Le 23 septembre 2019, le Commissariat à la protection de la vie privée du Canada (CPVPC) publiait ses conclusions à la suite de la consultation sur les transferts aux fins de traitement de renseignements personnels et annonçait le maintien de ses lignes directrices et exigences en la matière sous le régime de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE). Par conséquent, il n’y a pas de nouvelles obligations pour les organisations qui effectuent des transferts aux fins de traitement au Canada et à l’étranger; celles-ci doivent toutefois continuer de respecter les Lignes directrices pour l’obtention d’un consentement valable et les Lignes directrices sur le traitement transfrontalier des données personnelles du CPVPC. Plus particulièrement, les organisations qui effectuent des transferts transfrontaliers doivent aviser les personnes concernées du transfert de leurs renseignements personnels à d’autres pays aux fins de traitement, et de l’éventuel accès à ces renseignements par les organismes d’application de la loi, les tribunaux et les autorités nationales de sécurité du pays en question.
Comme nous en faisions mention dans notre précédente publication « Importante consultation lancée par le Commissariat à la protection de la vie privée ayant des incidences sur la circulation transfrontalière des données et les activités d’impartition », le CPVPC a statué, dans son récent rapport de conclusions d’enquête sur Equifax et son document de discussion dans le cadre de la consultation publié en avril 2019, que le consentement des personnes concernées doit être obtenu avant le transfert aux fins de traitement de leurs renseignements personnels dans une autre province ou un autre pays. Dans son annonce, le CPVPC disait avoir reçu 87 mémoires d’intervenants durant la consultation, dont bon nombre faisaient valoir que la LPRPDEn’exige nullement d’obtenir le consentement préalable pour le transfert aux fins de traitement, et que l’obtention du consentement représenterait « d’énormes défis en ce qui concerne leurs processus opérationnels ».
Ainsi, même si le CPVPC estime que la LPRPDE ne protège pas suffisamment la vie privée dans le contexte des transferts aux fins de traitement, il a décidé que ses lignes directrices et exigences en la matière demeureraient inchangées jusqu’à la prochaine réforme législative. À cet égard, le gouvernement fédéral a annoncé en mai le début de ses travaux de mise à jour de la LPRPDE dans le cadre de sa charte numérique. Le CPVPC tiendra compte des mémoires reçus dans la formulation de ses recommandations au gouvernement relativement à la mise à jour et au renforcement de la Loi.