Gouvernail des données de Blakes : Printemps 2026

Voici l’édition du printemps 2026 de l’infolettre Gouvernail des données de Blakes, une publication du groupe Protection de la vie privée et des données de Blakes. Cette infolettre a pour but d’effectuer un survol des développements récents relatifs à la législation canadienne en matière de protection de la vie privée, de cybersécurité, d’accès à l’information et de gouvernance de l’intelligence artificielle (« IA »), ainsi que de fournir aux lecteurs des pistes de réflexion concrètes sur les diverses questions soulevées par ces développements.

Dans ce numéro

• Portrait de la portabilité des données au Canada. Nous brossons un portrait de ce que les entreprises doivent savoir au sujet de l’établissement possible de « cadres de mobilité des données » en vertu de la loi fédérale intitulée Loi sur la protection des renseignements personnels et les documents électroniques (la « LPRPDE »).
• Publication par le Commissariat à la protection de la vie privée (le « CPVP ») du Canada de documents d’orientation sur le contrôle de l’âge. Nous discutons de deux documents d’orientation du CPVP sur les systèmes de contrôle de l’âge qui protègent la vie privée, ainsi que sur l’approche à prendre pour déterminer la mise en place et l’application de tels systèmes. Ces publications s’inscrivent dans l’objectif d’application de la loi du CPVP relativement à la protection de la vie privée des enfants en ligne.
• Points à retenir de l’arrêt de la Cour d’appel de la Colombie-Britannique (la « CACB ») au sujet de Clearview AI. Nous examinons l’importance de la confirmation par la CACB de l’application de la Personal Information Protection Act (la « PIPA ») de la Colombie-Britannique aux organisations qui sont situées à l’extérieur de la province.
• Proposition d’interdire la tarification personnalisée au Manitoba. Nous jetons un regard sur l’approche novatrice en matière de protection des consommateurs que propose le gouvernement du Manitoba en l’absence d’une loi sur la protection de la vie privée dans le secteur privé dans cette province.
• Réforme du régime ontarien de l’accès à l’information. Nous nous penchons sur d’importantes modifications législatives en Ontario qui visent à réduire la portée de la Loi sur l’accès à l’information et la protection de la vie privée (la « LAIPVP ») de cette province et le fardeau des institutions du secteur public ontarien devant répondre à des demandes d’accès à l’information.
• IA et privilège de confidentialité. Nous explorons des considérations pratiques tirées de la jurisprudence émergente au sujet de l’utilisation de l’IA et des revendications d’un privilège.
• Nouveaux développements législatifs et réglementaires. Nous présentons un sommaire de récentes directives réglementaires et décisions relatives à l’application de la loi entraînant des répercussions sur les domaines de la protection de la vie privée, de la cybersécurité, de l’accès à l’information et de la gouvernance de l’IA.

À l’horizon

Portrait de la portabilité des données au Canada

Le droit d’un particulier de transférer facilement ses renseignements personnels d’un fournisseur de services à un autre est de plus en plus reconnu à l’échelle internationale. Ce droit vise à accorder aux particuliers un contrôle significatif à l’égard de leurs renseignements personnels et de leurs choix de fournisseurs de services. Dans un rapport intitulé Vos données, votre contrôle publié en janvier 2026, le Bureau de la concurrence du Canada conclut que la portabilité des données peut « donner du pouvoir aux consommateurs, accroître la concurrence sur le marché et favoriser l’innovation ».

Bien que toutes les lois canadiennes en matière de protection de la vie privée reconnaissent le droit d’accès d’un particulier à ses renseignements personnels, la plupart d’entre elles n’exigent pas que les renseignements personnels détenus par les organisations soient partagés par ces dernières dans un format spécifique afin de favoriser la portabilité des données et d’accroître la facilité pour le particulier de changer de fournisseur de services. En date de mai 2026, seule la loi québécoise intitulée Loi sur la protection des renseignements personnels dans le secteur privé (la « LPRPSP ») prévoit expressément un droit individuel à la portabilité des données. Plus précisément, un particulier au Québec a désormais le droit d’exiger qu’une organisation lui communique certains renseignements personnels informatisés, ou qu’elle les communique à toute autre personne ou organisation autorisée par la loi à recueillir ces renseignements, et ce, dans un format technologique structuré et couramment utilisé. Ce prolongement du droit d’accès aux renseignements personnels reflète le droit à la portabilité des données prévu à l’article 20 du Règlement général sur la protection des données (le « RGPD ») de l’Union européenne.

Or, le droit à la portabilité des données au Québec ne sera vraisemblablement pas le seul tel droit au Canada pour bien longtemps. Le 26 mars 2026, la loi fédérale intitulée Loi n^o 1 d’exécution du budget de 2025 (le « projet de loi C-15 ») a reçu la sanction royale. Le projet de loi C-15 apporte des modifications à la LPRPDE, au nombre desquelles figure l’autorité fédérale d’établir des « cadres de mobilité des données ». À ce titre, le gouverneur en conseil peut, après consultation du CPVP, prendre des règlements à l’égard des organisations assujetties à un tel cadre. Ces règlements peuvent prévoir :

1. des mesures de sécurité que ces organisations doivent mettre en place afin de permettre la communication sécuritaire des renseignements personnels visés par un cadre de mobilité des données, ainsi que la collecte sécuritaire de ces renseignements;
2. des paramètres applicables aux moyens techniques permettant d’assurer l’interopérabilité de systèmes à l’égard de la communication et de la collecte de ces renseignements.

Ces nouveaux cadres donneront aux particuliers le droit de demander à une organisation de transférer leurs renseignements personnels directement à une autre organisation qui est assujettie au même cadre désigné par le gouvernement. Cependant, ces modifications à la LPRPDE ont essentiellement pour but de favoriser la mise en place d’un système bancaire ouvert au Canada et ne créent pas un droit à la portabilité des données de vaste portée, comme le font la LPRSP et le RGPD.

Bien que le gouvernement de l’Alberta ne traite pas de la question de la portabilité des données dans son rapport final sur l’examen législatif de la loi albertaine intitulée Personal Information Protection Act, il recommande néanmoins que les mesures nécessaires soient prises pour que cette loi demeure essentiellement similaire à la LPRPDE. Par conséquent, il y a lieu de s’attendre à ce que les modifications apportées dans l’avenir au régime albertain de protection de la vie privée introduisent un droit comparable à la portabilité des données.

Pour en savoir davantage au sujet de l’approche du gouvernement du Québec relativement à la portabilité des données, consultez notre Bulletin Blakes intitulé Un nouveau droit à la portabilité des données est en vigueur au Québec.

Perspectives en vedette

Confirmation de l’application de la PIPA de la C.-B. aux entités étrangères exerçant des activités en ligne dans la province

La CACB a confirmé la validité d’une ordonnance du Commissariat à l’information et à la protection de la vie privée de la Colombie-Britannique aux termes de laquelle Clearview AI Inc. devait faire de son mieux (best efforts) pour supprimer les données biométriques existantes qu’elle avait prélevées de diverses sources en ligne, notamment des profils de médias sociaux de Britanno-Colombiens, ainsi que cesser toute collecte, utilisation et communication de telles données dans l’avenir. Dans notre Bulletin Blakes intitulé La CACB confirme la compétence de la province à l’égard d’entités étrangères qui exercent des activités en ligne en Colombie-Britannique, nous examinons l’importance de cette décision, laquelle confirme l’application de la PIPA de la Colombie-Britannique aux organisations qui sont situées à l’extérieur de la province et dont les activités en ligne ont un lien réel et substantiel avec la province.

Publication par le CPVP de deux documents d’orientation sur le contrôle de l’âge

Le 4 mai 2026, le CPVP a publié deux projets de documents d’orientation sur le « contrôle de l’âge », visant à offrir aux enfants une expérience en ligne plus sécuritaire et mieux adaptée, tout en atténuant les éventuelles répercussions négatives sur la protection de la vie privée. Dans notre Bulletin Blakes intitulé Le Commissariat publie des documents d’orientation sur le contrôle de l’âge, nous examinons l’approche fondée sur le risque et proportionnelle au préjudice que privilégie le CPVP à l’égard du contrôle de l’âge.

Proposition d’interdire la tarification personnalisée au Manitoba

Le 12 mars 2026, le gouvernement du Manitoba a présenté le projet de loi 49, Loi modifiant la Loi sur les pratiques commerciales, qui a trait à l’utilisation croissante de la tarification algorithmique personnalisée. Si ce projet de loi est adopté, le Manitoba deviendra la première province canadienne à légiférer sur l’utilisation de cette méthode de tarification. Dans notre Bulletin Blakes intitulé Le gouvernement du Manitoba entend interdire la tarification personnalisée au moyen du projet de loi 49, nous examinons comment ce projet de loi propose de réglementer un usage spécifique des données sur les consommateurs en se fondant sur la législation manitobaine en matière de protection des consommateurs.

Réforme du régime ontarien de l’accès à l’information

À la suite de la réforme du régime de protection des renseignements et de l’accès à l’information dans le secteur public en Alberta, le gouvernement de l’Ontario a apporté d’importantes modifications à la LAIPVP afin de tenir compte des défis auxquels sont confrontées les institutions du secteur public ontarien pour répondre au nombre croissant de demandes d’accès à l’information. Dans notre Bulletin Blakes intitulé Le gouvernement de l’Ontario met à jour ses cadres législatifs en matière d’accès à l’information, nous mettons en évidence les répercussions qu’entraîneront ces modifications auprès des entreprises qui traitent avec des institutions du secteur public ontarien.

Protection du privilège de confidentialité dans l’ère de l’IA

À mesure que les outils d’IA s’intègrent dans les processus juridiques, des questions importantes concernant le privilège de confidentialité ont été soulevées. Comment les tribunaux traiteront-ils des revendications d’un privilège concernant du contenu généré par l’IA, ou concernant des requêtes et des documents partagés avec des outils d’IA? Dans notre Bulletin Blakes intitulé IA et privilège de confidentialité : Considérations pratiques tirées de la jurisprudence émergente, nous abordons l’importance de la protection du privilège de confidentialité dans cette nouvelle ère.

Nouveaux développements législatifs et réglementaires

Principaux développements juridiques

• La Loi visant un système de soins de santé connecté au Canada, laquelle a pour but d’assurer l’interopérabilité des technologies de l’information sur la santé, a été présentée de nouveau au Sénat sous le nom de projet de loi S-5 et est à l’étude devant le Comité sénatorial permanent des affaires sociales, des sciences et de la technologie.
• Le projet de loi C-8, qui édicterait la Loi sur la protection des cybersystèmes essentiels, a franchi l’étape de la deuxième lecture au Sénat et est actuellement à l’étude devant le Comité sénatorial permanent de la sécurité nationale, de la défense et des anciens combattants.
• Le gouvernement du Canada a lancé un examen de la Loi sur la protection des renseignements personnels en vue de moderniser le régime fédéral de la protection de la vie privée dans le secteur public.
• Le gouvernement de la Colombie-Britannique a présenté le projet de loi 9, lequel propose des modifications à la Freedom of Information and Protection of Privacy Act de cette province. S’il est adopté, ce projet de loi modernisera le régime d’accès à l’information et de protection de la vie privée de la Colombie-Britannique pour tenir compte d’enjeux comme le volume accru de demandes, la prestation de services numériques et les retards systémiques.

Nouvelles décisions et orientations

• Des commissaires à la protection de la vie privée canadiens ont publié une enquête conjointe sur OpenAI, dans laquelle ils concluent que les méthodes utilisées initialement par OpenAI pour entraîner ChatGPT n’étaient pas conformes à la loi fédérale sur la protection des renseignements personnels et à diverses lois provinciales homologues.
• Le CPVP a publié une enquête sur les pratiques de conservation des renseignements personnels de Loblaw pour le programme de fidélité PC Optimum.
• La Commission d’accès à l’information du Québec a publié une nouvelle liste de contrôle pour aider les entreprises du secteur privé à prévenir les incidents de confidentialité.
• La commissaire à l’information et à la protection de la vie privée de l’Ontario a publié un nouveau guide sur la communication de renseignements dans les situations présentant un risque de préjudice grave.
• Le commissaire à l’information et à la protection de la vie privée de l’Alberta a publié de nouvelles lignes directrices à l’intention des organismes publics qui concluent des contrats avec des fournisseurs de services, ainsi qu’une liste de contrôle des dispositions à inclure dans un tel contrat; les entreprises privées qui fournissent des services à un organisme public albertain auraient avantage à prendre connaissance de cette liste.
• Le commissaire à l’information et à la vie privée de la Colombie-Britannique a publié une nouvelle infographie sur les obligations incombant aux organisations en Colombie-Britannique qui utilisent des transcripteurs par IA.

Nous joindre

Pour toute question, n’hésitez pas à vous adresser à l’avocat de Blakes avec lequel vous communiquez habituellement ou à un membre du groupe Protection de la vie privée et des données de Blakes. Afin de recevoir par courriel les perspectives du groupe Protection de la vie privée et des données, y compris l’infolettre Gouvernail des données de Blakes, inscrivez-vous ici.