Le Commissariat à la protection de la vie privée du Canada (CPVP) est l'autorité fédérale chargée de surveiller le traitement des renseignements personnels par les institutions du gouvernement du Canada et par les entreprises sous compétence fédérale. Le 5 août 2026, il a déposé auprès du Secrétariat du Conseil du Trésor un mémoire réclamant que la modernisation de la Loi sur la protection des renseignements personnels, la loi qui encadre le secteur public fédéral depuis 1983, intègre des obligations propres à l'intelligence artificielle (IA).
Que demande le CPVP pour les systèmes d'IA
Le mémoire répond à la consultation lancée par le Secrétariat du Conseil du Trésor sur les approches stratégiques de modernisation. Il est adressé au président du Conseil du Trésor, Shafqat Ali. Sa demande centrale, en matière d'IA, tient en deux volets.
Premier volet : rendre l'évaluation des facteurs relatifs à la vie privée (EFVP) obligatoire par la loi, et non plus seulement par politique administrative, dans quatre situations. Le traitement de renseignements sensibles, les systèmes d'IA à incidence élevée, le développement ou l'entraînement de modèles d'IA à partir de renseignements personnels, et les traitements transfrontaliers.
Second volet : imposer des exigences de transparence accrues pour les systèmes décisionnels automatisés (SDA), afin qu'une personne sache qu'un tel système a contribué à une décision la concernant.
Le Commissariat justifie ce deuxième volet par sa propre enquête sur OpenAI, dont les conclusions ont été publiées en mai 2026 sous la référence LPRPDE 2026-002. L'examen des données d'entraînement de ChatGPT, pourtant tirées de sources accessibles au public, y avait révélé de grandes quantités de renseignements personnels de sensibilité variable, y compris des renseignements de nature médicale et des données concernant des enfants.
Pourquoi une loi de 1983 résiste mal à l'IA
La Loi sur la protection des renseignements personnels est entrée en vigueur en 1983, à une époque où l'information des institutions fédérales était encore principalement conservée sur papier. Le ministère de la Justice reconnaît lui-même que les attentes de la population ont changé depuis. Deux séries de consultations publiques ont déjà eu lieu, en 2016 devant le comité ETHI de la Chambre des communes, puis en 2020 et 2021 sous la conduite du ministère de la Justice, sans qu'un projet de loi n'aboutisse.
Le CPVP rappelle un écart de confiance mesuré dans son mémoire : 9 personnes sur 10 au Canada se disent préoccupées par la protection de leur vie privée, mais seulement 62 % estiment que le gouvernement fédéral respecte ce droit.
5 recommandations du mémoire qui dépassent le champ de l'IA
- Des pouvoirs d'ordonnance véritables. La proposition à l'étude permettrait au Commissaire d'exiger un plan de mesures correctives, en laissant à l'institution le choix des mesures. Le CPVP juge ce mécanisme insuffisant et réclame le pouvoir de rendre des ordonnances exécutoires.
- Une définition stricte de l'anonymisation. Les données devraient être modifiées de sorte qu'il n'existe, en tout temps, aucun risque raisonnablement prévisible de réidentification, directe ou indirecte. Les tentatives de réidentification deviendraient des infractions.
- Un critère de collecte renforcé. Le seuil actuel du « lien direct » serait remplacé par un test cumulatif : autorité légitime, nécessité, efficacité, caractère minimalement intrusif et proportionnalité.
- Des délais légaux de signalement des atteintes aux personnes touchées et au Commissariat, actuellement absents de la loi.
- Un examen législatif tous les cinq ans, pour éviter qu'un nouvel écart de quarante ans ne se creuse entre le texte et la technologie.
Ce que le Québec applique déjà, et que le fédéral n'a pas
L'écart avec le cadre québécois est frappant. Ce que le CPVP demande à Ottawa existe déjà pour les organismes publics du Québec depuis le 22 septembre 2023, par l'effet de la Loi 25.
L'article 63.5 de la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels impose une EFVP pour tout projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services mettant en cause des renseignements personnels. L'évaluation doit être proportionnée à la sensibilité des renseignements, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support.
L'article 65.2 encadre pour sa part les décisions automatisées. Un organisme public qui rend une décision fondée exclusivement sur un traitement automatisé doit en informer la personne concernée au plus tard au moment où il lui communique cette décision. Sur demande, il doit lui indiquer les renseignements utilisés, les principaux facteurs et paramètres ayant mené à la décision, ainsi que son droit de faire rectifier ces renseignements. La personne doit pouvoir présenter ses observations à un membre du personnel en mesure de réviser la décision. Une intervention humaine mineure, sans répercussion réelle sur l'issue, ne suffit pas à écarter l'article.
Cette avance québécoise a une conséquence pratique : un organisme public du Québec qui déploie un système décisionnel automatisé travaille avec un cadre légal explicite, alors qu'une institution fédérale s'appuie encore largement sur une directive administrative, la Directive sur la prise de décisions automatisée du Conseil du Trésor, dont la portée juridique diffère de celle d'une loi.
Ce qu'il faut surveiller
Le mémoire n'est pas un projet de loi. Il alimente une consultation dont le Secrétariat du Conseil du Trésor doit tirer un rapport sur des mises à jour législatives possibles. Deux signaux méritent attention dans les prochains mois : la place réservée aux systèmes d'IA à incidence élevée dans ce rapport, et la question, plus politique, des pouvoirs d'ordonnance du Commissaire, refusée jusqu'ici dans les tentatives précédentes de réforme.
Pour les organisations québécoises qui traitent avec des institutions fédérales, l'enjeu est celui de la cohérence. Un projet d'IA mené conjointement par un ministère québécois et un ministère fédéral obéit aujourd'hui à deux régimes de transparence distincts, dont un seul est contraignant par voie législative.
Questions fréquentes
Le mémoire du CPVP a-t-il une valeur contraignante ?
Non. Il s'agit d'un avis déposé dans le cadre d'une consultation publique du Secrétariat du Conseil du Trésor. Ses recommandations n'ont d'effet que si le gouvernement les reprend dans un futur projet de loi, puis si le Parlement l'adopte.
Quelle est la différence entre cette loi et le projet de loi C-36 ?
La Loi sur la protection des renseignements personnels vise les institutions publiques fédérales. Le projet de loi C-36, présenté en juin 2026, porte sur le secteur privé sous compétence fédérale. Deux chantiers distincts, menés par deux ministères différents.
Qu'est-ce qu'un système d'IA à incidence élevée ?
L'expression désigne les systèmes dont l'usage peut affecter significativement les droits, la sécurité ou l'accès aux services d'une personne. Le mémoire n'en propose pas de définition légale fermée, ce qui constitue l'un des points à préciser dans une éventuelle réforme.
Les organismes publics québécois sont-ils touchés par cette réforme ?
Pas directement, la Loi sur l'accès continuant de les régir. Ils le sont indirectement dans les projets menés avec des partenaires fédéraux, où deux cadres de transparence coexistent.
Sources
- Commissariat à la protection de la vie privée du Canada, « Mémoire au sujet de la consultation du Secrétariat du Conseil du Trésor sur la modernisation de la Loi sur la protection des renseignements personnels », 5 août 2026 : https://www.priv.gc.ca/fr/mesures-et-decisions-prises-par-le-commissariat/memoires-presentes-dans-le-cadre-de-consultations/sub_sct_20260805/
- Ministère de la Justice du Canada, « Modernisation de la Loi sur la protection des renseignements personnels du Canada » : https://www.justice.gc.ca/fra/sjc-csj/lprp-pa/modern.html
- Loi sur la protection des renseignements personnels (L.R.C. 1985, ch. P-21) : https://laws-lois.justice.gc.ca/fra/lois/p-21/
- Commissariat à la protection de la vie privée du Canada, « Conclusions en vertu de la LPRPDE no 2026-002 : enquête conjointe sur OpenAI OpCo, LLC » : https://www.priv.gc.ca/fr/mesures-et-decisions-prises-par-le-commissariat/enquetes/enquetes-visant-les-entreprises/2026/lprpde-2026-002
- Gouvernement du Québec, « Décision fondée exclusivement sur un traitement automatisé » (article 65.2 de la Loi sur l'accès) : https://www.quebec.ca/gouvernement/travailler-gouvernement/normes-gouvernance-pratiques-internes/protection-des-renseignements-personnels/technologie-et-droit-a-la-protection-des-renseignements-personnels/decision-traitement-automatise
- Commission d'accès à l'information du Québec, « Réaliser une évaluation des facteurs relatifs à la vie privée » : https://www.cai.gouv.qc.ca/uploads/pdfs/CAI_GU_EFVP.pdf
