Protection des renseignements personnels et cybersécurité au Canada, aux États-Unis et dans l’Union européenne
Ce bulletin mensuel a été préparé par le groupe Protection des renseignements confidentiels, vie privée et cybersécurité de Fasken pour vous présenter les actualités et les développements récents qui ont attiré notre attention. Si vous avez des questions sur l’un des sujets abordés dans ce bulletin, communiquez avec l’un des membres de ce groupe, qui se fera un plaisir de vous aider.
Canada
L’OIPC de la Colombie-Britannique publie des lignes directrices à jour sur ses processus
Le 1ᵉʳ juin 2026, le Bureau du commissaire à l’information et à la protection de la vie privée de la Colombie-Britannique (OIPC de la Colombie-Britannique) a publié des guides à jour sur ses processus, notamment sur la façon dont il traite les plaintes, les demandes de réexamen, les demandes de renseignements et les demandes de rejet des demandes d’accès aux documents. Vous pouvez consulter le guide sur les organismes privés et la Personal Information Protection Act (PIPA) et le guide sur les organismes publics et la Freedom of Information and Protection of Privacy Act (FIPPA) (ces deux guides sont en anglais). Si votre organisation reçoit des renseignements personnels ou des demandes d’accès, vous devriez vous familiariser avec ces guides.
L’OIPC de la Colombie-Britannique demande aux organismes publics de communiquer des données sur les demandes d’accès à l’information
Le 24 juin 2026, l’OIPC de la Colombie-Britannique a demandé des modifications à la Freedom of Information and Protection of Privacy Act (FIPPA) afin que tous les organismes provinciaux de la Colombie-Britannique soient désormais tenus de faire le suivi de certaines données relatives à l’accès à l’information et de les lui communiquer. Même s’il ne s’agit pas d’une obligation pour le moment, en vue d’encourager les organismes publics à recueillir et à conserver des données sur l’accès à l’information, le Commissaire à la protection de la vie privée a publié une liste de contrôle (en anglais) à l’intention des organismes publics.
L’OIPC de l’Alberta publie des directives sur les changements apportés aux permis de conduire et aux pièces d’identité
Le 2 juillet 2026, le Bureau du commissaire à l’information et à la protection de la vie privée de l’Alberta (OIPC de l’Alberta) a publié des directives à l’intention des organismes privés, des organismes publics et du grand public pour aider les entités qui recueilleront des renseignements relativement aux permis de conduire et aux pièces d’identité qui seront émis en Alberta. Comme annoncé plus tôt cette année, les cartes d’identité et les permis de conduire comprendront désormais le numéro de santé personnel (PHN) et la mention de citoyenneté canadienne, s’il y a lieu. Vous trouverez les documents d’orientation à l’intention du public, des organismes publics et des organismes privés sur le site Web de l’OIPC de l’Alberta (ces trois documents sont en anglais).
Le Commissaire à la protection de la vie privée du Canada publie une orientation à l’intention des entités déclarantes
Le 9 juillet 2026, le Commissaire à la protection de la vie privée du Canada a publié une orientation sur la présentation des codes de pratique relatifs à l’échange de renseignements personnels à l’intention des entités déclarantes, dans le cadre des efforts visant à détecter ou à décourager le recyclage des produits de la criminalité, le financement des activités terroristes et le contournement des sanctions. À la suite de modifications législatives apportées en mars 2025, les entités déclarantes assujetties à la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes peuvent se communiquer entre elles des renseignements personnels à l’insu de la personne concernée et sans son consentement dans certaines circonstances, à condition d’avoir établi un code de pratique régissant l’échange de renseignements. Ce code de pratique doit avoir été approuvé par le Commissariat à la protection de la vie privée du Canada, conformément à cette nouvelle orientation.
Le Commissaire à la protection de la vie privée du Canada publie les conclusions de l’enquête sur Grok et les hypertrucages
Le 11 juin 2026, le Commissaire à la protection de la vie privée du Canada (CPVP) a publié les conclusions de son enquête sur la conformité de X Corporation à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) après avoir été informé que le robot conversationnel Grok avait généré et rendu public des millions d’hypertrucages sexuellement explicites d’individus réels et identifiables. Le CPVP a conclu que X n’avait pas obtenu le consentement valable des individus pour recueillir, utiliser et communiquer leurs renseignements personnels dans le but de générer des hypertrucages à caractère sexuel, et qu’une personne raisonnable estimerait que cette pratique est inacceptable dans les circonstances données. Il a fait des suggestions à X pour l’aider à se conformer à la LPRPDE et assurer la protection de la vie privée des individus.
États-Unis
Le Connecticut adopte une nouvelle loi sur la protection de la vie privée et l’intelligence artificielle
Le 27 mai 2026, le projet de loi 5 du Sénat (en anglais seulement) a été promulgué par le gouverneur Ned Lamont, établissant un régime réglementaire global en matière de sécurité en ligne et d’IA. La loi comprend des dispositions qui encadrent l’utilisation de l’IA dans les décisions relatives à l’embauche et à l’emploi et qui demandent aux exploitants de robots conversationnels et de compagnons de mettre en œuvre des protocoles afin de détecter les situations où des enfants et des adultes expriment des idées suicidaires ou des signes d’automutilation. Le projet de loi exige aussi que les entreprises de médias sociaux prennent des mesures pour protéger les enfants contre la dépendance aux médias sociaux, notamment en limitant leur accès aux flux personnalisés addictifs. Les dates d’entrée en vigueur des différents articles s’échelonnent de 2026 à janvier 2028. Toutes les organisations exerçant des activités commerciales au Connecticut devraient se familiariser avec cette loi.
La Louisiane adopte une nouvelle loi sur la protection de la vie privée
Le 29 mai 2026, la Louisiana Data Privacy Act (SB 386) (en anglais seulement) a été sanctionnée, faisant de la Louisiane le 22ᵉ État à adopter une loi générale sur la protection des données des consommateurs. Cette loi ressemble à celle du Texas en la matière, à quelques différences près. Toutes les organisations exerçant des activités en Louisiane devraient prendre connaissance de cette nouvelle loi et de ses incidences potentielles sur leurs activités.
Union européenne
L’EDPB et l’AMLA élaboreront ensemble des lignes directrices sur les partenariats de partage d’informations
Le 1ᵉʳ juillet 2026, le Comité européen de la protection des données (EDPB) et l’Autorité européenne de lutte contre le blanchiment d’argent (AMLA) ont annoncé leur intention d’élaborer des lignes directrices conjointes sur les partenariats de partage d’informations dans le contexte de la lutte contre le blanchiment d’argent. Cette initiative vise à clarifier la manière dont les obligations de protection des données interagissent avec les exigences de partage de renseignements dans la lutte contre le blanchiment d’argent.
Nouvelles lignes directrices sur l’anonymisation, le moissonnage du Web pour l’IA générative et version finale des lignes directrices sur la chaîne de blocs
Au cours de sa dernière session plénière le 8 juillet 2026, le Comité européen de la protection des données (EDPB) a adopté des lignes directrices sur l’anonymisation et des lignes directrices sur le moissonnage du Web dans le contexte de l’IA générative. En outre, il a adopté la version finale de ses lignes directrices sur le traitement des données à caractère personnel au moyen des technologies de la chaîne de blocs (ces trois documents sont en anglais).
En ce qui concerne l’anonymisation, les nouvelles lignes directrices clarifient la notion de données anonymes, en tenant compte de l’arrêt de la Cour de justice de l’Union européenne dans l’affaire C-413/23 P, Contrôleur européen de la protection des données c. Conseil de résolution unique, 4 septembre 2025. Les données sont anonymes si elles ne se rapportent pas à une personne physique identifiée ou identifiable, ce qui peut varier d’une entité à l’autre, particulièrement en ce qui concerne un prestataire de services. Le cadre utilise trois critères pour vérifier si les données sont anonymes : 1) aucune isolation des dossiers; 2) aucun lien; et 3) aucune inférence. Si les trois critères sont remplis, les données peuvent être considérées comme anonymes en toute sécurité. Sinon, une analyse approfondie doit être effectuée pour déterminer si les données peuvent être considérées comme anonymes.
Les lignes directrices préliminaires de l’EDPB sur le moissonnage du Web expliquent comment les entreprises peuvent recourir à cette technique pour recueillir des données en vue d’entraîner l’IA tout en se conformant au Règlement général sur la protection des données (RGPD). Elles insistent sur l’importance de la transparence, de la qualité des données et de la collecte limitée aux données nécessaires. De plus, elles précisent que les données personnelles sensibles nécessitent une justification juridique et des mesures de protection supplémentaires. Ces lignes directrices préliminaires sont ouvertes à la consultation publique jusqu’au 30 octobre 2026.
Enfin, l’EDPB a adopté la version finale de ses lignes directrices sur les technologies de chaîne de blocs, lesquelles fournissent des conseils pratiques pour aider les organisations à assurer leur conformité au RGPD lors de l’utilisation de solutions de chaîne de blocs. Ces lignes directrices décrivent le fonctionnement des systèmes de chaîne de blocs et analysent les incidences sur la protection des données des différentes architectures de chaîne de blocs.
Pour ne rien manquer!
Le groupe Protection des renseignements confidentiels, vie privée et cybersécurité de Fasken a récemment publié l’article suivant qui pourrait vous intéresser :
À propos du groupe Protection des renseignements confidentiels, vie privée et cybersécurité de Fasken
Notre pratique en protection de la vie privée et en cybersécurité est l’une de celles qui sont établies depuis le plus longtemps dans le marché. Notre équipe nationale de premier plan est composée de plus de 30 avocates et avocats et offre une vaste gamme de services. Qu’il s’agisse de traiter de questions complexes liées à la protection des renseignements personnels et aux incidents de confidentialité ou de fournir des conseils sur le Règlement général sur la protection des données de l’UE et les nouveaux régimes juridiques, nous offrons des conseils juridiques complets et qui bénéficient de la confiance de clients de tous les secteurs. Notre groupe est reconnu comme un chef de file dans son domaine, ayant reçu de nombreuses distinctions, comme le prix « Équipe de protection de la vie privée de l’année » lors des Prix PICCASO, en plus d’avoir été reconnu par les répertoires Chambers Canada et Best Lawyers in Canada. Pour de plus amples renseignements, consultez notre site Web.
