La PIPA de la C.-B. est-elle la même chose que la LPRPDE?

Non. La LPRPDE est fédérale; la PIPA de la C.-B. est provinciale. La PIPA de la C.-B. est désignée comme essentiellement similaire à la LPRPDE, mais son application est distincte et relève de l’OIPC de la C.-B.

La PIPA de la C.-B. est-elle la même chose que la FIPPA?

Non. La PIPA de la C.-B. est la loi du secteur privé. La Freedom of Information and Protection of Privacy Act (FIPPA) est la loi du secteur public pour les organismes publics de la C.-B. (gouvernement, autorités de la santé, établissements postsecondaires, etc.). Leurs principes sont apparentés, mais leurs obligations sont distinctes.

L’avis d’atteinte est-il obligatoire en vertu de la PIPA de la C.-B.?

Non. Le signalement des atteintes en vertu de la PIPA de la C.-B. demeure volontaire. L’avis d’atteinte obligatoire entré en vigueur en C.-B. le 1er février 2023 s’applique aux organismes publics en vertu de la FIPPA, et non aux organisations privées en vertu de la PIPA. La PIPA de l’Alberta et la LPRPDE l’exigent toutes deux, et l’OIPC de la C.-B. a demandé que la PIPA suive.

Quand faut-il signaler une atteinte en vertu de la PIPA de la C.-B.?

Les lignes directrices de l’OIPC reposent sur un critère de risque réel de préjudice grave. Si une atteinte pouvait causer un préjudice sérieux aux personnes touchées, l’OIPC s’attend à ce que vous les avisiez, ainsi que l’OIPC, rapidement, même si la PIPA de la C.-B. ne l’exige pas encore.

Les FSG de la C.-B. doivent-ils se conformer à la PIPA de la C.-B.?

Oui. Les FSG de la C.-B. sont eux-mêmes des organisations du secteur privé et traitent aussi des renseignements personnels pour des clients. La PIPA de la C.-B. s’applique aux deux ensembles d’activités.

Qu’est-ce que la PIPA de la C.-B.

Qu’est-ce que la PIPA de la C.-B. (Personal Information Protection Act)?

La PIPA de la C.-B. (Personal Information Protection Act) est la loi provinciale de la Colombie-Britannique sur la vie privée dans le secteur privé. Désignée comme essentiellement similaire à la LPRPDE, elle s’applique aux organisations du secteur privé qui exercent leurs activités en C.-B. Le signalement des atteintes y demeure volontaire, bien que l’OIPC s’attende à ce que les organisations avisent les personnes exposées à un risque réel de préjudice grave. Elle est appliquée par le Bureau du commissaire à l’information et à la protection de la vie privée de la Colombie-Britannique.

Associer vos contrôles de la PIPA de la C.-B. Voir les composantes principales

Essentiellement similaire à la LPRPDE · signalement des atteintes volontaire · distincte de la FIPPA

Définition

La PIPA de la C.-B. (Personal Information Protection Act) est la loi provinciale de la Colombie-Britannique sur la vie privée dans le secteur privé.

La PIPA de la C.-B. a été adoptée en 2003 et est entrée en vigueur le 1er janvier 2004. Le gouvernement fédéral l’a désignée comme essentiellement similaire à la LPRPDE; elle s’applique donc à la plupart des activités du secteur privé en C.-B. à la place de la LPRPDE. Les activités sous réglementation fédérale (banques, entreprises de télécommunications, compagnies aériennes, transport interprovincial) demeurent assujetties à la LPRPDE.

La PIPA de la C.-B. repose sur les mêmes principes équitables de traitement de l’information que la LPRPDE et la PIPA de l’Alberta, mais c’est une loi provinciale dont l’application est distincte. Le Bureau du commissaire à l’information et à la protection de la vie privée de la Colombie-Britannique administre la Loi.

Contrairement à la PIPA de l’Alberta et à la LPRPDE, la PIPA de la C.-B. n’exige pas encore que les organisations signalent les atteintes. L’OIPC de la C.-B. a demandé à plusieurs reprises un avis obligatoire, et l’exigence d’avis d’atteinte instaurée par la C.-B. le 1er février 2023 ne vise que les organismes publics en vertu de la FIPPA.

Composantes principales

Critère des fins raisonnables

La collecte, l’utilisation et la communication doivent se faire à des fins qu’une personne raisonnable jugerait appropriées.

Consentement

Exprès, implicite, présumé ou par option de refus selon le contexte. Les renseignements sensibles exigent généralement un consentement plus explicite.

Responsable de la protection de la vie privée

Chaque organisation doit désigner une personne responsable de la conformité.

Avis d’atteinte : volontaire, mais attendu

La PIPA de la C.-B. n’exige pas le signalement des atteintes, mais l’OIPC s’attend à ce que les organisations avisent les personnes touchées et l’OIPC lorsqu’une atteinte crée un risque réel de préjudice grave. Tenir un registre de chaque atteinte est une bonne pratique.

Droits d’accès des personnes

Les personnes ont des droits d’accès et de contestation de l’exactitude.

Surveillance de l’OIPC

Les enquêtes, les ordonnances et les demandes d’examen sont traitées par le Bureau du commissaire à l’information et à la protection de la vie privée de la C.-B.

Distinction avec la FIPPA

La PIPA de la C.-B. est la loi du secteur privé. Les organismes publics de la C.-B. sont régis par la Freedom of Information and Protection of Privacy Act (FIPPA), distincte. Les deux lois reposent sur des principes semblables, mais leurs obligations sont distinctes.

Pourquoi c’est important

Pour les organisations du secteur privé qui exercent leurs activités en C.-B., c’est la PIPA de la C.-B. (et non la LPRPDE) qui est la loi applicable en matière de vie privée. Les FSG établis en C.-B. ou qui servent des clients de la C.-B. travaillent principalement sous le régime de la PIPA de la C.-B.

L’avis d’atteinte est aujourd’hui la plus grande lacune de la PIPA de la C.-B. : il est volontaire, et l’OIPC a demandé qu’il devienne obligatoire. Les organisations qui mettent en place dès maintenant la détection et l’avis n’auront pas à se précipiter si la loi change, et elles répondent déjà aux attentes de la PIPA de l’Alberta et de la LPRPDE qui s’appliquent aux clients de ces territoires.

Pour les FSG de la C.-B., le régime de protection de la vie privée de la C.-B. s’empile : la PIPA de la C.-B. pour le travail général du secteur privé; la BC E-Health Act lorsque le client interagit avec les banques provinciales de renseignements sur la santé; la FIPPA pour le travail du secteur public; plus la LPRPDE lorsque du travail de compétence fédérale est en cause. Bien des clients de FSG relèvent de plus d’un de ces régimes.

Comment Lavawall® aide pour la PIPA de la C.-B.

Lavawall® inclut la PIPA de la C.-B. comme cadre de premier plan, aux côtés de la LPRPDE, de la PIPA de l’Alberta et de la loi 25 du Québec. Les lignes directrices de l’OIPC sur les atteintes sont associées au flux de travail de détection et d’avis des atteintes qu’alimentent la détection des intrusions dans M365 et la détection des menaces liées aux identités.

Lavawall® est hébergé au Canada (AWS Montréal par défaut, puis chez un hébergeur canadien établi à Vancouver au quatrième trimestre de 2026); les données de la C.-B. stockées sur Lavawall® lui-même ne quittent donc pas le Canada.

ThreeShield Information Security Corporation, la firme d’audit qui a créé Lavawall®, soutient des clients de la C.-B. pour la PIPA de la C.-B. en plus de sa base albertaine. La correspondance des contrôles de la PIPA de la C.-B. suit les lignes directrices actuelles de l’OIPC sur les atteintes. Pour les FSG de la C.-B., Lavawall® produit les preuves de mesures de protection, le flux de travail d’avis d’atteinte et la tenue des registres d’atteintes qu’attendent les équipes d’approvisionnement de la C.-B. et l’OIPC.

Commencer l’association de vos contrôles de la PIPA de la C.-B. →

Questions fréquentes

La PIPA de la C.-B. est-elle la même chose que la LPRPDE?: Non. La LPRPDE est fédérale; la PIPA de la C.-B. est provinciale. La PIPA de la C.-B. est désignée comme essentiellement similaire à la LPRPDE, mais son application est distincte et relève de l’OIPC de la C.-B.
La PIPA de la C.-B. est-elle la même chose que la FIPPA?: Non. La PIPA de la C.-B. est la loi du secteur privé. La Freedom of Information and Protection of Privacy Act (FIPPA) est la loi du secteur public pour les organismes publics de la C.-B. (gouvernement, autorités de la santé, établissements postsecondaires, etc.). Leurs principes sont apparentés, mais leurs obligations sont distinctes.
L’avis d’atteinte est-il obligatoire en vertu de la PIPA de la C.-B.?: Non. Le signalement des atteintes en vertu de la PIPA de la C.-B. demeure volontaire. L’avis d’atteinte obligatoire entré en vigueur en C.-B. le 1er février 2023 s’applique aux organismes publics en vertu de la FIPPA, et non aux organisations privées en vertu de la PIPA. La PIPA de l’Alberta et la LPRPDE l’exigent toutes deux, et l’OIPC de la C.-B. a demandé que la PIPA suive.
Quand faut-il signaler une atteinte en vertu de la PIPA de la C.-B.?: Les lignes directrices de l’OIPC reposent sur un critère de risque réel de préjudice grave. Si une atteinte pouvait causer un préjudice sérieux aux personnes touchées, l’OIPC s’attend à ce que vous les avisiez, ainsi que l’OIPC, rapidement, même si la PIPA de la C.-B. ne l’exige pas encore.
Les FSG de la C.-B. doivent-ils se conformer à la PIPA de la C.-B.?: Oui. Les FSG de la C.-B. sont eux-mêmes des organisations du secteur privé et traitent aussi des renseignements personnels pour des clients. La PIPA de la C.-B. s’applique aux deux ensembles d’activités.