La troisième tentative du Canada pour moderniser la loi fédérale sur la protection des renseignements personnels dans le secteur privé a été déposée en juin 2026. Elle n’est pas encore adoptée, mais son orientation est suffisamment claire pour commencer la planification.
- Type
- Projet de loi fédéral (loi proposée)
- Titre abrégé
- Loi sur la protection de la vie privée et des données des consommateurs
- Déposé
- 2026-06-15, Chambre des communes (45e législature, 1re session)
- Parrain
- Ministre de l’Intelligence artificielle et de l’Innovation numérique
- Étape
- Deuxième lecture (au 2026-10-03)
- Statut
- Non en vigueur
Ce que c’est
Le projet de loi C-36 édicterait la Loi sur la protection de la vie privée et des données des consommateurs et remplacerait la partie 1 de la LPRPDE ; les parties de la LPRPDE relatives aux documents électroniques subsisteraient. Il reconnaît la vie privée comme un droit fondamental et l’intérêt supérieur des enfants, exige des programmes de gestion de la protection de la vie privée et des évaluations d’impact pour les utilisations à risque élevé, et renforce l’application de la loi.
Pourquoi il existe
La LPRPDE date de 2000 et repose sur un modèle d’ombudsman sans sanctions administratives. Deux projets de loi de réforme antérieurs, C-11 (2020) et C-27 (2022), sont morts au Feuilleton. Le C-36 est plus restreint que le C-27 : il abandonne le tribunal distinct et la loi sur l’intelligence artificielle.
À qui il s’applique
S’il est adopté, aux mêmes organisations que la partie 1 de la LPRPDE : les organisations du secteur privé exerçant des activités commerciales transfrontalières et les entreprises sous réglementation fédérale. Les entreprises québécoises continueraient de traiter principalement avec la Loi 25 pour leurs activités intraprovinciales.
Autorité et application
Selon le Commissariat à la protection de la vie privée, la surveillance de la vie privée dans le secteur privé passerait à une nouvelle Commission de la sécurité numérique et de la protection des données du Canada, créée par le projet de loi connexe C-34, avec le pouvoir de rendre des ordonnances et d’imposer des sanctions administratives. Certains résumés décrivent la structure différemment ; le texte final fera foi.
- 2020-11-17
Le projet de loi C-11 (Loi sur la mise en œuvre de la Charte numérique) est présenté ; il meurt lors de la dissolution en 2021.
- 2022-06-16
Le projet de loi C-27 propose la Loi sur la protection des renseignements personnels des consommateurs, un tribunal et une loi sur l’IA.
- 2025-01-06
Le Parlement est prorogé et le C-27 meurt.
- 2026-06-10
Le projet de loi C-34 (Loi sur la sécurité des médias sociaux) est déposé, créant la commission sur laquelle s’appuie le C-36.
- 2026-06-15
Le projet de loi C-36 est déposé en première lecture. Le CPVP publie une déclaration le jour même.
Systèmes et outils
- Mobilité des données (portabilité) entre organisations
- Contrôles de réidentification pour les données dépersonnalisées
- Explications pour les décisions automatisées ayant des effets significatifs
Processus
- Évaluations d’impact pour les utilisations à haut risque et les transferts transfrontaliers
- Une norme de diligence plus élevée pour les renseignements concernant les mineurs
- Utilisation d’une nouvelle exception relative aux intérêts légitimes, avec documentation
Gouvernance
- Un programme de gestion de la protection de la vie privée pouvant être produit au régulateur sur demande
- Surveillance des risques liés à la vie privée au niveau du conseil d’administration
- Mises à jour des contrats et des fournisseurs une fois en vigueur
En cas de non-conformité
- Tel que proposé, des sanctions administratives allant jusqu’à 10 millions $ ou 3 % du revenu global brut
- Tel que proposé, des amendes allant jusqu’à 25 millions $ ou 5 % pour les infractions les plus graves
- Un droit d’action privé après la constatation d’une contravention
- Ordonnances de la nouvelle commission
Changements annoncés et à venir
- EnsuiteDébat en deuxième lecture, puis étude en comité à la Chambre, puis au Sénat.
- Entrée en vigueurNon fixée. Les commentateurs s’attendent à ce que les obligations débutent quelque temps après la sanction royale, avec une consultation sur la transition vers le nouveau régulateur.
Statut vérifié le 03/10/2026. Les dates peuvent changer ; confirmez auprès des sources officielles ci-dessous.
Comment nous aidons
Registres, évaluations d’impact, politiques et formation pour votre programme de protection de la vie privée dans un seul portail.
En savoir plusKW ConsultingConseils en matière de vie privée, outils de consentement, règles de conservation et modifications de systèmes intégrés à vos applications.
En savoir plus- Projet de loi C-36 sur LEGISinfo ↗
- Projet de loi C-34 sur LEGISinfo ↗
- Déclaration du CPVP sur le projet de loi C-36 (2026-06-15) ↗
- LPRPDE (loi actuelle) ↗
Analyses connexes
Signaler une atteinte au Commissariat à la protection de la vie privée : le critère du « risque réel de préjudice grave » expliqué
En vertu de la LPRPDE, une atteinte doit être signalée lorsqu’elle crée un risque réel de préjudice grave. Voici comment évaluer la sensibilité et…
Lire l’analyse →Décisions automatisées et IA : obligations de transparence en vertu de la Loi 25 (art. 12.1) et propositions du projet de loi C-36
La Loi 25 exige déjà un avis, des explications et un examen humain pour les décisions entièrement automatisées. Le projet de loi C-36 propose…
Lire l’analyse →Le statut d’adéquation de l’UE du Canada et pourquoi la réforme de la LPRPDE est importante pour les exportateurs
Le statut d'adéquation de l'UE du Canada permet aux données européennes de circuler vers les entreprises canadiennes avec moins d'obstacles. Il ne couvre que…
Lire l’analyse →