Reprise des travaux parlementaires : où en sont les projets de loi C-36 et C-8, et ce qu’il faut faire cet automne

La Chambre des communes a repris ses travaux le 21 septembre 2026. Deux projets de loi fédéraux sont importants pour quiconque traite des renseignements personnels ou fournit des infrastructures essentielles : le projet de loi C-36 sur la protection de la vie privée et le projet de loi C-8 sur la cybersécurité. L’un est loi, l’autre ne l’est pas. Voici où en est chacun et ce qu’il est utile de faire cet automne.

Projet de loi C-36 : toujours en première lecture

Le projet de loi C-36, la Loi sur la protection de la vie privée et des données des consommateurs, a été déposé le 15 juin 2026 et revient cet automne n’ayant complété que la première lecture (Gowling WLG). Il doit encore passer la deuxième lecture, l’étude en comité et la troisième lecture à la Chambre, puis les mêmes étapes au Sénat (PPC Land). Même après la sanction royale, il entrerait en vigueur à une date fixée par décret, et une grande partie de ses détails dépendent de règlements non encore rédigés.

Ses prédécesseurs, les projets de loi C-11 et C-27, sont tous deux morts avant la sanction royale. Cette histoire plaide en faveur d’une préparation proportionnée : construire ce qui est utile quelle que soit la version de la loi, et attendre pour le reste. Notre aperçu du projet de loi C-36 couvre ce qu’il propose.

Projet de loi C-8 : loi, en attente d’activation

Le projet de loi C-8 a reçu la sanction royale le 15 juin 2026 (Digital Policy Alert). La Loi sur la protection des systèmes cybernétiques essentiels qu’il promulgue s’appliquera une fois que le gouvernement l’aura mise en vigueur, aura désigné des catégories d’exploitants et aura adopté des règlements (BLG). Voir ce que la Loi modifie, et quand.

Ce qu’il faut faire cet automne

Pour la protection de la vie privée (C-36 et Loi 25 déjà en vigueur)

• Programme de gestion de la vie privée. Le projet de loi C-36 et la Loi 25 du Québec exigent tous deux une gouvernance documentée : une personne responsable, des politiques, de la formation et des registres.
• Transferts hors du Canada. Le projet de loi C-36 ajouterait une évaluation d’impact avant que les renseignements personnels ne quittent le Canada. La Loi 25 en exige déjà une avant qu’ils ne quittent le Québec. Voir l’évaluation des transferts vers le cloud et les SaaS.
• Décisions automatisées. Inventoriez les systèmes qui prennent ou soutiennent des décisions concernant des personnes. Voir les décisions automatisées en vertu de la Loi 25 et du projet de loi C-36.
• Suppression et portabilité. Sachez où se trouvent les renseignements personnels et comment vous exporteriez ou supprimeriez les données d’une personne sur demande.

Pour la cybersécurité (C-8)

• Si vous pouviez être désigné : évaluez les lacunes de votre programme de cybersécurité et votre capacité à signaler un incident important dans les 72 heures.
• Si vous fournissez des services à des banques, des entreprises de télécommunications, des réseaux de paiement ou des entreprises énergétiques : attendez-vous à des modifications de contrat et à des demandes de preuves. Préparez un dossier de preuves réutilisable et un rapport indépendant. Voir la ligne directrice B-10 du BSIF pour les fournisseurs.

Nous continuerons de suivre

Nous suivons les deux dossiers et mettons à jour nos analyses au fur et à mesure de leur évolution. Accel GRC aide les organisations à bâtir un programme unique qui répond simultanément à la Loi 25, au projet de loi C-36 et au projet de loi C-8. Contactez-nous pour évaluer votre situation.

Sources

• PPC Land : Le projet de loi C-36 du Canada fixe des amendes de 10 millions de dollars pour la protection de la vie privée alors que le Parlement reprend ses travaux (19 septembre 2026)
• Gowling WLG : Projet de loi C-36, chronologie des développements
• Digital Policy Alert : Le projet de loi C-8 a reçu la sanction royale
• BLG : Le projet de loi C-8 adopté, Loi sur la protection des systèmes cybernétiques essentiels
• Parlement du Canada, LEGISinfo : Projet de loi C-36 (45-1)