Qu’est-ce que la PPCDA
Qu’est-ce que la PPCDA (Loi sur la protection de la vie privée et des données des consommateurs, projet de loi C-36)?
La PPCDA (Loi sur la protection de la vie privée et des données des consommateurs) est la loi fédérale proposée du Canada sur la protection de la vie privée dans le secteur privé. Elle forme la partie 1 du projet de loi C-36, déposé à la Chambre des communes le 15 juin 2026, et remplacerait la partie de la LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques) consacrée à la vie privée. Elle n’est pas en vigueur. C’est la loi pour laquelle il faut planifier.
Préparez la PPCDA dans Lavawall® Voir ce que la LPRPDE couvre déjà
Projet de loi C-36 · proposé, non en vigueur · remplace la partie 1 de la LPRPDE à son entrée en vigueur
Définition
La PPCDA (Loi sur la protection de la vie privée et des données des consommateurs) est la loi proposée qui régirait la façon dont les organisations du secteur privé au Canada recueillent, utilisent et communiquent des renseignements personnels dans le cadre d’activités commerciales. Elle forme la partie 1 du projet de loi C-36, Loi édictant la Loi sur la protection de la vie privée et des données des consommateurs, modifiant la Loi sur la protection des renseignements personnels et les documents électroniques et apportant des modifications à d’autres lois.
Elle transforme les dix principes d’équité en matière d’information de la LPRPDE en obligations légales précises, ajoute de nouveaux droits pour les personnes et confère à un nouvel organisme de réglementation, le commissaire à la protection de la vie privée et des données des consommateurs au sein de la Commission canadienne de la sécurité numérique et de la protection des données, le pouvoir d’imposer des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 3 % des recettes brutes mondiales.
C’est la troisième tentative de remplacer la LPRPDE. Le projet de loi C-11, la Loi de 2020 sur la mise en œuvre de la Charte du numérique, est mort en 2021. Le projet de loi C-27, qui contenait la Loi sur la protection de la vie privée des consommateurs (CPPA), est mort lors de la prorogation du Parlement le 6 janvier 2025. La PPCDA conserve l’essentiel de la structure de la CPPA.
Où en est le projet de loi C-36
| Étape | État |
|---|---|
| Dépôt | Première lecture à la Chambre des communes, le 15 juin 2026 |
| Étape actuelle | Deuxième lecture à la Chambre des communes (en date du 6 octobre 2026). L’étude en comité, l’étape du rapport, la troisième lecture et le Sénat restent à venir. |
| Entrée en vigueur | À une date fixée par décret, et pas avant que la nouvelle Commission de la sécurité numérique et de la protection des données existe |
| Dépend de | Projet de loi C-34, la Loi sur la sécurité des médias sociaux, qui crée la commission au sein de laquelle siège l’organisme de réglementation de la PPCDA |
| D’ici là | La LPRPDE s’applique, avec la PIPA de l’Alberta, la PIPA de la C.-B. et la Loi 25 du Québec là où elles s’appliquent |
Les numéros d’article de cette page suivent le texte du projet de loi C-36 à la première lecture et pourraient changer en comité.
Composantes principales
Programme de gestion de la protection de la vie privée (art. 9)
Un programme écrit qui couvre la protection des renseignements personnels, le traitement des demandes et des plaintes, la formation du personnel et des documents en langage clair, proportionné au volume et à la sensibilité de ce que vous détenez. L’organisme de réglementation peut demander à le consulter.
Fins appropriées et consignées (art. 12)
Chaque fin doit être une fin qu’une personne raisonnable jugerait appropriée, évaluée selon la sensibilité, le besoin de l’entreprise, l’efficacité, les options moins intrusives et la proportionnalité, et elle doit être consignée avant la collecte.
Consentement en langage clair (art. 15-17)
Le consentement doit expliquer les fins, les conséquences, les types de renseignements et les tiers dans un langage que le public comprend. Il est exprès, sauf si un consentement implicite est manifestement approprié, et il peut être retiré.
Intérêt légitime, avec évaluation (art. 18)
La collecte, l’utilisation ou la communication sans consentement est permise pour un intérêt légitime qui l’emporte sur l’effet sur la personne, mais seulement après une évaluation des facteurs relatifs à la vie privée et des mesures pour réduire les risques. La LPRPDE n’a pas d’équivalent.
Transferts hors du Canada (art. 57)
Avant que des renseignements personnels soient communiqués ou transférés hors du Canada, l’organisation doit effectuer une évaluation des facteurs relatifs à la vie privée et mettre en place des mesures d’atténuation, comme des clauses contractuelles ou une certification approuvée. Nouveau dans le projet de loi C-36.
Enfants de moins de 18 ans (art. 2 et 4)
Un enfant est toute personne de moins de 18 ans, et les renseignements personnels d’un enfant sont sensibles. Un parent ou un tuteur exerce les droits de l’enfant, sauf si l’enfant souhaite agir personnellement et en est capable.
Disposition sur demande (art. 54)
Les personnes peuvent demander à une organisation de supprimer ou d’anonymiser leurs renseignements lorsqu’ils ont été traités illégalement, que le consentement a été retiré ou qu’ils ne sont plus nécessaires. Les refus doivent être motivés par écrit, et les prestataires de services doivent aussi les supprimer.
Décisions automatisées (art. 62-63)
Les organisations doivent décrire tout système de décision automatisée susceptible d’avoir un effet juridique ou un effet important semblable sur les personnes, expliquer une décision sur demande et permettre à la personne de présenter des observations écrites à un employé qui peut la réviser.
Atteintes (art. 58-61)
Les atteintes qui créent un risque réel de préjudice grave sont signalées à la commission et notifiées aux personnes touchées, chaque atteinte est consignée, et les prestataires de services doivent vous informer des atteintes dès que possible.
Dépersonnalisation (art. 74-75)
Les renseignements dépersonnalisés demeurent des renseignements personnels, et les mesures utilisées doivent être proportionnelles à leur finalité et à leur sensibilité. La réidentification de personnes est interdite sauf dans des cas restreints, et le fait de la faire sciemment est une infraction.
Sanctions (art. 113-114, 145)
Sanctions administratives pécuniaires allant jusqu’au plus élevé de 10 millions de dollars et de 3 % des recettes brutes mondiales, et amendes pour infractions allant jusqu’au plus élevé de 25 millions de dollars et de 5 %. La diligence raisonnable, ou le respect d’un programme de certification approuvé, est un moyen de défense contre une sanction.
Droit privé d’action (art. 132)
Lorsque le commissaire conclut à une contravention et que cette conclusion est définitive, les personnes touchées peuvent poursuivre en dommages-intérêts.
Ce qui a changé par rapport à la CPPA du projet de loi C-27
Si vous vous êtes déjà préparé à la Loi sur la protection de la vie privée des consommateurs, l’essentiel de ce travail demeure valable. Voici les différences qui comptent pour la planification :
- Les transferts hors du Canada exigent une évaluation des facteurs relatifs à la vie privée. La CPPA exigeait seulement qu’une politique de confidentialité mentionne les transferts internationaux. La PPCDA exige une évaluation et des mesures d’atténuation avant que les renseignements quittent le pays (art. 57).
- L’intérêt légitime couvre la communication, et pas seulement la collecte et l’utilisation, et l’évaluation devient une évaluation des facteurs relatifs à la vie privée sous une forme que fixeront les règlements (art. 18).
- Les décisions automatisées font l’objet d’un examen humain. Le seuil passe d’une « incidence importante » à un « effet juridique ou un effet important semblable », et les personnes peuvent présenter des observations écrites à un employé qui peut réviser la décision (par. 63(6)).
- Les enfants sont définis. La CPPA disait que les renseignements des mineurs étaient sensibles sans définir ce qu’est un mineur. La PPCDA définit l’enfant comme toute personne de moins de 18 ans et précise qui exerce les droits de l’enfant (art. 2 et 4).
- « Sensible » est défini, avec une liste qui comprend les renseignements sur la santé, génétiques, biométriques, sur l’origine ethnique, politiques, religieux, syndicaux et sur l’orientation sexuelle (art. 2).
- Un nouvel organisme de réglementation, et aucun tribunal. Le commissaire à la protection de la vie privée et des données des consommateurs siège au sein de la Commission de la sécurité numérique et de la protection des données, qui révise elle-même les sanctions. Le Tribunal de la protection des renseignements personnels et des données distinct de la CPPA disparaît, et les appels vont à la Cour fédérale.
- Aucune loi sur l’intelligence artificielle. Le projet de loi C-27 contenait aussi la Loi sur l’intelligence artificielle et les données. Le projet de loi C-36 n’en contient pas.
Un seul ensemble de contrôles pour la LPRPDE d’aujourd’hui et la PPCDA de demain
La PPCDA est en grande partie la LPRPDE écrite sous forme de loi. Cela signifie que les contrôles que vous appliquez pour la LPRPDE sont les mêmes que ceux que demande la PPCDA, et que vous ne devriez pas avoir à les prouver deux fois.
Dans Lavawall®, la LPRPDE et la PPCDA sont des cadres distincts associés à un seul ensemble de contrôles partagés. Chaque contrôle associé à la LPRPDE l’est aussi à la PPCDA. Adoptez les deux : un contrôle que vous mettez en œuvre et dont vous conservez la preuve une seule fois compte pour les deux; la LPRPDE montre où vous en êtes selon la loi en vigueur aujourd’hui, et l’évaluation de préparation à la PPCDA ne montre que ce qui reste à ajouter.
Déjà couvert par un programme LPRPDE qui fonctionne
| Ce que vous faites une seule fois | PIPEDA (en vigueur) | PPCDA (projet de loi C-36, proposé) |
|---|---|---|
| Nommer une personne responsable de la protection de la vie privée | Principe 4.1 | art. 7-8 |
| Exécuter un programme écrit de protection de la vie privée et y former le personnel | Principe 4.1.4 | art. 9 |
| Lier les prestataires de services à une protection équivalente | Principe 4.1.3 | art. 11 et 61 |
| Ne recueillir que ce que la finalité exige | Principe 4.4 | art. 13 |
| Obtenir un consentement valable, exprès pour les renseignements sensibles | Principe 4.3 | art. 15-17 |
| Fixer des durées de conservation et disposer des renseignements de façon sécuritaire | Principe 4.5 | art. 52 et 54 |
| Tenir les renseignements exacts | Principe 4.6 | art. 55 |
| Les protéger par des mesures proportionnelles à leur sensibilité (chiffrement, authentification multifacteur, contrôle d’accès) | Principe 4.7 | art. 56 |
| Évaluer les atteintes pour déterminer le risque réel de préjudice grave, les signaler et les notifier | art. 10.1 | art. 58-59 |
| Tenir un registre de chaque atteinte | art. 10.3 | art. 60 |
| Publier une politique de confidentialité en langage clair | Principe 4.8 | art. 62 |
| Répondre aux demandes d’accès dans les 30 jours | Principe 4.9 et art. 8 | art. 63-67 |
| Traiter les plaintes | Principe 4.10 | art. 73 |
Le nouveau travail qu’ajoute la PPCDA
| Ce qu’il faut ajouter | Article de la PPCDA | Ce que Lavawall® vous offre |
|---|---|---|
| Une évaluation des facteurs relatifs à la vie privée avant que des renseignements personnels quittent le Canada | art. 57 | Un formulaire d’évaluation des transferts transfrontaliers et un contrôle pour suivre chaque transfert |
| Une évaluation consignée avant de s’appuyer sur l’intérêt légitime | art. 18(3)-(5) | Un dossier d’évaluation de l’intérêt légitime |
| Fins consignées avant la collecte | art. 12 | Un registre des fins avec le critère de caractère approprié à cinq facteurs |
| Suppression ou anonymisation sur demande | art. 54 | Une procédure de demande de disposition qui rejoint vos prestataires de services |
| Explication et examen humain des décisions automatisées | art. 62(2)(c) et 63(4)-(6) | Une déclaration sur les décisions automatisées et une procédure d’examen |
| Toute personne de moins de 18 ans traitée comme un enfant, avec des renseignements sensibles | art. 2 et 4 | Un contrôle et un jeu de questions sur les renseignements des enfants |
| Une norme de dépersonnalisation | art. 74-75 | Une norme de dépersonnalisation et d’anonymisation |
Pourquoi c’est important quand vous comparez des outils
La plupart des plateformes de conformité réutilisent un contrôle d’un cadre à l’autre parmi ceux qu’elles livrent. La question, pour une organisation canadienne, est de savoir si la LPRPDE et la PPCDA en font partie. Si vous devez bâtir l’un ou l’autre comme cadre personnalisé, l’associer à vos contrôles existants est votre travail, et chaque modification en comité vous oblige à le refaire. Si la plateforme tarifie chaque cadre séparément, se préparer à un projet de loi qui n’est pas encore une loi coûte plus cher.
Lavawall® livre la LPRPDE, la CPPA et la PPCDA préconçues et associées aux mêmes contrôles, les tient à jour à mesure que le projet de loi progresse et inclut tous les cadres dans le forfait Intégral. Ajouter la PPCDA à côté de la LPRPDE ajoute les nouvelles exigences, et rien d’autre.
Pourquoi c’est important
Pour la plupart des organisations, la partie coûteuse d’une nouvelle loi sur la vie privée n’est pas constituée des principes qu’elles suivent déjà. Ce sont les quelques nouvelles obligations qui touchent les systèmes et les contrats : une évaluation avant que les données quittent le Canada, une suppression qui rejoint chaque prestataire de services et une personne capable de réviser ce qu’un système automatisé a décidé.
Les transferts hors du Canada sont le dossier par lequel commencer. Les services infonuagiques, les centres d’assistance, les sauvegardes et les outils d’analyse stockent ou atteignent souvent des renseignements personnels depuis l’extérieur du pays. En vertu de la PPCDA, chacun exige une évaluation avant de commencer. Un inventaire des destinations de vos renseignements personnels, dressé dès maintenant, transforme cela en exercice administratif plus tard plutôt qu’en migration.
Pour les FSG canadiens, la PPCDA se répercute sur les clients comme la LPRPDE. Le FSG est habituellement un prestataire de services; ses contrats, ses avis d’atteinte, ses suppressions et l’emplacement de ses outils font donc partie du dossier de conformité de chaque client.
Comment Lavawall® vous aide à vous préparer à la PPCDA
Lavawall® propose la PPCDA comme cadre à l’état d’ébauche à des fins de planification, clairement marqué comme non en vigueur. Ajoutez-la à côté de la LPRPDE (ou de la PIPA de l’Alberta, de la PIPA de la C.-B. ou de la Loi 25 du Québec) et l’évaluation de préparation ne pose que les questions auxquelles votre travail LPRPDE n’a pas déjà répondu.
- Évaluez votre conformité aux exigences de la PPCDA, article par article, avec les mêmes contrôles que la LPRPDE.
- Comblez les lacunes avec des modèles prêts à l’emploi : évaluation des transferts transfrontaliers, évaluation de l’intérêt légitime, registre des fins, procédure de disposition, procédure d’examen des décisions automatisées, norme de dépersonnalisation et rapport de préparation pour la direction.
- Formez le personnel avec un court cours sur ce que le projet de loi C-36 changerait.
- Conservez les preuves que vos mesures de protection produisent déjà : correctifs, chiffrement, authentification multifacteur, révision des accès et détection des intrusions sur vos postes, dans Microsoft 365 et dans Google Workspace.
Pour le plan complet, exigence par exigence, y compris les évaluations des facteurs relatifs à la vie privée et la découverte des applications SaaS pour les règles sur l’IA, lisez Se préparer à la PPCDA.
ThreeShield Information Security Corporation, la firme d’audit de Calgary qui a conçu Lavawall®, suit le projet de loi et met à jour le cadre à mesure qu’il évolue en comité.
Commencez votre évaluation de préparation à la PPCDA →
Cette page résume un projet de loi à des fins de planification. Elle ne constitue pas un avis juridique; confirmez le texte actuel du projet de loi C-36 avant de vous y fier.
Questions fréquentes
- La PPCDA est-elle déjà une loi?
- Non. La Loi sur la protection de la vie privée et des données des consommateurs forme la partie 1 du projet de loi C-36, déposé à la Chambre des communes le 15 juin 2026 et à l’étape de la deuxième lecture en octobre 2026. La LPRPDE demeure la loi fédérale sur la protection de la vie privée dans le secteur privé jusqu’à ce que la PPCDA soit adoptée et que le gouvernement fixe sa date d’entrée en vigueur.
- Quand la PPCDA entrerait-elle en vigueur?
- À une date fixée par décret, et pas avant que la nouvelle Commission de la sécurité numérique et de la protection des données existe. Cette commission est créée par le projet de loi C-34, la Loi sur la sécurité des médias sociaux; les deux projets de loi doivent donc d’abord être adoptés. Les projets de loi précédents sur la vie privée ont pris des années, et deux d’entre eux (C-11 et C-27) sont morts avant d’être adoptés.
- La PPCDA remplace-t-elle la LPRPDE?
- Oui, si elle est adoptée. Le projet de loi C-36 abroge la partie 1 de la Loi sur la protection des renseignements personnels et les documents électroniques, la partie consacrée à la vie privée, et renomme ce qui reste la Loi sur les documents électroniques. La PPCDA devient alors la loi fédérale sur la protection de la vie privée dans le secteur privé.
- La PPCDA est-elle la même chose que la CPPA?
- Non, mais elle s’en approche. La Loi sur la protection de la vie privée des consommateurs (CPPA) formait la partie 1 du projet de loi C-27 et est morte en janvier 2025. La PPCDA en conserve l’essentiel de la structure et ajoute des évaluations des facteurs relatifs à la vie privée avant que des renseignements personnels quittent le Canada et avant de s’appuyer sur l’intérêt légitime, un examen humain des décisions automatisées et une définition de l’enfant comme toute personne de moins de 18 ans.
- La PPCDA s’applique-t-elle en Alberta, en Colombie-Britannique et au Québec?
- De la même façon que la LPRPDE. Le gouvernement peut exempter les activités à l’intérieur d’une province dont la loi est essentiellement similaire, mais la PPCDA s’applique toujours aux entreprises sous réglementation fédérale et aux renseignements personnels qui traversent des frontières provinciales ou nationales.
- Dois-je faire quelque chose avant son adoption?
- Rien n’est encore exigé par la loi. L’essentiel de la PPCDA reprend ce que fait déjà un programme LPRPDE qui fonctionne; l’étape pratique consiste donc à cerner dès maintenant les lacunes (transferts hors du Canada, intérêt légitime, demandes de disposition, décisions automatisées et renseignements sur les enfants) et à les planifier, plutôt que de repartir de zéro après l’entrée en vigueur de la loi.
- Quand la PPCDA exige-t-elle une évaluation des facteurs relatifs à la vie privée?
- Avant que des renseignements personnels soient communiqués ou transférés hors du Canada (art. 57), et avant de s’appuyer sur l’intérêt légitime pour les recueillir, les utiliser ou les communiquer sans consentement (art. 18). Dans les deux cas, l’évaluation vient d’abord, avec des mesures pour réduire les risques qu’elle relève. Les numéros d’article suivent le texte du projet de loi C-36 à la première lecture.
- Qu’est-ce qu’une évaluation des facteurs relatifs à la vie privée (EFVP)?
- Un dossier qui décrit quels renseignements personnels un projet, un système, un fournisseur ou un transfert traite, ce qui pourrait mal tourner pour les personnes visées et ce que vous ferez à ce sujet. Elle se termine par une décision, le risque résiduel et une date de révision.
- Les services infonuagiques et les centres d’assistance externes comptent-ils comme des transferts hors du Canada?
- Ils peuvent. Les services infonuagiques, les centres d’assistance, les sauvegardes et les outils d’analyse stockent ou atteignent souvent des renseignements personnels depuis l’extérieur du pays. En vertu de la PPCDA, chacun exigerait une évaluation, et des mesures d’atténuation comme des clauses contractuelles ou une certification approuvée, avant de commencer. Un inventaire des destinations de vos renseignements personnels est le point de départ.
- Une évaluation des facteurs relatifs à la vie privée est-elle déjà exigée au Canada?
- Au Québec, oui. La Loi 25 du Québec en exige déjà une avant la mise en place d’un nouveau système d’information ou le transfert de renseignements personnels hors du Québec. La LPRPDE n’en exige pas aujourd’hui; pour la plupart des organisations hors du Québec, les évaluations de la PPCDA constitueraient donc du travail nouveau.
- Une seule évaluation peut-elle couvrir la LPRPDE, la PPCDA et la Loi 25 du Québec?
- Dans Lavawall®, oui. Chaque évaluation des facteurs relatifs à la vie privée couvre toutes les lois que vous sélectionnez : vous répondez à chaque question une seule fois, et des étiquettes indiquent quelle loi la pose et où. Il existe des types pour les transferts hors du Canada, l’intérêt légitime, et l’IA et les décisions automatisées, et une évaluation approuvée compte comme preuve pour les contrôles qui en demandent une. Comment fonctionnent les évaluations des facteurs relatifs à la vie privée dans Lavawall®.
- À quelle fréquence faut-il réviser une évaluation des facteurs relatifs à la vie privée?
- Au moins une fois par année, et chaque fois que le système, le fournisseur ou les pays concernés changent. Dans Lavawall®, modifier une évaluation approuvée ou l’un de ses risques la renvoie en révision, de sorte que l’approbation correspond toujours au dossier.
Pages Lavawall® connexes
- Se préparer à la PPCDA : un plan étape par étape
- Évaluations des facteurs relatifs à la vie privée dans Lavawall®
- Qu’est-ce que la LPRPDE?
- Qu’était la LPCPVP (projet de loi C-27)?
- Qu’est-ce que la COPPA?
- Cadre de préparation à la PPCDA
- Qu’est-ce que la PIPA de l’Alberta?
- Qu’est-ce que la PIPA de la C.-B.?
- Qu’est-ce que la GRC pour les FSG?
- Conformité GRC de Lavawall®