PIPEDA : consentement et finalité — les deux principes que les PME font mal

La plupart des conclusions de la LPRPDE contre les petites entreprises ne portent pas sur le chiffrement ni sur les atteintes. Elles portent sur la collecte de données sans finalité documentée et sur l’obtention d’un consentement dénué de sens. Voici ce que la loi exige réellement — article par article — et comment une équipe informatique d’une à trois personnes le met en œuvre.

Si vous avez lu l’introduction à la LPRPDE pour les PME, vous connaissez les dix principes équitables de l’Annexe 1 et le fait que la LPRPDE s’applique à votre PME peu importe sa taille. Cette analyse approfondie décortique les deux principes que le Commissariat à la protection de la vie privée du Canada (CPVP) cite le plus souvent dans ses conclusions visant les PME : Deuxième principe — Détermination des fins (article 4.2) et Troisième principe — Consentement (article 4.3). Ils sont étroitement liés : une finalité qui n’a jamais été déterminée ne peut pas produire un consentement valable, et un consentement qui ne correspond pas à une finalité documentée n’est pas un consentement.

Cet article couvre le texte de la loi derrière les deux principes, les quatre points d’implémentation qui relèvent de votre équipe informatique, la décision sur la forme du consentement (explicite vs implicite), le traitement du retrait et le critère de la personne raisonnelle pour les « fins acceptables » qui s’ajoute à l’Annexe 1 dans la Partie 1 de la Loi.

Deuxième principe — Détermination des fins : décider avant de collecter

L’Annexe 1, article 4.2, énonce la règle clairement : « Les fins auxquelles des renseignements personnels sont recueillis doivent être déterminées par l’organisation avant la collecte ou au moment de celle-ci. » Une détermination a posteriori ne compte pas. Le principe comporte six sous-articles qui transforment cette phrase en exigences techniques.

4.2.1 — Documenter la finalité. Les fins doivent être consignées par écrit afin que l’organisation puisse se conformer au principe de la transparence (4.8) et au principe de l’accès (4.9). Pour l’informatique, cela signifie un registre des finalités : chaque surface de collecte (formulaire Web, permission d’application, entrée d’API, importation dans le CRM) est liée à une ou plusieurs finalités nommées, et ce lien peut être interrogé lorsqu’une demande d’accès arrive.

4.2.3 — Informer la personne avant ou pendant la collecte. Les fins « devraient être précisées à la personne auprès de laquelle on recueille des renseignements, avant la collecte ou au moment de celle-ci ». Une politique de confidentialité enferrée dans un pied de page ne satisfait pas cette exigence si le point de collecte lui-même n’affiche pas la finalité. La loi permet explicitement de vive voix ou par écrit — un formulaire de demande qui indique la finalité est l’exemple type.

4.2.4 — Nouvelle finalité, nouveau consentement. « Avant de se servir de renseignements personnels à des fins non précisées antérieurement, les nouvelles fins doivent être précisées avant l’utilisation. À moins que les nouvelles fins ne soient prévues par une loi, il faut obtenir le consentement de la personne concernée avant d’utiliser les renseignements à cette nouvelle fin. » C’est l’article qui fait échouer la plupart des projets de réutilisation secondaire (réutiliser une liste marketing pour de l’analytique, alimenter un modèle avec une base opérationnelle). Si le consentement initial ne nommait pas la nouvelle finalité, on s’arrête et on recueille un nouveau consentement.

4.2.5 — Le personnel doit pouvoir expliquer. « Les personnes qui recueillent des renseignements personnels devraient être en mesure d’expliquer à la personne concernée à quelles fins sont destinés ces renseignements. » Si le responsable du formulaire ne peut pas formuler la finalité en une phrase, vous avez un problème 4.2 avant même d’avoir un problème 4.3.

Troisième principe — Consentement : valable, proportionnel, révocable

L’article 4.3 ouvre : « Toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu’il ne soit pas approprié de le faire. » Le mot « valable » porte le sens, et les sous-articles le définissent.

4.3.2 — Un consentement valable. « Les organisations doivent faire un effort raisonnable pour s’assurer que la personne est informée des fins auxquelles les renseignements seront utilisés. Pour que le consentement soit valable, les fins doivent être énoncées de façon que la personne puisse raisonnablement comprendre de quelle manière les renseignements seront utilisés ou communiqués. » Une case précochée ou une politique de 4 000 mots derrière un lien ne rend pas le consentement valable si la finalité elle-même n’est pas énoncée au point de collecte en langage clair.

4.3.3 — La règle de non-condition. « Une organisation ne peut pas, pour le motif qu’elle fournit un bien ou un service, exiger d’une personne qu’elle consente à la collecte, à l’utilisation ou à la communication de renseignements autres que ceux qui sont nécessaires pour réaliser les fins légitimes et explicitement indiquées. » Vous ne pouvez pas lier « nous partagerons vos données avec nos partenaires marketing » à l’acte d’acheter un produit si ce partage n’est pas nécessaire à la réalisation du produit. C’est l’article que le CPVP utilise pour abattre les « murs de consentement » qui bloquent un service derrière des utilisations de données sans rapport.

4.3.4 et 4.3.6 — Explicite vs implicite, selon la sensibilité. « La forme du consentement que l’organisation cherche à obtenir peut varier selon les circonstances et la nature des renseignements. Pour déterminer la forme que prendra le consentement, les organisations doivent tenir compte de la sensibilité des renseignements. » La loi nomme les dossiers médicaux et le revenu comme presque toujours sensibles, et note que « tous les renseignements peuvent devenir sensibles suivant le contexte ». La règle opérationnelle en 4.3.6 : chercher un consentement explicite lorsque les renseignements sont susceptibles d’être considérés comme sensibles ; un consentement implicite est normalement jugé suffisant lorsque les renseignements sont moins sensibles. Le nom et l’adresse d’un abonné à un périodique est l’exemple même où le consentement implicite est raisonnable ; les mêmes champs pour un périodique spécialisé peuvent être sensibles.

4.3.5 — Attentes raisonnables, pas de subterfuge. « Le consentement ne doit pas être obtenu par un subterfuge. » L’article ancre aussi le critère des attentes raisonnables : les renseignements donnés à un professionnel de la santé ne sont raisonnablement pas censés aller à une entreprise qui vend des produits de soins de santé, à moins d’obtenir un consentement. Si le flux de données surprendrait un client raisonnable, il faut un consentement explicite.

4.3.7 — Retrait. « Une personne peut retirer son consentement en tout temps, sous réserve de restrictions prévues par une loi ou un contrat et d’un préavis raisonnable. L’organisation doit informer la personne des conséquences d’un tel retrait. » Pour l’informatique, c’est une exigence de conception : chaque registre de consentement doit avoir un chemin de révocation qui (a) arrête l’utilisation en aval, (b) indique à l’utilisateur ce que le retrait annule et n’annule pas, et (c) respecte les planchers de conservation contractuels ou légaux (p. ex. conservation des registres fiscaux).

Le critère de la personne raisonnelle par-dessus l’Annexe 1

L’Annexe 1 est la couche des principes ; la Partie 1 de la Loi ajoute une porte statutaire au-dessus. Article 5(3) : « L’organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu’à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances. » Même si vos mécanismes de consentement sont parfaits, une finalité qu’une personne raisonnable jugerait inacceptable dans les circonstances enfreint la Loi. C’est l’article qui attrape la collecte de type surveillance qui techniquement avait un consentement mais n’était jamais acceptable.

Ce qui relève de l’informatique : quatre points d’implémentation

1. Registre des finalités. Une ligne par surface de collecte : identifiant de la surface, nom court de la finalité, énoncé en langage clair, champs collectés, cote de sensibilité, forme du consentement (explicite/implicite), plancher de conservation, responsable. Cela satisfait 4.2.1 et alimente toutes les autres obligations.

2. Finalité au point de collecte. Énoncez la finalité sur le formulaire ou l’invite de permission lui-même, en langage clair, avant l’action de consentement. Pas dans une politique liée. Cela satisfait 4.2.3 et 4.3.2.

3. Moteur de forme de consentement. Bifurquez selon la sensibilité (4.3.4) : données sensibles → consentement explicite (opt-in, non coché par défaut, registre audité) ; non sensibles → consentement implicite permis lorsque les attentes raisonnables le justifient. Appliquez 4.3.3 en refusant de conditionner le service à des consentements facultatifs.

4. Pipeline de révocation. Un contrôle « retirer le consentement » visible par l’utilisateur qui arrête l’utilisation en aval, journalise l’événement et renvoie le message de conséquences qu’exige 4.3.7. Branchez-le à votre politique de conservation afin que le retrait ne supprime pas des registres que vous êtes légalement tenu de conserver.

Trois pièges

1. Finalité énoncée comme « améliorer nos services ». Cela échoue à 4.3.2 — ce n’est pas assez précis pour qu’une personne raisonnable comprenne l’utilisation des données. Correctif : nommez la finalité concrète (« aiguiller les billets de support vers le bon ingénieur ») pour que le consentement soit valable.

2. Consentement groupé pour un usage secondaire. Lier une utilisation d’analytique ou de marketing à l’acte d’achat enfreint 4.3.3. Correctif : séparez les consentements facultatifs du consentement de réalisation du service et permettez à l’utilisateur de refuser les facultatifs sans perdre le service.

3. Aucun chemin de retrait. Conserver un consentement sans contrôle de révocation enfreint 4.3.7. Correctif : chaque registre de consentement reçoit un point de révocation qui arrête le traitement en aval et renvoie l’avis de conséquences.

Appel à l’action

Le consentement et la finalité sont les deux principes que le CPVP cite en premier. Si un seul de vos formulaires collecte un champ que vous ne pouvez justifier par une finalité documentée, vous êtes déjà non conforme. Réservez une revue de conformité canadienne à la vie privée de 45 minutes — nous relions chaque surface de collecte à une finalité nommée, évaluons chaque consentement au regard des articles 4.3.3 à 4.3.7, et signalons les écarts avant le CPVP. Bilingue FR/EN, sans engagement. Ou téléchargez la liste de contrôle LPRPDE pour PME. Pour la perspective transfrontalière, voir LPRPDE vs Loi 25 vs RGPD et notre guide de mise en œuvre conjointe RGPD.

Sources

• **Loi LPRPDE (Lois de la justice, chapitre P-8.6), Annexe 1** — Deuxième principe (article 4.2, sous-articles 4.2.1 à 4.2.6) : déterminer les fins avant ou pendant la collecte, les documenter, les préciser à la personne, nouvelle finalité exige un nouveau consentement, le personnel doit pouvoir expliquer. Troisième principe (article 4.3, sous-articles 4.3.1 à 4.3.7) : information et consentement requis, consentement valable, règle de non-condition, forme selon la sensibilité, explicite vs implicite, attentes raisonnables et pas de subterfuge, retrait en tout temps sous réserve de restrictions prévues par une loi ou un contrat et d’un préavis raisonnable avec avis des conséquences.
• **LPRPDE Partie 1, article 5(3)** — le critère des fins acceptables de la personne raisonnelle qui s’ajoute à l’Annexe 1.
• **Principes équitables du CPVP** — le cadrage selon lequel le consentement n’est valable que si la personne comprend la nature, la finalité et les conséquences de ce à quoi elle consent.
• **Contexte du projet de loi C-27 (LPCP)** — la LPCP devrait renforcer le consentement en défaut opt-in plus strict et ajouter la portabilité du retrait ; un registre de consentement conforme à la LPRPDE en est la base. (Les dispositions exactes de la LPCP sur le consentement seront fixées par le projet de loi adopté ; vérifiez auprès du CPVP et des registres du Parlement avant de fixer votre échéance de conformité.)