Projet de loi C-36 : ce que la future loi canadienne sur la vie privée changerait pour vous

Le 15 juin 2026, le gouvernement fédéral a déposé le projet de loi C-36, qui créerait la Loi sur la protection de la vie privée et des données des consommateurs et remplacerait la partie de la LPRPDE qui porte sur la vie privée. C’est la loi qui encadre depuis plus de deux décennies la façon dont les entreprises canadiennes traitent les renseignements personnels. Le gouvernement parle du « changement le plus important à la loi canadienne sur la protection des renseignements personnels dans le secteur privé depuis plus de 25 ans ».

Ce n’est pas encore une loi. Au moment d’écrire ces lignes, LEGISinfo indique que le projet en est à la deuxième lecture à la Chambre des communes, sans étude en comité. La tentative précédente, le projet de loi C-27, est mort au Feuilleton lors de la prorogation du Parlement en janvier 2025. Lisez donc ce qui suit comme une proposition, pas comme une affaire réglée.

Ce qu’elle vous donnerait

Selon le document d’information du gouvernement, la nouvelle loi :

• reconnaîtrait la vie privée comme un droit fondamental
• imposerait une norme plus élevée pour les renseignements des enfants
• exigerait un consentement valable et des explications plus claires sur l’utilisation de vos renseignements
• ajouterait de la transparence sur les décisions automatisées, y compris celles prises par l’IA
• vous permettrait de demander la suppression ou la destruction de vos renseignements personnels « dans certaines circonstances »
• favoriserait la mobilité des données, pour transférer vos renseignements d’une organisation à l’autre là où un cadre existe
• s’attaquerait aux utilisations inéquitables des renseignements personnels, en citant comme exemple la « tarification de surveillance inappropriée »

Le droit à la suppression est celui que la plupart des gens remarqueront. Aujourd’hui, la LPRPDE vous permet de consulter et de faire corriger ce qu’une entreprise détient sur vous, mais il n’existe pas de droit fédéral général de faire supprimer vos données. Le Québec est déjà allé plus loin avec la Loi 25. L’utilité de la version fédérale dépendra de ces « certaines circonstances », dont les détails se trouvent dans le texte du projet et dans de futurs règlements, pas dans le résumé.

Un organisme qui peut donner des ordres

Sous la LPRPDE, le commissaire à la protection de la vie privée peut enquêter et recommander, mais il ne peut rien ordonner à une entreprise. Pour faire appliquer une conclusion, il doit s’adresser à la Cour fédérale. C’est exactement ce qui s’est passé en août 2026, quand le Commissariat a présenté une demande à la Cour fédérale pour obliger Google à mettre en œuvre une conclusion de déréférencement qu’elle avait refusé de suivre.

C-36 créerait une Commission canadienne de la sécurité numérique et de la protection des données, avec en son sein un commissaire dédié à la vie privée et aux données des consommateurs, capable de rendre des ordonnances exécutoires. Le document d’information mentionne des sanctions administratives pouvant atteindre 10 millions de dollars ou 3 % du chiffre d’affaires mondial, et des amendes pouvant atteindre 25 millions de dollars ou 5 % pour les infractions les plus graves, le montant le plus élevé étant retenu dans chaque cas.

Les données qui quittent le Canada

Le projet obligerait aussi les organisations à évaluer et à atténuer les risques pour la vie privée avant d’envoyer des renseignements personnels à l’extérieur du Canada, et à tenir compte de la vie privée dans le choix de leurs fournisseurs. Pour qui se soucie de l’endroit où ses données sont stockées, c’est un changement important par rapport à l’approche actuelle, surtout contractuelle.

Ce qui ne change pas encore

Tant que C-36 n’est pas adopté et en vigueur, la LPRPDE s’applique toujours. Concrètement :

• Les entreprises doivent déclarer les atteintes qui présentent un risque réel de préjudice grave et vous en aviser.
• Vous pouvez demander à n’importe quelle entreprise ce qu’elle détient sur vous; elle a généralement 30 jours pour répondre.
• Au Québec, les droits plus forts de la Loi 25, comme la désindexation et la portabilité, s’appliquent déjà.

Pourquoi ça nous importe

Frame est conçu au Canada et garde les données au Canada. Nous suivons déjà l’esprit de ce que propose C-36 : vous pouvez supprimer vous-même votre compte et vos données, voir ce que nous détenons et choisir combien de temps nous les conservons. Nous suivrons le projet de loi et mettrons ce billet à jour à mesure qu’il avance.

Sources

• Parlement du Canada, LEGISinfo : C-36 (45-1) (en anglais)
• Innovation, Sciences et Développement économique Canada, Document d’information sur le dépôt du projet de loi C-36 (en anglais), 15 juin 2026
• Fasken, Prorogation’s Digital Impact: Canada’s Digital Bills Set to Die on the Order Paper (en anglais), janvier 2025
• Commissariat à la protection de la vie privée du Canada, Avis de demande déposé à la Cour fédérale dans le cadre de l’enquête sur le déréférencement (en anglais), 28 août 2026
• Commissariat à la protection de la vie privée du Canada, Principe 9 de la LPRPDE : accès aux renseignements personnels (en anglais)