La Loi sur la protection des renseignements personnels et les documents électroniques établit les règles fédérales relatives aux renseignements personnels dans le cadre d’activités commerciales. Elle s’applique parallèlement à la Loi 25 lorsque vos données franchissent des frontières provinciales ou nationales.
- Type
- Loi fédérale (Canada)
- Nom complet
- Loi sur la protection des renseignements personnels et les documents électroniques (LC 2000, ch. 5)
- Autorité de contrôle
- Commissariat à la protection de la vie privée du Canada (CPVP)
- S’applique à
- Activités commerciales transfrontalières et toutes les entreprises sous réglementation fédérale
- Principe clé
- Dix principes d’équité en matière de renseignements (annexe 1)
- Statut
- En vigueur ; remplacement proposé dans le projet de loi C-36
De quoi s’agit-il
La partie 1 de la LPRPDE établit dix principes d’équité en matière de renseignements pour la collecte, l’utilisation et la communication de renseignements personnels dans le cadre d’activités commerciales : responsabilité, détermination des fins, consentement, limitation de la collecte, limitation de l’utilisation et de la conservation, exactitude, mesures de sécurité, transparence, accès individuel et possibilité de porter plainte concernant le respect. Elle prévoit aussi la déclaration obligatoire des atteintes aux mesures de sécurité.
Pourquoi elle existe
Pour concilier la vie privée des personnes avec le besoin légitime des organisations d’utiliser l’information, et soutenir la confiance dans le commerce électronique. Elle constitue le fondement de la décision d’adéquation de l’Union européenne pour le Canada, qui permet aux données de l’UE de circuler vers les organisations commerciales canadiennes.
À qui s’applique-t-elle
Aux organisations du secteur privé qui traitent des renseignements personnels dans le cadre d’activités commerciales au-delà des frontières provinciales ou nationales, ainsi qu’à toutes les œuvres, entreprises et activités sous réglementation fédérale, y compris leurs données d’employés. Au Québec, en Alberta et en Colombie-Britannique, la loi provinciale régit les activités à l’intérieur de la province ; la LPRPDE couvre toujours les transferts interprovinciaux et internationaux.
Autorité et application
Le Commissariat à la protection de la vie privée enquête sur les plaintes, réalise des audits et conclut des accords de conformité. Ses conclusions ne constituent pas des ordonnances contraignantes ; les plaignants ou le CPVP peuvent saisir la Cour fédérale, qui peut ordonner des mesures de réparation et des dommages-intérêts. Certaines infractions, comme le fait de ne pas déclarer une atteinte, sont passibles d’amendes.
- 2000
La LPRPDE reçoit la sanction royale.
- 2001-01-01
La partie 1 s’applique aux entreprises sous réglementation fédérale ainsi qu’aux flux de données interprovinciaux et internationaux.
- 2004-01-01
Application complète aux activités commerciales dans les provinces.
- 2015-06
La Loi sur la protection des renseignements personnels numériques (projet de loi S-4) ajoute des dispositions sur les atteintes, les accords de conformité et précise ce qui constitue un consentement valide.
- 2018-11-01
L’obligation de déclarer les atteintes, d’aviser et de tenir des registres entre en vigueur.
- 2020-11-17
Le projet de loi C-11 propose une Loi sur la protection de la vie privée des consommateurs ; il devient caduc lorsque le Parlement est dissous en 2021.
- 2022-06-16
Le projet de loi C-27 est déposé ; il devient caduc lors de la prorogation le 2025-01-06.
- 2026-06-15
Le projet de loi C-36 est déposé pour remplacer la partie 1.
Systèmes et outils
- Mesures de sécurité proportionnelles à la sensibilité des renseignements
- Détection des atteintes et registre des atteintes conservé pendant 24 mois
- Traitement des demandes d’accès dans un délai de 30 jours
Processus
- Consentement valable ; consentement explicite pour les renseignements sensibles
- Déclarations d’atteinte au CPVP et avis aux personnes lorsqu’il existe un risque réel de préjudice grave
- Contrats assurant une protection comparable lorsque le traitement est sous-traité
Gouvernance
- Un responsable de la protection de la vie privée désigné
- Un programme de gestion de la protection de la vie privée avec politiques et formation
- Limites à la collecte, à l’utilisation et à la conservation
En cas de non-conformité
- Amendes pouvant atteindre 100 000 $ pour des infractions telles que le fait de ne pas déclarer sciemment une atteinte
- Ordonnances de la Cour fédérale et dommages-intérêts
- Conclusions publiées du CPVP et atteinte à la réputation
- Questions de partenaires de l’UE s’appuyant sur le statut d’adéquation du Canada
Changements annoncés et à venir
- Projet de loi C-36Déposé le 2026-06-15 et à l’étape de la deuxième lecture au 2026-10-03. Il remplacerait la partie 1 par la Loi sur la protection de la vie privée et des données des consommateurs.
- CalendrierMême après la sanction royale, les nouvelles obligations devraient entrer en vigueur plus tard, après consultation.
Statut vérifié le 2026-10-03. Les dates peuvent changer ; confirmez auprès des sources officielles ci-dessous.
Comment nous aidons
Registres, analyses d’impact, politiques et formation pour votre programme de protection de la vie privée, dans un seul portail.
En savoir plusKW ConsultingConseil en protection de la vie privée, outils de consentement, règles de conservation et évolutions des systèmes intégrées à vos applications.
En savoir plus- LPRPDE (Justice Laws) ↗
- Règlement sur les atteintes aux mesures de sécurité (DORS/2018-64) ↗
- CPVP : à propos de la LPRPDE ↗
- Commissariat à la protection de la vie privée du Canada ↗
Analyses connexes
Banque axée sur le consommateur : la barre de sécurité pour les fintechs et les prestataires de services de paiement
Les règlements canadiens sur l’open banking ont été proposés le 27/06/2026. Qui doit participer, les quatre voies d’accréditation, les exigences en matière de sécurité…
Lire l’analyse →Le « Digital Omnibus » de l’UE : ce que les modifications proposées au RGPD pourraient signifier pour les entreprises canadiennes
Le Digital Omnibus de la Commission européenne propose d’importantes modifications du RGPD, de la définition des données à caractère personnel aux délais de notification…
Lire l’analyse →Répondre aux questionnaires de sécurité des clients sans repartir de zéro à chaque fois
Les questionnaires de sécurité consomment du temps de vente et de sécurité. Une méthode pratique pour construire une bibliothèque de réponses réutilisable, la soutenir…
Lire l’analyse →