MINISTRE DE L’INNOVATION, DES SCIENCES ET DE L’INDUSTRIE

TABLE ANALYTIQUE

Loi visant à faciliter et à promouvoir le commerce électronique au moyen de la protection des renseignements personnels recueillis, utilisés ou communiqués dans le cadre d’activités commerciales

Titre abrégé

1 Loi sur la protection de la vie privée des consommateurs.

Définitions et interprétation

2 (1) Les définitions qui suivent s’appliquent à la présente loi.

activité commerciale Toute activité régulière ainsi que tout acte isolé qui revêtent un caractère commercial, y compris la vente, le troc ou la location de listes de donateurs, d’adhésion ou de collecte de fonds. (commercial activity)

anonymiser Modifier définitivement et irréversiblement, conformément aux meilleures pratiques généralement reconnues, des renseignements personnels afin qu’ils ne permettent pas d’identifier un individu, directement ou indirectement, par quelque moyen que ce soit. (anonymize)

atteinte aux mesures de sécurité Communication non autorisée ou perte de renseignements personnels, ou accès non autorisé à ceux-ci, par suite d’une atteinte aux mesures de sécurité d’une organisation prévues à l’article 57 ou du fait que ces mesures n’ont pas été mises en place. (breach of security safeguards)

commissaire Le Commissaire à la protection de la vie privée nommé en application de l’article 53 de la Loi sur la protection des renseignements personnels. (Commissioner)

dépersonnaliser Modifier des renseignements personnels afin de réduire le risque, sans pour autant l’éliminer, qu’un individu puisse être identifié directement. (de-identify)

document Éléments d’information, quel qu’en soit la forme ou le support. (record)

entreprises fédérales Les installations, ouvrages, entreprises ou secteurs d’activité qui relèvent de la compétence législative du Parlement. Sont compris parmi les entreprises fédérales :

• a) les installations, ouvrages, entreprises ou secteurs d’activité qui se rapportent à la navigation et aux transports par eau, notamment l’exploitation de navires et le transport par navire partout au Canada;

• b) les installations ou ouvrages, notamment les chemins de fer, canaux ou liaisons télégraphiques, reliant une province à une autre, ou débordant les limites d’une province, et les entreprises correspondantes;

• c) les lignes de transport par bateaux à vapeur ou autres navires, reliant une province à une autre, ou débordant les limites d’une province;

• d) les passages par eaux entre deux provinces ou entre une province et un pays étranger;

• e) les aéroports, aéronefs ou lignes de transport aérien;

• f) les stations de radiodiffusion;

• g) les banques ou les banques étrangères autorisées au sens de l’article 2 de la Loi sur les banques;

• h) les ouvrages qui, bien qu’entièrement situés dans une province, sont, avant ou après leur réalisation, déclarés par le Parlement être à l’avantage général du Canada ou à l’avantage de plusieurs provinces;

• i) les installations, ouvrages, entreprises ou secteurs d’activité ne ressortissant pas au pouvoir législatif exclusif des législatures provinciales;

• j) les installations, ouvrages, entreprises ou secteurs d’activité auxquels le droit, au sens de l’alinéa a) de la définition de droit à l’article 2 de la Loi sur les océans, s’applique en vertu de l’article 20 de cette loi et des règlements pris en vertu de l’alinéa 26(1)k) de la même loi. (federal work, undertaking or business)

fournisseur de services Toute organisation, notamment une société mère, une filiale, une société affiliée, un entrepreneur ou un sous-traitant, qui fournit un service au nom ou pour le compte d’une autre organisation pour lui permettre de réaliser ses fins. (service provider)

ministre Le membre du Conseil privé de la Reine pour le Canada désigné en vertu de l’article 3 ou, à défaut de désignation, le ministre de l’Industrie. (Minister)

organisation S’entend notamment des associations, sociétés de personnes, personnes et organisations syndicales. (organization)

renseignement personnel Tout renseignement concernant un individu identifiable. (personal information)

retrait S’agissant de renseignements personnels, leur suppression définitive et irréversible ou le fait de les anonymiser. (dispose)

support de substitution Tout support permettant à un individu ayant une déficience sensorielle de lire ou d’écouter des renseignements personnels. (alternative format)

système décisionnel automatisé Technologie utilisant des systèmes basés sur des règles, l’analyse de régression, l’analytique prédictive, l’apprentissage automatique, l’apprentissage profond, des réseaux neuronaux ou d’autres techniques afin d’appuyer ou de remplacer le jugement de décideurs humains. (automated decision system)

transaction commerciale S’entend notamment des transactions suivantes :

• a) l’achat, la vente ou toute autre forme d’acquisition ou de disposition de tout ou partie d’une organisation, ou de ses éléments d’actif;

• b) la fusion ou le regroupement d’organisations;

• c) le fait de consentir un prêt à tout ou partie d’une organisation ou de lui fournir toute autre forme de financement;

• d) le fait de grever d’une charge ou d’une sûreté les éléments d’actif ou les titres d’une organisation;

• e) la location d’éléments d’actif d’une organisation, ou l’octroi ou l’obtention d’une licence à leur égard;

• f) tout autre arrangement réglementaire entre des organisations pour la poursuite d’activités d’affaires. (business transaction)

Tribunal Tribunal de la protection des renseignements personnels et des données constitué en vertu de l’article 4 de la Loi sur le Tribunal de la protection des renseignements personnels et des données. (Tribunal)

(2) Pour l’application de la présente loi, les renseignements personnels d’un mineur sont considérés comme étant de nature sensible.

(3) Pour l’application de la présente loi, à l’exception des articles 20 et 21, des paragraphes 22(1) et 39(1), des articles 55 et 56, du paragraphe 63(1) et des articles 71, 72, 74, 75 et 116, les renseignements personnels qui ont été dépersonnalisés sont considérés comme étant des renseignements personnels.

3 Le gouverneur en conseil peut, par décret, désigner tout membre du Conseil privé de la Reine pour le Canada à titre de ministre chargé de l’application de la présente loi.

4 Les droits et recours prévus sous le régime la présente loi peuvent être exercés :

• a) au nom du mineur qui n’a ni la capacité ni la volonté de les exercer personnellement, par le parent ou le tuteur;

• b) au nom de l’individu, autre qu’un mineur, frappé d’une incapacité juridique, par la personne autorisée par la loi à administrer les affaires ou les biens de celui-ci;

• c) au nom de l’individu décédé, par la personne autorisée par la loi à administrer la succession de celui-ci, mais aux seules fins d’administrer la succession.

Objet et champ d’application

5 La présente loi a pour objet de fixer, dans une ère où les données circulent constamment au-delà des frontières et des limites géographiques et une part importante de l’activité économique repose sur l’analyse, la circulation et l’échange de renseignements personnels, des règles régissant la protection des renseignements personnels d’une manière qui tient compte, à la fois, du droit à la vie privée des individus quant aux renseignements personnels qui les concernent et du besoin des organisations de recueillir, d’utiliser ou de communiquer des renseignements personnels à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances.

6 (1) La présente loi s’applique à toute organisation à l’égard des renseignements personnels :

• a) soit qu’elle recueille, utilise ou communique dans le cadre d’activités commerciales;

• b) soit qui concernent un de ses employés ou l’individu qui postule pour le devenir et qu’elle recueille, utilise ou communique dans le cadre d’une entreprise fédérale.

(2) Il est entendu que la présente loi s’applique à l’égard des renseignements personnels qui sont, selon le cas :

• a) recueillis, utilisés ou communiqués à l’échelle interprovinciale ou internationale par une organisation;

• b) recueillis, utilisés ou communiqués à l’échelle intraprovinciale, par une organisation, dans la mesure où elle n’est pas exclue de l’application de la présente loi par un décret pris en vertu de l’alinéa 122(2)b).

(3) La présente loi s’applique également à toute organisation figurant à la colonne 1 de l’annexe à l’égard des renseignements personnels figurant à la colonne 2.

(4) Elle ne s’applique pas :

• a) aux institutions fédérales auxquelles s’applique la Loi sur la protection des renseignements personnels;

• b) aux individus à l’égard des renseignements personnels qu’ils recueillent, utilisent ou communiquent uniquement à des fins personnelles ou domestiques;

• c) aux organisations à l’égard des renseignements personnels qu’elles recueillent, utilisent ou communiquent uniquement à des fins journalistiques, artistiques ou littéraires;

• d) aux organisations à l’égard des renseignements personnels de tout individu qu’elles recueillent, utilisent ou communiquent uniquement pour entrer en contact — ou pour faciliter la prise de contact — avec lui dans le cadre de son emploi, de son entreprise ou de sa profession;

• e) aux organisations soustraites à l’application de la présente loi par décret pris en vertu de l’alinéa 122(2)b) à l’égard de la collecte, de l’utilisation ou de la communication de renseignements personnels à l’intérieur de la province en cause.

(5) Il est entendu que la présente loi ne s’applique pas à l’égard des renseignements personnels qui ont été anonymisés.

(6) Les dispositions de la présente loi s’appliquent malgré toute disposition — édictée après le 31 décembre 2000 — d’une autre loi fédérale, sauf dérogation expresse de la disposition de l’autre loi.

PARTIE 1 

Obligations des organisations

7 (1) Toute organisation est responsable des renseignements personnels qui relèvent d’elle.

(2) Les renseignements personnels relèvent de l’organisation qui décide de les recueillir et établit les fins pour lesquelles ils sont recueillis, utilisés ou communiqués, qu’elle les recueille, utilise ou communique elle-même ou qu’un fournisseur de services le fasse pour elle.

8 (1) L’organisation désigne un ou plusieurs individus chargés des questions relatives aux obligations qui lui incombent sous le régime de la présente loi. Les coordonnées d’affaires des individus désignés sont fournies à toute personne par l’organisation sur demande.

(2) La désignation d’un individu en application du paragraphe (1) n’exempte pas l’organisation des obligations qui lui incombent sous le régime de la présente loi.

9 (1) L’organisation met en œuvre et tient à jour un programme de gestion de la protection des renseignements personnels qui comprend les politiques, les pratiques et les procédures qu’elle a mises en place pour se conformer aux obligations qui lui incombent sous le régime de la présente loi, notamment des politiques, des pratiques et des procédures relatives :

• a) à la protection des renseignements personnels;

• b) à la réception et au traitement des demandes de renseignements et des plaintes;

• c) à la formation et à l’information fournies à son personnel relativement à ses politiques, à ses pratiques et à ses procédures;

• d) à l’élaboration de contenu expliquant ses politiques et ses procédures.

(2) Lorsqu’elle élabore son programme de gestion de protection des renseignements personnels, l’organisation tient compte du volume et de la nature sensible des renseignements personnels qui relèvent d’elle.

10 (1) Sur demande du commissaire, l’organisation lui donne accès aux politiques, pratiques et procédures comprises dans son programme de gestion de la protection des renseignements personnels.

(2) Après examen de ces politiques, pratiques et procédures, le commissaire peut fournir des conseils ou recommander des mesures correctives à l’organisation relativement à son programme de gestion de la protection des renseignements personnels.

11 (1) L’organisation qui transfère des renseignements personnels à un fournisseur de services veille, contractuellement ou autrement, à ce que celui-ci offre à leur égard une protection équivalente à celle qu’elle est tenue d’offrir sous le régime de la présente loi.

(2) Les obligations prévues à la présente partie, à l’exception de celles prévues aux articles 57 et 61, ne s’appliquent pas au fournisseur de services relativement aux renseignements personnels qui lui sont transférés. Il est toutefois assujetti à l’ensemble de ces obligations s’il les recueille, les utilise ou les communique à toutes autres fins que celles pour lesquelles ils lui ont été transférés.

12 (1) Que le consentement soit requis ou non aux termes de la présente loi, l’organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu’à des fins et d’une manière qu’une personne raisonnable estimerait acceptables dans les circonstances.

(2) Pour établir le caractère acceptable des fins et de la manière, il est tenu compte des éléments suivants :

• a) la mesure dans laquelle les renseignements personnels sont de nature sensible;

• b) le fait que les fins visées correspondent à des besoins commerciaux légitimes de l’organisation;

• c) le degré d’efficacité de la collecte, de l’utilisation ou de la communication pour répondre aux besoins commerciaux légitimes de l’organisation;

• d) l’existence ou non de moyens portant une atteinte moindre à la vie privée de l’individu et permettant d’atteindre les fins visées à un coût et avec des avantages comparables;

• e) la proportionnalité entre l’atteinte à la vie privée de l’individu et les avantages pour l’organisation, au regard des moyens, techniques ou autres, mis en place par l’organisation afin d’atténuer les effets de l’atteinte pour l’individu.

(3) L’organisation établit et consigne les fins auxquelles les renseignements personnels sont recueillis, utilisés ou communiqués avant la collecte ou au plus tard au moment de celle-ci.

(4) Si elle établit que les renseignements personnels qu’elle a recueillis seront utilisés ou communiqués à une fin nouvelle, l’organisation consigne la fin avant d’utiliser ou de communiquer les renseignements personnels à cette fin.

13 L’organisation ne peut recueillir que les renseignements personnels qui sont nécessaires aux fins qu’elle a établies et consignées en application du paragraphe 12(3).

14 (1) L’organisation ne peut utiliser ou communiquer des renseignements personnels pour des fins autres que celles qu’elle a établies et consignées en application du paragraphe 12(3), sauf si elle obtient le consentement valide de l’individu concerné avant de le faire.

(2) Toutefois, l’organisation peut :

• a) utiliser des renseignements personnels à des fins autres que celles qu’elle a établies et consignées en application du paragraphe 12(3) dans les cas visés aux articles 18, 20 et 21, aux paragraphes 22(1) et (3) et aux articles 23, 24, 26, 30, 41 et 51;

• b) communiquer des renseignements personnels à des fins autres que celles qu’elle a établies et consignées en application du paragraphe 12(3) dans les cas visés aux paragraphes 22(1) et (3), aux articles 23 à 28, 31 à 37 et 39, au paragraphe 40(3) et aux articles 42 et 43 à 51.

15 (1) Sauf disposition contraire de la présente loi, l’organisation qui recueille, utilise ou communique des renseignements personnels doit d’abord obtenir le consentement valide de l’individu concerné.

(2) Le consentement valide doit être obtenu au plus tard au moment de recueillir les renseignements personnels ou, s’agissant de renseignements qui seront utilisés ou communiqués à des fins autres que celles qu’elle a établies et consignées en application du paragraphe 12(3), avant de les utiliser ou de les communiquer à ces autres fins.

(3) Le consentement n’est valide que si l’organisation fournit d’abord à l’individu concerné les renseignements suivants :

• a) les fins de la collecte, de l’utilisation ou de la communication des renseignements personnels, établies par l’organisation et consignées en application des paragraphes 12(3) ou (4);

• b) la manière dont les renseignements personnels seront recueillis, utilisés ou communiqués;

• c) les conséquences raisonnablement prévisibles de la collecte, de l’utilisation ou de la communication des renseignements personnels;

• d) le type précis de renseignements personnels que l’organisation recueillera, utilisera ou communiquera;

• e) le nom des tiers ou les catégories de tiers auxquels les renseignements personnels pourraient être communiqués.

(4) L’organisation fournit les renseignements mentionnés au paragraphe (3) dans un langage clair et raisonnablement compréhensible pour un individu visé par les activités de l’organisation.

(5) Le consentement doit être obtenu expressément, sauf si, sous réserve du paragraphe (6), il est approprié de présumer le consentement implicite de l’individu compte tenu de la nature sensible des renseignements personnels à recueillir, à utiliser ou à communiquer et des attentes raisonnables de cet individu.

(6) Il n’est pas approprié pour l’organisation de présumer le consentement implicite d’un individu lorsqu’elle recueille ou utilise ses renseignements personnels en vue d’une activité mentionnée aux paragraphes 18(2) ou (3).

(7) L’organisation ne peut, pour le motif qu’elle fournit un bien ou un service, exiger d’un individu qu’il consente à la collecte, à l’utilisation ou à la communication de renseignements personnels qui ne sont pas nécessaires à la fourniture du bien ou à la prestation du service.

16 Il est interdit à l’organisation d’utiliser des pratiques trompeuses ou mensongères ou de fournir desinformations fausses ou trompeuses pour obtenir, ou tenter d’obtenir, un consentement. Tout consentement ainsi obtenu n’est pas valide. 

17 (1) Sous réserve de la présente loi, du droit fédéral ou provincial ou de toute restriction contractuelle raisonnable, l’individu peut à tout moment retirer son consentement, en tout ou en partie. Le cas échéant, il en avise l’organisation suffisamment à l’avance.

(2) Sur réception de l’avis, l’organisation informe l’individu concerné des conséquences du retrait de son consentement et cesse ensuite, dès que possible, de recueillir, d’utiliser ou de communiquer les renseignements personnels à l’égard desquels le consentement a été retiré.

18 (1) L’organisation peut recueillir ou utiliser les renseignements personnels d’un individu à son insu ou sans son consentement si la collecte ou l’utilisation est faite en vue d’une activité d’affaires mentionnée au paragraphe (2) et, à la fois :

• a) une personne raisonnable s’attendrait à la collecte ou à l’utilisation en vue d’une telle activité;

• b) les renseignements personnels ne sont pas recueillis ou utilisés en vue d’influencer le comportement ou les décisions de l’individu.

(2) Sous réserve des règlements, sont des activités d’affaires pour l’application du paragraphe (1) :

• a) les activités nécessaires à la fourniture d’un produit ou à la prestation d’un service demandé par l’individu à l’organisation;

• b) les activités nécessaires à la sécurité de l’information, des systèmes ou des réseaux de l’organisation;

• c) les activités nécessaires pour assurer la sécurité d’un produit ou d’un service que l’organisation fournit;

• d) toute autre activité réglementaire.

(3) L’organisation peut recueillir ou utiliser les renseignements personnels d’un individu à son insu ou sans son consentement si la collecte ou l’utilisation est faite en vue d’une activité dans laquelle elle a un intérêt légitime qui l’emporte sur tout effet négatif que la collecte ou l’utilisation peut avoir pour l’individu et si, à la fois :

• a) une personne raisonnable s’attendrait à la collecte ou à l’utilisation en vue d’une telle activité;

• b) les renseignements personnels ne sont pas recueillis ou utilisés en vue d’influencer le comportement ou les décisions de l’individu.

(4) Avant de se prévaloir du paragraphe (3) pour recueillir ou d’utiliser des renseignements personnels, l’organisation est tenue :

• a) de déceler tout effet négatif potentiel que la collecte ou l’utilisation est susceptible d’avoir pour l’individu;

• b) de trouver et de prendre des moyens raisonnables pour réduire la probabilité que ces effets se produisent ou pour les atténuer ou les éliminer;

• c) de se conformer à toute autre exigence réglementaire.

(5) L’organisation consigne son évaluation de la manière dont elle remplit les conditions visées au paragraphe (4). Sur demande du commissaire, elle lui en remet une copie.

19 L’organisation peut transférer à des fournisseurs de services les renseignements personnels d’un individu à son insu ou sans son consentement.

20 L’organisation peut utiliser les renseignements personnels d’un individu, à son insu ou sans son consentement, afin de les dépersonnaliser.

21 L’organisation peut utiliser les renseignements personnels d’un individu à son insu ou sans son consentement à des fins de recherche, d’analyse et de développement internes, s’ils sont dépersonnalisés avant leur utilisation.

22 (1) Les organisations qui seront parties à une éventuelle transaction commerciale peuvent utiliser et communiquer les renseignements personnels d’un individu à son insu ou sans son consentement, si, à la fois :

• a) les renseignements personnels sont dépersonnalisés avant l’utilisation ou la communication, selon le cas, et le demeurent jusqu’à ce que la transaction soit effectuée;

• b) les organisations ont conclu un accord aux termes duquel l’organisation recevant des renseignements s’est engagée :

  • (i) à ne les utiliser et à ne les communiquer qu’à des fins liées à la transaction,

  • (ii) à les protéger au moyen de mesures de sécurité proportionnelles à la mesure dans laquelle ils sont de nature sensible,

  • (iii) si la transaction n’aura pas lieu, à les remettre à l’organisation qui les lui a communiqués ou à procéder à leur retrait, dans un délai raisonnable;

• c) les organisations se conforment à l’accord;

• d) les renseignements sont nécessaires pour décider si la transaction aura lieu et, le cas échéant, pour l’effectuer.

(2) L’organisation n’est pas tenue de respecter l’exigence prévue à l’alinéa (1)a) si cela nuit aux objectifs de l’éventuelle transaction commerciale et que l’organisation a tenu compte du risque de préjudice pour l’individu que pourrait entraîner l’utilisation ou la communication.

(3) Si la transaction commerciale est effectuée, les organisations y étant parties peuvent utiliser et communiquer les renseignements personnels mentionnés au paragraphe (1), à l’insu d’un individu ou sans son consentement si, à la fois :

• a) elles ont conclu un accord aux termes duquel chacune d’entre elles s’est engagée :

  • (i) à n’utiliser et ne communiquer les renseignements personnels qui relèvent d’elle qu’aux fins auxquelles ils ont été recueillis ou auxquelles il était permis de les utiliser ou de les communiquer avant que la transaction ne soit effectuée,

  • (ii) à les protéger au moyen de mesures de sécurité proportionnelles à la mesure dans laquelle ils sont de nature sensible,

  • (iii) à donner effet à tout retrait de consentement fait en conformité avec le paragraphe 17(1);

• b) elles se conforment à l’accord;

• c) les renseignements sont nécessaires à la poursuite de l’entreprise ou des activités faisant l’objet de la transaction;

• d) dans un délai raisonnable après que la transaction a été effectuée, l’une des parties avise l’individu du fait que la transaction a été effectuée et que ses renseignements personnels ont été communiqués en vertu du paragraphe (1).

(4) Les paragraphes (1) et (3) ne s’appliquent pas à l’égard de la transaction commerciale dont l’objectif premier ou le résultat principal est l’achat, la vente ou toute autre forme d’acquisition ou de disposition de renseignements personnels, ou leur location.

23 L’organisation peut recueillir, utiliser ou communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, s’il s’agit d’un renseignement qui est produit par l’individu dans le cadre de son emploi, de son entreprise ou de sa profession et dont la collecte, l’utilisation ou la communication est compatible avec les fins auxquelles il a été produit.

24 Dans le cadre d’une entreprise fédérale, l’organisation peut recueillir, utiliser ou communiquer les renseignements personnels d’un individu sans son consentement, si à la fois :

• a) la collecte, l’utilisation ou la communication est nécessaire pour établir ou gérer la relation d’emploi entre l’individu et l’organisation, ou pour y mettre fin;

• b) l’organisation a informé l’individu que ses renseignements personnels seraient ou pourraient être recueillis, utilisés ou communiqués à ces fins.

25 L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, à l’avocat — ou, au Québec, à l’avocat ou au notaire — qui la représente.

26 L’organisation peut recueillir, utiliser ou communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, s’ils sont contenus dans la déclaration d’un témoin et que la collecte, l’utilisation ou la communication est nécessaire en vue de l’évaluation d’une réclamation d’assurance, de son traitement ou de son règlement.

27 (1) L’organisation peut, si la communication est raisonnable, communiquer à une autre organisation les renseignements personnels d’un individu, à son insu ou sans son consentement, en vue de la détection d’une fraude ou de sa suppression ou en vue de la prévention d’une fraude dont la commission est vraisemblable, s’il est raisonnable de s’attendre à ce que la communication effectuée au su ou avec le consentement de l’individu compromette la capacité de prévenir la fraude, de la détecter ou d’y mettre fin.

(2) L’organisation peut recueillir ou utiliser les renseignements personnels qui lui sont communiqués au titre du paragraphe (1) à l’insu ou sans le consentement de l’individu.

28 L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, en vue du recouvrement d’une créance qu’elle a contre lui.

29 (1) L’organisation peut recueillir les renseignements personnels d’un individu, à son insu ou sans son consentement, lorsque la collecte des renseignements est manifestement dans l’intérêt de l’individu et le consentement ne peut être obtenu auprès de celui-ci en temps opportun.

(2) L’organisation peut utiliser les renseignements personnels d’un individu, à son insu ou sans son consentement, s’ils ont été recueillis au titre du paragraphe (1).

30 L’organisation peut utiliser les renseignements personnels d’un individu, à son insu ou sans son consentement, pour répondre à une situation d’urgence mettant en danger la vie, la santé ou la sécurité de tout individu.

31 L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, à toute personne qui en a besoin en raison d’une situation d’urgence mettant en danger la vie, la santé ou la sécurité de tout individu. Dans le cas où l’individu dont les renseignements ont été communiqués est vivant, l’organisation l’en informe par écrit et sans délai.

32 L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, lorsque la communication est nécessaire aux fins d’identification de l’individu qui est blessé, malade ou décédé et qu’elle est faite à une institution gouvernementale ou à une subdivision d’une telle institution, à un proche parent de l’individu ou à son représentant autorisé. Dans le cas où l’individu est vivant, l’organisation l’en informe par écrit et sans délai.

33 L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, à l’institution gouvernementale — ou la subdivision d’une telle institution — qui les a demandés en mentionnant la source de l’autorité légitime étayant son droit de les obtenir et le fait que la communication est faite afin d’entrer en contact avec un proche parent d’un individu blessé, malade ou décédé, ou avec son représentant autorisé.

34 L’organisation peut communiquer, de sa propre initiative, les renseignements personnels d’un individu, à son insu ou sans son consentement, à une institution gouvernementale ou à une subdivision d’une telle institution, à un proche parent de l’individu ou à son représentant autorisé, si les conditions suivantes sont remplies :

• a) l’organisation a des motifs raisonnables de croire que l’individu a été, est ou pourrait être victime d’exploitation financière;

• b) la communication est faite uniquement à des fins liées à la prévention de l’exploitation ou à une enquête sur celle-ci;

• c) il est raisonnable de s’attendre à ce que la communication effectuée au su ou avec le consentement de l’individu compromette la capacité de prévenir l’exploitation ou d’enquêter sur celle-ci.

35 L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, lorsque, à la fois :

• a) la communication est faite à des fins de statistique ou d’étude ou de recherche, et ces fins ne peuvent être réalisées sans que les renseignements ne soient communiqués;

• b) le consentement est pratiquement impossible à obtenir;

• c) l’organisation informe le commissaire de la communication préalablement à celle-ci.

36 L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, à l’institution dont les attributions comprennent la conservation de documents ayant une importance historique ou archivistique en vue d’une telle conservation.

37 L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, cent ans après la constitution du document les contenant ou vingt ans après le décès de l’individu, selon celle de ces périodes qui se termine la première.

38 L’organisation peut recueillir les renseignements personnels d’un individu, à son insu ou sans son consentement, lorsque la collecte est faite uniquement à des fins journalistiques, artistiques ou littéraires.

39 (1) L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, lorsque, à la fois :

• a) les renseignements personnels sont dépersonnalisés avant la communication;

• b) la communication est faite :

  • (i) à une institution gouvernementale au Canada ou à une subdivision d’une telle institution,

  • (ii) à un établissement de soins de santé, à un établissement d’enseignement postsecondaire ou à une bibliothèque publique situés au Canada,

  • (iii) à une organisation mandatée, en vertu d’une loi fédérale ou provinciale ou d’un contrat avec une institution gouvernementale au Canada — ou avec une subdivision d’une telle institution —, pour réaliser une fin socialement bénéfique,

  • (iv) à toute autre entité réglementaire;

• c) la communication est faite pour une fin socialement bénéfique.

(2) Pour l’application du présent article, fin socialement bénéfique s’entend de toute fin relative à la santé, à la fourniture ou à l’amélioration des services et infrastructures publics, à la protection de l’environnement ou de toute autre fin réglementaire.

40 (1) L’organisation peut recueillir les renseignements personnels d’un individu, à son insu ou sans son consentement, s’il est raisonnable de s’attendre à ce que la collecte effectuée au su ou avec le consentement de l’individu compromette l’exactitude des renseignements ou l’accès à ceux-ci, et si la collecte est raisonnable et faite à des fins liées à une enquête sur la violation d’un accord ou la contravention au droit fédéral ou provincial.

(2) L’organisation peut utiliser les renseignements personnels d’un individu, à son insu ou sans son consentement, s’ils ont été recueillis au titre du paragraphe (1).

(3) L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, lorsque la communication est faite à une autre organisation et est raisonnable en vue d’une enquête sur la violation d’un accord ou sur la contravention au droit fédéral ou provincial qui a été commise ou est en train ou sur le point de l’être, s’il est raisonnable de s’attendre à ce que la communication effectuée au su ou avec le consentement de l’individu compromette l’enquête.

41 L’organisation peut utiliser les renseignements personnels d’un individu, à son insu ou sans son consentement, si, dans le cadre de ses activités, elle découvre l’existence de renseignements dont elle a des motifs raisonnables de croire qu’ils pourraient être utiles à une enquête sur une contravention au droit fédéral, provincial ou étranger qui a été commise ou est en train ou sur le point de l’être et si l’utilisation est faite en vue d’enquêter sur cette contravention.

42 L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement si :

• a) d’une part, la communication est faite à l’autre organisation, ou à l’institution gouvernementale ou subdivision d’une telle institution qui a été avisée de l’atteinte en application du paragraphe 59(1);

• b) d’autre part, elle n’est faite que pour réduire le risque de préjudice pour l’individu qui pourrait résulter de l’atteinte ou atténuer ce préjudice.

43 L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, à l’institution gouvernementale — ou à la subdivision d’une telle institution — qui les a demandés en mentionnant la source de l’autorité légitime étayant son droit de les obtenir et le fait que la communication est demandée pour l’application du droit fédéral ou provincial.

44 L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, à l’institution gouvernementale — ou à la subdivision d’une telle institution — qui les a demandés en mentionnant la source de l’autorité légitime étayant son droit de les obtenir et le fait que la communication est demandée aux fins du contrôle d’application du droit fédéral, provincial ou étranger, de la tenue d’enquêtes liées à ce contrôle d’application ou de la collecte de renseignements en matière de sécurité en vue de ce contrôle d’application.

45 L’organisation peut, de sa propre initiative, communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, à une institution gouvernementale ou à une subdivision d’une telle institution si l’organisation a des motifs raisonnables de croire que les renseignements concernent une contravention au droit fédéral, provincial ou étranger qui a été commise ou est en train ou sur le point de l’être.

46 L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, lorsque la communication est faite au titre de l’article 7 de la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes à l’institution gouvernementale mentionnée à cet article.

47 (1) L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, à l’institution gouvernementale — ou à la subdivision d’une telle institution — qui les a demandés en mentionnant la source de l’autorité légitime étayant son droit de les obtenir et le fait qu’elle soupçonne qu’ils concernent la sécurité nationale, la défense du Canada ou la conduite des affaires internationales.

(2) L’organisation peut recueillir les renseignements personnels d’un individu, à son insu ou sans son consentement, en vue de la communication visée au paragraphe (1).

(3) L’organisation peut utiliser les renseignements personnels d’un individu, à son insu ou sans son consentement, s’ils ont été recueillis au titre du paragraphe (2).

48 (1) L’organisation peut, de sa propre initiative, communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, à une institution gouvernementale ou une subdivision d’une telle institution si elle soupçonne que les renseignements concernent la sécurité nationale, la défense du Canada ou la conduite des affaires internationales.

(2) L’organisation peut recueillir les renseignements personnels d’un individu, à son insu ou sans son consentement, en vue de la communication visée au paragraphe (1).

(3) L’organisation peut utiliser les renseignements personnels d’un individu, à son insu ou sans son consentement, s’ils ont été recueillis au titre du paragraphe (2).

49 (1) L’organisation peut recueillir les renseignements personnels d’un individu, à son insu ou sans son consentement, lorsque la collecte est faite en vue d’une communication exigée par la loi.

(2) L’organisation peut utiliser les renseignements personnels d’un individu, à son insu ou sans son consentement, s’ils ont été recueillis au titre du paragraphe (1).

(3) L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, lorsque la communication est exigée par la loi.

50 L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, lorsque la communication est exigée par assignation, mandat ou ordonnance d’un tribunal, d’une personne ou d’un organisme ayant le pouvoir de contraindre à la production de renseignements ou par des règles de procédure se rapportant à la production de documents.

51 L’organisation peut recueillir, utiliser ou communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, s’il s’agit de renseignements personnels précisés par les règlements, auxquels le public a accès.

52 (1) Les définitions qui suivent s’appliquent au présent article.

adresse électronique Toute adresse utilisée relativement à l’un des comptes suivants :

• a) un compte courriel;

• b) un compte de messagerie instantanée;

• c) tout autre compte similaire. (electronic address)

ordinateur S’entend au sens du paragraphe 342.‍1(2) du Code criminel. (computer system)

programme d’ordinateur S’entend au sens du paragraphe 342.‍1(2) du Code criminel. (computer program)

utiliser S’agissant d’un ordinateur ou d’un réseau informatique, le programmer, lui faire exécuter un programme, communiquer avec lui, y mettre en mémoire, ou en extraire, des données ou utiliser ses ressources de toute autre façon, notamment ses données et ses programmes. (access)

(2) L’organisation ne peut se prévaloir des articles 18, 23 ou 26, du paragraphe 29(1) ou des articles 30, 38, 41 ou 51 si elle recueille l’adresse électronique d’un individu, à son insu ou sans son consentement, à l’aide d’un programme d’ordinateur conçu ou mis en marché principalement pour produire ou rechercher des adresses électroniques et les recueillir, ou si elle utilise une adresse électronique ainsi recueillie.

(3) L’organisation ne peut se prévaloir des articles 18, 23 ou 26, du paragraphe 29(1), des articles 30 ou 38, du paragraphe 40(1) ou des articles 41 ou 51 si elle recueille, par tout moyen de télécommunication, les renseignements personnels d’un individu, à son insu ou sans son consentement en utilisant ou faisant utiliser un ordinateur en contravention d’une loi fédérale, ou si elle utilise des renseignements personnels ainsi recueillis.

(4) Malgré le paragraphe 15(5), l’organisation ne peut conclure que l’individu a implicitement consenti à la collecte ou à l’utilisation mentionnée aux paragraphes (2) ou (3).

53 (1) L’organisation ne conserve des renseignements personnels que le temps nécessaire :

• a) pour réaliser les fins auxquelles ils ont été recueillis, utilisés ou communiqués;

• b) pour respecter les exigences de la présente loi, du droit fédéral ou provincial ou de toute restriction contractuelle raisonnable.

L’organisation procède ensuite, dès que possible, à leur retrait.

(2) Pour l’application de l’alinéa (1)a), lorsqu’elle établit la durée de la période de conservation, l’organisation tient compte de la mesure dans laquelle les renseignements personnels sont de nature sensible.

54 L’organisation qui utilise des renseignements personnels pour prendre une décision concernant un individu conserve ces renseignements suffisamment longtemps pour permettre à l’individu de présenter une demande au titre de l’article 63.

55 (1) L’organisation qui reçoit d’un individu une demande écrite de retrait des renseignements personnels qui le concernent et qui relèvent d’elle, procède dès que possible à leur retrait si, selon le cas :

• a) les renseignements ont été recueillis, utilisés ou communiqués en contravention de la présente loi;

• b) l’individu a retiré son consentement, en tout ou en partie, à la collecte, à l’utilisation ou à la communication des renseignements;

• c) les renseignements ne sont plus nécessaires à la fourniture continue du bien ou à la prestation continue du service demandé par l’individu.

(2) L’organisation peut refuser de procéder au retrait dans les cas visés aux alinéas (1)b) ou c) qui remplissent l’une ou l’autre des conditions suivantes :

• a) le retrait entraînerait celui des renseignements personnels d’un autre individu et ces renseignements ne peuvent être retranchés;

• b) d’autres exigences de la présente loi ou du droit fédéral ou provincial ou une restriction contractuelle raisonnable l’empêchent de procéder au retrait;

• c) les renseignements sont nécessaires à l’établissement d’une défense juridique ou à l’exercice d’autres recours juridiques par l’organisation;

• d) ils ne concernent pas un mineur et leur retrait aurait un effet négatif excessif sur l’intégrité ou l’exactitude des renseignements nécessaires à la fourniture continue d’un produit ou à la prestation continue d’un service à l’individu concerné;

• e) la demande est vexatoire ou entachée de mauvaise foi;

• f) le retrait des renseignements — dans la mesure où ils ne concernent pas un mineur — est déjà prévu, conformément aux politiques de conservation des renseignements personnels de l’organisation, et celle-ci informe l’individu de la période de conservation restante qui leur est applicable.

(3) L’organisation qui refuse de procéder au retrait des renseignements personnels d’un individu lui notifie par écrit son refus motivé et l’informe des recours prévus à l’article 73 et au paragraphe 82(1).

(4) L’organisation qui procède au retrait des renseignements personnels d’un individu informe, dès que possible, tout fournisseur de services à qui elle a transféré les renseignements et veille à ce que celui-ci procède à leur retrait.

56 (1) L’organisation prend toutes les mesures raisonnables pour que les renseignements personnels qui relèvent d’elle soient aussi à jour, exacts et complets que l’exige la réalisation des fins auxquelles ils ont été recueillis, utilisés ou communiqués.

(2) L’organisation détermine la mesure dans laquelle les renseignements personnels doivent être à jour, exacts et complets en tenant compte des intérêts de l’individu concerné et notamment :

• a) de la possibilité que les renseignements servent à prendre une décision concernant l’individu;

• b) du fait que les renseignements servent sur une base régulière;

• c) du fait que les renseignements sont communiqués à des tiers.

(3) Sauf si cela est nécessaire à la réalisation des fins auxquelles ils sont recueillis, utilisés ou communiqués, l’organisation ne met pas systématiquement à jour les renseignements personnels.

57 (1) L’organisation protège les renseignements personnels au moyen de mesures de sécurité matérielles, organisationnelles et techniques. Le degré de protection des renseignements personnels est proportionnel à la mesure dans laquelle les renseignements sont de nature sensible.

(2) Les mesures de sécurité établies par l’organisation tiennent également compte de la quantité, de la répartition, du format et de la méthode de stockage des renseignements.

(3) Les mesures de sécurité protègent les renseignements personnels contre, notamment, la perte ou le vol ainsi que l’accès, la communication, la copie, l’utilisation ou la modification non autorisés et elles comprennent notamment des mesures raisonnables d’authentification de l’identité de l’individu auquel ces renseignements se rapportent.

58 (1) L’organisation déclare au commissaire toute atteinte aux mesures de sécurité qui a trait à des renseignements personnels qui relèvent d’elle s’il est raisonnable de croire que, dans les circonstances, l’atteinte présente un risque réel de préjudice grave à l’endroit d’un individu.

(2) La déclaration contient les renseignements réglementaires et est faite, selon les modalités réglementaires, dès que possible après que l’organisation a conclu qu’il y a eu atteinte.

(3) À moins qu’une règle de droit ne l’interdise, l’organisation est tenue d’aviser l’individu de toute atteinte aux mesures de sécurité qui a trait à des renseignements personnels le concernant qui relèvent d’elle s’il est raisonnable de croire, dans les circonstances, que l’atteinte présente un risque réel de préjudice grave à l’endroit de l’individu.

(4) L’avis contient suffisamment d’information pour permettre à l’individu de comprendre l’importance, pour lui, de l’atteinte et de prendre, si possible, des mesures pour réduire le risque de préjudice qui pourrait en résulter ou pour atténuer ce préjudice. Il contient aussi tout autre renseignement réglementaire.

(5) L’avis est manifeste et donné à l’individu directement, selon les modalités réglementaires. Dans les circonstances réglementaires, il est donné indirectement, selon les modalités réglementaires.

(6) L’avis est donné dès que possible après que l’organisation a conclu qu’il y a eu atteinte.

(7) Pour l’application du présent article, préjudice grave vise notamment la lésion corporelle, l’humiliation, le dommage à la réputation ou aux relations, la perte financière, le vol d’identité, l’effet négatif sur le dossier de crédit, le dommage aux biens ou leur perte et la perte de possibilités d’emploi ou d’occasions d’affaires ou d’activités professionnelles.

(8) Les éléments servant à établir si une atteinte aux mesures de sécurité présente un risque réel de préjudice grave à l’endroit de l’individu sont notamment la mesure dans laquelle les renseignements personnels en cause sont de nature sensible, la probabilité que les renseignements aient été ou seront mal utilisés ou soient en train de l’être et tout autre élément réglementaire.

59 (1) L’organisation qui, en application du paragraphe 58(3), avise un individu d’une atteinte aux mesures de sécurité est tenue d’en aviser également toute autre organisation, ou toute institution gouvernementale ou subdivision d’une telle institution, si elle croit que l’autre organisation, l’institution ou la subdivision peut être en mesure de réduire le risque de préjudice pouvant résulter de l’atteinte ou d’atténuer ce préjudice, ou s’il est satisfait à une ou plusieurs conditions réglementaires.

(2) L’organisation donne l’avis dès que possible après avoir conclu qu’il y a eu atteinte.

60 (1) L’organisation tient et conserve, conformément aux exigences réglementaires, un registre de toutes les atteintes aux mesures de sécurité qui ont trait à des renseignements personnels qui relèvent d’elle.

(2) Sur demande du commissaire, l’organisation lui donne accès à son registre ou lui en remet copie.

61 Le fournisseur de services qui conclut à une atteinte aux mesures de sécurité ayant trait à des renseignements personnels avise dès que possible l’organisation de laquelle ils relèvent.

62 (1) L’organisation rend facilement accessibles, dans un langage clair, des renseignements expliquant les politiques et les pratiques qu’elle a mises en place afin de respecter les obligations qui lui incombent sous le régime de la présente loi.

(2) À cet égard, l’organisation rend accessibles les renseignements suivants :

• a) la description du type de renseignements personnels qui relèvent d’elle;

• b) une explication générale de l’usage qui est fait des renseignements personnels et de la façon dont l’organisation applique les exceptions à l’obligation d’obtenir le consentement d’un individu prévues à la présente loi, notamment une description des activités mentionnées au paragraphe 18(3) dans lesquelles elle a un intérêt légitime;

• c) une explication générale de l’usage qu’elle fait des systèmes décisionnels automatisés pour faire des prédictions, formuler des recommandations ou prendre des décisions qui pourraient avoir une incidence importante sur les individus concernés;

• d) le fait qu’elle effectue ou non des transferts ou des communications de renseignements personnels interprovinciaux ou internationaux pouvant avoir des répercussions raisonnablement prévisibles sur la vie privée;

• e) les périodes de conservation établies pour les renseignements personnels de nature sensible;

• f) la manière de présenter, au titre de l’article 55, une demande de retrait de renseignements personnels ou, au titre de l’article 63, une demande d’accès aux renseignements personnels;

• g) les coordonnées d’affaires de l’individu à qui les demandes de renseignements et les plaintes peuvent être acheminées.

63 (1) Sur demande de l’individu, l’organisation lui indique si elle détient des renseignements personnels qui le concernent, quel est l’usage qu’elle en fait et si elle les a communiqués. Elle les met à sa disposition.

(2) Si l’organisation a communiqué les renseignements, elle fournit à l’individu le nom des tiers ou les catégories de tiers auxquels ils ont été communiqués, et ce, même lorsqu’elle les a communiqués sans son consentement.

(3) Si l’organisation a utilisé un système décisionnel automatisé pour faire une prédiction, formuler une recommandation ou prendre une décision concernant l’individu et que la prédiction, la recommandation ou la décision pourrait avoir une incidence importante pour lui, elle lui en fournit, à sa demande, une explication.

(4) L’explication indique le type de renseignements personnels utilisés pour faire la prédiction, formuler la recommandation ou prendre la décision, la provenance de ces renseignements ainsi que les motifs ou les principaux facteurs ayant mené à la prédiction, à la recommandation ou à la décision.

64 (1) La demande mentionnée à l’article 63 est présentée par écrit.

(2) Sur requête de l’individu, l’organisation lui fournit l’aide dont il a besoin pour préparer sa demande.

65 L’organisation peut exiger de l’individu qu’il lui fournisse suffisamment de renseignements pour satisfaire à ses obligations prévues à l’article 63.

66 (1) L’organisation fournit l’information mentionnée à l’article 63 dans un langage clair.

(2) Pour l’application de l’article 63, l’organisation met à la disposition de l’individu ayant une déficience sensorielle qui en fait la demande les renseignements personnels le concernant sur support de substitution dans l’un ou l’autre des cas suivants :

• a) une version des renseignements visés existe déjà sur un tel support;

• b) leur transfert sur un tel support est raisonnable et nécessaire pour que l’individu puisse exercer les droits qui lui sont conférés sous le régime de la présente loi.

(3) Dans le cas de renseignements médicaux de nature sensible, l’organisation peut mettre ces renseignements à la disposition du demandeur par l’intermédiaire d’un médecin.

67 (1) L’organisation saisie de la demande mentionnée à l’article 63 doit y donner suite avec la diligence voulue et, au plus tard, dans les trente jours suivant sa réception.

(2) Elle peut toutefois proroger le délai :

• a) d’une période maximale de trente jours lorsque :

  • (i) ou bien l’observation du délai entraverait déraisonnablement l’activité de l’organisation,

  • (ii) ou bien toute consultation nécessaire pour donner suite à la demande rendrait pratiquement impossible l’observation du délai;

• b) de la période nécessaire au transfert des renseignements personnels visés sur support de substitution.

Dans l’un ou l’autre cas, l’organisation envoie au demandeur, dans les trente jours suivant la réception de la demande, un avis de prorogation l’informant du nouveau délai, des motifs de la prorogation et de son droit de déposer auprès du commissaire une plainte à propos de la prorogation.

(3) L’organisation qui refuse, dans le délai prévu, d’acquiescer à la demande notifie par écrit au demandeur son refus motivé et l’informe des recours prévus à l’article 73 et au paragraphe 82(1).

(4) Faute de répondre dans le délai prévu, l’organisation est réputée avoir refusé d’acquiescer à la demande.

68 L’organisation peut exiger des droits pour répondre à la demande mentionnée à l’article 63 si, à la fois, elle informe le demandeur du montant approximatif de ceux-ci, celui-ci l’avise qu’il ne retire pas sa demande et les droits exigés sont minimes.

69 L’organisation qui détient des renseignements personnels visés par une demande mentionnée à l’article 63 les conserve le temps nécessaire pour permettre au demandeur d’épuiser tous les recours qu’il a en vertu de la présente loi.

70 (1) Malgré l’article 63, l’organisation ne peut mettre à la disposition du demandeur des renseignements personnels qui révéleraient vraisemblablement des renseignements personnels sur un autre individu. Toutefois, si ces derniers renseignements peuvent être retranchés, l’organisation est tenue de les retrancher puis de mettre à la disposition du demandeur les renseignements le concernant.

(2) Le paragraphe (1) ne s’applique pas si l’autre individu consent à ce que ses renseignements personnels soient mis à la disposition du demandeur ou si le demandeur a besoin des renseignements parce que la vie, la santé ou la sécurité d’un individu est en danger.

(3) L’organisation est tenue de se conformer au paragraphe (4) si le demandeur lui demande :

• a) de l’aviser, selon le cas :

  • (i) de toute communication faite à une institution gouvernementale ou à une subdivision d’une telle institution en vertu des articles 44, 45 ou 46, des paragraphes 47(1) ou 48(1) ou de l’article 50,

  • (ii) de l’existence de renseignements détenus par l’organisation relatifs soit à toute communication visée au sous-alinéa (i), soit à une assignation, à un mandat ou à une ordonnance visé à l’article 50, soit à une demande de communication faite par une institution gouvernementale ou une subdivision d’une telle institution en vertu de l’article 44 ou du paragraphe 47(1);

• b) de mettre à sa disposition les renseignements visés au sous-alinéa a)‍(ii).

(4) Le cas échéant, l’organisation :

• a) notifie par écrit et sans délai la demande à l’institution gouvernementale concernée ou à la subdivision d’une telle institution;

• b) ne peut donner suite à la demande avant la date de réception de l’avis prévu au paragraphe (5) ou, s’il est antérieur, le trentième jour suivant celle à laquelle l’institution ou la subdivision reçoit la notification.

(5) Dans les trente jours suivant la date à laquelle la demande lui est notifiée, l’institution ou la subdivision avise l’organisation du fait qu’elle s’oppose ou non à ce que celle-ci acquiesce à la demande. Elle ne peut s’y opposer que si elle est d’avis que faire droit à la demande risquerait vraisemblablement de nuire :

• a) à la sécurité nationale, à la défense du Canada ou à la conduite des affaires internationales;

• b) à la détection, à la prévention ou à la dissuasion à l’égard du recyclage des produits de la criminalité ou du financement des activités terroristes;

• c) au contrôle d’application du droit canadien, provincial ou étranger, à une enquête liée à ce contrôle d’application ou à la collecte de renseignements en matière de sécurité en vue de ce contrôle d’application.

(6) Malgré l’article 63, si elle est informée que l’institution ou la subdivision s’oppose à ce qu’elle acquiesce à la demande, l’organisation :

• a) refuse d’y acquiescer dans la mesure où la demande est visée à l’alinéa (3)a) ou se rapporte à des renseignements visés au sous-alinéa (3)a)‍(ii);

• b) avise par écrit et sans délai le commissaire du refus;

• c) ne met pas à la disposition du demandeur les renseignements qu’elle détient et qui se rapportent à toute communication faite à une institution gouvernementale ou à une subdivision d’une telle institution en vertu des articles 44, 45 ou 46, des paragraphes 47(1) ou 48(1) ou de l’article 50 ou à une demande de communication faite par une institution gouvernementale ou une subdivision d’une telle institution en vertu de cet article 44 ou de ce paragraphe 47(1);

• d) ne fournit pas au demandeur le nom de l’institution gouvernementale ou de la subdivision d’une telle institution — ou la catégorie d’institution gouvernementale ou de subdivision d’une telle institution — à laquelle les renseignements ont été communiqués;

• e) ne communique pas au demandeur le fait qu’il y a eu notification de la demande à l’institution gouvernementale ou à une subdivision d’une telle institution en application de l’alinéa (4)a), que celle-ci s’oppose à ce que l’organisation acquiesce à la demande et que le commissaire a été avisé en application de l’alinéa b).

(7) Malgré l’article 63, l’organisation n’est pas tenue de mettre à la disposition du demandeur des renseignements personnels dans les cas suivants :

• a) les renseignements sont protégés par le secret professionnel de l’avocat ou du notaire ou par le privilège relatif au litige;

• b) cela révélerait des renseignements commerciaux confidentiels;

• c) cela risquerait vraisemblablement de nuire à la vie ou la sécurité d’un autre individu;

• d) les renseignements ont été recueillis au titre du paragraphe 40(1);

• e) les renseignements ont été produits uniquement à l’occasion d’un règlement officiel des différends;

• f) les renseignements ont été créés en vue de faire une divulgation au titre de la Loi sur la protection des fonctionnaires divulgateurs d’actes répréhensibles ou dans le cadre d’une enquête menée sur une divulgation en vertu de cette loi.

Toutefois, dans les cas visés aux alinéas b) ou c), s’il est possible de retrancher les renseignements commerciaux confidentiels ou les renseignements dont la communication risquerait vraisemblablement de nuire à la vie ou la sécurité d’un autre individu, l’organisation est tenue de mettre à la disposition du demandeur les renseignements personnels en retranchant ces renseignements.

(8) Le paragraphe (7) ne s’applique pas si le demandeur a besoin des renseignements parce que la vie, la santé ou la sécurité d’un individu est en danger.

(9) Si elle décide de ne pas communiquer les renseignements dans le cas visé à l’alinéa (7)d), l’organisation en avise par écrit le commissaire et lui fournit les renseignements qu’il peut préciser.

71 (1) Si, après avoir consulté les renseignements personnels le concernant, l’individu démontre à l’organisation qu’ils sont désuets, inexacts ou incomplets, celle-ci apporte les modifications requises.

(2) L’organisation transmet, s’il y a lieu, les renseignements modifiés à tout tiers qui y a accès.

(3) Si l’organisation et l’individu ne peuvent s’entendre sur les modifications à apporter aux renseignements, l’organisation consigne le désaccord et, s’il y a lieu, en informe les tiers qui ont accès aux renseignements.

72 Sous réserve des règlements et sur demande de l’individu, une organisation communique, dès que possible, les renseignements personnels qu’elle a recueillis auprès de lui à l’organisation que ce dernier désigne si ces deux organisations sont assujetties à un cadre de mobilité des données.

73 (1) L’individu peut déposer une plainte ou une demande de renseignements auprès de l’organisation à l’égard de sa conformité à la présente partie. L’organisation donne suite aux plaintes et aux demandes de renseignements qu’elle reçoit.

(2) L’organisation rend facilement accessibles les renseignements portant sur la manière de présenter une telle plainte ou une telle demande.

(3) L’organisation enquête sur toutes les plaintes qu’elle reçoit et effectue tout changement nécessaire à ses politiques, ses pratiques et ses procédures à la suite de l’enquête.

74 Lorsque l’organisation dépersonnalise des renseignements personnels, elle veille à ce que les procédés techniques et administratifs utilisés soient proportionnels aux fins auxquelles ces renseignements sont dépersonnalisés et à la nature sensible des renseignements personnels.

75 Il est interdit à toute organisation d’utiliser des renseignements personnels qui ont été dépersonnalisés, seuls ou en combinaison avec d’autres renseignements, afin d’identifier un individu, sauf dans les cas suivants :

• a) pour vérifier l’efficacité des mesures de sécurité mises en place;

• b) pour se conformer aux exigences prévues sous le régime de la présente loi ou à celles du droit fédéral ou provincial;

• c) pour vérifier l’équité et l’exactitude des modèles, des processus et des systèmes élaborés à l’aide des renseignements dépersonnalisés;

• d) pour vérifier l’efficacité de ses processus de dépersonnalisation;

• e) à une fin ou dans une situation approuvées par le Commissaire en vertu de l’article 116;

• f) tout autre cas prévu par règlement.

PARTIE 2 

Attributions du commissaire et dispositions générales

76 (1) Au présent article et aux articles 77 à 81, entité s’entend notamment d’une organisation, que la présente loi s’applique à elle ou non, ou d’une institution gouvernementale.

(2) Toute entité peut, conformément aux règlements, demander au commissaire d’approuver un code prévoyant des pratiques qui permettent de mettre en place une protection des renseignements personnels équivalente ou supérieure à tout ou partie de celle prévue sous le régime de la présente loi.

(3) Le commissaire peut approuver le code de pratique s’il conclut que celui-ci est conforme aux critères prévus par règlement.

77 (1) Toute entité peut, conformément aux règlements, demander au commissaire d’approuver un programme de certification comprenant les éléments suivants :

• a) un code prévoyant des pratiques qui permettent de mettre en place une protection des renseignements personnels équivalente ou supérieure à tout ou partie de celle prévue sous le régime de la présente loi;

• b) des lignes directrices sur l’interprétation et la mise en œuvre du code de pratique;

• c) un mécanisme par lequel l’entité qui gère le programme peut certifier une organisation conforme à ce code;

• d) un mécanisme de vérification indépendante de la conformité d’une organisation à ce code;

• e) des mesures disciplinaires en cas de non-conformité d’une organisation à ce code, notamment la révocation de la certification;

• f) tout autre élément prévu par règlement.

(2) Le commissaire peut approuver le programme de certification s’il conclut que celui-ci est conforme aux critères prévus par règlement.

78 Le commissaire donne suite, par écrit, à la demande d’approbation mentionnée au paragraphe 76(2) ou 77(1) dans le délai précisé par règlement.

79 Le commissaire rend publique sa décision d’approuver un code de pratique ou un programme de certification.

80 Il est entendu que l’organisation n’est pas exemptée des obligations qui lui incombent sous le régime de la présente loi du fait qu’elle se conforme aux exigences d’un code de pratique ou d’un programme de certification.

81 Le commissaire peut :

• a) demander à toute entité qui gère un programme de certification approuvé tout renseignement relatif à ce programme de certification;

• b) dans l’exercice des attributions qui lui sont conférées en vertu de la présente loi, collaborer avec une entité qui gère un programme de certification approuvé;

• c) dans les circonstances et selon les critères prévus par règlement, recommander, conformément aux règlements, à toute entité qui gère un programme de certification approuvé de retirer sa certification à une organisation, s’il est d’avis que cette organisation ne se conforme pas aux exigences de ce programme;

• d) dans le cadre d’un accord ou d’une entente mentionnée à l’article 118, communiquer au commissaire de la concurrence tout renseignement relatif à une entité qui gère un programme de certification approuvé ou à une organisation certifiée en vertu d’un tel programme;

• e) révoquer, conformément aux règlements, l’approbation d’un programme de certification dans les circonstances et selon les critères prévus par règlement;

• f) consulter les institutions gouvernementales fédérales concernant les codes de pratique ou les programmes de certification.

82 (1) Tout individu peut déposer auprès du commissaire une plainte écrite contre une organisation qui contrevient à la partie 1.

(2) Le commissaire peut lui-même prendre l’initiative d’une plainte s’il a des motifs raisonnables de croire qu’une enquête devrait être menée sur une question relative à l’application de la présente loi.

(3) Lorsqu’elle porte sur le refus d’acquiescer à une demande visée à l’article 63, la plainte doit être déposée, à moins que le commissaire n’accorde un délai supplémentaire, dans les six mois suivant, selon le cas, le refus ou l’expiration du délai pour répondre à la demande.

(4) Le commissaire avise l’organisation visée de la plainte sauf s’il décide de ne pas examiner la plainte en application de l’article 84.

83 (1) Le commissaire procède à l’examen de toute plainte dont il est saisi, à moins qu’il ne juge celle-ci irrecevable pour l’un ou l’autre des motifs suivants :

• a) le plaignant devrait d’abord épuiser les procédures de règlement des griefs ou de révision qui lui sont raisonnablement ouvertes;

• b) la plainte pourrait avantageusement être instruite, dans un premier temps ou à toutes les étapes, selon des procédures prévues par le droit fédéral — à l’exception de la présente loi — ou le droit provincial;

• c) la plainte n’a pas été déposée dans un délai raisonnable après que son objet a pris naissance;

• d) la question soulevée dans la plainte fait l’objet d’un programme de certification approuvé par le commissaire au titre du paragraphe 77(2) et l’organisation concernée est certifiée dans le cadre de ce programme;

• e) il n’existe pas suffisamment d’éléments de preuve pour poursuivre l’examen;

• f) la plainte est futile, vexatoire ou entachée de mauvaise foi;

• g) l’organisation a apporté une réponse juste et équitable à la plainte;

• h) la question soulevée dans la plainte fait déjà l’objet d’un examen ou d’une investigation au titre de la présente loi;

• i) le commissaire a déjà dressé un rapport ou rendu une décision sur la question soulevée dans la plainte;

• j) la plainte fait ou a fait l’objet d’un recours ou d’une procédure visés à l’alinéa a) ou est ou a été instruite selon des procédures visées à l’alinéa b);

• k) la question soulevée dans la plainte fait l’objet d’un accord de conformité conclu en vertu du paragraphe 87(1);

• l) compte tenu de l’ensemble des circonstances entourant la plainte, l’examen est inutile ou il est inutile de le poursuivre.

(2) S’il décide de ne pas procéder à l’examen de la plainte ou de tout acte mentionné dans celle-ci, le commissaire avise le plaignant et l’organisation de sa décision et des motifs qui la justifient. Toutefois, dans le cas où il prend cette décision pour l’un des motifs mentionnés à l’article 84, il n’avise pas l’organisation.

(3) Le commissaire peut reconsidérer sa conclusion d’irrecevabilité faite au titre du paragraphe (1) si le plaignant le convainc qu’il existe des raisons impérieuses pour procéder à l’examen.

84 Malgré le paragraphe 83(1), le commissaire n’a pas à examiner tout acte mentionné dans la plainte qui, à son avis, constituerait, s’il était prouvé, une contravention à l’un des articles 6 à 9 de la Loi visant à promouvoir l’efficacité et la capacité d’adaptation de l’économie canadienne par la réglementation de certaines pratiques qui découragent l’exercice des activités commerciales par voie électronique et modifiant la Loi sur le Conseil de la radiodiffusion et des télécommunications canadiennes, la Loi sur la concurrence, la Loi sur la protection des renseignements personnels et les documents électroniques et la Loi sur les télécommunications ou à l’article 52.‍01 de la Loi sur la concurrence ou tout comportement susceptible d’examen visé à l’article 74.‍011 de cette loi.

85 Le commissaire peut mettre fin à l’examen de la plainte pour l’un ou l’autre des motifs visés au paragraphe 83(1) ou à l’article 84. Il avise le plaignant et l’organisation de sa décision et des motifs qui la justifient.

86 Le commissaire peut tenter de parvenir au règlement de la plainte en ayant recours à un mode de règlement des différends, notamment la médiation et la conciliation, à moins qu’elle ne fasse l’objet d’une investigation.

87 (1) Si, dans le cadre de l’examen d’une plainte, le commissaire a des motifs raisonnables de croire à l’existence, à l’imminence ou à la probabilité d’un fait — acte ou omission — pouvant constituer une contravention à la partie 1, il peut conclure avec l’organisation intéressée un accord de conformité, visant à faire respecter la présente loi.

(2) L’accord de conformité est assorti des conditions que le commissaire estime nécessaires pour faire respecter la présente loi.

(3) Le commissaire ne peut mener une investigation au titre de l’article 89 relativement à toute question faisant l’objet de l’accord.

(4) Il est entendu que la conclusion de l’accord n’a pas pour effet d’empêcher les poursuites pour infraction à la présente loi.

88 Le commissaire avise le plaignant et l’organisation de sa décision, à la conclusion de son examen, de ne pas mener d’investigation ainsi que des motifs qui la justifient.

89 (1) Suivant l’examen d’une plainte, le commissaire peut mener une investigation sur la plainte si elle ne fait pas l’objet d’une procédure visée à l’article 86 ou elle n’est pas résolue ou le commissaire n’y a pas mis fin.

(2) Le commissaire avise le plaignant ainsi que l’organisation visée par la plainte de la tenue de l’investigation.

90 (1) Si le commissaire croit, pour des motifs raisonnables, que l’accord de conformité conclu entre lui et une organisation en vertu du paragraphe 87(1) n’a pas été respecté, il peut mener une investigation relativement au défaut de conformité.

(2) Le commissaire avise l’organisation de la tenue de l’investigation.

91 (1) Sous réserve du paragraphe (2), le commissaire n’est pas lié par les règles juridiques ou techniques applicables en matière de preuve lors de l’investigation. Dans la mesure où les circonstances, l’équité et la justice naturelle le permettent, il lui appartient d’agir rapidement et sans formalisme.

(2) Le commissaire ne peut recevoir ni admettre en preuve quelque élément protégé par le droit de la preuve et rendu, de ce fait, inadmissible en justice devant un tribunal judiciaire.

(3) Dans le cadre de l’investigation, le commissaire donne au plaignant et à l’organisation la possibilité d’être entendus et, à cette fin, de se faire représenter par un conseiller juridique ou par toute autre personne.

(4) Le commissaire peut tenir tout ou partie de l’investigation à huis clos.

92 Le commissaire établit les règles concernant la conduite d’une investigation, notamment en matière de procédure à suivre et de preuve. Il les rend accessibles au public.

93 (1) Au terme de l’investigation, le commissaire rend une décision qui expose :

• a) ses conclusions quant à savoir si l’organisation a contrevenu à la présente loi ou n’a pas respecté un accord de conformité;

• b) toutes ordonnances rendues en vertu du paragraphe (2);

• c) toute décision rendue au titre du paragraphe 94(1);

• d) les motifs qui justifient les conclusions, les ordonnances ou les décisions.

(2) Le commissaire peut, dans la mesure où cela est raisonnablement nécessaire pour assurer la conformité avec la présente loi, ordonner à l’organisation :

• a) de prendre toute mesure afin de se conformer à la présente loi;

• b) de cesser toute action qui contrevient à la présente loi;

• c) de respecter un accord de conformité qu’elle a conclu;

• d) de rendre publique toute action prise ou envisagée pour corriger les politiques, les pratiques ou les procédures qu’elle a mises en place afin de respecter les obligations qui lui incombent sous le régime de la présente loi.

(3) Le commissaire envoie la décision, sans délai, au plaignant et à l’organisation.

(4) Le commissaire conclut l’investigation menée au titre de l’article 89 dans l’année suivant, selon le cas, la date du dépôt de la plainte ou celle où il en a pris l’initiative. Il peut toutefois proroger ce délai, d’une période n’excédant pas un an, s’il en avise le plaignant et l’organisation concernée et leur indique la date prévue de conclusion de l’investigation.

94 (1) Si, au terme de l’investigation menée en application des articles 89 ou 90, il conclut qu’une organisation a contrevenu à l’une ou plusieurs des dispositions ci-après, le commissaire décide s’il recommande qu’une pénalité soit infligée à l’organisation par le Tribunal :

• a) le paragraphe 9(1);

• b) le paragraphe 11(1);

• c) les paragraphes 12(3) et (4);

• d) l’article 13;

• e) le paragraphe 14(1);

• f) les paragraphes 15(1) et (7);

• g) l’article 16;

• h) le paragraphe 17(2);

• i) l’article 53;

• j) les paragraphes 55(1) et (4);

• k) le paragraphe 57(1);

• l) les paragraphes 58(1) et (3);

• m) l’article 61;

• n) le paragraphe 62(1).

(2) Il tient compte, dans sa décision, des éléments suivants :

• a) la nature et la portée de la contravention;

• b) la preuve que l’organisation a pris toutes les précautions voulues pour empêcher la contravention;

• c) les efforts raisonnables que l’organisation a déployés pour atténuer ou neutraliser les incidences de la contravention;

• d) les antécédents de l’organisation en ce qui concerne le respect de la présente loi;

• e) tout élément prévu par règlement;

• f) tout autre élément pertinent.

(3) Il ne peut recommander qu’une pénalité soit infligée à l’organisation s’il est d’avis qu’au moment de la contravention de la disposition en cause l’organisation se conformait aux exigences d’un programme de certification qu’il a approuvé au titre du paragraphe 77(2) et qui concerne la disposition.

(4) S’il décide de recommander qu’une pénalité soit infligée à l’organisation, le commissaire dépose auprès du Tribunal une copie de la décision rendue au titre du paragraphe 93(1) qui expose la décision de faire la recommandation.

95 (1) Le Tribunal peut, par ordonnance, infliger une pénalité à une organisation si les conditions ci-après sont réunies :

• a) le commissaire dépose une copie d’une décision concernant l’organisation auprès du Tribunal au titre du paragraphe 94(4) ou ce dernier, dans le cadre d’un appel, substitue sa propre décision de recommander qu’une pénalité soit infligée à l’organisation à celle du commissaire de ne pas le recommander;

• b) l’organisation et le commissaire ont eu la possibilité de présenter des observations;

• c) le Tribunal décide qu’il est indiqué d’en infliger une.

(2) Pour décider s’il est indiqué d’infliger une pénalité à l’organisation, le Tribunal se fonde sur les conclusions exposées dans la décision rendue par le commissaire au titre du paragraphe 93(1) à l’égard de l’organisation ou sur ses propres conclusions si, dans le cadre d’un appel, il les substitue à celles du commissaire.

(3) Aucune pénalité ne peut être infligée à l’organisation relativement à une contravention si une poursuite a été engagée contre elle pour l’action ou l’omission constituant la contravention ou si elle établit qu’elle a pris les précautions voulues pour empêcher la contravention.

(4) Le montant maximal de la pénalité pour l’ensemble des contraventions visées par la recommandation est de dix millions de dollars ou de 3 % des recettes globales brutes de l’organisation au cours de son exercice précédant celui pendant lequel la pénalité est infligée, si ce montant est plus élevé.

(5) Pour décider s’il est indiqué d’infliger une pénalité à l’organisation et, le cas échéant, en déterminer le montant, le Tribunal tient compte des éléments suivants :

• a) ceux énoncés au paragraphe 94(2);

• b) la capacité de l’organisation à payer la pénalité et l’effet probable du paiement de celle-ci sur sa capacité à exercer ses activités;

• c) tout avantage financier que l’organisation a retiré de la contravention.

(6) L’infliction de la pénalité vise non pas à punir mais à favoriser le respect de la présente loi.

96 Les pénalités prévues à l’article 95 constituent, à compter de la date à laquelle elles ont été infligées, des créances de Sa Majesté qui sont exigibles et dont le recouvrement peut être poursuivi à ce titre par le ministre.

97 Le commissaire peut, sur préavis suffisant et à toute heure convenable, procéder à la vérification des pratiques de l’organisation en matière de gestion des renseignements personnels s’il a des motifs raisonnables de croire qu’elle a contrevenu, contrevient ou est susceptible de contrevenir à la partie 1.

98 (1) À l’issue de la vérification, le commissaire adresse à l’organisation en cause un rapport où il présente ses conclusions ainsi que les recommandations qu’il juge indiquées.

(2) Ce rapport peut être incorporé dans le rapport visé à l’article 121.

99 (1) Le commissaire peut, dans le cadre de l’examen des plaintes, d’une investigation ou d’une vérification :

• a) assigner et contraindre des témoins à comparaître devant lui, à déposer verbalement ou par écrit sous la foi du serment et à produire les documents ou pièces qu’il juge nécessaires pour examiner la plainte ou pour procéder à l’investigation ou à la vérification dont il est saisi, de la même façon et dans la même mesure qu’une cour supérieure d’archives;

• b) faire prêter serment;

• c) recevoir les éléments de preuve ou les renseignements — fournis notamment par déclaration verbale ou écrite sous serment — qu’il estime indiqués, indépendamment de leur admissibilité devant les tribunaux;

• d) rendre toute ordonnance provisoire qu’il juge indiquée;

• e) ordonner à une organisation qui, relativement à une plainte, une investigation ou une vérification, détient un renseignement pertinent, de le conserver le temps nécessaire pour lui permettre d’examiner la plainte ou de procéder à l’investigation ou à la vérification;

• f) visiter, à toute heure convenable, tout local — autre qu’une maison d’habitation — occupé par l’organisation, à condition de satisfaire aux normes de sécurité établies par elle pour ce local;

• g) s’entretenir en privé avec toute personne se trouvant dans le local visé à l’alinéa f) et y mener les enquêtes qu’il estime nécessaires;

• h) examiner ou se faire remettre des copies ou des extraits des documents contenant des éléments utiles à l’examen de la plainte, à la vérification ou à l’investigation et trouvés dans le local visé à l’alinéa f).

(2) Le commissaire ou son délégué renvoie les documents ou pièces demandés en vertu du présent article aux personnes ou organisations qui les ont produits dans les dix jours suivant la requête que celles-ci lui présentent à cette fin, mais rien n’empêche le commissaire ou son délégué d’en réclamer une nouvelle production.

100 (1) Le commissaire peut déléguer les attributions que les articles 83 à 97 et le paragraphe 99(1) lui confèrent.

(2) Chaque personne à qui les attributions visées au paragraphe 99(1) sont déléguées reçoit un certificat attestant sa qualité, qu’il présente, sur demande, au responsable du local qui sera visité en application de l’alinéa f) de ce paragraphe.

101 (1) Peuvent être portées en appel devant le Tribunal par le plaignant ou l’organisation touchés :

• a) toute conclusion exposée dans une décision rendue au titre du paragraphe 93(1);

• b) toute ordonnance rendue en vertu du paragraphe 93(2);

• c) la décision de ne pas recommander qu’une pénalité soit infligée à l’organisation, rendue au titre du paragraphe 94(1).

(2) Le délai d’appel est de trente jours après le jour où le commissaire rend, au titre du paragraphe 93(1), la décision qui expose la conclusion, l’ordonnance ou la décision en cause.

102 (1) Le plaignant ou l’organisation touchés par une ordonnance provisoire rendue en vertu de l’alinéa 99(1)d) peut, avec l’autorisation du Tribunal, la porter en appel devant ce dernier.

(2) Le délai pour présenter une demande d’autorisation d’appel est de trente jours après le jour où l’ordonnance est rendue.

103 (1) Le Tribunal peut rejeter l’appel ou y faire droit et substituer sa propre conclusion, ordonnance ou décision à celle en cause.

(2) La norme de contrôle applicable dans le cadre de l’appel est la norme de la décision correcte pour les questions de droit et celle de la norme de l’erreur manifeste et déterminante pour les questions de fait ou les questions mixtes de droit et de fait.

104 (1) Si l’ordonnance rendue par le commissaire en vertu du paragraphe 93(2) n’est pas portée en appel devant le Tribunal ou si ce dernier rejette l’appel interjeté à l’encontre d’une telle ordonnance, celle-ci peut, en vue de son exécution, être homologuée par la Cour fédérale; son exécution s’effectue dès lors selon les mêmes modalités que les ordonnances de la cour.

(2) Si l’ordonnance rendue par le commissaire en vertu de l’alinéa 99(1)d) ne fait pas l’objet d’une demande d’autorisation d’appel devant le Tribunal ou qu’une telle demande est rejetée par ce dernier ou si encore le Tribunal fait droit à une telle demande mais rejette l’appel, l’ordonnance peut, en vue de son exécution, être homologuée par la Cour fédérale; son exécution s’effectue dès lors selon les mêmes modalités que les ordonnances de la cour.

105 Si le Tribunal, dans le cadre d’un appel, substitue sa propre ordonnance à celle rendue par le commissaire en vertu du paragraphe 93(2) ou de l’alinéa 99(1)d), l’ordonnance du Tribunal peut, en vue de son exécution, être homologuée par la Cour fédérale; son exécution s’effectue dès lors selon les mêmes modalités que les ordonnances de la cour.

106 L’ordonnance visée aux articles 104 ou 105 est homologuée sur dépôt d’une copie certifiée conforme au greffe de la Cour fédérale.

107 (1) L’individu touché par les actes ou omissions d’une organisation qui constituent une contravention à la présente loi a une cause d’action en dommages-intérêts, contre cette organisation, pour la perte ou le préjudice résultant de la contravention si, selon le cas :

• a) le commissaire conclut pour l’application de l’alinéa 93(1)a) que l’organisation a contrevenu à la présente loi et :

  • (i) soit, à l’expiration du délai d’appel prévu au paragraphe 101(2), la conclusion ne fait pas l’objet d’un appel,

  • (ii) soit le Tribunal rejette, en vertu du paragraphe 103(1), l’appel interjeté à l’encontre de la conclusion;

• b) le Tribunal a conclu, en vertu du paragraphe 103(1), que l’organisation a contrevenu à la présente loi.

(2) Si une organisation est condamnée en application de l’article 128 pour une infraction à la présente loi, l’individu touché par les actes ou omissions ayant donné lieu à l’infraction a une cause d’action en dommages-intérêts contre cette organisation, pour la perte ou le préjudice résultant des actes ou omissions.

(3) L’action en dommages-intérêts se prescrit par deux ans à compter de la date où l’individu a eu connaissance, selon le cas :

• a) de la conclusion du commissaire ou, si un appel est interjeté, de la décision du Tribunal, dans le cas d’une action mentionnée au paragraphe (1);

• b) de la condamnation, dans le cas d’une action mentionnée au paragraphe (2).

(4) Toute action mentionnée au paragraphe (1) ou (2) est introduite devant la Cour fédérale ou la cour supérieure d’une province.

108 (1) Dans le cas où a été délivré au titre de l’article 38.‍13 de la Loi sur la preuve au Canada un certificat interdisant la divulgation de renseignements personnels concernant un individu donné avant le dépôt par celui-ci d’une plainte au titre de la présente loi relative à la une demande d’accès à ces renseignements, les dispositions de cette loi concernant le droit d’accès de l’individu aux renseignements personnels le concernant ne s’appliquent pas aux renseignements visés par le certificat.

(2) Malgré toutes dispositions de la présente loi, dans le cas où a été délivré au titre de l’article 38.‍13 de la Loi sur la preuve au Canada un certificat interdisant la divulgation de renseignements personnels concernant un individu donné après le dépôt d’une plainte de refus d’accès au titre de la présente loi relativement à la demande de communication de ces renseignements :

• a) toute procédure — notamment l’examen d’une plainte, une investigation, une vérification, un appel ou une révision judiciaire — prévue par la présente loi et portant sur ces renseignements est interrompue;

• b) le commissaire ne peut communiquer les renseignements et prend les précautions nécessaires pour empêcher leur communication;

• c) le commissaire renvoie les renseignements à l’organisation qui les a fournis dans les dix jours suivant la publication du certificat dans la Gazette du Canada.

(3) Dans l’exercice des attributions que la présente loi confère au commissaire, le commissaire et les personnes agissant en son nom ou sous son autorité ne peuvent communiquer, et prennent toutes les précautions pour éviter que ne soient communiqués les renseignements visés par un certificat délivré au titre de l’article 38.‍13 de la Loi sur la preuve au Canada.

(4) Le commissaire ne peut déléguer l’examen d’une plainte ou la tenue d’une investigation portant sur des renseignements visés par un certificat délivré au titre de l’article 38.‍13 de la Loi sur la preuve au Canada qu’à l’un de ses collaborateurs choisi parmi quatre des cadres ou employés du commissariat et qu’il désigne spécialement pour tenir l’examen ou l’investigation, selon le cas.

109 Dans l’exercice des attributions que lui confère la présente loi, le commissaire tient compte de l’objet de la loi, de la taille et des recettes des organisations, du volume et du degré de sensibilité des renseignements personnels qui relèvent d’elles ainsi que de toute question d’intérêt public.

110 (1) Le commissaire, en la forme et de la manière qu’il estime appropriées :

• a) élabore et offre au grand public des programmes d’information destinés à lui faire mieux comprendre la présente loi et son objet;

• b) élabore, en consultation avec les intéressés — notamment toute institution gouvernementale fédérale concernée —, du matériel d’orientation et des outils relatifs à la conformité des organisations à la présente loi, notamment ceux que le ministre demande;

• c) fait des recherches liées à la protection des renseignements personnels — et en publie les résultats —, notamment celles que le ministre demande;

• d) fait les recherches liées à l’application de la présente loi ou à sa mise en œuvre que le ministre demande et en publie les résultats;

• e) sur demande d’une organisation, conseille celle-ci au sujet de son programme de gestion de la protection des renseignements personnels et, s’il l’estime approprié, lui recommande des mesures correctives relativement à ce programme;

• f) prend toute autre mesure qu’il juge indiquée pour la promotion de l’objet de la présente loi.

(2) Il est entendu que, pour l’application de l’alinéa (1)e), le commissaire peut prioriser les demandes des organisations qui, à son avis, ont le plus besoin d’être conseillées et n’est pas tenu de donner suite à une demande qu’il estime déraisonnable.

111 Le commissaire ne peut utiliser les renseignements qu’il obtient au titre de l’article 10 ou en application de l’alinéa 110(1)e) comme motifs pour prendre l’initiative d’une plainte en vertu du paragraphe 82(2) ou procéder à une vérification en vertu de l’article 97, sauf s’il estime que, volontairement, l’organisation ignore les mesures correctives recommandées relativement à son programme de gestion de la protection des renseignements personnels.

112 Le commissaire rend facilement accessible du contenu explicatif sur la manière dont il exerce les attributions que lui confère la présente loi.

113 (1) Sous réserve des paragraphes (3) à (8), de l’article 79, de l’alinéa 81c), des paragraphes 82(4) et 83(2), de l’article 88, des paragraphes 89(2) et 90(2), de l’article 93, des paragraphes 94(4), 98(1), 118(2), 119(3) et 120(1) et de l’article 121, le commissaire et les personnes agissant en son nom ou sous son autorité sont tenus au secret en ce qui concerne les renseignements dont ils prennent connaissance par suite de l’exercice des attributions que la présente loi confère au commissaire, à l’exception de celles visées aux paragraphes 58(1) ou 60(2).

(2) Sous réserve des paragraphes (3) à (8), de l’article 79, de l’alinéa 81c), des paragraphes 82(4) et 83(2), de l’article 88, des paragraphes 89(2) et 90(2), de l’article 93, des paragraphes 94(4), 98(1), 118(2), 119(3) et 120(1) et de l’article 121, le commissaire et les personnes agissant en son nom ou sous son autorité sont tenus au secret en ce qui concerne les renseignements figurant dans une déclaration obtenue en application du paragraphe 58(1) ou dans un registre obtenu en application du paragraphe 60(2).

(3) Le commissaire peut rendre publique toute information dont il prend connaissance par suite de l’exercice des attributions que la présente loi lui confère, s’il estime que cela est dans l’intérêt public.

(4) Il peut communiquer — ou autoriser les personnes agissant en son nom ou sous son autorité à communiquer — les renseignements qui, à son avis, sont nécessaires pour :

• a) examiner une plainte ou procéder à une vérification ou une investigation en vertu de la présente loi;

• b) motiver les conclusions et recommandations contenues dans les rapports ou décisions prévus par la présente loi.

(5) Il peut également communiquer — ou autoriser les personnes agissant en son nom ou sous son autorité à communiquer — des renseignements :

• a) dans le cadre des procédures intentées pour l’infraction visée à l’article 128;

• b) dans le cadre des procédures intentées pour l’infraction visée à l’article 132 du Code criminel (parjure) se rapportant à une déclaration faite en vertu de la présente loi;

• c) lors d’une audience ou d’un appel devant le Tribunal prévu par la présente loi;

• d) dans le cadre d’un contrôle judiciaire à l’égard de l’exercice des attributions que la présente loi confère au commissaire ou relativement à une décision du Tribunal.

(6) Dans les cas où, à son avis, il existe des éléments de preuve touchant la perpétration d’infractions au droit fédéral ou provincial par un cadre ou employé d’une organisation, le commissaire peut communiquer au procureur général du Canada ou d’une province, selon le cas, des renseignements qu’il détient à cet égard.

(7) Le commissaire peut communiquer — ou autoriser les personnes agissant en son nom ou sous son autorité à communiquer — tout renseignement figurant dans une déclaration obtenue en application du paragraphe 58(1) ou dans un registre obtenu en application du paragraphe 60(2) à une institution gouvernementale ou à une subdivision d’une telle institution, si le commissaire a des motifs raisonnables de croire qu’il pourrait être utile à une enquête sur une contravention au droit fédéral ou provincial qui a été commise ou est en train ou sur le point de l’être.

(8) Le commissaire peut communiquer — ou autoriser les personnes agissant en son nom ou sous son autorité à communiquer — des renseignements soit dans le cadre des procédures où il est intervenu au titre de l’alinéa 50c) de la Loi visant à promouvoir l’efficacité et la capacité d’adaptation de l’économie canadienne par la réglementation de certaines pratiques qui découragent l’exercice des activités commerciales par voie électronique et modifiant la Loi sur le Conseil de la radiodiffusion et des télécommunications canadiennes, la Loi sur la concurrence, la Loi sur la protection des renseignements personnels et les documents électroniques et la Loi sur les télécommunications, soit en conformité avec les paragraphes 58(3) ou 60(1) de cette loi.

114 En ce qui concerne les questions venues à leur connaissance par suite de l’exercice des attributions que la présente loi confère au commissaire, le commissaire et les personnes agissant en son nom ou sous son autorité n’ont qualité pour témoigner que dans le cadre des procédures suivantes :

• a) les procédures intentées pour l’infraction visée à l’article 128;

• b) les procédures intentées pour l’infraction visée à l’article 132 du Code criminel (parjure) se rapportant à une déclaration faite en vertu de la présente loi;

• c) une audience ou un appel devant le Tribunal prévu par la présente loi.

115 (1) Le commissaire et les personnes agissant en son nom ou sous son autorité bénéficient de l’immunité en matière civile ou pénale pour les actes accomplis, les rapports établis, les décisions rendues et les paroles prononcées de bonne foi par suite de l’exercice effectif ou censé tel des attributions que la présente loi confère au commissaire.

(2) Ne peuvent donner lieu à poursuites pour diffamation :

• a) les paroles prononcées, les renseignements fournis ou les documents ou pièces produits de bonne foi au cours de l’examen d’une plainte, d’une investigation ou d’une vérification effectué par le commissaire ou en son nom dans le cadre de la présente loi;

• b) les rapports établis ou les décisions rendues de bonne foi par le commissaire dans le cadre de la présente loi, ainsi que les relations qui en sont faites de bonne foi pour des comptes rendus d’événements d’actualités.

116 Pour l’application de l’alinéa 75e), le Commissaire peut, sur demande de l’organisation, approuver, lorsqu’il l’estime manifestement dans l’intérêt de l’individu, une fin pour laquelle, ou une situation dans laquelle, des renseignements personnels qui ont été dépersonnalisés, peuvent être utilisés, seuls ou en combinaison avec d’autres renseignements, par l’organisation afin d’identifier un individu.

117 Le commissaire peut conclure un accord ou une entente avec le ministre relativement à l’application de la présente loi.

118 (1) Le commissaire peut conclure des accords ou des ententes avec le Conseil de la radiodiffusion et des télécommunications canadiennes et le commissaire de la concurrence en vue :

• a) d’effectuer des recherches sur des questions dans lesquelles ils ont un intérêt commun et d’en publier les résultats;

• b) d’élaborer la procédure à suivre pour la communication mentionnée au paragraphe (2).

(2) Le commissaire peut, en conformité avec toute procédure visée à l’alinéa (1)b), communiquer avec le Conseil de la radiodiffusion et des télécommunications canadiennes et le commissaire de la concurrence des renseignements relatifs à l’exercice de leurs attributions, autres que les renseignements obtenus au titre de l’article 10 ou en application de l’alinéa 110(1)e).

(3) La procédure visée à l’alinéa (1)b) doit prévoir que les renseignements ne peuvent être utilisés qu’aux fins pour lesquelles ils ont été échangés et seront traités de manière confidentielle et ne seront pas autrement communiqués sans le consentement exprès du commissaire.

119 (1) S’il l’estime indiqué ou si tout intéressé le lui demande, le commissaire peut, pour veiller à ce que les renseignements personnels soient protégés de la façon la plus uniforme possible, consulter toute personne ayant, au titre d’une loi provinciale, des attributions semblables à celles du commissaire en matière de protection de tels renseignements.

(2) Il peut conclure des accords ou ententes avec toute personne visée au paragraphe (1) en vue :

• a) de coordonner l’activité de leurs bureaux respectifs, notamment de prévoir des mécanismes pour instruire les plaintes dans lesquelles ils ont un intérêt mutuel;

• b) d’effectuer des recherches ou d’élaborer des lignes directrices ou d’autres documents en matière de protection des renseignements personnels et de publier ces lignes directrices ou autres documents ou les résultats de ces recherches;

• c) d’élaborer des contrats ou autres documents types portant sur la protection des renseignements personnels recueillis, utilisés ou communiqués d’une province à l’autre ou d’un pays à l’autre;

• d) d’élaborer la procédure à suivre pour la communication des renseignements au titre du paragraphe (3).

(3) Le commissaire peut, conformément à toute procédure élaborée au titre de l’alinéa (2)d), communiquer des renseignements, autres que ceux obtenus au titre de l’article 10 ou en application de l’alinéa 110(1)e), à toute personne visée au paragraphe (1) dans le cas où ceux-ci :

• a) soit pourraient être utiles à l’examen d’une plainte, à une investigation ou à une vérification — en cours ou éventuelle — au titre de la présente loi ou d’une loi provinciale dont les objectifs sont semblables à ceux de la présente loi;

• b) soit pourraient aider la personne ou le commissaire à exercer ses attributions en matière de protection des renseignements personnels.

(4) La procédure visée à l’alinéa (2)d) :

• a) précise que les renseignements ne peuvent être utilisés qu’aux fins auxquelles ils ont été communiqués;

• b) prévoit que les renseignements seront traités de manière confidentielle et ne seront pas autrement communiqués sans le consentement exprès du commissaire.

120 (1) Sous réserve du paragraphe (3), le commissaire peut, conformément à toute procédure établie au titre de l’alinéa (4)b), communiquer les renseignements mentionnés au paragraphe (2), autres que ceux obtenus au titre de l’article 10 ou en application de l’alinéa 110(1)e), dont il a pris connaissance à la suite de l’exercice des attributions que lui confère la présente loi à toute personne ou à tout organisme qui, au titre d’une loi d’un État étranger :

• a) soit a des attributions semblables à celles du commissaire en matière de protection de renseignements personnels;

• b) soit est chargé de réprimer des comportements essentiellement semblables à ceux qui constitueraient des contraventions au titre de la présente loi.

(2) Les renseignements que le commissaire est autorisé à communiquer au titre du paragraphe (1) sont les suivants :

• a) ceux qui, selon lui, pourraient être utiles à une enquête ou à une procédure — en cours ou éventuelle — relative à une contravention à une loi de l’État étranger visant des comportements essentiellement semblables à ceux qui constitueraient des contraventions au titre de la présente loi;

• b) ceux dont il croit que la communication est nécessaire afin d’obtenir de la personne ou de l’organisme des renseignements qui pourraient être utiles à l’examen d’une plainte, à une investigation ou à une vérification — en cours ou éventuelle — au titre de la présente loi.

(3) Le commissaire ne peut communiquer les renseignements à la personne ou à l’organisme visé au paragraphe (1) que s’il a conclu avec la personne ou l’organisme une entente écrite qui, à la fois :

• a) précise que seuls les renseignements nécessaires aux fins prévues aux alinéas (2)a) et b) peuvent être communiqués;

• b) précise que les renseignements ne peuvent être utilisés qu’aux fins auxquelles ils ont été communiqués;

• c) prévoit que les renseignements seront traités de manière confidentielle et ne seront pas autrement communiqués sans le consentement exprès du commissaire.

(4) Le commissaire peut conclure des ententes avec toute personne ou tout organisme visés au paragraphe (1), ou avec plusieurs d’entre eux, en vue :

• a) d’assurer une coopération en matière de contrôle d’application des lois portant sur la protection des renseignements personnels, notamment la communication des renseignements visés au paragraphe (2) et la mise en place de mécanismes pour l’instruction des plaintes dans lesquelles ils ont un intérêt commun;

• b) d’établir la procédure à suivre pour communiquer les renseignements mentionnés au paragraphe (2);

• c) d’élaborer des documents — recommandations, résolutions, règles, normes ou autres — relativement à la protection des renseignements personnels;

• d) d’effectuer des recherches en matière de protection des renseignements personnels et d’en publier les résultats;

• e) de partager les connaissances et l’expertise, notamment par l’échange de personnel;

• f) de préciser des questions d’intérêt commun et de fixer des priorités en matière de protection des renseignements personnels.

121 (1) Dans les trois mois suivant la fin de chaque exercice, le commissaire fait déposer devant chaque chambre du Parlement son rapport sur l’application de la présente loi, sur la mesure dans laquelle les provinces ont édicté des lois essentiellement semblables à celle-ci et sur l’application de ces lois.

(2) Avant de rédiger son rapport, le commissaire consulte les personnes dans les provinces qui, à son avis, sont en mesure de l’aider à faire un rapport concernant les renseignements personnels recueillis, utilisés ou communiqués d’une province à l’autre ou d’un pays à l’autre.

122 (1) Le gouverneur en conseil peut, par règlement, prendre toute mesure d’application de la présente loi, notamment :

• a) régir la portée des activités visées aux alinéas 18(2)a) à c) et préciser celles qui sont exclues de l’application de la présente loi;

• b) préciser, pour l’application de toute disposition de la présente loi, les institutions gouvernementales et les subdivisions d’institutions gouvernementales;

• c) préciser tout renseignement pour l’application de l’article 51;

• d) préciser les renseignements qui doivent être tenus et conservés au titre du paragraphe 60(1);

• e) prendre toute mesure d’ordre réglementaire prévue par la présente loi.

(2) Il peut, par décret :

• a) prévoir que la présente loi lie tout mandataire de Sa Majesté du chef du Canada qui n’est pas assujetti à la Loi sur la protection des renseignements personnels;

• b) s’il est convaincu qu’une loi provinciale essentiellement semblable à la présente loi s’applique à une organisation — ou catégorie d’organisations — ou à une activité — ou catégorie d’activités —, soustraire l’organisation, l’activité ou la catégorie à l’application de la présente loi à l’égard de la collecte, de l’utilisation ou de la communication de renseignements personnels qui s’effectue à l’intérieur de la province en cause;

• c) modifier l’annexe par adjonction ou par suppression, dans la colonne 1, du nom d’une organisation ou, dans la colonne 2, de la description des renseignements personnels à l’égard de toute organisation figurant à la colonne 1.

(3) Le gouverneur en conseil peut, par règlement :

• a) établir les critères et le processus lui permettant, pour l’application de l’alinéa (2)b), de conclure qu’uneloi provinciale est essentiellement semblable à la présente loi; 

• b) établir les critères et le processus lui permettant de reconsidérer cette conclusion.

123 Le gouverneur en conseil peut prendre des règlements concernant la communication de renseignements personnels au titre de l’article 72, notamment des règlements :

• a) concernant les cadres de mobilité des données et prévoyant :

  • (i) les mesures de sécurité qu’une organisation doit mettre en place afin de permettre une communication sécuritaire des renseignements personnels au titre de l’article 72 ainsi que la collecte de ces renseignements,

  • (ii) les paramètres des moyens techniques permettant d’assurer l’interopérabilité en matière de communication et de collecte de ces renseignements;

• b) précisant les organisations qui sont assujetties à un tel cadre;

• c) prévoyant des exceptions à l’obligation de communiquer des renseignements personnels, notamment en ce qui a trait à la protection des renseignements commerciaux exclusifs et confidentiels.

124 Les règlements pris au titre du paragraphe 122(1) ou de l’article 123 peuvent traiter différemment les catégories d’activités, d’institutions gouvernementales et de subdivisions d’institutions gouvernementales, de renseignements, d’organisations ou d’entités.

125 Le ministre peut prendre des règlements :

• a) concernant la présentation de la demande mentionnée au paragraphe 76(2);

• b) prévoyant les critères de conformité pour l’application du paragraphe 76(3);

• c) concernant la révision de la décision mentionnée au paragraphe 76(3);

• d) concernant la présentation de la demande mentionnée au paragraphe 77(1);

• e) prévoyant les autres éléments qu’un programme de certification doit comprendre pour l’application de l’alinéa 77(1)f);

• f) prévoyant les critères pour l’application du paragraphe 77(2);

• g) concernant la révision de la décision mentionnée au paragraphe 77(2);

• h) précisant le délai de réponse à une demande pour l’application de l’article 78;

• i) concernant les circonstances dans lesquelles le commissaire peut faire la recommandation mentionnée à l’alinéa 81c), les critères applicables ainsi que la manière de faire la recommandation;

• j) concernant les circonstances dans lesquelles une approbation peut être révoquée en application de l’alinéa 81e), les critères applicables ainsi que la manière de procéder à la révocation;

• k) concernant les obligations en matière de rapports et de tenue de registres auxquelles sont assujetties les entités qui gèrent des programmes de certification approuvés, notamment l’obligation de faire rapport au commissaire relativement aux programmes de certification approuvés.

126 (1) Toute personne qui a des motifs raisonnables de croire qu’une autre personne a contrevenu à la partie 1, ou a l’intention d’y contrevenir, peut notifier au commissaire des détails sur la question et exiger l’anonymat relativement à cette dénonciation.

(2) Le commissaire est tenu de garder confidentielle l’identité du dénonciateur auquel il donne l’assurance de l’anonymat.

127 (1) Il est interdit à l’employeur de congédier un employé, de le suspendre, de le rétrograder, de le punir, de le harceler ou de lui faire subir tout autre inconvénient, ou de le priver d’un avantage lié à son emploi parce que :

• a) l’employé, agissant de bonne foi et se fondant sur des motifs raisonnables, a informé le commissaire que l’employeur ou une autre personne a contrevenu à la partie 1, ou a l’intention d’y contrevenir;

• b) l’employé, agissant de bonne foi et se fondant sur des motifs raisonnables, a refusé ou a fait part de son intention de refuser d’accomplir un acte qui constitue une contravention à la partie 1;

• c) l’employé, agissant de bonne foi et se fondant sur des motifs raisonnables, a accompli ou a fait part de son intention d’accomplir un acte nécessaire pour empêcher la contravention à la partie 1;

• d) l’employeur croit que l’employé accomplira un des actes prévus aux alinéas a), b) ou c).

(2) Le présent article n’a pas pour effet de restreindre les droits d’un employé, que ce soit en général ou dans le cadre d’un contrat de travail ou d’une convention collective.

(3) Au présent article, employé s’entend notamment d’un travailleur autonome et employeur a un sens correspondant.

128 Toute organisation qui contrevient sciemment à l’article 58, au paragraphe 60(1), aux articles 69 ou 75 ou au paragraphe 127(1) ou à une ordonnance rendue en vertu du paragraphe 93(2) ou qui entrave l’action du commissaire — ou de son délégué — dans le cadre d’une vérification, d’une investigation ou de l’examen d’une plainte commet une infraction et encourt, sur déclaration de culpabilité :

• a) par mise en accusation, une amende maximale de vingt-cinq millions de dollars ou, s’il est supérieur, d’un montant égal à 5 % des recettes globales brutes de l’organisation au cours de son exercice précédant celui pendant lequel elle a été condamnée;

• b) par procédure sommaire, une amende maximale de vingt millions de dollars ou, s’il est supérieur, d’un montant égal à 4 % des recettes globales brutes de l’organisation au cours de son exercice précédant celui pendant lequel elle a été condamnée.

129 (1) Tous les cinq ans suivant la date d’entrée en vigueur du présent article, le comité soit du Sénat, soit de la Chambre des communes, soit mixte, que le Sénat, la Chambre des communes ou le Sénat et la Chambre des communes, selon le cas, désignent ou constituent à cette fin commence un examen approfondi des dispositions de la présente loi et de son application.

(2) Dans un délai d’un an à compter de la date du début de l’examen, ou dans tout délai supérieur que le Sénat, la Chambre des communes ou les deux chambres, selon le cas, lui accordent, le comité remet son rapport d’examen, au Sénat, à la Chambre des communes ou au Sénat et à la Chambre des communes, selon le cas, accompagné des modifications qu’il recommande.

PARTIE 3 

Entrée en vigueur

130 (1) Sous réserve des paragraphes (2) et (3), la présente loi entre en vigueur à la date d’entrée en vigueur de l’article 3 de la Loi de 2022 sur la mise en œuvre de la Charte du numérique.

(2) Les articles 72 et 123 entrent en vigueur à la date fixée par décret.

(3) Les articles 76 à 81, l’alinéa 83(1)d), le paragraphe 94(3) et l’article 125 entrent en vigueur à la date fixée par décret.

Loi sur la protection des renseignements personnels et les documents électroniques

Personal Information Protection and Electronic Documents Act

Début du bloc inséré

Loi sur la protection de la vie privée des consommateurs

Consumer Privacy Protection Act

Fin du bloc inséré

14 Le Commissaire à la protection de la vie privée, pour l’application de la Loi sur la protection Début de l'insertion de la vie privée Fin de l'insertion des Début de l'insertion consommateurs Fin de l'insertion

17  Début de l'insertion Le Tribunal de Fin de l'insertion la protection des renseignements personnels et Début de l'insertion des données Fin de l'insertion , pour l’application de la Loi sur la protection Début de l'insertion de la vie privée Fin de l'insertion des Début de l'insertion consommateurs Fin de l'insertion .