Protection des renseignements personnels et cybersécurité au Canada, aux États-Unis et dans l’Union européenne
Ce bulletin mensuel a été préparé par le groupe Protection des renseignements confidentiels, vie privée et cybersécurité de Fasken pour vous présenter les actualités et les développements récents qui ont attiré notre attention. Si vous avez des questions sur l’un des sujets abordés dans ce bulletin, communiquez avec l’un des membres de ce groupe, qui se fera un plaisir de vous aider.
Canada
Le Canada lance son Code sur la protection des renseignements personnels des enfants
Le 20 octobre 2026, le Commissariat à la protection de la vie privée du Canada (CPVP) a publié son tout premier Code sur la protection des renseignements personnels des enfants du Canada (le « Code »). Le Code fournit des directives sur la collecte, l’utilisation et la communication des renseignements personnels des enfants en vertu de la LPRPDE et énonce les attentes relatives aux pratiques en matière de protection de la vie privée adaptées à l’âge, y compris des exigences plus strictes en matière de consentement, des paramètres par défaut de protection de la vie privée ainsi que des restrictions relatives au profilage et à la publicité comportementale. Bien qu’il n’ait pas force de loi, le Code met en lumière les priorités du CPVP et reflète l’attention croissante que les organismes de réglementation accordent à la protection des renseignements personnels des enfants dans les environnements numériques.
Une cour albertaine reconnaît le délit d’intrusion dans l’intimité
Dans l’affaire B.D. v. Germain, 2026 ABKB 590 (en anglais seulement), la Cour du Banc du Roi de l’Alberta a reconnu pour la première fois le délit d’intrusion dans l’intimité en Alberta, reprenant essentiellement le cadre établi par la Cour d’appel de l’Ontario dans l’affaire Jones c. Tsige, 2012 ONCA 32. Le défendeur avait enregistré la plaignante à son insu alors qu’elle utilisait les toilettes de son lieu de travail et avait déjà plaidé coupable à des accusations de voyeurisme dans le cadre d’une poursuite au criminel. La plaignante a ensuite intenté un recours au civil pour atteinte à sa vie privée.
Le tribunal a conclu que les recours législatifs et la common law ne permettaient pas de répondre adéquatement aux atteintes graves à la vie privée de cette nature et qu’il était donc nécessaire de reconnaître le délit d’intrusion dans l’intimité. Pour établir la responsabilité, la partie plaignante doit démontrer que : 1) la conduite de la défenderesse était intentionnelle ou inconsidérée; 2) la défenderesse s’est ingérée, sans justification légitime, dans les affaires privées ou les préoccupations personnelles de la plaignante; et 3) une personne raisonnable considérerait l’invasion comme étant très choquante et causant de la détresse, de l’humiliation ou de l’angoisse. Le troisième élément diffère légèrement des critères établis dans l’affaire Jones, puisqu’il tient compte de la « situation de la plaignante », plutôt que de s’en remettre uniquement à la norme de la décision raisonnable.
Cette décision revêt une importance particulière, puisqu’elle reconnaît un recours de droit privé en cas d’atteinte grave à la vie privée en Alberta, et ce, même lorsque les renseignements obtenus au moyen de l’intrusion ne sont pas divulgués ultérieurement. De façon plus générale, cette décision pourrait ouvrir la voie à de nouvelles réclamations civiles lorsque les autres causes d’action ne permettent pas d’obtenir de réparation adéquate.
Le Commissariat à la protection de la vie privée du Canada met à jour son document d’orientation sur le traitement de l’enregistrement des appels des clients
Le Commissariat à la protection de la vie privée du Canada (CPVP) a mis à jour son document d’orientation sur le traitement de l’enregistrement des appels des clients afin de mieux refléter l’évolution des attentes relatives à la protection des données biométriques. Le document d’orientation mis à jour souligne que les empreintes vocales constituent des renseignements biométriques sensibles pouvant servir à identifier une personne et que leur utilisation peut, selon les circonstances, nécessiter l’obtention d’un consentement valable. Le CPVP rappelle également aux organisations assujetties à la LPRPDE que les obligations en matière de protection des renseignements personnels s’appliquent dès qu’un appel avec un client est enregistré, peu importe qui en est à l’origine. Les entreprises doivent par ailleurs veiller à ce que leurs fournisseurs de services tiers, comme les centres d’appels et les entreprises de télémarketing, traitent les données vocales enregistrées conformément aux exigences applicables en matière de protection des renseignements personnels.
États-Unis
La Californie renforce son cadre réglementaire en matière d’IA en milieu de travail
La Californie a adopté une nouvelle loi qui élargit considérablement la portée de l’encadrement de l’intelligence artificielle en milieu de travail. À compter de 2027, la loi américaine intitulée No Robo Bosses Act (SB 947) (en anglais seulement) interdira aux employeurs de s’appuyer uniquement sur des systèmes décisionnels automatisés pour prendre des décisions en matière de mesures disciplinaires ou de cessation d’emploi. Elle exigera une intervention humaine, la transmission d’avis aux employés et une plus grande transparence quant aux données utilisées par ces systèmes. La Californie a par ailleurs modifié sa législation afin d’imposer des exigences de communication supplémentaires lorsque l’IA ou l’automatisation joue un rôle important lors de licenciements collectifs ou de réductions d’effectif. Ces modifications visent également à restreindre l’utilisation en milieu de travail d’outils de surveillance alimentés par l’IA permettant de déduire l’état émotionnel des employés ou de recueillir des données neuronales. Ensemble, ces mesures renforcent le rôle de premier plan de la Californie dans l’encadrement de l’IA en milieu de travail. Elles mettent en évidence les défis de conformité croissants auxquels sont confrontés les employeurs qui exercent des activités dans plusieurs territoires, alors que les lois en matière d’emploi visant expressément l’IA continuent de se multiplier.
La Californie réforme sa réglementation sur la protection des renseignements personnels dans le secteur de l’assurance
La Californie a sanctionné le projet de loi SB 354, une vaste réforme de ses lois sur la protection des renseignements personnels dans le secteur de l’assurance qui, à compter du 1er juillet 2028, élargira considérablement les obligations des assureurs et de leurs fournisseurs de services. La loi dépasse le cadre traditionnel fondé sur l’avis et le consentement en introduisant des concepts modernes en matière de protection des renseignements personnels, dont la minimisation des données, la limitation des finalités, la gouvernance de la conservation des données, le renforcement des droits des consommateurs ainsi que des exigences accrues à l’égard des fournisseurs tiers. Elle élargit la portée des renseignements personnels protégés, impose de nouvelles exigences de consentement pour certaines utilisations des données et interdit la vente des renseignements personnels des consommateurs. Elle oblige également les assureurs à mettre en place des programmes détaillés de conservation et de suppression des données ainsi que de gestion des fournisseurs. Cette réforme s’inspire de plusieurs concepts issus de lois sur la protection des renseignements personnels ayant une portée plus générale, comme la California Consumer Privacy Act (CCPA). Elle pourrait également préfigurer l’évolution de la réglementation dans le secteur de l’assurance aux États-Unis, alors que les organismes de réglementation et les législateurs poursuivent la modernisation du cadre de protection des renseignements personnels applicable à ce secteur.
La Californie adopte de nouvelles règles sur l’IA dans le secteur de la santé
La Californie a adopté une série de lois sur l’utilisation de l’IA dans le secteur de la santé qui entreront en vigueur le 1er janvier 2027 et imposeront de nouvelles exigences visant les systèmes de soutien à la prise de décisions cliniques, les agents conversationnels dans le domaine de la santé et les outils de service à la clientèle alimentés par l’IA. Ces lois obligent notamment les développeurs et les fournisseurs de soins de santé à évaluer et à atténuer les biais potentiels des systèmes de soutien à la prise de décisions cliniques alimentés par l’IA. Elles exigent également des professionnels autorisés qu’ils continuent d’exercer un jugement clinique indépendant et ne délèguent pas à l’IA ou à du personnel non autorisé des fonctions cliniques réglementées. Le nouveau cadre étend également la portée des exigences californiennes en matière de confidentialité des renseignements médicaux à certains agents conversationnels dans le domaine de la santé et limite l’utilisation et la communication des renseignements médicaux connexes. De plus, les grandes entreprises seront tenues d’offrir, aux personnes qui en font la demande, la possibilité de communiquer avec un représentant du service à la clientèle, sous réserve de certaines exceptions.
Union européenne
EU KIDS Act
La proposition de règlement EU KIDS Act vise à mieux protéger les enfants et les adolescents contre les risques liés aux plateformes en ligne, y compris leurs fonctionnalités addictives. Elle prévoit un accès progressif aux médias sociaux : aucun accès pour les enfants de moins de 13 ans; mini-compte aux fonctionnalités limitées géré par un parent pour les jeunes de 13 à 15 ans; et comptes autonomes dès l’âge de 15 ans. Les services en ligne utilisés par des mineurs seraient tenus d’offrir une meilleure protection par défaut, notamment en veillant à ce que les profils soient privés et en limitant les fonctionnalités préjudiciables. La proposition prévoit également des mesures de vérification de l’âge qui protègent la vie privée. Enfin, elle impose davantage de responsabilités aux grandes plateformes en ligne, qui devront démontrer que leurs services sont sécuritaires et conçus pour tenir compte du bien-être des enfants.
Lignes directrices 3/2025 sur l’interaction entre le Règlement sur les services numériques et le RGPD, adoptées à l’issue d’une consultation publique
Les lignes directrices 3/2025(en anglais seulement) du Comité européen de la protection des données (EDPB) précisent comment le Règlement sur les services numériques et le RGPD doivent être interprétés et appliqués conjointement lorsque les plateformes en ligne traitent des données à caractère personnel. Les lignes directrices confirment que le Règlement sur les services numériques ne remplace pas le RGPD et que les deux règlements doivent être appliqués de manière cohérente afin de garantir un niveau élevé de protection des données à caractère personnel. Elles abordent des sujets importants, dont la modération du contenu, les mécanismes de notification et action, les interfaces truquées, la publicité ciblée, les systèmes de recommandation et la protection des mineurs. L’EDPB souligne que tout traitement de données à caractère personnel effectué dans le cadre des obligations prévues par le Règlement sur les services numériques doit respecter les principes du RGPD, notamment en matière de licéité, de nécessité, de transparence et de minimisation des données. Enfin, les lignes directrices insistent sur la nécessité d’une collaboration étroite entre les autorités chargées de la protection des données et les organismes responsables de l’application du Règlement sur les services numériques afin d’assurer l’application cohérente des deux cadres dans l’ensemble de l’UE.
Lignes directrices 04/2026 sur l’exercice du pouvoir d’imposer des amendes administratives et son articulation avec les autres mesures correctives prévues par le RGPD
Les lignes directrices de l’EDPB(en anglais seulement) établissent une méthode harmonisée permettant aux autorités de surveillance de déterminer dans quelles circonstances il y a lieu d’imposer une amende administrative en vertu du RGPD, seule ou en complément d’autres mesures correctives. L’évaluation se fait en cinq étapes, lesquelles consistent notamment à vérifier si la violation est passible d’une amende, à identifier la partie responsable et à déterminer si la violation a été commise intentionnellement ou par négligence. Les autorités doivent ensuite évaluer les facteurs aggravants ou atténuants énumérés à l’article 83(2) du RGPD afin de déterminer si la violation est mineure. Les violations mineures donnent généralement lieu à un rappel à l’ordre plutôt qu’à une amende, tandis que les violations non mineures font l’objet d’une forte présomption en faveur de l’imposition d’une amende. Enfin, les amendes imposées doivent être effectives, proportionnées et dissuasives, conformément à l’article 83(1) du RGPD.
Mois de la sensibilisation à la cybersécurité
Octobre est le Mois de la sensibilisation à la cybersécurité et nous rappelle que la cybersécurité demeure une priorité stratégique pour les entreprises. Entre l’émergence de nouvelles cybermenaces et l’évolution de la réglementation en matière d’IA et de protection des renseignements personnels, les organisations doivent composer avec des risques de plus en plus complexes. Pour renforcer leur résilience, elles doivent se tenir informées, sensibiliser tous les membres de leur organisation à la cybersécurité et maintenir des pratiques de gouvernance rigoureuses. L’équipe Protection des renseignements confidentiels, vie privée et cybersécurité de Fasken continue de suivre de près les développements dans ce domaine et peut aider les organisations à s’adapter aux changements juridiques et réglementaires qui en découlent.
Pour ne rien manquer!
Webinaire
Le groupe Protection des renseignements confidentiels, vie privée et cybersécurité de Fasken vous invite à assister à son prochain webinaire annuel sur la protection des renseignements personnels, qui traitera des faits nouveaux en matière de protection des renseignements confidentiels, de vie privée et de cybersécurité.
- Protection des renseignements confidentiels, vie privée et cybersécurité en 2026 : s’y retrouver dans un environnement en évolution – 16 novembre, 2026
À propos du groupe Protection des renseignements confidentiels, vie privée et cybersécurité de Fasken
Notre pratique en protection de la vie privée et en cybersécurité est l’une de celles qui sont établies depuis le plus longtemps dans le marché. Notre équipe nationale de premier plan est composée de plus de 30 avocates et avocats et offre une vaste gamme de services. Qu’il s’agisse de traiter de questions complexes liées à la protection des renseignements personnels et aux incidents de confidentialité ou de fournir des conseils sur le Règlement général sur la protection des données de l’UE et les nouveaux régimes juridiques, nous offrons des conseils juridiques complets et qui bénéficient de la confiance de clients de tous les secteurs. Notre groupe est reconnu comme un chef de file dans son domaine, ayant reçu de nombreuses distinctions, comme le prix « Équipe de protection de la vie privée de l’année » lors des Prix PICCASO, en plus d’avoir été reconnu par les répertoires Chambers Canada, Canadian Legal Lexpert Directory et Best Lawyers in Canada. Pour de plus amples renseignements, veuillez consulter notre site Web.
