Conformité multijuridictionnelle en matière de vie privée : comment les entreprises canadiennes gèrent à la fois la LPRPDE, la Loi 25 et la LCAP

La réalité des trois lois pour la plupart des entreprises canadiennes

Une entreprise canadienne qui exerce ses activités à l'échelle nationale, qui vend en ligne ou qui a des clients au Québec fait face simultanément à trois régimes distincts de protection de la vie privée et de lutte au pourriel. La LPRPDE régit la façon dont les renseignements personnels sont traités dans les activités commerciales partout au Canada. La Loi 25 — la loi sur la protection de la vie privée dans le secteur privé du Québec, considérablement modernisée — impose des exigences additionnelles pour les renseignements personnels des résidents du Québec, peu importe où l'organisation qui les traite est établie. La LCAP réglemente les messages électroniques commerciaux envoyés aux Canadiens, avec ses propres exigences de consentement et de documentation.

L'instinct de la plupart des organisations confrontées à cette réalité est de traiter les trois cadres comme trois programmes de conformité distincts. Cet instinct est coûteux et inutile. Les cadres partagent un chevauchement conceptuel important, et les exigences les plus strictes de l'un d'eux suffisent généralement à satisfaire les exigences des autres.

Là où les trois cadres se chevauchent

Les trois cadres partagent une fondation : exiger que les renseignements personnels soient recueillis avec un consentement approprié, utilisés uniquement aux fins pour lesquelles ils ont été recueillis, protégés par des mesures de sécurité appropriées et traités de façon que les individus puissent comprendre et exercer des droits à leur égard.

La LPRPDE et la Loi 25 sont toutes deux des cadres de protection de la vie privée — elles abordent la même question sous-jacente (comment traiter les renseignements personnels de façon appropriée) au moyen de mécanismes légèrement différents. La Loi 25 est plus stricte à plusieurs égards : le consentement doit être manifeste (plus que le consentement valable de la LPRPDE), le droit à l'oubli est explicite (la LPRPDE n'a pas d'équivalent), les évaluations des facteurs relatifs à la vie privée sont obligatoires pour les projets technologiques (la LPRPDE les recommande) et les sanctions sont nettement plus élevées.

La LCAP aborde une question plus étroite — les exigences de consentement précises pour les messages électroniques commerciaux — qui recoupe sans dédoubler les exigences générales de consentement de la LPRPDE et de la Loi 25. Vous pouvez être conforme à la LPRPDE dans votre traitement général des données tout en étant non conforme à la LCAP dans votre programme de courriels si vous ne prêtez pas attention aux deux.

L'architecture de conformité unifiée

L'approche pratique pour une organisation canadienne nationale est de bâtir selon la norme la plus élevée pour chaque exigence, ce qui produit un programme qui satisfait aux trois cadres sans tripler la documentation.

Consentement : Bâtissez selon la norme « manifeste, libre et éclairé » de la Loi 25 — un consentement explicite, granulaire et distinct pour chaque fin de traitement. Cela satisfait à l'exigence de consentement valable de la LPRPDE. Pour les messages électroniques commerciaux en particulier, bâtissez selon l'exigence de consentement exprès de la LCAP avec des registres horodatés documentés. C'est plus strict que ce qu'exige la LPRPDE pour le marketing en général, mais disposer d'un consentement exprès documenté satisfait aux deux cadres et élimine le problème de suivi de l'expiration du consentement tacite.

Transparence : Bâtissez selon les exigences de la Loi 25 quant à la spécificité et à l'accessibilité de la politique de confidentialité. Une politique qui identifie un responsable de la protection de la vie privée nommé, explique chaque type de traitement en langage clair, décrit comment exercer ses droits et est facilement repérable satisfait simultanément à la Loi 25, au principe de transparence de la LPRPDE et aux exigences de divulgation de la LCAP.

Droits des individus : Bâtissez selon les droits les plus étendus de la Loi 25 — portabilité, droit à l'oubli et accès — et vous satisferez aux droits d'accès et de rectification de la LPRPDE. L'exigence de désabonnement de la LCAP est un sous-ensemble précis du droit plus large de retirer son consentement en vertu des deux cadres de protection de la vie privée.

Transferts transfrontaliers : La Loi 25 exige des évaluations des facteurs relatifs à la vie privée avant que des renseignements personnels de résidents du Québec ne soient communiqués hors du Québec. La LPRPDE exige une protection équivalente pour les renseignements personnels communiqués à des tiers peu importe la juridiction. Bâtir un processus d'évaluation des fournisseurs qui satisfait à l'exigence d'EFVP de la Loi 25 couvre les deux cadres.

Avis d'incident : La Loi 25 exige l'avis d'incident à la CAI et aux personnes touchées dans des délais précis. La LPRPDE exige l'avis au CPVP et aux personnes touchées « le plus tôt possible ». Bâtissez votre plan d'intervention en cas d'atteinte pour satisfaire aux délais de la Loi 25 — qui sont plus stricts — et vous satisferez simultanément à la LPRPDE.

L'intersection avec la LCAP

La LCAP recoupe les cadres de protection de la vie privée au point du consentement. Lorsque vous obtenez un consentement exprès pour des messages électroniques commerciaux en vertu de la LCAP, ce mécanisme de consentement devrait être cohérent avec les normes de consentement de la LPRPDE et de la Loi 25 pour le même contact.

Là où cela crée de la complexité : le consentement tacite de la LCAP pour les messages commerciaux (fondé sur une relation d'affaires existante) a une durée précise — généralement trois ans à compter d'une transaction ou deux ans à compter d'une demande de renseignements. Le consentement tacite de la LPRPDE pour l'utilisation de renseignements personnels en marketing n'a pas de limite de durée explicitement énumérée, mais le principe de « limitation de l'utilisation » dit que vous ne pouvez utiliser les renseignements qu'aux fins raisonnablement attendues. Utiliser les coordonnées de quelqu'un pour du marketing après trois ans sans relation d'affaires est un étirement en vertu de l'un ou l'autre cadre.

La résolution la plus nette : traitez l'expiration du consentement tacite de la LCAP comme le déclencheur pour obtenir un consentement exprès en vertu à la fois de la LCAP et de la LPRPDE. Lorsque le consentement tacite expire pour les messages commerciaux, sollicitez un consentement exprès au moyen d'un mécanisme qui satisfait aux deux cadres. Si la personne consent, vous avez une nouvelle assise LCAP et un consentement LPRPDE documenté. Sinon, elle est retirée de vos listes de marketing — ce qui est le bon résultat.

Le cadre documentaire

Un programme de conformité unifié produit l'ensemble documentaire suivant qui satisfait aux trois cadres :

Inventaire des données : Quels renseignements personnels vous détenez, leur provenance, comment ils sont utilisés, où ils vont, combien de temps vous les conservez. Exigé par la responsabilité de la LPRPDE, soutient les exigences d'EFVP de la Loi 25, identifie la portée des données pour le suivi du consentement LCAP.

Registres de consentement : Registres horodatés du moment et de la façon dont le consentement a été obtenu, de sa finalité et de tout retrait. Exigé pour la conformité à la LCAP, démontre la validité du consentement LPRPDE et Loi 25.

Registre des fournisseurs : Tous les sous-traitants tiers avec leur statut d'ETD, les listes de sous-traitants ultérieurs et un résumé du traitement des données. Satisfait à l'exigence de responsabilité envers les tiers de la LPRPDE et aux exigences de documentation des transferts transfrontaliers de la Loi 25.

Politique de confidentialité : Claire, exacte, complète. Satisfait à la transparence de la LPRPDE, à la transparence de la Loi 25 et aux exigences de divulgation de la LCAP.

Registre des atteintes : Registre de tous les incidents, des évaluations du risque de préjudice grave et des mesures d'avis prises. Satisfait aux exigences de documentation des atteintes de la LPRPDE et de la Loi 25.

Registres d'EFVP : Évaluations préalables aux projets pour les changements technologiques importants. Exigé par la Loi 25, approuvé par la LPRPDE.

Bâtir ces documents une fois, les maintenir avec exactitude et les appliquer de façon cohérente produit un programme qui satisfait aux trois cadres. Les organisations qui bâtissent trois programmes distincts font trois fois le travail pour atteindre le même résultat de conformité — et font généralement chacun moins bien qu'une organisation qui a bâti un seul programme exhaustif selon la norme la plus élevée.