Examen de 2026 de la Loi sur la protection des renseignements personnels

Soumission de la Commissaire à l’information

Juillet 2026

Table des matières

Message de la Commissaire

Message de la Commissaire

Je suis heureuse de présenter mes observations concernant le document de consultation du gouvernement du Canada intitulé « Examen 2026 de la Loi sur la protection des renseignements personnels : approches stratégiques », publié le 2 avril 2026. Conformément aux observations que j’ai présentées en 2019 et en 2021 en réponse aux précédents examens de la Loi sur la protection des renseignements personnels entrepris par Justice Canada, les présentes observations portent exclusivement sur les questions ayant des répercussions directes sur la Loi sur l’accès à l’information et son régime.

J’accueille favorablement l’attention renouvelée du gouvernement envers cet important projet de réforme. La modernisation de la Loi sur la protection des renseignements personnels se fait attendre depuis bien trop longtemps. Cependant, il est impératif que toute modification apportée à cette loi, ou même au cadre stratégique et administratif de portée générale qui la soutient, soit conçue en tenant pleinement compte de ses répercussions sur le droit d’accès. Les réformes ne doivent pas involontairement affaiblir les droits d’accès existants, donner lieu à de nouveaux obstacles à la transparence ou entraîner des lacunes opérationnelles ou juridiques qui compromettent l’efficacité de la Loi sur l’accès à l’information.

À mon avis, plusieurs éléments du document « Approches stratégiques » portent à croire que les répercussions potentielles sur le droit d’accès n’ont pas été suffisamment examinées. Alors que le gouvernement poursuit son examen, il doit veiller à ce que la modernisation du régime de protection de la vie privée soit menée de manière à préserver l’équilibre entre le droit d’accès et le droit à la vie privée, équilibre sur lequel repose l’intégrité de ces deux régimes. Ces droits sont essentiels à la responsabilité démocratique, à la confiance du public et à une surveillance efficace.

Caroline Maynard
Commissaire à l’information du Canada

Remplacement de « renseignements personnels » par « données personnelles »

La Loi sur la protection des renseignements personnels définit actuellement les « renseignements personnels » comme des « renseignements, quels que soient leur forme et leur support, concernant un individu identifiable »; cette définition est assortie d’une liste non exhaustive d’exemples et d’exceptions. Dans son document « Examen 2026 de la Loi sur la protection des renseignements personnels : approches stratégiques », le Secrétariat du Conseil du Trésor (SCT) emploie les termes « renseignements personnels » et « données personnelles » de façon interchangeable. Il propose de remplacer, dans la Loi sur la protection des renseignements personnels, le terme « renseignements personnels » par « données personnelles » et de créer une nouvelle définition. Il explique que « [l]a définition actuelle limite les renseignements personnels aux données enregistrées sous n’importe quelle forme. La nouvelle définition éliminerait cette exigence. »

Étant donné que la Loi sur la protection des renseignements personnels et la Loi sur l’accès à l’information partagent actuellement la même définition de « renseignements personnels », il n’est pas encore clair comment la modification proposée, soit le remplacement de ce terme par « données personnelles », interagirait avec la Loi sur l’accès à l’information. Il sera important de clarifier cette relation afin de veiller à ce que les modifications apportées à la Loi sur la protection des renseignements personnels n’aient pas de conséquences involontaires sur le droit d’accès.

Renseignements personnels enregistrés et non enregistrés

Si l’objectif stratégique du SCT est d’assurer des mesures de protection en matière de vie privée à l’égard des renseignements personnels non enregistrés, il pourrait proposer de supprimer la mention « quels que soient leur forme et leur support » de la définition de « renseignements personnels » dans la Loi sur la protection des renseignements personnels. Le SCT a indiqué que le droit d’accès prévu par la Loi sur la protection des renseignements personnels devrait s’appliquer uniquement aux données personnelles enregistrées. Cela dit, la mention « quels que soient leur forme et leur support » doit être conservée dans la Loi sur l’accès à l’information, puisque l’ensemble de cette loi repose sur l’accès à l’information contenue dans des « documents ».

« Renseignements personnels » par opposition à « données personnelles »

Outre l’inclusion des renseignements personnels non enregistrés, le SCT n’a pas défini le terme « données personnelles » ni expliqué pourquoi il serait nécessaire de délaisser le terme « renseignements personnels », c’est-à-dire les renseignements concernant une personne identifiable.

Le terme « renseignements personnels » est défini depuis longtemps dans la législation et la jurisprudence canadiennes. Il figure actuellement dans 460 lois et règlements fédéraux. En revanche, le terme « données personnelles » n’apparaît que dans 7 lois et règlements fédéraux, tous relatifs à des accords internationaux conclus avec d’autres pays qui emploient ce terme.

Les données personnelles sont généralement considérées comme une notion plus large que les renseignements personnels, puisqu’elles englobent tout renseignement relatif à une personne identifiée ou identifiable. Divers renseignements peuvent aussi être considérés comme des données personnelles lorsqu’ils sont combinés de façon à permettre l’identification d’une personne donnée. Par exemple, les données personnelles qui ont été dépersonnalisées, chiffrées ou pseudonymisées, mais qui peuvent être utilisées pour réidentifier une personne, sont toujours considérées comme des données personnelles par l’Union européenne [en anglais seulement] et le Royaume-Uni.

Bien que la protection de telles catégories de renseignements puisse se justifier du point de vue de la protection de la vie privée, le document « Approches stratégiques » n’aborde pas la question de savoir si la définition des « renseignements personnels » serait modifiée en conséquence, ni comment les différentes définitions seraient harmonisées entre la Loi sur la protection des renseignements personnels et la Loi sur l’accès à l’information. Des répercussions importantes sur les droits d'accès prévus par ces deux lois pourraient en découler.

Demandes de renseignements personnels en vertu de la Loi sur la protection des renseignements personnels

La Loi sur la protection des renseignements personnels confère aux individus un droit d’accès à leurs renseignements personnels. Étant donné que le SCT n’a pas défini ce qu’il entend par « données personnelles », il est difficile de déterminer l’incidence de cette modification sur l’exercice de ce droit en vertu de cette loi. Une définition plus large pourrait, à première vue, accroître l’accès; toutefois, conjuguée à d’autres propositions, elle pourrait avoir pour effet de réduire l’accès dans le cadre de demandes de renseignements personnels.

Par exemple, le SCT propose d’ajouter à la Loi sur la protection des renseignements personnels une définition des données personnelles dépersonnalisées, c’est-à-dire des données personnelles qui ont été modifiées « afin de réduire le risque, sans pour autant l’éliminer, qu’un individu puisse être identifié directement ». La proposition précise que, parce qu’une personne ne peut être facilement identifiée, les données dépersonnalisées ne sont pas accessibles dans le cadre d’une demande de renseignements personnels. Cette définition introduit, sans explication, de nouveaux seuils de risque de réidentification ainsi que la notion de personne facilement identifiable. Elle n’est pas cohérente avec le traitement de données similaires dans les différents pays ou territoires qui emploient le terme « données personnelles ». Ces derniers distinguent les différentes catégories de renseignements nécessaires à la réidentification des données et traitent les détenteurs de données différemment en fonction des renseignements supplémentaires de réidentification auxquelles ils ont accès.

De ce fait, plusieurs questions se posent, notamment : si une institution est en mesure de réidentifier une personne, sera-t-elle tenue de le faire? Si l’on retient la même hypothèse, tous les ensembles de données, une fois « dépersonnalisés », seront-ils inaccessibles dans le cadre d’une demande de renseignements personnels? S’ils ne sont pas accessibles dans le cadre d’une telle demande, le seront-ils dans le cadre d’une demande d’accès à l’information?

Exception relative aux renseignements personnels dans la Loi sur l’accès à l’information

De même, le remplacement du terme « renseignements personnels » par « données personnelles » risque d’élargir l’exception obligatoire prévue par la Loi sur l’accès à l’information, particulièrement en ce qui concerne la notion d’identifiabilité, et de réduire le droit d’accès.

Le paragraphe 19(1) de la Loi sur l’accès à l’information interdit la communication des renseignements correspondant à la définition de « renseignements personnels » au sens de la Loi sur la protection des renseignements personnels. Le paragraphe 19(2) prévoit, quant à lui, des exceptions à l’interdiction générale de communiquer des renseignements personnels.

L’article 19 est l’exception la plus fréquemment invoquée de la Loi sur l’accès à l’information. En 2024-2025, les institutions ont invoqué cette exception dans 47 % des demandes d’accès, soit 95,451 fois.

Je ne souscris pas au remplacement du terme « renseignements personnels » par « données personnelles ». J’estime aussi que toute modification législative apportée à la définition de « renseignements personnels » devrait être conforme à la norme juridique applicable à l’identifiabilité, soit le critère des « fortes possibilités » :

Les renseignements seront des renseignements concernant un individu identifiable lorsqu’il y a de fortes possibilités que l’individu puisse être identifié par l’utilisation de ces renseignements, seuls ou en combinaison avec des renseignements d’autres sources^{Note de bas de page}¹.

Dans une décision rendue en 2019 au titre de la Loi sur l’accès à l’information, la Cour fédérale a conclu que le critère des « fortes possibilités » vise à établir s’il y a « une possibilité qui dépasse une spéculation ou une "simple possibilité", sans être "plus susceptible de se produire que l’inverse" (c.-à-d. qui ne doit pas être "probable" selon la prépondérance des probabilités)^{Note de bas de page}² ».

Des questions se posent concernant le point de vue à partir duquel l’identifiabilité doit être établie, notamment la question de savoir qui a accès aux « autres renseignements disponibles ». La décision rendue par la Cour fédérale en 2019 a fourni des précisions sur ces points, dans le contexte d’un recours au titre de la Loi sur l’accès à l’information :

Les renseignements confidentiels qui sont en la possession d’une institution fédérale ne peuvent pas être considérés comme « disponibles » aux fins de l’analyse de l’identifiabilité;
Le fait qu’une personne peut s’identifier elle-même à partir de renseignements communiqués ne fait pas de ces renseignements des « renseignements personnels »;
On ne peut toutefois pas limiter la portée des « renseignements disponibles » aux renseignements qui sont accessibles au public, ou même à des membres bien informés du public. Au lieu de cela, les renseignements détenus par un sous-groupe de la population, y compris un employeur privé, peuvent être considérés comme « disponibles » selon les circonstances.

Les propositions du SCT en matière d’identifiabilité et de renseignements accessibles au public semblent s’écarter de cette jurisprudence et risquent de nuire au droit d’accès.

Spectre de sensibilité des renseignements personnels

Le SCT propose un spectre de mesures de protection applicables à diverses catégories de renseignements personnels afin de renforcer la protection des renseignements sensibles. Il ne semble toutefois pas avoir examiné la manière dont ce spectre devrait être pris en compte dans le contexte de l’accès à l’information. Par exemple, le caractère sensible ou non sensible des renseignements serait-il pris en considération lorsque les institutions exercent leur pouvoir discrétionnaire pour décider de communiquer ou non des renseignements personnels en vertu du paragraphe 19(2) de la Loi sur l’accès à l’information? Ou constituerait-il une circonstance supplémentaire au sens de l’alinéa 19(2)c) (par exemple, dans le cas des renseignements personnels dépersonnalisés)?

Comme je l’ai déjà recommandé, je suis d’avis que la Loi sur la protection des renseignements personnels et la Loi sur l’accès à l’information devraient toutes deux permettre aux responsables des institutions de donner accès à des renseignements personnels lorsque cette communication ne constitue pas une atteinte injustifiée à la vie privée. Cette approche assurerait un équilibre en faisant correspondre le niveau de protection à la gravité du préjudice que la communication de renseignements personnels pourrait causer à la vie privée d’une personne.

Certains renseignements correspondant à la définition de « renseignements personnels » peuvent ne pas devoir être protégés dans certaines circonstances précises lorsque la communication ne constituerait pas une « atteinte injustifiée à la vie privée d’une personne ». Le fait de tenir compte des circonstances et du contexte propre à l’information en question assurerait la protection des renseignements personnels sensibles et la communication des renseignements personnels non sensibles.

Systèmes décisionnels automatisés

Une autre source d’incertitude tient à la proposition du SCT visant à modifier la Loi sur la protection des renseignements personnels afin d’exiger que les institutions expliquent, « sur demande », de quelle manière un système décisionnel automatisé (SDA) a soutenu une décision et quelles données personnelles ont été utilisées à cette fin. Le SCT propose que « cette exigence [aide] les personnes à vérifier l’exactitude des données utilisées […] et à demander des corrections au besoin. Les personnes pourraient aussi demander une révision par un être humain d’une décision si elles croient que le [système] a commis une erreur ou utilisé des données personnelles incorrectes ou incomplètes. »

Malgré l’affirmation selon laquelle il s’agit d’une modification de la Loi sur la protection des renseignements personnels, il n’est pas clair si la demande proposée de renseignements sur un SDA constitue à proprement parler une demande d’accès à l’information (pour les documents généraux), une demande de renseignements personnels (pour ses propres renseignements personnels) ou un autre type de demande ne relevant d’aucune de ces deux lois. Comment une institution expliquerait-elle la façon dont un SDA a soutenu une décision : en créant un document? En fournissant des documents existants qui décrivent le processus? S’il s’agit de cette dernière option, pourquoi faudrait-il demander ces documents? Pourquoi ne pourraient-ils pas faire l’objet d’une divulgation proactive? Comment une personne pourrait-elle demander une révision ou une correction si elle n’a pas accès aux renseignements personnels utilisés par le système, par exemple, lorsque ceux-ci sont stockés sous forme de renseignements dépersonnalisés ou qu’ils ne sont pas enregistrés?

Communication et contrôle des renseignements

Le SCT propose aussi d’accroître la communication de renseignements personnels entre les institutions et d’établir des sources officielles désignées de renseignements personnels. Cette proposition doit préciser si les institutions qui communiquent les renseignements personnels et celles qui les reçoivent exercent toutes deux un contrôle sur ceux-ci dans le cadre de demandes d’accès à l’information et de renseignements personnels. De plus, bien que je souscrive à l’idée que le SCT crée un registre des sources officielles, il devrait également publier la liste des renseignements détenus par chaque institution afin de faciliter les demandes d’accès à l’information et de renseignements personnels.

Enfin, toute nouvelle exigence relative à l’élimination des renseignements personnels qui ne sont plus nécessaires devrait cadrer avec la proposition du SCT, formulée dans le cadre de l’examen de 2025 de la Loi sur l’accès à l’information, visant à obliger les institutions à publier de manière proactive leurs calendriers de conservation et d’élimination.

Divulgation pour des motifs de compassion

J’ai déjà recommandé, et je continuerai de le faire, d’envisager de modifier l’article 26 de la Loi sur la protection des renseignements personnels et l’article 19 de la Loi sur l’accès à l’information (articles concernant les renseignements personnels) afin de donner au responsable d’une institution le pouvoir discrétionnaire de communiquer ces renseignements au sujet d’une personne décédée à un parent proche pour des motifs de compassion, pourvu que cette divulgation ne constitue pas une atteinte injustifiée à la vie privée du défunt.

Bien que la Loi permette la communication de renseignements personnels lorsqu’il est dans l’intérêt public de le faire, le Commissariat a mené des enquêtes où les renseignements personnels de la personne décédée ne pouvaient être communiqués aux membres de la famille en deuil parce que des motifs d’intérêt public justifiant « nettement une éventuelle violation de la vie privée » ne pouvaient être établis.

Une telle modification permettrait aux institutions de tenir compte de facteurs contextuels concurrents et de décider s’il y a lieu de communiquer les renseignements personnels en fonction de ces facteurs, y compris des motifs de compassion.

Cette exception existe déjà dans de nombreuses lois provinciales sur l’accès à l’information et la protection des renseignements personnels, notamment celles de l’Alberta, de la Saskatchewan, du Manitoba, de l’Ontario, du Nouveau-Brunswick, de l’Île-du-Prince-Édouard et de Terre-Neuve-et-Labrador.

Je maintiens que la communication de renseignements pour des motifs de compassion serait mieux encadrée par une réforme législative.

Coordonnées d’affaires ou professionnelles

Il faudrait permettre la communication des nom, titre, adresse et numéro de téléphone d’affaires ou professionnels d’un employé s’ils figurent dans un document dans le cadre d’une activité commerciale, professionnelle ou officielle.

Les institutions sont actuellement tenues de ne pas communiquer ces renseignements, sauf si la personne concernée par ceux-ci consent à leur divulgation, s’ils sont accessibles au public ou si leur communication serait conforme à l’article 8 de la Loi sur la protection des renseignements personnels. Ce type de renseignements, se trouvant habituellement dans un courriel ou sur une carte professionnelle, est communiqué de façon régulière dans le secteur privé. La Loi devrait donc être modifiée pour permettre la communication des coordonnées d’affaires ou professionnelles en réponse à des demandes d’accès à l’information, soit dans des circonstances où il n’y a pas d’atteinte injustifiée à la vie privée ou en les excluant de la définition de « renseignements personnels ».

Conseillers et personnel ministériels

Bien que l’alinéa 3j) prévoie une exception visant les renseignements concernant des cadres ou employés, actuels ou anciens, d’une institution fédérale et portant sur leur poste ou leurs fonctions, l’alinéa 3j.1) prévoit une exception plus restreinte pour les renseignements concernant les conseillers et le personnel ministériels. Plus précisément, l’alinéa 3j.1) s’applique seulement au fait même qu’un individu soit ou ait été tel, et à ses nom et titre, en ce qui concerne les documents créés le 21 juin 2019 ou après cette date.

Je suis d’avis que la portée de l’exception relative aux conseillers et au personnel ministériels devrait davantage correspondre à l’alinéa 3j) afin d’assurer une meilleure transparence.

Intégration des demandes de renseignements personnels à la Loi sur l’accès à l’information

Le SCT propose d’intégrer à la Loi sur l’accès à l’information le droit d’accès des personnes à leurs renseignements personnels. Je souscrirais à un cadre harmonisé qui se traduit par un processus plus clair, efficace et convivial pour les demandeurs comme pour les institutions. Dans un contexte où les ressources sont limitées, un modèle d’accès unifié bien conçu serait une occasion de moderniser nos méthodes de travail en mettant en commun les processus, l’expertise et les ressources pour favoriser une prestation de service homogène et souple.

Une plus grande harmonisation entre les droits d’accès et les droits à la vie privée pourrait permettre de réduire les doublons et les délais, tout en favorisant davantage la réalisation des objectifs législatifs de nos lois respectives. Une analyse des coûts, des avantages et des répercussions opérationnelles permettrait de favoriser le succès du modèle et de maximiser la valeur pour les unités de l’accès à l’information et de la protection des renseignements personnels (AIPRP) des institutions, pour les bureaux des deux commissaires, et, surtout, pour la population canadienne.

Tout cadre législatif unifié de traitement des demandes d’accès et des plaintes visant à accroître l’efficacité et la cohérence doit s’assurer que le droit fédéral d’accès et les droits connexes en matière de protection de la vie privée ne soient pas restreints. Il doit également s’accompagner des ressources nécessaires à sa mise en œuvre. Si le changement était adopté, il faudrait se pencher sur plusieurs considérations relatives à la mise en œuvre et préciser certains points, notamment :

coordination des processus afin de simplifier la formulation et le traitement des demandes;
harmonisation des motifs de plainte et des critères en matière de recevabilité, y compris les délais applicables;
harmonisation des dispositions en matière de prolongation des délais;
considération des exceptions précises prévues par chaque loi;
révision des délais de dépôt et des motifs de contrôle devant la Cour fédérale.

Il serait également utile d’apporter des précisions supplémentaires quant à certains aspects de la proposition. Notamment, la proposition n’aborde pas la question de savoir si le droit des personnes de demander la correction de leurs renseignements personnels continuera d’être prévu par la Loi sur la protection des renseignements personnels, ni quel commissaire recevrait les plaintes à ce sujet. Elle n’aborde pas non plus l’exigence actuelle prévue par la Loi sur l’accès à l’information, selon laquelle je suis tenue de consulter le commissaire à la protection de la vie privée lorsque j’ai l’intention d’ordonner la communication de renseignements personnels ayant fait l’objet d’une exception en vertu de l’article 19.

De plus, comme il est indiqué ci-dessus, bien qu’il qualifie les demandes de renseignements personnels de « demandes de données personnelles », le SCT ne précise pas si la définition du terme « renseignements personnels » sera modifiée dans la Loi sur l’accès à l’information, ni comment les différentes définitions seront harmonisées entre les deux lois. La notion de « données personnelles » n’est pas abordée dans l’examen de 2025 de la Loi sur l’accès à l’information.

Le fait d’aborder ces questions offre l’occasion d’harmoniser les « droits d’accès » prévus par les deux régimes. Cette harmonisation pourrait déboucher sur un système plus cohérent, efficace et durable, qui permettrait de mieux répondre aux besoins des demandeurs et des institutions tout en optimisant l’utilisation des ressources publiques limitées, mais elle pourrait aussi entraîner des conséquences imprévues. La révision simultanée de la Loi sur l'accès à l'information et de la Loi sur la protection des renseignements personnels offre une occasion idéale de mettre en place des solutions législatives efficaces qui garantissent prévisibilité et stabilité à toutes les parties concernées grâce à un cadre législatif durable.

Un processus de consultation plus approfondi avec le commissaire à la protection de la vie privée et moi-même serait essentiel pour atténuer ce risque et assurer la cohérence entre les deux régimes.