Confidentialité et Cybersécurité au Canada, aux États-Unis et dans l’UE
Ce bulletin mensuel est élaboré par le groupe de confidentialité et de cybersécurité de Fasken, mettant en lumière des nouvelles et des mises à jour mémorables. Pour toute question concernant les éléments abordés dans ce bulletin, n’hésitez pas à contacter un membre de notre équipe, nous serons ravis de vous aider.
Canada
Alberta introduit de nouvelles lois sur la liberté d’information
En novembre 2024, le gouvernement de l’Alberta a annoncé qu’il abrogerait la Loi sur la liberté d’information et la protection de la vie privée (la “Loi FOIP”) et introduirait deux nouvelles lois à sa place, intitulées Loi sur la protection de la vie privée (la “LOPVP”) et Loi sur l’accès à l’information (la “LAI”). La LOPVP et la LAI continueront de s’appliquer à une variété d’entités publiques, y compris les ministères, les conseils, les agences, les municipalités, les commissions scolaires, les services de police, ainsi que les universités et collèges. Ces nouvelles législations visent à répondre aux exigences en matière de confidentialité et d’accès à l’information qui émergent à l’ère numérique. Pour en savoir plus, consultez le bulletin de Fasken sur les mises à jour de la loi sur la liberté d’information en Alberta.
La législation sur la cybersécurité du secteur public de l’Ontario devient loi
Le 25 novembre 2024, le Strengthening Cyber Security and Building Trust in the Public Sector Act, 2024 (le “projet de loi 194”) a été adopté lors de la troisième lecture et a reçu la sanction royale à l’assemblée législative de l’Ontario. Ce projet de loi met en œuvre la Loi sur l’amélioration de la sécurité numérique et de la confiance et introduit des modifications à la Loi sur la liberté d’information et la protection de la vie privée, créant de nouvelles obligations significatives en matière de confidentialité, de cybersécurité et d’utilisation de l’intelligence artificielle pour les entités du secteur public en Ontario. Des détails sont disponibles dans le bulletin de Fasken sur le projet de loi 194.
La Cour d’appel fédérale se prononce sur le sens du consentement éclairé et la nécessité de protéger les informations personnelles
Plus tôt ce mois-ci, nous avons publié notre bulletin concernant la décision de septembre de la Cour d’appel fédérale dans l’affaire Canada (Commissaire à la vie privée) c. Facebook, Inc., 2024 FCA. Cette décision, qui ne représente qu’un petit nombre d’arrêts des cours d’appel, s’intéresse aux concepts clés de la loi fédérale canadienne sur la vie privée dans le secteur privé, la Loi sur la protection des renseignements personnels et les documents électroniques (la “LPRPDE”). Plus précisément, la cour :
- Établit une norme de “personne raisonnable” pour évaluer le consentement éclairé en vertu de la LPRPDE ;
- Souligne que des déclarations de confidentialité seules peuvent être insuffisantes pour établir un consentement éclairé, en particulier lorsque l’utilisation ou la divulgation des informations personnelles est pour un but inattendu ; et
- Met en avant que les termes contractuels ne suffisent pas toujours à protéger les informations personnelles.
Europe
Le CEPD clarifie les règles de partage des données avec les autorités de pays tiers dans de nouvelles directives
Les organisations reçoivent des demandes d’autorités publiques d’autres pays pour partager des données personnelles. Ce partage peut être utile, par exemple, pour la collecte de preuves dans des affaires criminelles, pour vérifier des transactions financières ou approuver de nouveaux médicaments. Ces organisations doivent respecter le RGPD, notamment en ce qui concerne les dispositions sur les transferts, et évaluer sous quelles conditions elles peuvent répondre légalement à ces demandes (par exemple, sur la base d’un accord international). À noter que la consultation est toujours en cours.
Lettre du CEPD à la Commission Européenne concernant l’évaluation de ses onze décisions d’adéquation
Le 15 janvier 2024, la Commission Européenne a conclu son examen des onze décisions d’adéquation adoptées, considérant que les données personnelles transférées de l’Union européenne vers des pays jugés adéquats continuent de bénéficier d’un niveau de protection adéquat.
Dans cette lettre, le Contrôleur Européen de la Protection des Données (CEPD) apporte des commentaires méthodologiques sur certains aspects de son évaluation, qui auraient mérité d’être décrits avec plus de détails : l’état de droit, certains éléments du cadre de protection des données, les droits des individus, les sauvegardes pour la prise de décision automatisée, etc. Le CEPD estime que ces aspects doivent être suivis de près par la Commission lors de ses réévaluations futures des lois et pratiques des pays tiers.
Le CEPD publie un avis sur certains aspects de protection des données liés au traitement des données personnelles dans le contexte des modèles d’IA
Le 18 décembre 2024, le CEPD a publié l’avis 28/2024 sur certains aspects de protection des données liés au traitement des données personnelles dans le contexte des modèles d’IA.
Cet avis examine notamment quand les modèles d’IA peuvent être considérés comme anonymes, comment les responsables du traitement peuvent justifier l’utilisation de l’intérêt légitime comme base légale pour le traitement des données lors du développement et du déploiement de modèles d’IA, ainsi que les conséquences des traitements de données illégaux durant ces phases.
Le Parlement Européen adopte un document sur la lutte contre la désinformation et les risques de l’IA générative
Le 12 décembre 2024, le Parlement Européen a adopté un document abordant le sujet de la désinformation dans le monde numérique. Ce document souligne les défis croissants posés par la manipulation étrangère, en particulier par des acteurs autoritaires, et les risques accrus par l’IA générative.
Il décrit les efforts continus de l’UE pour renforcer l’intégrité de l’information, y compris les mesures législatives, les initiatives collaboratives, et le futur “bouclier de la démocratie européenne” visant à protéger les processus démocratiques et à défendre des droits fondamentaux tels que la liberté d’expression.
Et enfin, quelques vœux festifs !
Joyeuses Fêtes | Fasken
À propos du groupe de confidentialité et de cybersécurité de Fasken
Reconnu parmi les pratiques pionnières en matière de confidentialité et de cybersécurité, notre équipe nationale de 36 avocats offre une large gamme de services. De la gestion de questions complexes de confidentialité et de violations de données à des conseils sur le RGPD et d’autres régimes juridiques émergents, nous fournissons des conseils juridiques complets dans tous les secteurs d’activité.
Bon à savoir
- La LPRPDE est conçue pour protéger les renseignements personnels des Canadiens dans le secteur privé.
- Le RGPD impose des normes strictes aux entreprises traitant des données personnelles au sein de l’UE.
- Les organisations doivent s’assurer que le partage de données avec des pays tiers respecte les réglementations en vigueur.
La question de la protection des données et de la cybersécurité est devenue essentielle à l’ère numérique. Quelles sont les responsabilités des organisations pour assurer la sécurité des informations personnelles ? Ce débat mérite d’être approfondi, tant au niveau juridique que pratique, pour anticiper les évolutions futures.