Le socle PIPEDA
L'approche canadienne de la vie privée repose sur des principes plutôt que sur des règles prescriptives. La Personal Information Protection and Electronic Documents Act (PIPEDA), en vigueur depuis le 1er janvier 2004, énonce 10 principes équitables que les organisations doivent respecter lorsqu'elles collectent, utilisent et communiquent des informations personnelles dans le cadre d'activités commerciales.
Contrairement au RGPD européen, avec ses articles détaillés et ses amendes élevées, la PIPEDA met l'accent sur la responsabilité et le caractère raisonnable. Le Commissariat à la protection de la vie privée (CPVP) enquête sur les plaintes et peut recommander des mesures correctives, mais il ne peut pas infliger d'amendes directement (les tribunaux le peuvent après ses conclusions).
Cette approche fondée sur des principes rend la PIPEDA souple, mais elle crée aussi de l'incertitude : les organisations doivent interpréter des principes généraux dans leur contexte propre.
Les 10 principes équitables
L'annexe 1 de la PIPEDA énonce les principes suivants :
- Responsabilité : Désigner une personne responsable de la conformité
- Détermination des finalités : Définir pourquoi vous collectez des informations personnelles avant de les collecter
- Consentement : Obtenir un consentement éclairé pour la collecte, l'usage et la communication
- Limitation de la collecte : Ne collecter que les informations nécessaires aux finalités définies
- Limitation de l'usage, de la communication et de la conservation : N'utiliser les informations que pour les finalités de la collecte ; ne les conserver que le temps nécessaire
- Exactitude : Maintenir les informations personnelles exactes, complètes et à jour
- Mesures de sécurité : Protéger les informations personnelles par des mesures de sécurité appropriées
- Transparence : Rendre les politiques et les pratiques facilement accessibles
- Accès individuel : Permettre aux personnes d'accéder à leurs informations personnelles
- Possibilité de contester la conformité : Permettre aux personnes de contester votre conformité
L'exigence de consentement
Le principe 3 exige un « consentement éclairé » pour la collecte, l'usage et la communication d'informations personnelles. Le CPVP a publié des orientations détaillées sur ce qui constitue un consentement valable :
- Connaissance : Les personnes doivent comprendre à quoi elles consentent
- Volontaire : Le consentement doit être donné librement, sans contrainte
- Spécifique : Le consentement doit porter sur des finalités précises, et non sur une autorisation générale
- Actuel : Le consentement doit être renouvelé lorsque les finalités changent
- Documenté : Les organisations doivent conserver une trace des consentements
Les outils zéro connaissance simplifient considérablement cette étape : lorsque vous ne collectez aucune information personnelle, l'exigence de consentement ne porte sur rien. C'est le navigateur de l'utilisateur qui traite ses données localement et qui en garde le contrôle total. C'est la forme la plus aboutie d'une vie privée centrée sur la personne : aucune donnée ne quitte son appareil sans son action explicite.
Les lois provinciales
La PIPEDA est une loi fédérale, mais trois provinces disposent de leurs propres lois sur le secteur privé, jugées essentiellement équivalentes, qui remplacent la PIPEDA :
- Alberta : Personal Information Protection Act (PIPA) – s'applique aux organisations du secteur privé en Alberta
- Colombie-Britannique : Personal Information Protection Act (PIPA) – proche de la loi albertaine, avec des dispositions propres à la Colombie-Britannique
- Québec : Loi sur la protection des renseignements personnels dans le secteur privé (loi 25) – récemment modernisée, avec des exigences proches du RGPD, notamment la notification des violations et la protection dès la conception
Les organisations actives dans ces provinces doivent respecter la loi provinciale plutôt que la PIPEDA. Les principes restent toutefois cohérents : minimiser la collecte, obtenir le consentement, protéger les données et permettre l'accès. L'architecture zéro connaissance répond à ces exigences en éliminant la collecte au niveau des outils.
Les obligations de notification des violations
En novembre 2018, la PIPEDA a été modifiée pour introduire des obligations de notification obligatoires. Les organisations doivent signaler les violations au CPVP et informer les personnes concernées lorsque la violation crée un risque réel de préjudice grave.
Principales exigences de notification :
- Risque réel de préjudice grave : Une violation doit être signalée si elle peut causer un préjudice corporel, une humiliation, une atteinte à la réputation, un vol d'identité, une perte financière ou d'autres préjudices graves
- Notification de violation au CPVP : Les organisations doivent signaler la violation au CPVP dès que possible après l'avoir découverte
- Information des personnes : Les personnes concernées doivent être informées directement, sauf impossibilité ou interdiction légale
- Tenue de registres : Toutes les violations doivent être consignées, même celles qui n'atteignent pas le seuil de notification
L'architecture zéro connaissance réduit le risque de violation pour le traitement effectué par les outils : aucune donnée saisie n'étant stockée par les outils, il n'y a rien à compromettre. Cela allège la charge de conformité et le risque réputationnel.
Questions fréquentes
La PIPEDA s'applique-t-elle à mon organisation ?
La PIPEDA s'applique aux organisations du secteur privé qui exercent des activités commerciales au Canada, avec des exceptions pour les provinces dotées d'une loi essentiellement équivalente (Alberta, Colombie-Britannique, Québec). Elle ne s'applique pas aux institutions fédérales (visées par la Loi sur la protection des renseignements personnels) ni aux organismes provinciaux. Si vous utilisez les outils côté client de ZeyroVault, la conformité à la PIPEDA pour ces outils est simplifiée, puisqu'aucune collecte d'informations personnelles n'a lieu.
Quels pouvoirs le CPVP détient-il ?
Le Commissaire à la protection de la vie privée peut enquêter sur les plaintes, mener des vérifications et rendre des conclusions. Il ne peut pas infliger d'amendes directement, mais il peut saisir la Cour fédérale, qui peut ordonner la conformité et accorder des dommages-intérêts. Depuis 2018, le CPVP peut aussi exiger la notification des violations. Pour les manquements délibérés, les tribunaux peuvent imposer des amendes allant jusqu'à 100 000 dollars canadiens. Les outils zéro connaissance réduisent le risque de plainte auprès du CPVP, faute d'informations personnelles manipulées au niveau des outils.
En quoi la loi 25 du Québec diffère-t-elle de la PIPEDA ?
La loi 25 du Québec (anciennement projet de loi 64) a modernisé le droit provincial de la vie privée avec des exigences proches du RGPD : notification obligatoire des violations (72 heures à l'autorité), analyses d'impact pour les traitements à risque élevé, protection dès la conception et consentement renforcé. Contrairement à la PIPEDA, la loi 25 prévoit des sanctions administratives pouvant atteindre 25 millions de dollars canadiens ou 4 % du chiffre d'affaires mondial. L'architecture zéro connaissance aide à satisfaire l'exigence de protection dès la conception, en inscrivant la vie privée dans l'architecture de l'outil.
Qu'est-ce qu'une « activité commerciale » au sens de la PIPEDA ?
La PIPEDA définit l'activité commerciale comme « toute transaction, tout acte ou toute conduite particulière, ou tout comportement suivi régulièrement, de nature commerciale ». Cela inclut la vente, le troc ou la location d'informations, le marketing et la prestation de services. Les activités non commerciales – usage personnel ou domestique, journalisme, fins artistiques ou littéraires – sont exemptées. Si vous fournissez des outils gratuits sans collecter de données, l'analyse devient nuancée : consultez un conseil juridique si votre situation correspond à ce cas.
Références
Ce guide s'appuie sur la législation canadienne fédérale et provinciale en matière de vie privée :
Mention légale et exactitude des dispositions citées
Les informations de cette page sont fournies à titre d'information générale uniquement et ne constituent pas un avis juridique. Les lois, règlements et interprétations administratives évoluent dans le temps, et les dispositions citées ci-dessus résument les règles applicables. Le texte faisant foi est la version officielle publiée par l'autorité compétente (par exemple, l'eCFR et le BIS pour les États-Unis, EUR-Lex, ou les journaux officiels des autres juridictions). ZeyroVault a révisé cette page le 13 août 2026 et prévoit de la réviser périodiquement, mais ne peut garantir qu'elle reflète les règles les plus récentes au moment où vous la lisez. Consultez un professionnel qualifié pour votre situation particulière.