LPRPDE (PIPEDA) : les règles du consentement aux cookies au Canada

Qu’est-ce que la LPRPDE ?

La Loi sur la protection des renseignements personnels et les documents électroniques est la loi fédérale canadienne sur la vie privée dans le secteur privé. Elle s’applique depuis le 1er janvier 2001 et, à toutes les organisations commerciales, depuis le 1er janvier 2004. Ses règles de fond sont les dix principes relatifs à l’équité dans le traitement des renseignements de l’annexe 1, repris d’une norme canadienne : responsabilité, détermination des fins, consentement, limitation de la collecte, limitation de l’utilisation, exactitude, mesures de sécurité, transparence, accès aux renseignements et possibilité de porter plainte. La Loi sur la protection des renseignements personnels numériques de 2015 a ajouté l’article 6.1 sur la validité du consentement et la déclaration obligatoire des atteintes, entrée en vigueur le 1er novembre 2018. Le Commissariat à la protection de la vie privée du Canada enquête sur les plaintes, publie des conclusions et des lignes directrices, et peut saisir la Cour fédérale, mais ne peut pas infliger d’amende.

À qui s’applique la LPRPDE ?

La LPRPDE s’applique à toute organisation qui recueille, utilise ou communique des renseignements personnels dans le cadre d’activités commerciales, et aux entreprises de compétence fédérale pour les données de leurs employés. Là où une province a une loi déclarée essentiellement similaire, c’est cette loi qui s’applique aux activités à l’intérieur de la province : la loi québécoise sur le secteur privé (voir la Loi 25 du Québec), les Personal Information Protection Acts de l’Alberta et de la Colombie-Britannique. La LPRPDE continue de s’appliquer aux flux transfrontaliers et interprovinciaux. Les sites étrangers ayant un lien réel et important avec le Canada, par exemple parce qu’ils servent des clients canadiens ou suivent des visiteurs canadiens, sont à la portée du Commissariat, comme l’ont montré plusieurs conclusions contre des sociétés américaines.

Qu’exige la LPRPDE pour les cookies et le consentement ?

Un renseignement personnel est tout renseignement concernant un individu identifiable. Le Commissariat traite les identifiants de cookies, les identifiants d’appareil et les adresses IP comme des renseignements personnels lorsqu’ils peuvent être reliés à une personne, ce qui est précisément l’objet de la publicité comportementale.

Le consentement est régi par le principe 4.3 et l’article 6.1. Il n’est valable que s’il est raisonnable de s’attendre à ce que la personne comprenne la nature, les fins et les conséquences de la collecte, de l’utilisation ou de la communication. La forme du consentement varie selon la sensibilité des renseignements et les attentes raisonnables de la personne : consentement exprès pour les renseignements sensibles, consentement implicite possible pour les renseignements moins sensibles. Le paragraphe 4.3.7 donne des exemples, dont une case d’opposition que les individus peuvent cocher pour dire non.

Le Commissariat a appliqué cela au suivi dans ses lignes directrices sur la protection de la vie privée et la publicité comportementale en ligne (décembre 2011). La publicité comportementale peut être une fin raisonnable, et un consentement par opposition peut être acceptable, à condition que :

• les individus soient informés de la pratique clairement et de façon évidente, au moment de la collecte ou avant, et non au fond d’une politique ;
• ils puissent s’y opposer au moment où les publicités sont affichées ou avant, que l’opposition prenne effet immédiatement et soit durable ;
• les renseignements recueillis soient limités au nécessaire et détruits ou rendus non identifiables dès que possible ;
• aucun renseignement sensible (santé, finances, orientation sexuelle et autres) ne soit utilisé, et que les sites destinés aux enfants ne les suivent pas, un consentement valable des enfants étant peu probable ;
• le suivi ne soit pas une condition d’utilisation du site.

Les Lignes directrices pour l’obtention d’un consentement valable (mai 2018, appliquées par le Commissariat depuis le 1er janvier 2019) ajoutent l’approche par niveaux et en langage clair : mettre en évidence les éléments clés (ce qui est recueilli, avec qui c’est partagé, à quelles fins, et le risque de préjudice), offrir un vrai choix et adopter le point de vue de l’utilisateur. Ensemble, les deux documents signifient qu’un site canadien peut faire de la publicité comportementale non sensible sur la base d’une opposition, mais qu’il lui faut un avis bien visible et une opposition qui fonctionne, et qu’il doit passer au consentement exprès pour les données sensibles ou celles des enfants.

Que doit faire un bandeau conforme ?

• Indiquer aux visiteurs, dans un avis visible dès la première visite, que des cookies et technologies similaires servent à la mesure d’audience et à la publicité, et qui reçoit les données.
• Proposer une opposition facile d’accès, immédiate et durable, ou un consentement exprès lorsque les données sont sensibles ou que le public comprend des enfants.
• Renvoyer à une politique de confidentialité qui explique les fins, les tiers et la manière de retirer son consentement.
• Éviter de faire du suivi une condition d’accès, et éviter les conceptions confuses ou trompeuses.

La plupart des sites canadiens choisissent un bandeau à consentement préalable avec Accepter et Refuser, parce qu’il satisfait à la fois la LPRPDE, la Loi 25 du Québec (qui exige un suivi désactivé par défaut) et les règles européennes.

Contrôles et sanctions

Le Commissariat enquête sur les plaintes et de sa propre initiative, publie des rapports de conclusions et peut demander à la Cour fédérale des ordonnances et des dommages-intérêts. En matière de publicité comportementale, ses conclusions ont exigé des entreprises qu’elles améliorent leurs avis et leurs mécanismes d’opposition plutôt que de payer des sanctions, car la LPRPDE n’en prévoit aucune : l’article 28 érige en infraction, punissable d’une amende jusqu’à 10 000 $ CA par procédure sommaire ou 100 000 $ CA par mise en accusation, le fait d’entraver le Commissaire, d’exercer des représailles contre des dénonciateurs ou de manquer aux obligations de déclaration des atteintes et de tenue de registres, et rien de plus.

C’est cette lacune qui met la réforme sur la table depuis des années. Le projet de loi C-27, la Loi de 2022 sur la mise en œuvre de la Charte du numérique, avec sa Loi sur la protection de la vie privée des consommateurs et des sanctions administratives jusqu’à 10 millions de dollars canadiens ou 3 % des revenus mondiaux, est mort avec la prorogation du Parlement le 6 janvier 2025. Le 15 juin 2026, le gouvernement a déposé le projet de loi C-36, le Protecting Privacy and Consumer Data Act (loi sur la protection de la vie privée et des données des consommateurs), qui remplacerait la partie 1 de la LPRPDE par une nouvelle loi, garderait le consentement au centre et créerait un nouvel organisme d’application doté du pouvoir d’imposer des sanctions pécuniaires importantes. Tant qu’un projet de loi n’est pas adopté, la LPRPDE telle que décrite ici reste la loi.

Comment Cookiequiet gère la LPRPDE

Le Canada figure dans la liste des pays réglementés de Cookiequiet : avec le ciblage géographique activé, les visiteurs canadiens reçoivent le bandeau de consentement, ce qui couvre l’activation préalable attendue au Québec et l’avis avec choix que la LPRPDE exige ailleurs. « Tout accepter » et « Tout refuser » ont le même poids, les catégories sont désactivées par défaut, le centre de préférences reste accessible pour retirer son consentement, et les textes en anglais et en français suivent la langue du navigateur. Les scripts et contenus embarqués sont bloqués jusqu’au choix du visiteur, Consent Mode v2 garde les balises Google à l’état refusé, et le registre des consentements enregistre chaque choix. Le générateur de politique de confidentialité couvre les principaux éléments attendus par le Commissariat (fins, tiers, conservation, droits) sous forme de modèle, pas de conseil juridique ; vérifiez si vous avez besoin d’un bandeau pour un public uniquement canadien.