La LPRPDE s’applique-t-elle à moi si je suis en Alberta, en Colombie-Britannique ou au Québec?

En partie. La PIPA de l’Alberta, la PIPA de la C.-B. ou la Loi 25 du Québec s’applique généralement aux activités du secteur privé à l’intérieur de la province. La LPRPDE s’applique toujours aux activités sous réglementation fédérale (banques, entreprises de télécommunications, compagnies aériennes, transport interprovincial) ainsi qu’aux flux interprovinciaux et internationaux de renseignements personnels.

Qu’est-ce qui déclenche la notification d’une atteinte en vertu de la LPRPDE?

Une atteinte aux mesures de sécurité visant des renseignements personnels qui crée un « risque réel de préjudice grave » pour la personne touchée. Les facteurs comprennent la sensibilité des renseignements et la probabilité d’un mauvais usage. Le Commissariat à la protection de la vie privée du Canada (CPVP) publie des lignes directrices sur cette évaluation.

Quelle est la sanction maximale prévue par la LPRPDE?

Amendes pouvant atteindre 100 000$ par infraction. Contrevenir sciemment aux dispositions sur la notification des atteintes, la tenue de registres ou la protection des lanceurs d’alerte constitue une infraction fédérale. Les conséquences sur la réputation et en matière de litiges civils sont habituellement plus lourdes que l’amende.

La LPRPDE sera-t-elle remplacée?

Pas encore, mais un remplacement est devant le Parlement. Le projet de loi C-36, déposé le 15 juin 2026, propose la Loi sur la protection de la vie privée et des données des consommateurs (PPCDA), qui remplacerait la partie de la LPRPDE consacrée à la vie privée à une date que fixerait le gouvernement. Il fait suite à deux projets de loi morts au feuilleton, C-11 et C-27 (la Loi sur la protection de la vie privée des consommateurs). Tant que la PPCDA n’est pas en vigueur, la LPRPDE fait loi. Lavawall® propose la PPCDA comme cadre à l’état d’ébauche, sur les mêmes contrôles que la LPRPDE, de sorte que vous pouvez vous y préparer sans faire le travail deux fois.

Lavawall® prend-il en charge la modernisation de la Loi 25 du Québec?

Oui. Lavawall® inclut la Loi 25 du Québec avec la LPRPDE, la PIPA de l’Alberta et la PIPA de la C.-B. dans le cadre canadien unifié de protection de la vie privée.

Qu’est-ce que la LPRPDE

Qu’est-ce que la LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques)?

La LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques) est la loi fédérale canadienne sur la protection de la vie privée dans le secteur privé. Elle régit la façon dont les organisations recueillent, utilisent et communiquent des renseignements personnels dans le cadre d’activités commerciales, exige le consentement et des mesures de protection raisonnables, et oblige les organisations à aviser le commissaire fédéral à la protection de la vie privée et les personnes touchées des atteintes qui présentent un risque réel de préjudice grave.

Cartographiez vos contrôles de la LPRPDE Voir les composantes principales

Dix principes d’équité en matière d’information · consentement · mesures de protection raisonnables · notification des atteintes

Définition

La LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques) est la loi fédérale canadienne sur la protection de la vie privée dans le secteur privé.

La LPRPDE a été adoptée en 2000 et est entrée pleinement en vigueur dans toutes les provinces en 2004. Elle s’applique aux organisations du secteur privé qui recueillent, utilisent ou communiquent des renseignements personnels dans le cadre d’activités commerciales, y compris les industries sous réglementation fédérale comme les banques, la radiodiffusion et le transport interprovincial.

La LPRPDE repose sur dix principes d’équité en matière d’information (annexe 1) : responsabilité, détermination des fins, consentement, limitation de la collecte, limitation de l’utilisation, de la communication et de la conservation, exactitude, mesures de sécurité, transparence, accès aux renseignements personnels et possibilité de porter plainte à l’égard du non-respect des principes. Ensemble, ils fixent les obligations de fond en matière de vie privée que les organisations canadiennes doivent respecter.

Dans les provinces dont la loi sur la protection de la vie privée dans le secteur privé est essentiellement similaire à la LPRPDE (la PIPA de l’Alberta, la PIPA de la C.-B. et la Loi 25 du Québec), cette loi provinciale s’applique à la majeure partie des activités du secteur privé à l’intérieur de la province. La LPRPDE s’applique toujours aux activités sous réglementation fédérale et aux transferts interprovinciaux et internationaux de renseignements personnels.

Composantes principales

Dix principes d’équité en matière d’information

Responsabilité, détermination des fins, consentement, limitation de la collecte, limitation de l’utilisation, de la communication et de la conservation, exactitude, mesures de sécurité, transparence, accès aux renseignements personnels et possibilité de porter plainte à l’égard du non-respect des principes.

Notification obligatoire des atteintes (depuis 2018)

Les organisations doivent aviser le Commissariat à la protection de la vie privée et les personnes touchées des atteintes qui comportent un « risque réel de préjudice grave ». Les registres de toutes les atteintes (à déclarer ou non) doivent être conservés pendant au moins 24 mois.

Responsable de la protection de la vie privée

Chaque organisation doit désigner une personne responsable de la conformité et fournir ses coordonnées sur demande.

Consentement

Généralement exigé pour la collecte, l’utilisation et la communication. La forme du consentement dépend de la sensibilité des renseignements et des attentes raisonnables de la personne.

Mesures de protection raisonnables

Mesures de protection physiques, organisationnelles et techniques proportionnelles à la sensibilité des renseignements.

Droits d’accès des personnes

Les personnes peuvent demander l’accès à leurs renseignements personnels et en contester l’exactitude.

Transferts transfrontaliers de données

Permis moyennant une protection comparable. L’organisation qui transfère les renseignements demeure responsable de ceux-ci.

Pourquoi c’est important

Pour les FSG canadiens et les entreprises qu’ils servent, la LPRPDE (ou son équivalent provincial en Alberta, en Colombie-Britannique et au Québec) est l’obligation de base en matière de vie privée. La non-conformité à la LPRPDE crée un risque réglementaire (enquêtes et rapports du Commissariat à la protection de la vie privée), un risque pour la réputation et, de plus en plus, une responsabilité civile par des recours collectifs en matière de vie privée.

La notification obligatoire des atteintes, en vigueur depuis novembre 2018, fait de la détection et du signalement en temps utile une activité réglementée. Une organisation qui ne reconnaît pas une atteinte, qui omet de la notifier lorsque la notification est requise ou qui omet de tenir les registres d’atteintes s’expose à des amendes pouvant atteindre 100 000$ par infraction. Plus important encore, la confiance des clients s’évapore lorsqu’une atteinte est révélée par la presse plutôt que directement.

Pour les FSG canadiens, la LPRPDE se répercute aussi sur les clients. Le FSG détient des renseignements personnels pour le compte de ses clients (les responsables du traitement), de sorte que les mesures de protection techniques et organisationnelles du FSG font partie du dossier de conformité à la LPRPDE du client. Les processus d’approvisionnement des clients exigent de plus en plus que le FSG prouve directement ses mesures de protection.

Comment Lavawall® vous aide avec la LPRPDE

Lavawall® regroupe la LPRPDE dans un seul cadre canadien de protection de la vie privée avec la PIPA de l’Alberta, la PIPA de la C.-B. et la Loi 25 du Québec. La plupart des FSG servent des clients assujettis à plus d’un de ces régimes, et les gérer comme des cadres distincts crée du travail en double. Lavawall® unifie les contrôles et ne pose chaque question qu’une fois.

La collecte continue de preuves sur les postes Windows, macOS et Linux et sur les locataires Microsoft 365, Entra ID, Azure et Google Workspace appuie le principe des mesures de protection raisonnables de la LPRPDE. La détection des intrusions M365 et la détection des menaces d’identité alimentent le flux de notification des atteintes, y compris l’exigence de tenir un registre de toutes les atteintes.

ThreeShield Information Security Corporation, la firme d’audit de Calgary qui a conçu Lavawall®, réalise des travaux canadiens en matière de vie privée depuis plus de dix ans. La correspondance des contrôles de la LPRPDE reflète ce que le CPVP examine réellement dans ses enquêtes et ses audits, et pas seulement le texte littéral des principes. Pour les FSG canadiens, Lavawall® produit les preuves des mesures de protection et la documentation de type évaluation des facteurs relatifs à la vie privée que les clients des FSG exigent de plus en plus pour prouver leur conformité à la LPRPDE tout au long de la chaîne.

Commencez la cartographie de vos contrôles de la LPRPDE →

La LPRPDE et la PPCDA proposée (projet de loi C-36)

Le projet de loi C-36 propose la Loi sur la protection de la vie privée et des données des consommateurs (PPCDA), qui remplacerait la partie de la LPRPDE consacrée à la vie privée une fois adoptée par le Parlement et la date d’entrée en vigueur fixée par le gouvernement. Elle transforme en grande partie les dix principes de la LPRPDE en obligations légales; un programme LPRPDE qui fonctionne en couvre donc déjà l’essentiel. Le nouveau travail comprend une évaluation des facteurs relatifs à la vie privée avant que des renseignements personnels quittent le Canada, une évaluation avant de s’appuyer sur l’intérêt légitime, la suppression sur demande, l’examen humain des décisions automatisées et le traitement de toute personne de moins de 18 ans comme un enfant dont les renseignements sont sensibles.

Dans Lavawall®, la LPRPDE et la PPCDA sont des cadres distincts qui reposent sur un seul ensemble de contrôles partagés. Chaque contrôle associé à la LPRPDE l’est aussi à la PPCDA; ajouter la PPCDA à côté de la LPRPDE montre donc la conformité actuelle et les écarts par rapport à la loi proposée, sans second exercice. Voir quels contrôles se recoupent.

Questions fréquentes

La LPRPDE s’applique-t-elle à moi si je suis en Alberta, en Colombie-Britannique ou au Québec?: En partie. La PIPA de l’Alberta, la PIPA de la C.-B. ou la Loi 25 du Québec s’applique généralement aux activités du secteur privé à l’intérieur de la province. La LPRPDE s’applique toujours aux activités sous réglementation fédérale (banques, entreprises de télécommunications, compagnies aériennes, transport interprovincial) ainsi qu’aux flux interprovinciaux et internationaux de renseignements personnels.
Qu’est-ce qui déclenche la notification d’une atteinte en vertu de la LPRPDE?: Une atteinte aux mesures de sécurité visant des renseignements personnels qui crée un « risque réel de préjudice grave » pour la personne touchée. Les facteurs comprennent la sensibilité des renseignements et la probabilité d’un mauvais usage. Le Commissariat à la protection de la vie privée du Canada (CPVP) publie des lignes directrices sur cette évaluation.
Quelle est la sanction maximale prévue par la LPRPDE?: Amendes pouvant atteindre 100 000$ par infraction. Contrevenir sciemment aux dispositions sur la notification des atteintes, la tenue de registres ou la protection des lanceurs d’alerte constitue une infraction fédérale. Les conséquences sur la réputation et en matière de litiges civils sont habituellement plus lourdes que l’amende.
La LPRPDE sera-t-elle remplacée?: Pas encore, mais un remplacement est devant le Parlement. Le projet de loi C-36, déposé le 15 juin 2026, propose la Loi sur la protection de la vie privée et des données des consommateurs (PPCDA), qui remplacerait la partie de la LPRPDE consacrée à la vie privée à une date que fixerait le gouvernement. Il fait suite à deux projets de loi morts au feuilleton, C-11 et C-27 (la Loi sur la protection de la vie privée des consommateurs). Tant que la PPCDA n’est pas en vigueur, la LPRPDE fait loi. Lavawall® propose la PPCDA comme cadre à l’état d’ébauche, sur les mêmes contrôles que la LPRPDE, de sorte que vous pouvez vous y préparer sans faire le travail deux fois.
Lavawall® prend-il en charge la modernisation de la Loi 25 du Québec?: Oui. Lavawall® inclut la Loi 25 du Québec avec la LPRPDE, la PIPA de l’Alberta et la PIPA de la C.-B. dans le cadre canadien unifié de protection de la vie privée.