Projet de loi C-36 : comment la réforme fédérale en matière de protection de la vie privée pourrait multiplier les actions collectives

En juin 2026, le gouvernement fédéral a présenté le projet de loi C-36, qui remplacerait la Loi sur la protection des renseignements personnels et les documents électroniques (la LPRPDE) par une nouvelle Loi visant à protéger la vie privée et les données des consommateurs (la LPVPDC).

Ce projet de loi prévoit un nouveau droit d’action qui semble être accessible à tout individu touché par une contravention à la LPVPDC, sous réserve de certaines conditions.

Ce droit d’action proposé, qui semble aller bien au-delà du droit actuel de présenter une demande de dommages-intérêts en vertu de la LPRPDE, pourrait générer une prolifération des actions collectives en matière de protection de la vie privée alléguant des contraventions à la LPVPDC touchant de nombreux individus. À certains égards, ce droit d’action proposé, ainsi que le risque d’action collective qu’il comporte, pourrait constituer un risque encore plus élevé que les éventuelles sanctions administratives pécuniaires prévues à la LPVPDC.

Projet de loi C-36 et le risques d’actions collectives : ce que les organisations doivent savoir

• La LPVPDC proposée semble créer un nouveau droit d’action privé plus large que le droit actuel de présenter une demande sous le régime de la LPRPDE.
• Ce nouveau droit d’action privé pourrait faire grimper le nombre de demandes d’actions collectives.
• Les organisations devraient aborder les plaintes en matière de protection de la vie privée, ainsi que les enquêtes et les accords de conformité y afférents en gardant à l’esprit le risque lié à d’éventuelles actions collectives.

Comment fonctionnerait le droit d’action proposé dans le projet de loi C-36

Si elle est adoptée, la LPVPDC changerait le paysage des actions collectives en matière de protection de la vie privée et des données des consommateurs en introduisant un nouveau droit d’action privé. Ainsi, l’art. 132 semble accorder à tout individu touché par une contravention à la LPVPDC de la part d’une organisation, un droit d’action en dommages-intérêts pour la perte ou le préjudice découlant de la contravention à cette loi, sous réserve de certaines conditions.

Ce droit d’action proposé semble aller bien au-delà du droit existant de présenter une demande de dommages-intérêts en vertu de l’art. 14 de LPRPDE à au moins quatre égards importants :

• Qui peut intenter une poursuite? En vertu de l’art. 14 de la LPRPDE, seul un plaignant, c.-à-d. une personne ayant d’abord déposé une plainte auprès du Commissaire à la protection de la vie privée et ayant reçu un rapport ou un avis l’informant de la fin de l’examen de la plainte, peut présenter une demande. L’art. 132 de la LPVPDC est de portée plus large : il semble s’appliquer à tout individu touché par une contravention à la loi, qu’il ait ou non déposé la plainte à l’origine de l’affaire. Cette disposition pourrait se prêter plus facilement aux actions collectives proposées, qui pourraient dès lors être intentées par tout individu touché (qu’il ait ou non déposé une plainte) au nom d’un groupe plus large.
• Devant quel tribunal? L’art. 14 de la LPRPDE établit que seule la Cour fédérale peut être saisie de demandes présentées en vertu de cette disposition. L’art. 132(5) de la LPVPDC est expressément de portée plus large : un individu touché peut faire valoir le droit d’action proposé devant la Cour fédérale ou devant une cour supérieure provinciale. Nuance importante, car les actions collectives en matière de protection de la vie privée et des données des consommateurs alléguant des contraventions à la législation fédérale en la matière n’ont, par le passé, jamais pu être intentées devant une Cour supérieure provinciale, laquelle pouvait en revanche connaître des actions collectives en matière de protection de la vie privée et des renseignements personnels fondées uniquement sur la common law ou sur la législation provinciale. En vertu de la LPVPDC, cependant, il semble que les plaignants puissent faire valoir simultanément des réclamations fondées sur la législation fédérale et des réclamations fondées sur la législation provinciale en matière de protection de la vie privée et des données devant une Cour supérieure provinciale, ce qui élargit l’éventail des réclamations pouvant être présentées devant une seule instance.
• Type de procédure? L’art. 14 de la LPRPDE est formulé comme un droit de présenter une demande — un mécanisme procédural présumé convenir à une décision sommaire fondée sur un dossier documentaire. L’art. 132 est formulé comme offrant un droit d’action. Il s’agit d’un mécanisme plus large envisageant des plaidoiries complètes, la communication préalable de la preuve et un procès. Ce mécanisme pourrait faciliter l’intégration d’une réclamation alléguant une contravention à la LPVPDC dans le cadre d’actions collectives, y compris des actions qui combinent des réclamations fondées sur la LPVPDC avec d’autres réclamations. L’art. 132(3) semble confirmer que le droit d’action ne limite pas les autres droits et recours d’un individu.
• Portée des contraventions admissibles? L’art. 14 de la LPRPDE limite le recours en dommages-intérêts aux contraventions à certaines dispositions particulières de la LPRPDE — à savoir, certaines clauses de l’annexe 1 et des dispositions précises du texte principal de la Loi. L’art. 132 de la LPVPDC n’a pas une portée aussi limitée : il semble s’appliquer à tout acte ou omission constituant une contravention à la LPVPDC, à condition que l’individu soit touché par les actes ou omissions ayant donné lieu à l’infraction. Cela semble élargir de manière importante la gamme de comportements sous-jacents pouvant justifier une demande de dommages-intérêts.

Le tableau ci-après offre une comparaison en un clin d’œil.

LPRPDE c. LPVPDC : qu’est-ce qui changerait?

Quelles contraintes le projet de loi C-36 impose-t-il au droit d’action privé?

Le droit n’est pas sans limites. Au moins deux filtres importants limitent l’exposition aux actions collectives.

1. Ce droit ne deviendrait applicable qu’après la survenance d’événements précis dans le cadre du processus d’application de la loi — à savoir lorsque le Commissaire à la protection de la vie privée et des données des consommateurs conclut à l’existence d’une contravention, la Cour fédérale conclut à l’existence d’une contravention en appel, une décision définitive conclut à l’existence d’une contravention après épuisement de tous les recours et appels, ou lorsque le Commissaire conclut un accord de conformité ne prévoyant aucun volet de dommages-intérêts. Ainsi, les individus ne peuvent pas commencer par faire valoir un droit d’action privé et intenter une action collective; d’autres étapes doivent d’abord être franchies, et celles-ci doivent aboutir à la conclusion à l’existence d’une contravention ou à un accord de conformité — un filtre essentiel qui limite l’accès au droit d’action privé.
2. Aucune poursuite ne peut être intentée à titre d’action collective à moins de satisfaire aux exigences relatives à la certification du groupe, ce qui constitue un obstacle de taille. Une conclusion du Commissaire à la protection de la vie privée et des données des consommateurs n’est pas une ordonnance de certification. Les plaignants devront toujours satisfaire aux critères bien connus : un groupe identifiable, une cause d’action recevable, des questions communes, une procédure préférable et un représentant demandeur adéquat. La jurisprudence canadienne récente confirme que les plaignants intentant des actions collectives en matière de protection de la vie privée et des données doivent toujours se décharger d’un fardeau important sur les plans de la preuve et du droit pour obtenir la certification.

D’une plainte pour atteinte à la protection de la vie privée à une action collective proposée : comment la voie de l’action subséquente pourrait-elle fonctionner?

L’effet pratique de l’art. 132 est que toute plainte en matière de protection de la vie privée et des données des consommateurs en vertu de la LPVPDC comporte désormais un risque potentiel d’action collective subséquente. En effet, l’organisme de réglementation constate une contravention, et l’action collective vise à en tirer un avantage financier — tout comme le font depuis longtemps au Canada les actions collectives subséquentes dans les contextes des valeurs mobilières et de la concurrence.

Par conséquent, même une seule plainte déposée par une seule personne concernant une seule pratique peut potentiellement constituer la première étape d’une action collective proposée, comportant un risque financier considérable face à un très grand groupe. En conséquence, chaque plainte devrait être gérée en tenant compte du risque éventuel qu’une action collective soit intentée.

Ce recadrage a des répercussions importantes sur la manière dont les organisations peuvent interagir avec l’organisme de réglementation. En vertu de LPRPDE, un rapport du Commissaire à la protection de la vie privée est souvent compris, en termes pratiques, comme une déclaration des points de vue de ce Commissaire, combinée à la possibilité d’une demande intentée en vertu de l’art. 14, de conséquences liées à la réputation et de directives et attentes de plus en plus détaillées.

En revanche, en vertu de la LPVPDC, la conclusion d’un Commissaire à la protection de la vie privée et des données des consommateurs fait plus que cela : elle ouvre la voie à l’octroi de dommages-intérêts prévus par la loi et à une action collective proposée subséquente. Cette évolution des conséquences en aval pourrait amener les organisations à redéfinir la manière dont elles présentent leurs observations dans le cadre des enquêtes réglementaires, dont elles contestent les avis de contravention dans le cadre d’un examen mené par la Commission à la protection de la vie privée et des données des consommateurs, et dont elles envisagent les appels devant la Cour fédérale en vertu de l’art. 128.

Les ententes de conformité pourraient constituer un choix stratégique

En vertu de l’art. 132(1)d), un accord de conformité ne donnera pas lieu à l’exercice d’un droit d’action droit d’action privé s’il prévoit des dommages-intérêts. Lorsqu’une affaire semble se diriger vers une forme de règlement avec le Commissaire, l’avocat(e) devra se demander s’il convient de négocier un volet relatif aux dommages-intérêts(c’est-à-dire d’accepter un paiement déterminé en échange de la clôture de la voie offerte par l’art. 132) ou d’accepter un accord de conformité ne comportant pas de volet relatif aux dommages-intérêts et assumer le risque résiduel lié à une poursuite civile.

Ce compromis peut s’avérer difficile et dépendre fortement des circonstances particulières. Un paiement modeste et bien défini versé dès maintenant pourrait permettre d’éviter à l’avenir une action collective beaucoup plus importante et moins prévisible. Par contre, un volet relatif aux dommages-intérêts :

1. oblige l’organisation à reconnaître son exposition d’une manière qu’elle n’aurait peut-être pas envisagée autrement;
2. pourrait créer des attentes qui feraient office de précédent pour des affaires futures, tant auprès du Commissaire que des plaignants;
3. n’empêche pas, en soi, l’introduction de poursuites civiles en dehors du champ d’application de l’art. 132.

Une analyse stratégique minutieuse s’imposera dans tous les cas où un accord de conformité est envisagé.

La manière dont les tribunaux traiteront les conclusions du Commissaire restent à déterminer

En vertu de la LPRPDE, les demandes présentées à la Cour fédérale ont été traitées comme des audiences de novo, la Cour formulant ses propres conclusions sans devoir accorder de déférence aux opinions du Commissaire à la protection de la vie privée. La LPVPDC ne traite pas expressément de la norme de contrôle ni du poids qu’un tribunal saisi d’une action fondée sur l’art. 132 devrait accorder aux conclusions sous-jacentes du Commissaire. Les questions de savoir si ces conclusions donnent lieu à une préclusion pour même question en litige, si ces conclusions justifient une déférence (et, le cas échéant, à quelles conditions) et si les éléments de preuve sous-jacents sont admissibles dans le cadre de l’action civile constitueront des questions importantes durant la première vague de litiges intentés sur le fondement de l’art. 132.

Comment les organisations peuvent-elles se préparer au projet de loi C-36?

Le projet de loi C-36 est une loi importante de réforme en matière de protection de la vie privée et des données des consommateurs. Il s’agit également d’une législation importante en matière de litige. L’article 132 intègre au régime fédéral de protection de la vie privée et des renseignements personnels un mécanisme de droit d’action privé subséquent, déjà bien connu dans d’autres contextes législatifs au Canada. Si le projet de loi est adopté pour l’essentiel dans sa forme actuelle, ce mécanisme augmentera considérablement le profil de risque lié aux actions collectives en matière de conformité aux lois fédérales sur la protection de la vie privée et des données.

Pour les organisations qui exercent des activités au Canada, le message est que le risque lié aux actions collectives associé au projet de loi C-36 n’est pas simplement une conséquence indirecte de sanctions plus sévères. Il s’agit d’un risque distinct qui mérite sa propre analyse et stratégie.

Les organisations qui s’adapteront le plus rapidement au nouveau mécanisme — en réorganisant le traitement des plaintes, en renforçant leur engagement en matière de réglementation et en intégrant les considérations relatives aux actions collectives dans leur gouvernance en matière de protection de la vie privée — seront les mieux placées durant la première vague d’actions collectives fondées sur l’art. 132.

En savoir plus sur le Projet de loi C-36 :

• Projet de loi C-36 : ce que les organisations doivent savoir sur la nouvelle réforme de la protection de la vie privée au Canada.
• Le nouveau régulateur canadien de la protection de la vie privée : pourquoi le projet de loi C‑36 change la donne. pourquoi le projet de loi C‑36 change la donne.

To view the original article click here

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.