Qu’était la CPPA
Qu’est-ce que la CPPA (Loi sur la protection de la vie privée des consommateurs, projet de loi C-27)?
La CPPA (Consumer Privacy Protection Act) était le projet canadien de remplacement de la LPRPDE, la Loi sur la protection des renseignements personnels et les documents électroniques. Elle formait la partie 1 du projet de loi C-27, la Loi de 2022 sur la mise en œuvre de la Charte du numérique. Le projet de loi est mort le 6 janvier 2025 et la CPPA n’est jamais entrée en vigueur. Son successeur est la Loi sur la protection de la vie privée et des données des consommateurs (PPCDA) du projet de loi C-36.
En savoir plus sur la PPCDA Comparer la CPPA et la PPCDA
Projet de loi C-27 · mort le 6 janvier 2025 · jamais en vigueur · remplacé par le projet de loi C-36
Définition
La CPPA (Loi sur la protection de la vie privée des consommateurs) était une loi fédérale proposée qui aurait remplacé la partie de la LPRPDE consacrée à la vie privée. Elle aurait régi la façon dont les organisations du secteur privé au Canada recueillent, utilisent et communiquent des renseignements personnels dans le cadre d’activités commerciales, et aurait donné au commissaire à la protection de la vie privée du Canada des pouvoirs d’ordonnance ainsi que la capacité de recommander d’importantes sanctions administratives pécuniaires.
Le projet de loi C-27, la Loi de 2022 sur la mise en œuvre de la Charte du numérique, comptait trois parties : la Loi sur la protection de la vie privée des consommateurs, la Loi sur le Tribunal de la protection des renseignements personnels et des données, qui aurait créé un tribunal chargé d’imposer des sanctions et d’entendre les appels, et la Loi sur l’intelligence artificielle et les données (AIDA).
À ne pas confondre avec la California Privacy Protection Agency, aussi appelée CPPA, qui applique la California Consumer Privacy Act.
Ce qui s’est passé
| Date | Événement |
|---|---|
| 16 juin 2022 | Dépôt du projet de loi C-27 à la Chambre des communes |
| Avril 2023 | Adopté en deuxième lecture et renvoyé au Comité permanent de l’industrie et de la technologie |
| 2023 à 2024 | Étude en comité et examen article par article, jamais terminés |
| 6 janvier 2025 | Prorogation du Parlement; le projet de loi C-27 est mort au feuilleton |
| 15 juin 2026 | Dépôt du projet de loi C-36, qui propose la Loi sur la protection de la vie privée et des données des consommateurs à sa place |
Ce qu’aurait exigé la CPPA
Programme de gestion de la protection de la vie privée (art. 9)
Un programme écrit proportionné au volume et à la sensibilité des renseignements, que le commissaire pouvait inspecter.
Fins appropriées et consignées (art. 12)
Un critère à cinq facteurs pour déterminer si une fin est appropriée, et l’obligation de consigner chaque fin avant la collecte.
Consentement exprès en langage clair (art. 15)
Un consentement éclairé, formulé dans un langage que le public comprend, exprès sauf si un consentement implicite est approprié.
Intérêt légitime (art. 18)
Collecte ou utilisation sans consentement pour un intérêt légitime qui l’emporte sur les effets négatifs, avec une évaluation consignée.
Disposition sur demande (art. 55)
Un droit de faire supprimer ou anonymiser les renseignements personnels, transmis aux prestataires de services.
Décisions automatisées (art. 62-63)
Une description générale des systèmes de décision automatisée et l’explication d’une décision sur demande.
Mineurs (par. 2(2))
Renseignements personnels des mineurs traités comme sensibles, sans âge défini.
Dépersonnalisation et mobilité (art. 72-75)
Des règles pour les renseignements dépersonnalisés et anonymisés, et un droit à la mobilité des données lorsqu’il existe un cadre sectoriel.
Sanctions
Sanctions administratives pécuniaires allant jusqu’au plus élevé de 10 millions de dollars et de 3 % des recettes brutes mondiales, et amendes allant jusqu’au plus élevé de 25 millions de dollars et de 5 %.
La CPPA et la PPCDA côte à côte
La Loi sur la protection de la vie privée et des données des consommateurs conserve la structure de la CPPA, la plupart du temps avec de nouveaux numéros d’article. Voici les différences à prendre en compte dans votre planification.
| Sujet | CPPA (projet de loi C-27) | PPCDA (projet de loi C-36) |
|---|---|---|
| État | Morte le 6 janvier 2025 | À l’étape de la deuxième lecture (octobre 2026), non en vigueur |
| Organisme de réglementation | Commissaire à la protection de la vie privée du Canada, avec un Tribunal de la protection des renseignements personnels et des données distinct | Commissaire à la protection de la vie privée et des données des consommateurs au sein de la Commission de la sécurité numérique et de la protection des données; pas de tribunal |
| Transferts hors du Canada | À mentionner dans la politique de confidentialité | Évaluation des facteurs relatifs à la vie privée et mesures d’atténuation avant le transfert (art. 57) |
| Intérêt légitime | Collecte et utilisation, avec une évaluation consignée | Collecte, utilisation et communication, avec une évaluation des facteurs relatifs à la vie privée (art. 18) |
| Décisions automatisées | Explication des décisions ayant une « incidence importante » | Explication des décisions ayant un « effet juridique ou un effet important semblable », ainsi qu’un examen par un employé (art. 63) |
| Enfants | Renseignements des mineurs sensibles; aucun âge défini | Un enfant est toute personne de moins de 18 ans; un parent ou un tuteur exerce les droits de l’enfant (art. 2 et 4) |
| Renseignements sensibles | Non défini | Défini, avec une liste de catégories (art. 2) |
| Intelligence artificielle | La Loi sur l’intelligence artificielle et les données dans le même projet de loi | Aucune loi sur l’IA dans le projet de loi |
| Sanctions maximales | 10 millions de dollars ou 3 %; amendes de 25 millions de dollars ou 5 % | Identiques |
Pourquoi elle importe encore
La CPPA est le témoin le plus clair de l’orientation du droit fédéral en matière de vie privée. Son successeur en reprend l’essentiel; le travail que les organisations ont accompli pour se préparer à la CPPA (un programme de protection de la vie privée, un registre des fins, un processus de disposition, une norme de dépersonnalisation, une description des décisions automatisées) est donc le même que celui que demande la PPCDA.
Ce travail est aussi rentable dès aujourd’hui. Le principe de responsabilité de la LPRPDE s’attend déjà à un programme de gestion de la protection de la vie privée, la Loi 25 du Québec exige déjà une évaluation des facteurs relatifs à la vie privée avant qu’un renseignement quitte le Québec ainsi qu’un droit à la portabilité, et le commissaire à la protection de la vie privée considère déjà les renseignements sur les enfants comme sensibles.
Comment Lavawall® traite la CPPA
Lavawall® conserve la CPPA comme cadre à l’état d’ébauche, marqué comme non en vigueur et remplacé, pour les organisations qui s’y sont déjà évaluées. Les nouvelles planifications devraient utiliser le cadre de la PPCDA.
La LPRPDE, la CPPA et la PPCDA sont associées à un seul ensemble de contrôles partagés. Un contrôle que vous mettez en œuvre et dont vous conservez la preuve une seule fois compte pour chaque cadre qui l’associe; en faisant passer votre planification de la CPPA à la PPCDA, vous conservez donc tous les contrôles déjà en place et n’ajoutez que ce que le projet de loi C-36 a changé. Le forfait Intégral n’impose aucuns frais par cadre.
Commencez votre évaluation de préparation à la PPCDA →
Cette page résume une loi qui n’est jamais entrée en vigueur. Elle ne constitue pas un avis juridique.
Questions fréquentes
- La CPPA est-elle en vigueur?
- Non. La Loi sur la protection de la vie privée des consommateurs formait la partie 1 du projet de loi C-27, qui est mort au feuilleton lors de la prorogation du Parlement le 6 janvier 2025. Elle n’a jamais reçu la sanction royale. La LPRPDE demeure la loi fédérale sur la protection de la vie privée dans le secteur privé.
- Qu’est-ce qui a remplacé la CPPA?
- Le projet de loi C-36, déposé le 15 juin 2026, propose la Loi sur la protection de la vie privée et des données des consommateurs (PPCDA). Il conserve l’essentiel de la structure de la CPPA et ajoute des évaluations des facteurs relatifs à la vie privée avant les transferts hors du Canada et avant de s’appuyer sur l’intérêt légitime, un examen humain des décisions automatisées et une définition de l’enfant comme toute personne de moins de 18 ans. Il n’est pas non plus en vigueur.
- La CPPA est-elle la même chose que la California Privacy Protection Agency?
- Non. Au Canada, CPPA désigne habituellement la Loi sur la protection de la vie privée des consommateurs, la loi fédérale proposée du projet de loi C-27. En Californie, la CPPA est la California Privacy Protection Agency, l’organisme de réglementation qui applique la California Consumer Privacy Act (CCPA) telle que modifiée par la CPRA.
- Le travail effectué pour la CPPA a-t-il été inutile?
- Non. La PPCDA conserve presque toutes les obligations de la CPPA, renumérotées : le programme de gestion de la protection de la vie privée, les fins consignées, l’intérêt légitime, la disposition sur demande, les explications des décisions automatisées, la dépersonnalisation et la mobilité des données. Dans Lavawall, la CPPA et la PPCDA sont associées aux mêmes contrôles que la LPRPDE, de sorte que le travail de contrôle déjà accompli se transpose directement.
- Dois-je m’évaluer par rapport à la CPPA ou à la PPCDA?
- À la PPCDA, pour toute nouvelle planification, car c’est le projet de loi dont le Parlement est saisi. Conservez une évaluation de la CPPA que vous avez déjà, à titre de comparaison; elle montre le chemin parcouru par votre programme par rapport à l’ébauche précédente.