Monsieur le Président, c'est avec joie que j'interviens au sujet du projet de loi S-4, Loi sur la protection des renseignements personnels numériques.

L'année dernière, le gouvernement a lancé le programme Canada numérique 150, un plan ambitieux pour que les Canadiens puissent profiter pleinement des possibilités qu'offre l'ère numérique. Il s'agit d'un plan vaste et ambitieux visant à nous faire profiter pleinement de l'économie numérique alors que nous fêterons notre 150^e anniversaire en 2017. C'est la prochaine étape de nos efforts pour édifier notre nation et relier les Canadiens. À mesure que l'économie numérique prend de l'expansion, les Canadiens doivent avoir la certitude que leurs renseignements personnels sont protégés. C'est la raison pour laquelle un des cinq piliers du programme Canada numérique 150 se nomme « Un Canada protégé ».

La Loi sur la protection des renseignements personnels numériques permettrait d'apporter des modifications importantes et longtemps attendues à la loi sur la protection des renseignements personnels dans le secteur privé, soit la Loi sur la protection des renseignements personnels et les documents électroniques. Cette loi encadre le traitement des renseignements personnels dans le contexte des activités commerciales tout en fixant des lignes directrices pour la collecte, l'utilisation et la communication de renseignements personnels.

Ces règles reposent sur un ensemble de principes élaborés conjointement par le gouvernement, des groupes de l'industrie et des représentants des consommateurs. La Loi sur la protection des renseignements personnels numériques renforcerait de façon importante les règles régissant le marché prévues dans la LPRPDE. En plus de protéger les consommateurs et de leur donner plus de pouvoir, les modifications permettraient de clarifier les règles pour les entreprises et de réduire les formalités administratives.

Ces lignes directrices permettraient également de mettre des renseignements essentiels à la disposition des entreprises canadiennes afin qu'elles aient les outils nécessaires pour prendre leur essor dans l'économie numérique mondiale. Il est important d'assurer un équilibre entre les attentes des particuliers en matière de protection de la vie privée et le besoin des entreprises d'obtenir et d'utiliser des renseignements personnels dans le cadre de leurs activités quotidiennes, et le projet de loi S-4 fait ce qu'il faut en ce sens. Il veillerait à ce que les renseignements personnels des particuliers demeurent sous la protection de la loi canadienne, quelle que soit la nature de la transaction.

Il est de plus en plus nécessaire de mettre à jour les règles en matière de protection de la vie privée en ligne. Les cas d'atteinte à la protection de la vie privée, y compris les cas où des géants du commerce de détail comme Target et Home Depot se sont fait voler les données qu'ils détenaient sur les cartes de crédit de millions de Canadiens, soulignent la nécessité de renforcer la LPRPDE en y incluant des exigences relatives aux atteintes aux mesures de sécurité. C'est exactement ce que ferait le projet de loi dont nous sommes saisis, puisqu'il établirait de nouvelles exigences qui obligeraient les organisations à aviser les Canadiens lorsque leurs renseignements personnels seraient perdus ou volés, et lorsqu'un risque en découlerait. Le commissaire à la protection de la vie privée serait également informé.

Toute organisation qui omettrait délibérément de signaler une atteinte aux mesures de protection des données, d'aviser les personnes concernées ou de déclarer l'incident au commissaire serait passible d'amendes substantielles.

J'aimerais prendre un moment pour expliquer comment le projet de loi à l'étude permettrait d'établir des protocoles simples et efficaces pour la déclaration des atteintes aux mesures de sécurité. La Loi sur la protection des renseignements personnels numériques fournit des critères clairs sur lesquels les entreprises devront se fonder pour déterminer si elles doivent déclarer une atteinte aux mesures de sécurité.

Quand une entreprise détermine que l'atteinte présente un risque réel de préjudice grave à l'endroit d'un client, elle doit le signaler au client et au commissaire à la protection de la vie privée.

Si elle détermine que l'atteinte ne présente pas un risque de préjudice grave — c'est-à-dire que, malgré l'atteinte aux mesures de sécurité, les clients ne sont pas exposés à des risques comme un vol d'identité, une fraude ou une humiliation —, elle doit tout de même la consigner dans un registre.

La loi exige que l'entreprise tienne un registre de toutes les atteintes aux mesures de sécurité, qu'elles soient jugées graves ou non, pour deux raisons. La première, et la plus importante, c'est que la liste des atteintes à la sécurité aidera les entreprises à déterminer si leur système comporte des failles qu'il faut corriger.

En effet, il peut arriver qu'une première atteinte soit bénigne en raison du peu d'importance des renseignements perdus. Une deuxième atteinte pourrait toutefois avoir des conséquences plus graves pour l'entreprise et les personnes touchées. Si elles tiennent une liste de toutes les atteintes qu'elles ont subies, les entreprises seront mieux placées pour déceler les problèmes possibles avant que les renseignements personnels soient gravement compromis.

Deuxièmement, grâce à ce registre, le commissaire à la vie privée pourra s'assurer que les entreprises respectent leurs obligations et déclarent les atteintes graves, comme elles sont tenues de le faire. En tout temps, le commissaire à la protection de la vie privée peut demander à des entreprises de lui fournir ce registre pour vérifier qu'elles respectent les règles établies.

Si les entreprises choisissent d'ignorer délibérément ces règles, elles s'exposent à de graves conséquences, qui sont énoncées dans la Loi sur la protection des renseignements personnels numériques. Le projet de loi S-4 érigerait en infraction le fait de camoufler délibérément une atteinte à la sécurité des données ou d'omettre de signaler cette atteinte aux personnes concernées ou au commissaire.

Dans ces situations, les organisations s'exposent à des amendes pouvant aller jusqu'à 100 000 $ par personne n'ayant pas été avisée. Ces pénalités sont l'une des façons dont la Loi sur la protection des renseignements personnels numériques permet de protéger les renseignements personnels des Canadiens.

Le commissaire à la protection de la vie privée du Canada appuie sans réserve les règles en matière d'atteinte à la sécurité des données proposées dans le projet de loi S-4. Voici ce qu'il a déclaré au comité permanent:

[...] je suis fort encouragé par l'engagement du gouvernement à actualiser la Loi sur la protection des renseignements personnels et les documents électroniques, et [...] j'appuie de façon générale les modifications proposées dans ce projet de loi. Des propositions comme l'avis à signifier en cas d'atteinte, les accords de conformité volontaires et l'amélioration du consentement contribueraient grandement à renforcer le cadre de protection de la vie privée des Canadiens [...]

Par ailleurs, l'Association des banquiers canadiens a elle aussi indiqué qu'elle appuie ces modifications, déclarant ce qui suit au comité:

Le secteur bancaire appuie les dispositions de la Loi sur la protection des renseignements personnels numériques obligeant les organisations à aviser les individus en cas d'atteinte à la sécurité de leurs renseignements personnels, lorsqu'il existe un risque réel de dommages considérables. [...] nous sommes en faveur de donner au commissaire de nouveaux pouvoirs de supervision garantissant la conformité des organisations avec ces nouvelles dispositions.

Voilà ce que je souhaitais souligner au sujet des règles en matière d'atteinte à la protection des données, un aspect très important du projet de loi à l'étude. J'aimerais maintenant expliquer comment le projet de loi S-4 renforcerait, de quatre façons, les règles canadiennes en matière de protection de la vie privée.

Premièrement, il établit des règles de consentement rigoureuses, de façon à protéger les utilisateurs d'Internet les plus vulnérables, particulièrement les enfants. Le resserrement des dispositions sur le consentement fait suite aux recommandations formulées par le Parlement lors du premier examen législatif de la LPRPDE.

En vertu de la LPRPDE, les organisations doivent obtenir le consentement d'une personne avant de recueillir, d'utiliser ou de communiquer ses renseignements personnels. Le projet de loi à l'étude ajoute ceci: pour que le consentement d'une personne soit valable, il faudra lui avoir communiqué — clairement et dans des termes appropriés au public cible — comment ses renseignements seront utilisés.

Prenons l'exemple des entreprises qui gèrent des sites de jeux éducatifs ou des sites éducatifs destinés surtout aux enfants, et qui recueillent à leur sujet des renseignements personnels à des fins de commercialisation ou à d'autres fins. Le projet de loi S-4 exige que les termes employés dans la demande de consentement soient assez clairs pour qu'il soit raisonnable de s'attendre à ce qu'un enfant comprenne la nature, les fins et les conséquences de la collecte de ses renseignements personnels. Si la demande de consentement n'est pas assez claire pour un enfant, le consentement ne sera pas valable.

Le commissaire à la protection de la vie privée du Canada appuie cette modification. Voici ce qu'il a déclaré devant le comité:

[...] il conviendrait de préciser que le concept doit être évalué du point de vue de la personne à laquelle on demande le consentement. On demanderait ainsi aux organisations de se mettre à la place de leurs divers clients pour lesquels elles recueillent de l’information, de façon à ce que le consentement soit le plus significatif possible.

Deuxièmement, le projet de loi S-4 chercher à harmoniser les lois fédérales aux lois provinciales en ce qui concerne la communication de renseignements personnels sans consentement dans certaines situations bien définies.

La LPRPDE prévoit déjà quelques situations dans lesquelles on peut communiquer des renseignements personnels sans consentement, si cela sert clairement l'intérêt du public. Les modifications prévues dans le projet de loi S-4 permettraient aussi la communication de renseignements dans les cas suivants: pour protéger des aînés ou d'autres personnes vulnérables contre la négligence ou l'exploitation financière; pour communiquer avec la famille d'une personne blessée ou décédée; ou pour identifier une personne victime d'un accident ou d'une catastrophe naturelle.

Lors de sa comparution devant le comité permanent, M. Marc-André Pigeon, directeur de la politique du secteur financier à la Centrale des caisses de crédit du Canada, a déclaré qu'il appuyait fermement le projet de loi S-4, y compris la modification qui y est prévue pour empêcher l'exploitation financière. Il a dit ceci:

Voilà pourquoi nous croyons que le projet de loi S-4 est pertinent en plusieurs points. Nous aimons particulièrement la disposition qui permettrait aux caisses de crédit de communiquer plus facilement des renseignements personnels au plus proche parent ou au représentant autorisé d'un individu lorsqu'elles ont des raisons suffisantes de croire qu'il est victime d'exploitation financière.

Troisièmement, le projet de loi S-4 renforcerait la LPRPDE grâce à des changements qui faciliteraient les activités quotidiennes des entreprises. La Loi sur la protection des renseignements personnels numériques éliminerait les formalités administratives inutiles auxquelles les entreprises doivent se plier en les autorisant à recueillir, à utiliser et à communiquer des renseignements personnels, sans le consentement de l'intéressé, dans le cadre d'opérations commerciales légitimes. Par exemple, le projet de loi S-4 aiderait les entreprises à avoir plus facilement accès aux renseignements, ce qui leur permettrait de faire preuve de diligence raisonnable lors de fusions et d'acquisitions.

Pareillement, la Loi sur la protection des renseignements personnels numériques permettrait aux entreprises de communiquer toutes sortes de coordonnées d’affaires dans le cours normal de leurs activités. Il est tout simplement ridicule que la LPRPDE permet à un employé de communiquer les numéros de téléphone et de télécopieur de son lieu de travail, mais pas son adresse électronique au travail. Le projet de loi S-4 propose une solution à ce problème. Le Conseil canadien du commerce de détail appuie cette solution, et a dit ceci au comité:

[...] nous appuyons la précision concernant l'exclusion des coordonnées d'affaires [...] La précision prévue à l'article 4 fera en sorte que les entreprises seront mieux outillées pour mener leurs activités courantes.

Finalement, la Loi sur la protection des renseignements personnels numériques rendrait les outils de conformité existants plus puissants et efficaces. Le commissaire à la protection de la vie privée du Canada assure l'application de la Loi sur la protection des renseignements personnels et les documents électroniques, et il peut intenter une poursuite en Cour fédérale si une société contrevient aux règles. De plus, aux termes du projet de loi S-4, les citoyens canadiens pourraient eux-mêmes demander à la Cour fédérale d'ordonner aux sociétés de changer leurs pratiques ou de leur accorder des dommages-intérêts.

Même si la Loi sur la protection des renseignements personnels numériques ne ferme pas les portes à ces options, elle offre également une solution de rechange aux poursuites judiciaires, notamment les accords de conformité volontaires. Aux termes d'un accord de conformité, les organismes s'engageraient volontairement à prendre des mesures pour se conformer à la loi, afin d'éviter des poursuites judiciaires coûteuses. Les accords seraient juridiquement contraignants et permettraient au commissaire d'obliger les organismes à respecter leurs engagements à l'égard de la protection de la vie privée.

Je le répète, le commissaire à la vie privée a dit, lorsqu'il a comparu devant le comité permanent, qu'il appuie fermement cet outil. Il a dit qu'il est « impératif » d'apporter les amendements à l'accord de conformité « que nous pourrons facilement mettre en oeuvre et appliquer ».

Les organismes canadiens se soucient de leur réputation et ils savent que de saines pratiques en matière de protection de la vie privée auront des effets à long terme sur la légitimité de leur marque. Ils savent également que l'inverse est vrai, que si leurs clients apprennent que leurs pratiques en matière de protection de la vie privée sont douteuses, leurs activités commerciales en pâtiront. Voilà pourquoi la Loi sur la protection des renseignements personnels numériques conférerait des pouvoirs accrus au commissaire à la protection de la vie privée afin qu'il puisse encourager un organisme contrevenant à prendre des mesures correctives.

Si ces mesures n'incitent pas les entreprises à remédier à leurs problèmes en matière de protection de la vie privée, le projet de loi S-4 accorderait plus de temps au commissaire à la protection de la vie privée pour les traduire en justice. Aux termes de la loi actuelle, le commissaire ne dispose que de 45 jours après la fin de son enquête pour traduire l'organisme en justice.

Le commissaire à la vie privée a dit au comité que ce n'était pas assez compte tenu de la complexité des questions auxquelles doit répondre son bureau. Il arrive très souvent qu'il travaille pendant plusieurs mois, voire un an, avec une organisation pour s'assurer qu'elle s'acquitte des engagements pris pour régler tout problème cerné. Bien évidemment, le problème, c'est que les organisations peuvent attendre quelques semaines avant de passer à l'action, sachant fort bien qu'après 45 jours, le commissaire ne pourra plus intenter de poursuites. Le projet de loi S-4 comblerait cette lacune et donnerait au commissaire un an pour intenter des poursuites contre une organisation non conforme.

Je viens de résumer les cinq principales dispositions du projet de loi S-4, qui comprennent: de nouvelles règles en matière d'atteinte à la protection des données; des exigences claires liées à l'obtention du consentement, notamment d'un mineur; les modifications apportées dans l'atteinte d'autres objectifs dans l'intérêt public, comme la lutte contre les abus financiers; la réduction des tracasseries administratives liées aux opérations quotidiennes; et de nouveaux outils de conformité pour le commissaire à la protection de la vie privée du Canada.

Il est évident que le projet de loi S-4 offrirait une approche équilibrée en assurant à la fois la protection des renseignements personnels des Canadiens et la disponibilité des renseignements dans une économie numérique novatrice en pleine croissance.

C'est Karl Littler, vice-président aux Affaires publiques du Conseil canadien du commerce de détail, qui a résumé le mieux la situation lorsqu'il a dit au comité permanent:

De façon générale, le projet de loi S-4 atteint un juste équilibre qui permet de protéger les renseignements personnels numériques et d'empêcher la fraude numérique et l'exploitation financière tout en reconnaissant les forces de la LPRPDE et son approche avant-gardiste et neutre sur le plan technologique.

Nous sommes sur la bonne voie avec cette loi sur la protection des renseignements personnels numériques. L'ère numérique donne davantage de pouvoir aux entreprises et aux consommateurs, mais si le Canada veut demeurer un chef de file du numérique, les Canadiens devront avoir confiance dans la capacité des systèmes d'assurer la sécurité de leurs transactions en ligne et de leurs renseignements personnels.

Le projet de loi S-4, Loi sur la protection des renseignements personnels numériques, resserrera les règles qui protègent les renseignements personnels, ce qui est essentiel à la bonne marche des affaires dans la quasi-totalité des secteurs économiques. La Loi sur la protection des renseignements personnels numériques fera exactement ce que son titre annonce: elle protégera les renseignements personnels des Canadiens. Je presse tous mes collègues de l'appuyer.

Joe Daniel