforme de la LPRPDE de la part du gouvernement fédéral depuis 2020. Dans notre Bulletin Blakes intitulé Nouvelle tentative du Canada pour réformer le cadre fédéral de protection des renseignements personnels dans le secteur privé, nous mettons en lumière les principales divergences entre ce projet de loi et le cadre actuel de la LPRPDE, notamment la création proposée d’un tout nouvel organisme de réglementation pour le secteur privé.

Stratégie fédérale : « L’IA pour tous »

Innovation, Sciences et Développement économique Canada a récemment publié la Stratégie nationale en matière d'intelligence artificielle du Canada : L’IA pour tous (la « Stratégie »). Cette Stratégie présente une approche cohérente relativement à l’intégration de l’IA au Canada tout en gérant les principaux risques associés à l’adoption de l’IA, comme la confiance, la sécurité et le manque de contrôle du Canada sur l’infrastructure d’IA actuelle. Dans notre Bulletin Blakes intitulé La stratégie canadienne L’IA pour tous : principaux points à retenir pour les entreprises, nous présentons les six piliers de la Stratégie, lesquels visent à instaurer la confiance, à élargir les occasions et à permettre aux Canadiens de participer à l’IA et d’en tirer profit, ainsi qu’à protéger la souveraineté du Canada.

Étude sur les tendances en matière de cybersécurité – Sixième édition

Cette étude ciblée et guidée par les données présente une mise à jour concise sur l’évolution des cyberrisques; elle met notamment en lumière les tendances les plus notables et diverses considérations pratiques afin d’aider les organisations à prendre des décisions éclairées en matière de cybersécurité et à établir leur stratégie de cyberpréparation. Par exemple, dans cette édition, nous soulignons l’augmentation des atteintes à la vie privée ayant donné lieu à une exfiltration de données, ce qui marque un changement par rapport à la tendance dominante précédente, à savoir les atteintes à la vie privée comportant un chiffrement des données compromises. Pour en savoir plus, consultez la sixième édition de notre Étude sur les tendances en matière de cybersécurité.

Quand l’IA « invente » le droit : annulation d’une sentence arbitrale

Le 22 avril 2026, dans l’affaire Association des ressources intermédiaires d’hébergement du Québec (ARIHQ) c. Santé Québec – Centre intégré universitaire de santé et de services sociaux du Centre-Sud-de-l’Île-de-Montréal, la Cour supérieure du Québec (la « Cour ») a annulé une sentence arbitrale en raison du recours démesuré à l’IA par l’arbitre. Selon la Cour, ce dernier aurait appuyé son raisonnement sur des sources inexistantes, « hallucinées » par l’IA, et aurait ainsi « délégué une partie de son pouvoir décisionnel », abdiquant son autorité. Cette décision, l’une des premières décisions publiques au sujet de l’IA au Canada, réaffirme certaines balises fondamentales applicables aux arbitres dans l’exercice de leurs compétences et traite d’importants enjeux en lien avec l’utilisation de l’IA dans la prise de décisions juridiques. Apprenez-en plus sur cette décision dans le Bulletin Blakes intitulé Quand l’IA « invente » le droit : annulation d’une sentence arbitrale.

Nouveaux développements législatifs et réglementaires

Principaux développements juridiques

• Le projet de loi C-8 a reçu la sanction royale, édictant la Loi sur la protection des cybersystèmes essentiels.
• Les modifications apportées à la Loi sur l’accès à l’information et la protection de la vie privée de l’Ontario par le projet de loi 97 sont désormais en vigueur; elles font notamment passer le délai de réponse aux demandes d’accès de 30 à 45 jours et introduisent d’autres changements importants.
• Le projet de loi 49 du Manitoba, la Loi modifiant la Loi sur les pratiques commerciales, qui vise à réglementer le recours à la tarification algorithmique personnalisée, a reçu la sanction royale. Les modifications entreront en vigueur à une date ultérieure qui sera fixée par proclamation.

Nouvelles décisions et orientations

• Le Commissaire à la protection de la vie privée du Canada a publié une nouvelle orientation sur la présentation des codes de pratique relatifs à l’échange de renseignements personnels à l’intention des entités déclarantes, dans le cadre de ses efforts visant à détecter et à décourager le recyclage des produits de la criminalité, le financement des activités terroristes et le contournement des sanctions.
• L’enquête menée par le Commissaire à la protection de la vie privée du Canada sur Grok, un robot conversationnel alimenté par l’IA, et la création d’hypertrucages sexuellement explicites révèle que des entreprises ont enfreint la législation sur la protection de la vie privée.
• Le Commissaire à la protection de la vie privée du Canada a présenté son Rapport annuel au Parlement 2025-2026, intitulé Défendre le droit à la vie privée à l’ère de l’IA.
• L’Office of the Information and Privacy Commissioner of Alberta a publié des recommandations à l’intention des organisations du secteur privé concernant les modifications apportées aux permis de conduire et aux cartes d’identité de l’Alberta (en anglais seulement).

Nous joindre

Pour toute question, n’hésitez pas à vous adresser à l’avocat de Blakes avec lequel vous communiquez habituellement ou à un membre du groupe Protection de la vie privée et des données de Blakes. Afin de recevoir par courriel les perspectives du groupe Protection de la vie privée et des données, y compris l’infolettre Gouvernail des données de Blakes, inscrivez-vous ici.