STATUTES OF CANADA 2015 LOIS DU CANADA … modifiant la Loi sur la protection des renseignements...

Second Session, Forty-first Parliament,62-63-64 Elizabeth II, 2013-2014-2015

STATUTES OF CANADA 2015

CHAPTER 32

An Act to amend the Personal Information Protection andElectronic Documents Act and to make a consequentialamendment to another Act

ASSENTED TO

18th JUNE, 2015

BILL S-4

Deuxième session, quarante et unième législature,62-63-64 Elizabeth II, 2013-2014-2015

LOIS DU CANADA (2015)

CHAPITRE 32

Loi modifiant la Loi sur la protection des renseignementspersonnels et les documents électroniques et une autre loien conséquence

SANCTIONNÉE

LE 18 JUIN 2015

PROJET DE LOI S-4

SUMMARY

This enactment amends the Personal Information Protection and ElectronicDocuments Act to, among other things,

(a) specify the elements of valid consent for the collection, use or disclosureof personal information;

(b) permit the disclosure of personal information without the knowledge orconsent of an individual for the purposes of

(i) identifying an injured, ill or deceased individual and communicatingwith their next of kin,

(ii) preventing, detecting or suppressing fraud, or

(iii) protecting victims of financial abuse;

(c) permit organizations, for certain purposes, to collect, use and disclose,without the knowledge or consent of an individual, personal information

(i) contained in witness statements related to insurance claims, or

(ii) produced by the individual in the course of their employment,business or profession;

(d) permit organizations, for certain purposes, to use and disclose, withoutthe knowledge or consent of an individual, personal information related toprospective or completed business transactions;

(e) permit federal works, undertakings and businesses to collect, use anddisclose personal information, without the knowledge or consent of anindividual, to establish, manage or terminate their employment relationshipswith the individual;

(f) require organizations to notify certain individuals and organizations ofcertain breaches of security safeguards that create a real risk of significantharm and to report them to the Privacy Commissioner;

(g) require organizations to keep and maintain a record of every breach ofsecurity safeguards involving personal information under their control;

(h) create offences in relation to the contravention of certain obligationsrespecting breaches of security safeguards;

(i) extend the period within which a complainant may apply to the FederalCourt for a hearing on matters related to their complaint;

(j) provide that the Privacy Commissioner may, in certain circumstances,enter into a compliance agreement with an organization to ensure compliancewith Part 1 of the Act; and

(k) modify the information that the Privacy Commissioner may make publicif he or she considers that it is in the public interest to do so.

SOMMAIRE

Le texte modifie la Loi sur la protection des renseignements personnels et lesdocuments électroniques afin, notamment :

a) de préciser les éléments nécessaires à la validité du consentement à lacollecte, à l’utilisation ou à la communication de renseignements personnels;

b) de permettre la communication de renseignements personnels à l’insu del’intéressé ou sans son consentement aux fins suivantes :

(i) identifier un individu qui est blessé, malade ou décédé, etcommuniquer avec son parent le plus proche,

(ii) prévenir une fraude, la détecter ou y mettre fin,

(iii) protéger la victime d’exploitation financière;

c) de permettre à des organisations de recueillir, d’utiliser et decommuniquer des renseignements personnels, à l’insu de l’intéressé ou sansson consentement et à certaines fins, dans les cas suivants :

(i) ils sont contenus dans la déclaration d’un témoin relative à uneréclamation d’assurance,

(ii) ils sont produits par l’intéressé dans le cadre de son emploi, de sonentreprise ou de sa profession;

d) de permettre à des organisations d’utiliser et de communiquer, à l’insu del’intéressé ou sans son consentement et à certaines fins, des renseignementspersonnels afférents à une transaction commerciale, qu’elle soit éventuelle oudéjà effectuée;

e) de permettre à des entreprises fédérales de recueillir, d’utiliser et decommuniquer des renseignements personnels à l’insu de l’intéressé ou sansson consentement afin d’établir ou de gérer la relation d’emploi entre elles etlui, ou d’y mettre fin;

f) d’exiger que les organisations avisent certains individus et organisationsde certaines atteintes aux mesures de sécurité présentant un risque réel depréjudice grave et qu’elles les déclarent au Commissaire à la protection de lavie privée;

g) d’exiger que les organisations tiennent et conservent un registre de toutesles atteintes aux mesures de sécurité qui ont trait à des renseignementspersonnels dont elles ont la gestion;

h) de créer des infractions relatives à la contravention à certaines obligationsen matière d’atteintes aux mesures de sécurité;

i) de prolonger la période durant laquelle un plaignant peut saisir la Courfédérale d’une question relative à sa plainte;

j) de permettre au Commissaire à la protection de la vie privée, danscertaines circonstances, de conclure avec une organisation un accord deconformité visant à faire respecter la partie 1 de cette loi;

k) de modifier l’information que le Commissaire à la protection de la vieprivée peut, s’il l’estime dans l’intérêt public, rendre publique.

Available on the Parliament of Canada Web Site at the following address:http://www.parl.gc.ca

Disponible sur le site Web du Parlement du Canada à l’adresse suivante :http://www.parl.gc.ca

Short title

2000, c. 5

“personalinformation”« renseignementpersonnel »

62-63-64 ELIZABETH II

——————

CHAPTER 32

An Act to amend the Personal InformationProtection and Electronic Documents Actand to make a consequential amendment toanother Act

[Assented to 18th June, 2015]

Her Majesty, by and with the advice andconsent of the Senate and House of Commonsof Canada, enacts as follows:

SHORT TITLE

1. This Act may be cited as the DigitalPrivacy Act.

PERSONAL INFORMATIONPROTECTION AND ELECTRONIC

DOCUMENTS ACT

2. (1) The definition “personal informa-tion” in subsection 2(1) of the PersonalInformation Protection and Electronic Docu-ments Act is replaced by the following:

“personal information” means informationabout an identifiable individual.

(2) Paragraph (g) of the definition “feder-al work, undertaking or business” in subsec-tion 2(1) of the Act is replaced by thefollowing:

(g) a bank or an authorized foreign bank asdefined in section 2 of the Bank Act;

(3) Subsection 2(1) of the Act is amendedby adding the following in alphabeticalorder:

62-63-64 ELIZABETH II

——————

CHAPITRE 32

Loi modifiant la Loi sur la protection desrenseignements personnels et les docu-ments électroniques et une autre loi enconséquence

[Sanctionnée le 18 juin 2015]

Sa Majesté, sur l’avis et avec le consentementdu Sénat et de la Chambre des communes duCanada, édicte :

TITRE ABRÉGÉ

1. Loi sur la protection des renseignementspersonnels numériques.

LOI SUR LA PROTECTION DESRENSEIGNEMENTS PERSONNELS ETLES DOCUMENTS ÉLECTRONIQUES

2. (1) La définition de « renseignementpersonnel », au paragraphe 2(1) de la Loisur la protection des renseignements person-nels et les documents électroniques, est rem-placée par ce qui suit :

« renseignement personnel » Tout renseigne-ment concernant un individu identifiable.

(2) L’alinéa g) de la définition de « entre-prises fédérales », au paragraphe 2(1) de lamême loi, est remplacé par ce qui suit :

g) les banques ou les banques étrangèresautorisées au sens de l’article 2 de la Loi surles banques;

(3) Le paragraphe 2(1) de la même loi estmodifié par adjonction, selon l’ordre alpha-bétique, de ce qui suit :

Titre abrégé

2000, ch. 5

« renseignementpersonnel »“personalinformation”

“breach ofsecuritysafeguards”« atteinte auxmesures desécurité »

“businesscontactinformation”« coordonnéesd’affaires »

“businesstransaction”« transactioncommerciale »

“prescribed”Version anglaiseseulement

“breach of security safeguards” means the lossof, unauthorized access to or unauthorizeddisclosure of personal information resultingfrom a breach of an organization’s securitysafeguards that are referred to in clause 4.7 ofSchedule 1 or from a failure to establish thosesafeguards.

“business contact information” means anyinformation that is used for the purpose ofcommunicating or facilitating communicationwith an individual in relation to their employ-ment, business or profession such as theindividual’s name, position name or title, workaddress, work telephone number, work faxnumber or work electronic address.

“business transaction” includes

(a) the purchase, sale or other acquisition ordisposition of an organization or a part of anorganization, or any of its assets;

(b) the merger or amalgamation of two ormore organizations;

(c) the making of a loan or provision of otherfinancing to an organization or a part of anorganization;

(d) the creating of a charge on, or the takingof a security interest in or a security on, anyassets or securities of an organization;

(e) the lease or licensing of any of anorganization’s assets; and

(f) any other prescribed arrangement betweentwo or more organizations to conduct abusiness activity.

“prescribed” means prescribed by regulation.

3. Paragraph 4(1)(b) of the Act is replacedby the following:

(b) is about an employee of, or an applicantfor employment with, the organization andthat the organization collects, uses or dis-closes in connection with the operation of afederal work, undertaking or business.

4. The Act is amended by adding thefollowing after section 4:

« atteinte aux mesures de sécurité » Communi-cation non autorisée ou perte de renseignementspersonnels, ou accès non autorisé à ceux-ci, parsuite d’une atteinte aux mesures de sécuritéd’une organisation prévues à l’article 4.7 del’annexe 1 ou du fait que ces mesures n’ont pasété mises en place.

« coordonnées d’affaires » Tout renseignementpermettant d’entrer en contact — ou de faciliterla prise de contact — avec un individu dans lecadre de son emploi, de son entreprise ou de saprofession, tel que son nom, son poste ou sontitre, l’adresse ou les numéros de téléphone oude télécopieur de son lieu de travail ou sonadresse électronique au travail.

« transaction commerciale » S’entend notam-ment des transactions suivantes :

a) l’achat, la vente ou toute autre formed’acquisition ou de disposition de tout oupartie d’une organisation, ou de ses élémentsd’actif;

b) la fusion ou le regroupement d’organisa-tions;

c) le fait de consentir un prêt à tout ou partied’une organisation ou de lui fournir touteautre forme de financement;

d) le fait de grever d’une charge ou d’unesûreté les éléments d’actif ou les titres d’uneorganisation;

e) la location d’éléments d’actif d’une orga-nisation, ou l’octroi ou l’obtention d’unelicence à leur égard;

f) tout autre arrangement prévu par règlemententre des organisations pour la poursuited’activités d’affaires.

3. L’alinéa 4(1)b) de la même loi estremplacé par ce qui suit :

b) soit qui concernent un de ses employés oul’individu qui postule pour le devenir etqu’elle recueille, utilise ou communique dansle cadre d’une entreprise fédérale.

4. La même loi est modifiée par adjonc-tion, après l’article 4, de ce qui suit :

« atteinte auxmesures desécurité »“breach ofsecuritysafeguards”

« coordonnéesd’affaires »“businesscontactinformation”

« transactioncommerciale »“businesstransaction”

2 C. 32 Personal Information Protection and Electronic Documents 62-63-64 ELIZ. II

Business contactinformation

Valid consent

Collecte à l’insude l’intéressé ousans sonconsentement

4.01 This Part does not apply to an organiza-tion in respect of the business contact informa-tion of an individual that the organizationcollects, uses or discloses solely for the purposeof communicating or facilitating communicationwith the individual in relation to their employ-ment, business or profession.


6.1 For the purposes of clause 4.3 ofSchedule 1, the consent of an individual is onlyvalid if it is reasonable to expect that anindividual to whom the organization’s activitiesare directed would understand the nature,purpose and consequences of the collection,use or disclosure of the personal information towhich they are consenting.

6. (1) The portion of subsection 7(1) of theFrench version of the Act before paragraph(a) is replaced by the following:

7. (1) Pour l’application de l’article 4.3 del’annexe 1 et malgré la note afférente, l’orga-nisation ne peut recueillir de renseignementpersonnel à l’insu de l’intéressé ou sans sonconsentement que dans les cas suivants :

(2) Paragraph 7(1)(b) of the French ver-sion of the Act is replaced by the following:

b) il est raisonnable de s’attendre à ce que lacollecte effectuée au su ou avec le consente-ment de l’intéressé compromette l’exactitudedu renseignement ou l’accès à celui-ci, et lacollecte est raisonnable à des fins liées à uneenquête sur la violation d’un accord ou lacontravention au droit fédéral ou provincial;

(3) Subsection 7(1) of the Act is amendedby adding the following after paragraph (b):

(b.1) it is contained in a witness statementand the collection is necessary to assess,process or settle an insurance claim;

(b.2) it was produced by the individual in thecourse of their employment, business orprofession and the collection is consistentwith the purposes for which the informationwas produced;

4.01 La présente partie ne s’applique pas àune organisation à l’égard des coordonnéesd’affaires d’un individu qu’elle recueille, utiliseou communique uniquement pour entrer encontact — ou pour faciliter la prise de contact— avec lui dans le cadre de son emploi, de sonentreprise ou de sa profession.


6.1 Pour l’application de l’article 4.3 del’annexe 1, le consentement de l’intéressé n’estvalable que s’il est raisonnable de s’attendre àce qu’un individu visé par les activités del’organisation comprenne la nature, les fins etles conséquences de la collecte, de l’utilisationou de la communication des renseignementspersonnels auxquelles il a consenti.

6. (1) Le passage du paragraphe 7(1) de laversion française de la même loi précédantl’alinéa a) est remplacé par ce qui suit :

7. (1) Pour l’application de l’article 4.3 del’annexe 1 et malgré la note afférente, l’orga-nisation ne peut recueillir de renseignementpersonnel à l’insu de l’intéressé ou sans sonconsentement que dans les cas suivants :

(2) L’alinéa 7(1)b) de la version françaisede la même loi est remplacé par ce qui suit :

b) il est raisonnable de s’attendre à ce que lacollecte effectuée au su ou avec le consente-ment de l’intéressé compromette l’exactitudedu renseignement ou l’accès à celui-ci, et lacollecte est raisonnable à des fins liées à uneenquête sur la violation d’un accord ou lacontravention au droit fédéral ou provincial;

(3) Le paragraphe 7(1) de la même loi estmodifié par adjonction, après l’alinéa b), dece qui suit :

b.1) il s’agit d’un renseignement contenudans la déclaration d’un témoin et dont lacollecte est nécessaire en vue de l’évaluationd’une réclamation d’assurance, de son traite-ment ou de son règlement;

Coordonnéesd’affaires

Validité duconsentement

Collecte à l’insude l’intéressé ousans sonconsentement

2013-2014-2015 Protection des renseignements personnels et les documents électroniques ch. 32 3

Utilisation àl’insu del’intéressé ousans sonconsentement

Communicationà l’insu del’intéressé ousans sonconsentement

2000, c. 17,par. 97(1)(a)

(4) The portion of subsection 7(2) of theFrench version of the Act before paragraph(a) is replaced by the following:

(2) Pour l’application de l’article 4.3 del’annexe 1 et malgré la note afférente, l’orga-nisation ne peut utiliser de renseignementpersonnel à l’insu de l’intéressé ou sans sonconsentement que dans les cas suivants :

(5) Subsection 7(2) of the Act is amendedby adding the following after paragraph (b):

(b.1) the information is contained in awitness statement and the use is necessaryto assess, process or settle an insurance claim;

(b.2) the information was produced by theindividual in the course of their employment,business or profession and the use isconsistent with the purposes for which theinformation was produced;

(6) The portion of subsection 7(3) of theFrench version of the Act before paragraph(a) is replaced by the following:

(3) Pour l’application de l’article 4.3 del’annexe 1 et malgré la note afférente, l’orga-nisation ne peut communiquer de renseignementpersonnel à l’insu de l’intéressé ou sans sonconsentement que dans les cas suivants :

(7) Paragraph 7(3)(c.1) of the Act isamended by striking out “or” at the end ofsubparagraph (ii), by adding “or” at the endof subparagraph (iii) and by adding thefollowing after subparagraph (iii):

(iv) the disclosure is requested for thepurpose of communicating with the next ofkin or authorized representative of aninjured, ill or deceased individual;

(8) Paragraph 7(3)(c.2) of the Act, asenacted by paragraph 97(1)(a) of chapter 17of the Statutes of Canada, 2000, is repealed.

b.2) il s’agit d’un renseignement produit parl’intéressé dans le cadre de son emploi, deson entreprise ou de sa profession, et dont lacollecte est compatible avec les fins auxquel-les il a été produit;

(4) Le passage du paragraphe 7(2) de laversion française de la même loi précédantl’alinéa a) est remplacé par ce qui suit :

(2) Pour l’application de l’article 4.3 del’annexe 1 et malgré la note afférente, l’orga-nisation ne peut utiliser de renseignementpersonnel à l’insu de l’intéressé ou sans sonconsentement que dans les cas suivants :

(5) Le paragraphe 7(2) de la même loi estmodifié par adjonction, après l’alinéa b), dece qui suit :

b.1) il s’agit d’un renseignement contenudans la déclaration d’un témoin et dontl’utilisation est nécessaire en vue de l’éva-luation d’une réclamation d’assurance, de sontraitement ou de son règlement;

b.2) il s’agit d’un renseignement produit parl’intéressé dans le cadre de son emploi, deson entreprise ou de sa profession, et dontl’utilisation est compatible avec les finsauxquelles il a été produit;

(6) Le passage du paragraphe 7(3) de laversion française de la même loi précédantl’alinéa a) est remplacé par ce qui suit :

(3) Pour l’application de l’article 4.3 del’annexe 1 et malgré la note afférente, l’orga-nisation ne peut communiquer de renseignementpersonnel à l’insu de l’intéressé ou sans sonconsentement que dans les cas suivants :

(7) L’alinéa 7(3)c.1) de la même loi estmodifié par adjonction, après le sous-alinéa(iii), de ce qui suit :

(iv) qu’elle est demandée afin d’entrer encontact avec le plus proche parent d’unindividu blessé, malade ou décédé, ou avecson représentant autorisé;

(8) L’alinéa 7(3)c.2) de la même loi, édictépar l’alinéa 97(1)a) du chapitre 17 des Loisdu Canada (2000), est abrogé.

Utilisation àl’insu del’intéressé ousans sonconsentement

Communicationà l’insu del’intéressé ousans sonconsentement

2000, ch. 17,al. 97(1)a)


(9) The portion of paragraph 7(3)(d) of theAct before subparagraph (ii) is replaced bythe following:

(d) made on the initiative of the organizationto a government institution or a part of agovernment institution and the organization

(i) has reasonable grounds to believe thatthe information relates to a contraventionof the laws of Canada, a province or aforeign jurisdiction that has been, is beingor is about to be committed, or

(10) Subsection 7(3) of the Act is amendedby adding the following after paragraph (d):

(d.1) made to another organization and isreasonable for the purposes of investigating abreach of an agreement or a contravention ofthe laws of Canada or a province that hasbeen, is being or is about to be committed andit is reasonable to expect that disclosure withthe knowledge or consent of the individualwould compromise the investigation;

(d.2) made to another organization and isreasonable for the purposes of detecting orsuppressing fraud or of preventing fraud thatis likely to be committed and it is reasonableto expect that the disclosure with the knowl-edge or consent of the individual wouldcompromise the ability to prevent, detect orsuppress the fraud;

(d.3) made on the initiative of the organiza-tion to a government institution, a part of agovernment institution or the individual’snext of kin or authorized representative and

(i) the organization has reasonablegrounds to believe that the individual hasbeen, is or may be the victim of financialabuse,

(ii) the disclosure is made solely forpurposes related to preventing or investi-gating the abuse, and

(9) L’alinéa 7(3)d) de la même loi estremplacé par ce qui suit :

d) elle est faite, à l’initiative de l’organisa-tion, à une institution gouvernementale ouune subdivision d’une telle institution etl’organisation :

(i) soit a des motifs raisonnables de croireque le renseignement est afférent à unecontravention au droit fédéral, provincialou étranger qui a été commise ou est entrain ou sur le point de l’être,

(ii) soit soupçonne que le renseignementest afférent à la sécurité nationale, à ladéfense du Canada ou à la conduite desaffaires internationales;

(10) Le paragraphe 7(3) de la même loi estmodifié par adjonction, après l’alinéa d), dece qui suit :

d.1) elle est faite à une autre organisation etest raisonnable en vue d’une enquête sur laviolation d’un accord ou sur la contraventionau droit fédéral ou provincial qui a étécommise ou est en train ou sur le point del’être, s’il est raisonnable de s’attendre à ceque la communication effectuée au su ou avecle consentement de l’intéressé compromettraitl’enquête;

d.2) elle est faite à une autre organisation etest raisonnable en vue de la détection d’unefraude ou de sa suppression ou en vue de laprévention d’une fraude dont la commissionest vraisemblable, s’il est raisonnable des’attendre à ce que la communication effec-tuée au su ou avec le consentement del’intéressé compromettrait la capacité deprévenir la fraude, de la détecter ou d’ymettre fin;

d.3) elle est faite, à l’initiative de l’organisa-tion, à une institution gouvernementale ou àune subdivision d’une telle institution, auplus proche parent de l’intéressé ou à sonreprésentant autorisé, si les conditions ci-après sont remplies :


(iii) it is reasonable to expect that dis-closure with the knowledge or consent ofthe individual would compromise theability to prevent or investigate the abuse;

(d.4) necessary to identify the individualwho is injured, ill or deceased, made to agovernment institution, a part of a govern-ment institution or the individual’s next of kinor authorized representative and, if theindividual is alive, the organization informsthat individual in writing without delay of thedisclosure;

(11) Subsection 7(3) of the Act is amendedby adding the following after paragraph (e):

(e.1) of information that is contained in awitness statement and the disclosure isnecessary to assess, process or settle aninsurance claim;

(e.2) of information that was produced by theindividual in the course of their employment,business or profession and the disclosure isconsistent with the purposes for which theinformation was produced;

(12) Paragraph 7(3)(f) of the French ver-sion of the Act is replaced by the following:

f) la communication est faite à des finsstatistiques ou à des fins d’étude ou derecherche érudites, ces fins ne peuvent êtreréalisées sans que le renseignement soitcommuniqué, le consentement est pratique-ment impossible à obtenir et l’organisationinforme le commissaire de la communicationavant de la faire;

(i) l’organisation a des motifs raisonnablesde croire que l’intéressé a été, est oupourrait être victime d’exploitation finan-cière,

(ii) la communication est faite uniquementà des fins liées à la prévention del’exploitation ou à une enquête y ayanttrait,

(iii) il est raisonnable de s’attendre à ceque la communication effectuée au su ouavec le consentement de l’intéressé com-promettrait la capacité de prévenir l’ex-ploitation ou d’enquêter sur celle-ci;

d.4) elle est nécessaire aux fins d’identifica-tion de l’intéressé qui est blessé, malade oudécédé et est faite à une institution gouverne-mentale ou à une subdivision d’une telleinstitution, à un proche parent de l’intéresséou à son représentant autorisé et, si l’intéresséest vivant, l’organisation en informe celui-cipar écrit et sans délai;

(11) Le paragraphe 7(3) de la même loi estmodifié par adjonction, après l’alinéa e), dece qui suit :

e.1) il s’agit d’un renseignement contenudans la déclaration d’un témoin et dont lacommunication est nécessaire en vue del’évaluation d’une réclamation d’assurance,de son traitement ou de son règlement;

e.2) il s’agit d’un renseignement produit parl’intéressé dans le cadre de son emploi, deson entreprise, ou de sa profession, et dont lacommunication est compatible avec les finsauxquelles il a été produit;

(12) L’alinéa 7(3)f) de la version françaisede la même loi est remplacé par ce qui suit :

f) la communication est faite à des finsstatistiques ou à des fins d’étude ou derecherche érudites, ces fins ne peuvent êtreréalisées sans que le renseignement soitcommuniqué, le consentement est pratique-ment impossible à obtenir et l’organisationinforme le commissaire de la communicationavant de la faire;


Disclosurewithout consent

Prospectivebusinesstransaction

Completedbusinesstransaction

(13) Subsection 7(3) of the Act is amendedby adding “or” at the end of paragraph (h.1)and by repealing paragraph (h.2).

(14) Paragraph 7(3)(i) of the French ver-sion of the Act is replaced by the following:

i) la communication est exigée par la loi.

(15) Subsection 7(5) of the Act is replacedby the following:

(5) Despite clause 4.5 of Schedule 1, anorganization may disclose personal informationfor purposes other than those for which it wascollected in any of the circumstances set out inparagraphs (3)(a) to (h.1).

7. The Act is amended by adding thefollowing before section 8:

7.2 (1) In addition to the circumstances setout in subsections 7(2) and (3), for the purposeof clause 4.3 of Schedule 1, and despite the notethat accompanies that clause, organizations thatare parties to a prospective business transactionmay use and disclose personal informationwithout the knowledge or consent of theindividual if

(a) the organizations have entered into anagreement that requires the organization thatreceives the personal information

(i) to use and disclose that informationsolely for purposes related to the transac-tion,

(ii) to protect that information by securitysafeguards appropriate to the sensitivity ofthe information, and

(iii) if the transaction does not proceed, toreturn that information to the organizationthat disclosed it, or destroy it, within areasonable time; and

(b) the personal information is necessary

(i) to determine whether to proceed withthe transaction, and

(ii) if the determination is made to proceedwith the transaction, to complete it.

(2) In addition to the circumstances set out insubsections 7(2) and (3), for the purpose ofclause 4.3 of Schedule 1, and despite the note

(13) L’alinéa 7(3)h.2) de la même loi estabrogé.

(14) L’alinéa 7(3)i) de la version françaisede la même loi est remplacé par ce qui suit :

i) la communication est exigée par la loi.

(15) Le paragraphe 7(5) de la même loi estremplacé par ce qui suit :

(5) Malgré l’article 4.5 de l’annexe 1,l’organisation peut, dans les cas visés auxalinéas (3)a) à h.1), communiquer un rensei-gnement personnel à des fins autres que cellesauxquelles il a été recueilli.

7. La même loi est modifiée par adjonc-tion, avant l’article 8, de ce qui suit :

7.2 (1) En plus des cas visés aux paragra-phes 7(2) et (3), pour l’application de l’article4.3 de l’annexe 1 et malgré la note afférente, lesorganisations qui sont parties à une éventuelletransaction commerciale peuvent utiliser etcommuniquer des renseignements personnels àl’insu de l’intéressé ou sans son consentementsi, à la fois :

a) elles ont conclu un accord aux termesduquel l’organisation recevant des renseigne-ments s’est engagée :

(i) à ne les utiliser et à ne les communiquerqu’à des fins liées à la transaction,

(ii) à les protéger au moyen de mesures desécurité correspondant à leur degré desensibilité,

(iii) si la transaction n’a pas lieu, à lesremettre à l’organisation qui les lui acommuniqués ou à les détruire, dans undélai raisonnable;

b) les renseignements sont nécessaires pourdécider si la transaction aura lieu et, le caséchéant, pour l’effectuer.

(2) En plus des cas visés aux paragraphes7(2) et (3), pour l’application de l’article 4.3 del’annexe 1 et malgré la note afférente, si la

Communicationsansconsentement

Transactioncommercialeéventuelle

Transactioncommercialeeffectuée


Agreementsbinding

Exception

Employmentrelationship

that accompanies that clause, if the businesstransaction is completed, organizations that areparties to the transaction may use and disclosepersonal information, which was disclosedunder subsection (1), without the knowledgeor consent of the individual if

(a) the organizations have entered into anagreement that requires each of them

(i) to use and disclose the personalinformation under its control solely forthe purposes for which the personalinformation was collected, permitted to beused or disclosed before the transactionwas completed,

(ii) to protect that information by securitysafeguards appropriate to the sensitivity ofthe information, and

(iii) to give effect to any withdrawal ofconsent made under clause 4.3.8 ofSchedule 1;

(b) the personal information is necessary forcarrying on the business or activity that wasthe object of the transaction; and

(c) one of the parties notifies the individual,within a reasonable time after the transactionis completed, that the transaction has beencompleted and that their personal informationhas been disclosed under subsection (1).

(3) An organization shall comply with theterms of any agreement into which it entersunder paragraph (1)(a) or (2)(a).

(4) Subsections (1) and (2) do not apply to abusiness transaction of which the primarypurpose or result is the purchase, sale or otheracquisition or disposition, or lease, of personalinformation.

7.3 In addition to the circumstances set out insection 7, for the purpose of clause 4.3 ofSchedule 1, and despite the note that accom-panies that clause, a federal work, undertakingor business may collect, use and disclosepersonal information without the consent ofthe individual if

transaction commerciale est effectuée, les orga-nisations y étant parties peuvent utiliser etcommuniquer les renseignements personnels,communiqués en vertu du paragraphe (1), àl’insu de l’intéressé ou sans son consentementdans le cas où :

a) elles ont conclu un accord aux termesduquel chacune d’entre elles s’est engagée :

(i) à n’utiliser et ne communiquer lesrenseignements dont elle a la gestionqu’aux fins auxquelles ils ont été recueillisou auxquelles il était permis de les utiliserou de les communiquer avant que latransaction ne soit effectuée,

(ii) à les protéger au moyen de mesures desécurité correspondant à leur degré desensibilité,

(iii) à donner effet à tout retrait deconsentement fait en conformité avecl’article 4.3.8 de l’annexe 1;

b) les renseignements sont nécessaires à lapoursuite de l’entreprise ou des activitésfaisant l’objet de la transaction;

c) dans un délai raisonnable après que latransaction a été effectuée, l’une des partiesavise l’intéressé du fait que la transaction aété effectuée et que ses renseignementspersonnels ont été communiqués en vertudu paragraphe (1).

(3) L’organisation est tenue de se conformeraux modalités de tout accord conclu aux termesdes alinéas (1)a) ou (2)a).

(4) Les paragraphes (1) et (2) ne s’appliquentpas à l’égard de la transaction commerciale dontl’objectif premier ou le résultat principal estl’achat, la vente ou toute autre forme d’acqui-sition ou de disposition de renseignementspersonnels, ou leur location.

7.3 En plus des cas visés à l’article 7, pourl’application de l’article 4.3 de l’annexe 1 etmalgré la note afférente, une entreprise fédéralepeut recueillir, utiliser ou communiquer desrenseignements personnels sans le consente-ment de l’intéressé si cela est nécessaire pourétablir ou gérer la relation d’emploi entre elle etlui, ou pour y mettre fin, et si elle a au préalable

Valeurcontraignantedes accords

Exception

Relationd’emploi


Use withoutconsent


Conservationdesrenseignements

2000, c. 17,par. 97(1)(c)

(a) the collection, use or disclosure isnecessary to establish, manage or terminatean employment relationship between thefederal work, undertaking or business andthe individual; and

(b) the federal work, undertaking or businesshas informed the individual that the personalinformation will be or may be collected, usedor disclosed for those purposes.

7.4 (1) Despite clause 4.5 of Schedule 1, anorganization may use personal information forpurposes other than those for which it wascollected in any of the circumstances set out insubsection 7.2(1) or (2) or section 7.3.

(2) Despite clause 4.5 of Schedule 1, anorganization may disclose personal informationfor purposes other than those for which it wascollected in any of the circumstances set out insubsection 7.2(1) or (2) or section 7.3.

8. Subsection 8(8) of the French version ofthe Act is replaced by the following:

(8) Malgré l’article 4.5 de l’annexe 1,l’organisation qui détient un renseignementfaisant l’objet d’une demande doit le conserverle temps nécessaire pour permettre au deman-deur d’épuiser tous les recours qu’il a en vertude la présente partie.

9. (1) Paragraph 9(2.3)(a.1) of the Act, asenacted by paragraph 97(1)(c) of chapter 17of the Statutes of Canada, 2000, is repealed.

(2) Subparagraph 9(2.4)(c)(iii) of theFrench version of the Act is replaced by thefollowing:

(iii) ni le fait que l’institution ou lasubdivision s’oppose à ce que l’organisa-tion acquiesce à la demande.

(3) Paragraph 9(3)(a) of the Act is re-placed by the following:

(a) the information is protected by solicitor-client privilege or, in civil law, by theprofessional secrecy of lawyers and notaries;


informé l’intéressé que ses renseignementspersonnels seront ou pourraient être recueillis,utilisés ou communiqués à ces fins.

7.4 (1) Malgré l’article 4.5 de l’annexe 1,l’organisation peut, dans les cas visés auxparagraphes 7.2(1) ou (2) ou à l’article 7.3,utiliser un renseignement personnel à des finsautres que celles auxquelles il a été recueilli.

(2) Malgré l’article 4.5 de l’annexe 1,l’organisation peut, dans les cas visés auxparagraphes 7.2(1) ou (2) ou à l’article 7.3,communiquer un renseignement personnel à desfins autres que celles auxquelles il a étérecueilli.

8. Le paragraphe 8(8) de la versionfrançaise de la même loi est remplacé parce qui suit :

(8) Malgré l’article 4.5 de l’annexe 1,l’organisation qui détient un renseignementfaisant l’objet d’une demande doit le conserverle temps nécessaire pour permettre au deman-deur d’épuiser tous les recours qu’il a en vertude la présente partie.

9. (1) L’alinéa 9(2.3)a.1) de la même loi,édicté par l’alinéa 97(1)c) du chapitre 17 desLois du Canada (2000), est abrogé.

(2) Le sous-alinéa 9(2.4)c)(iii) de la versionfrançaise de la même loi est remplacé par cequi suit :

(iii) ni le fait que l’institution ou lasubdivision s’oppose à ce que l’organisa-tion acquiesce à la demande.

(3) L’alinéa 9(3)a) de la même loi estremplacé par ce qui suit :

a) les renseignements sont protégés par lesecret professionnel liant l’avocat ou lenotaire à son client;


Utilisation sansle consentementde l’intéressé

Communicationsans leconsentement del’intéressé

Conservationdesrenseignements

2000, ch. 17,al. 97(1)c)


Report toCommissioner

Reportrequirements

Notification toindividual

Contents ofnotification

Form andmanner

Time to givenotification

Definition of“significantharm”

DIVISION 1.1

BREACHES OF SECURITY SAFEGUARDS

10.1 (1) An organization shall report to theCommissioner any breach of security safe-guards involving personal information underits control if it is reasonable in the circum-stances to believe that the breach creates a realrisk of significant harm to an individual.

(2) The report shall contain the prescribedinformation and shall be made in the prescribedform and manner as soon as feasible after theorganization determines that the breach hasoccurred.

(3) Unless otherwise prohibited by law, anorganization shall notify an individual of anybreach of security safeguards involving theindividual’s personal information under theorganization’s control if it is reasonable in thecircumstances to believe that the breach createsa real risk of significant harm to the individual.

(4) The notification shall contain sufficientinformation to allow the individual to under-stand the significance to them of the breach andto take steps, if any are possible, to reduce therisk of harm that could result from it or tomitigate that harm. It shall also contain anyother prescribed information.

(5) The notification shall be conspicuous andshall be given directly to the individual in theprescribed form and manner, except in pre-scribed circumstances, in which case it shall begiven indirectly in the prescribed form andmanner.

(6) The notification shall be given as soon asfeasible after the organization determines thatthe breach has occurred.

(7) For the purpose of this section, “sig-nificant harm” includes bodily harm, humilia-tion, damage to reputation or relationships, lossof employment, business or professional oppor-tunities, financial loss, identity theft, negativeeffects on the credit record and damage to orloss of property.

SECTION 1.1

ATTEINTES AUX MESURES DE SÉCURITÉ

10.1 (1) L’organisation déclare au commis-saire toute atteinte aux mesures de sécurité qui atrait à des renseignements personnels dont elle ala gestion, s’il est raisonnable de croire, dans lescirconstances, que l’atteinte présente un risqueréel de préjudice grave à l’endroit d’un individu.

(2) La déclaration contient les renseigne-ments prévus par règlement et est faite, selonles modalités réglementaires, le plus tôt possibleaprès que l’organisation a conclu qu’il y a euatteinte.

(3) À moins qu’une règle de droit nel’interdise, l’organisation est tenue d’aviserl’intéressé de toute atteinte aux mesures desécurité qui a trait à des renseignementspersonnels le concernant et dont elle a lagestion, s’il est raisonnable de croire, dans lescirconstances, que l’atteinte présente un risqueréel de préjudice grave à son endroit.

(4) L’avis contient suffisamment d’informa-tion pour permettre à l’intéressé de comprendrel’importance, pour lui, de l’atteinte et deprendre, si cela est possible, des mesures pourréduire le risque de préjudice qui pourrait enrésulter ou pour atténuer un tel préjudice. Ilcontient aussi tout autre renseignement régle-mentaire.

(5) L’avis est manifeste et est donné àl’intéressé directement, selon les modalitésréglementaires. Dans les circonstances prévuespar règlement, il est donné indirectement, selonles modalités réglementaires.

(6) L’avis est donné le plus tôt possible aprèsque l’organisation a conclu qu’il y a eu atteinte.

(7) Pour l’application du présent article,« préjudice grave » vise notamment la lésioncorporelle, l’humiliation, le dommage à laréputation ou aux relations, la perte financière,le vol d’identité, l’effet négatif sur le dossier decrédit, le dommage aux biens ou leur perte, et laperte de possibilités d’emploi ou d’occasionsd’affaires ou d’activités professionnelles.

Déclaration aucommissaire

Modalités de ladéclaration

Avis à l’intéressé

Contenu del’avis

Modalités del’avis

Délai de l’avis

Définition de« préjudicegrave »


Real risk ofsignificantharm— factors

Notification toorganizations

Time to givenotification

Disclosure ofpersonalinformation


(8) The factors that are relevant to determin-ing whether a breach of security safeguardscreates a real risk of significant harm to theindividual include

(a) the sensitivity of the personal informationinvolved in the breach;

(b) the probability that the personal informa-tion has been, is being or will be misused;and

(c) any other prescribed factor.

10.2 (1) An organization that notifies anindividual of a breach of security safeguardsunder subsection 10.1(3) shall notify any otherorganization, a government institution or a partof a government institution of the breach if thenotifying organization believes that the otherorganization or the government institution orpart concerned may be able to reduce the risk ofharm that could result from it or mitigate thatharm, or if any of the prescribed conditions aresatisfied.

(2) The notification shall be given as soon asfeasible after the organization determines thatthe breach has occurred.

(3) In addition to the circumstances set out insubsection 7(3), for the purpose of clause 4.3 ofSchedule 1, and despite the note that accom-panies that clause, an organization may disclosepersonal information without the knowledge orconsent of the individual if

(a) the disclosure is made to the otherorganization, the government institution orthe part of a government institution that wasnotified of the breach under subsection (1);and

(b) the disclosure is made solely for thepurposes of reducing the risk of harm to theindividual that could result from the breach ormitigating that harm.

(4) Despite clause 4.5 of Schedule 1, anorganization may disclose personal informationfor purposes other than those for which it wascollected in the circumstance set out in subsec-tion (3).

(8) Les éléments servant à établir si uneatteinte aux mesures de sécurité présente unrisque réel de préjudice grave à l’endroit del’intéressé sont notamment le degré de sensibi-lité des renseignements personnels en cause, laprobabilité que les renseignements aient été malutilisés ou soient en train ou sur le point del’être et tout autre élément prévu par règlement.

10.2 (1) L’organisation qui, en applicationdu paragraphe 10.1(3), avise un individu d’uneatteinte aux mesures de sécurité est tenue d’enaviser toute autre organisation, ou toute ins-titution gouvernementale ou subdivision d’unetelle institution, si elle croit que l’autre organi-sation, l’institution ou la subdivision peut êtreen mesure de réduire le risque de préjudicepouvant résulter de l’atteinte ou d’atténuer cepréjudice, ou s’il est satisfait à des conditionsprécisées par règlement.

(2) Elle le fait le plus tôt possible après avoirconclu qu’il y a eu atteinte.

(3) En plus des cas visés au paragraphe 7(3),pour l’application de l’article 4.3 de l’annexe 1et malgré la note afférente, l’organisation peutcommuniquer des renseignements personnels àl’insu de l’intéressé ou sans son consentementsi :

a) d’une part, la communication est faite àl’autre organisation, ou à l’institution gou-vernementale ou la subdivision d’une telleinstitution qui a été avisée de l’atteinte enapplication du paragraphe (1);

b) d’autre part, elle n’est faite que pourréduire le risque de préjudice pour l’intéresséqui pourrait résulter de l’atteinte ou atténuerce préjudice.

(4) Malgré l’article 4.5 de l’annexe 1,l’organisation peut, dans le cas visé au para-graphe (3), communiquer un renseignementpersonnel à des fins autres que celles auxquellesil a été recueilli.

Risque réel depréjudice grave :facteurs

Avis à uneorganisation

Délai de l’avis

Communicationderenseignementspersonnels

Communicationsansconsentement


Records

Provision toCommissioner

Contravention

2010, c. 23, s. 85

Application

Time forapplication

10.3 (1) An organization shall, in accor-dance with any prescribed requirements, keepand maintain a record of every breach ofsecurity safeguards involving personal informa-tion under its control.

(2) An organization shall, on request, pro-vide the Commissioner with access to, or a copyof, a record.

11. Subsection 11(1) of the Act is replacedby the following:

11. (1) An individual may file with theCommissioner a written complaint against anorganization for contravening a provision ofDivision 1 or 1.1 or for not following arecommendation set out in Schedule 1.

12. Subsection 12.2(1) of the Act isamended by adding the following afterparagraph (c):

(c.1) the matter is the object of a complianceagreement entered into under subsection17.1(1);

13. Subsections 14(1) and (2) of the Actare replaced by the following:

14. (1) A complainant may, after receivingthe Commissioner’s report or being notifiedunder subsection 12.2(3) that the investigationof the complaint has been discontinued, apply tothe Court for a hearing in respect of any matterin respect of which the complaint was made, orthat is referred to in the Commissioner’s report,and that is referred to in clause 4.1.3, 4.2, 4.3.3,4.4, 4.6, 4.7 or 4.8 of Schedule 1, in clause 4.3,4.5 or 4.9 of that Schedule as modified orclarified by Division 1 or 1.1, in subsection 5(3)or 8(6) or (7), in section 10 or in Division 1.1.

(2) A complainant shall make an applicationwithin one year after the report or notification issent or within any longer period that the Courtmay, either before or after the expiry of thatyear, allow.

14. Paragraph 16(a) of the Act is replacedby the following:

(a) order an organization to correct itspractices in order to comply with Divisions1 and 1.1;

10.3 (1) L’organisation tient et conserve,conformément aux règlements, un registre detoutes les atteintes aux mesures de sécurité quiont trait à des renseignements personnels dontelle a la gestion.

(2) Sur demande du commissaire, l’organi-sation lui donne accès à son registre ou lui enremet copie.

11. Le paragraphe 11(1) de la même loi estremplacé par ce qui suit :

11. (1) Tout intéressé peut déposer auprès ducommissaire une plainte contre une organisationqui contrevient à l’une des dispositions dessections 1 ou 1.1, ou qui omet de mettre enoeuvre une recommandation énoncée dansl’annexe 1.

12. Le paragraphe 12.2(1) de la même loiest modifié par adjonction, après l’alinéa c),de ce qui suit :

c.1) que la question qui a donné lieu à laplainte fait l’objet d’un accord de conformitéconclu en vertu du paragraphe 17.1(1);

13. Les paragraphes 14(1) et (2) de lamême loi sont remplacés par ce qui suit :

14. (1) Après avoir reçu le rapport ducommissaire ou l’avis l’informant de la fin del’examen de la plainte au titre du paragraphe12.2(3), le plaignant peut demander que la Courentende toute question qui a fait l’objet de laplainte — ou qui est mentionnée dans le rapport— et qui est visée aux articles 4.1.3, 4.2, 4.3.3,4.4, 4.6, 4.7 ou 4.8 de l’annexe 1, aux articles4.3, 4.5 ou 4.9 de cette annexe tels qu’ils sontmodifiés ou clarifiés par les sections 1 ou 1.1,aux paragraphes 5(3) ou 8(6) ou (7), à l’article10 ou à la section 1.1.

(2) La demande est faite dans l’année suivantla transmission du rapport ou de l’avis ou dansle délai supérieur que la Cour autorise avant ouaprès l’expiration de l’année.

14. L’alinéa 16a) de la même loi estremplacé par ce qui suit :

a) ordonner à l’organisation de revoir sespratiques en vue de se conformer aux sections1 et 1.1;

Registre

Accès au registreou copie

Violation

2010, ch. 23,art. 85

Demande

Délai de lademande


Complianceagreement

Terms

Effect ofcomplianceagreement— noapplication

For greatercertainty

Agreementcomplied with

Agreement notcomplied with


Compliance Agreements

17.1 (1) If the Commissioner believes onreasonable grounds that an organization hascommitted, is about to commit or is likely tocommit an act or omission that could constitutea contravention of a provision of Division 1 or1.1 or a failure to follow a recommendation setout in Schedule 1, the Commissioner may enterinto a compliance agreement, aimed at ensuringcompliance with this Part, with that organiza-tion.

(2) A compliance agreement may containany terms that the Commissioner considersnecessary to ensure compliance with this Part.

(3) When a compliance agreement is enteredinto, the Commissioner, in respect of any mattercovered under the agreement,

(a) shall not apply to the Court for a hearingunder subsection 14(1) or paragraph 15(a);and

(b) shall apply to the court for the suspensionof any pending applications that were madeby the Commissioner under those provisions.

(4) For greater certainty, a compliance agree-ment does not preclude

(a) an individual from applying for a hearingunder section 14; or

(b) the prosecution of an offence under theAct.

17.2 (1) If the Commissioner is of theopinion that a compliance agreement has beencomplied with, the Commissioner shall providewritten notice to that effect to the organizationand withdraw any applications that were madeunder subsection 14(1) or paragraph 15(a) inrespect of any matter covered under theagreement.

(2) If the Commissioner is of the opinion thatan organization is not complying with the termsof a compliance agreement, the Commissionershall notify the organization and may apply tothe Court for


Accord de conformité

17.1 (1) Le commissaire peut, s’il a desmotifs raisonnables de croire à l’existence, àl’imminence ou à la probabilité d’un fait — acteou omission — pouvant constituer une contra-vention à l’une des dispositions des sections 1ou 1.1 ou une omission de mettre en oeuvre unerecommandation énoncée dans l’annexe 1,conclure avec l’organisation intéressée unaccord, appelé « accord de conformité », visantà faire respecter la présente partie.

(2) L’accord de conformité est assorti desconditions que le commissaire estime nécessai-res pour faire respecter la présente partie.

(3) Lorsqu’un accord de conformité a étéconclu, le commissaire :

a) ne peut demander à la Cour, aux termes duparagraphe 14(1) ou de l’alinéa 15a), uneaudition à l’égard de toute question visée parl’accord;

b) demande la suspension de toute demanded’audition d’une question visée par l’accordqu’il a faite et qui est pendante au moment dela conclusion de l’accord.

(4) Il est entendu que la conclusion del’accord n’a pas pour effet d’empêcher lespoursuites pour infraction à la présente loi, oud’empêcher un plaignant — autre que lecommissaire — de faire une demande d’audi-tion de la question aux termes de l’article 14.

17.2 (1) S’il estime que l’accord de confor-mité a été respecté, le commissaire en fait part àl’organisation intéressée par avis écrit et il retiretoute demande d’audition, faite aux termes duparagraphe 14(1) ou de l’alinéa 15a), d’unequestion visée par l’accord.

(2) S’il estime que l’accord de conformitén’a pas été respecté, le commissaire envoie àl’organisation intéressée un avis de défaut. Ilpeut alors demander à la Cour :

Conclusion d’unaccord deconformité

Conditions

Effet de l’accordde conformité

Précision

Accord respecté

Accord nonrespecté


Time forapplication

To ensurecompliance

2010, c. 23,s. 86(1)

Confidentiality

Confidential-ity— reportsand records

(a) an order requiring the organization tocomply with the terms of the agreement, inaddition to any other remedies it may give; or

(b) a hearing under subsection 14(1) orparagraph 15(a) or to reinstate proceedingsthat have been suspended as a result of anapplication made under paragraph 17.1(3)(b).

(3) Despite subsection 14(2), the applicationshall be made within one year after notificationis sent or within any longer period that the Courtmay, either before or after the expiry of thatyear, allow.

16. The portion of subsection 18(1) of theAct before paragraph (a) is replaced by thefollowing:

18. (1) The Commissioner may, on reason-able notice and at any reasonable time, audit thepersonal information management practices ofan organization if the Commissioner has reason-able grounds to believe that the organization hascontravened a provision of Division 1 or 1.1 oris not following a recommendation set out inSchedule 1, and for that purpose may

17. (1) Subsection 20(1) of the Act isreplaced by the following:

20. (1) Subject to subsections (2) to (6),12(3), 12.2(3), 13(3), 19(1), 23(3) and 23.1(1)and section 25, the Commissioner or any personacting on behalf or under the direction of theCommissioner shall not disclose any informa-tion that comes to their knowledge as a result ofthe performance or exercise of any of theCommissioner’s duties or powers under thisPart other than those referred to in subsection10.1(1) or 10.3(2).

(1.1) Subject to subsections (2) to (6), 12(3),12.2(3), 13(3), 19(1), 23(3) and 23.1(1) andsection 25, the Commissioner or any personacting on behalf or under the direction of theCommissioner shall not disclose any informa-tion contained in a report made under subsec-tion 10.1(1) or in a record obtained undersubsection 10.3(2).

a) soit une ordonnance enjoignant à l’orga-nisation de se conformer aux conditions del’accord de conformité, en sus de toute autreréparation que la Cour peut accorder;

b) soit une audition de la question, auxtermes du paragraphe 14(1) ou de l’alinéa15a) ou, en cas de suspension de l’audition àla suite d’une demande faite en application del’alinéa 17.1(3)b), le rétablissement de l’au-dition.

(3) Malgré le paragraphe 14(2), la demandeest faite dans l’année suivant l’envoi de l’avis dedéfaut ou dans le délai supérieur que la Courautorise avant ou après l’expiration de l’année.

16. Le passage du paragraphe 18(1) de lamême loi précédant l’alinéa a) est remplacépar ce qui suit :

18. (1) Le commissaire peut, sur préavissuffisant et à toute heure convenable, procéderà la vérification des pratiques de l’organisationen matière de gestion des renseignementspersonnels s’il a des motifs raisonnables decroire que celle-ci a contrevenu à l’une desdispositions des sections 1 ou 1.1 ou n’a pas misen oeuvre une recommandation énoncée dansl’annexe 1; il a, à cette fin, le pouvoir :

17. (1) Le paragraphe 20(1) de la mêmeloi est remplacé par ce qui suit :

20. (1) Sous réserve des paragraphes (2) à(6), 12(3), 12.2(3), 13(3), 19(1), 23(3) et 23.1(1)et de l’article 25, le commissaire et lespersonnes agissant en son nom ou sous sonautorité sont tenus au secret en ce qui concerneles renseignements dont ils prennent connais-sance par suite de l’exercice des attributions quela présente partie confère au commissaire, àl’exception de celles visées aux paragraphes10.1(1) ou 10.3(2).

(1.1) Sous réserve des paragraphes (2) à (6),12(3), 12.2(3), 13(3), 19(1), 23(3) et 23.1(1) etde l’article 25, le commissaire et les personnesagissant en son nom ou sous son autorité sonttenus au secret en ce qui concerne lesrenseignements figurant dans une déclaration

Délai de lademande

Contrôled’application

2010, ch. 23,par. 86(1)

Secret

Secret—déclarations etregistre


Public interest

Disclosure ofbreach ofsecuritysafeguards

(2) Subsection 20(2) of the Act is replacedby the following:

(2) The Commissioner may, if the Commis-sioner considers that it is in the public interest todo so, make public any information that comesto his or her knowledge in the performance orexercise of any of his or her duties or powersunder this Part.

(3) Subsection 20(4) of the Act is amendedby striking out “or” at the end of paragraph(c), by adding “or” at the end of paragraph(d) and by adding the following after thatparagraph:

(e) a judicial review in relation to theperformance or exercise of any of theCommissioner’s duties or powers under thisPart.

(4) Section 20 of the Act is amended byadding the following after subsection (5):

(6) The Commissioner may disclose, or mayauthorize any person acting on behalf or underthe direction of the Commissioner to disclose toa government institution or a part of a govern-ment institution, any information contained in areport made under subsection 10.1(1) or in arecord obtained under subsection 10.3(2) if theCommissioner has reasonable grounds to be-lieve that the information could be useful in the

obtenue en application du paragraphe 10.1(1) oudans un registre obtenu en application duparagraphe 10.3(2).


(2) Le commissaire peut rendre publiquetoute information dont il prend connaissancepar suite de l’exercice des attributions que laprésente partie lui confère, s’il estime que celaest dans l’intérêt public.


(4) Il peut également communiquer — ouautoriser les personnes agissant en son nom ousous son autorité à communiquer — desrenseignements :

a) dans le cadre des procédures intentéespour l’infraction visée à l’article 28;

b) dans le cadre des procédures intentéespour l’infraction visée à l’article 132 du Codecriminel (parjure) se rapportant à une décla-ration faite en vertu de la présente partie;

c) lors d’une audience de la Cour prévue parcette partie;

d) lors de l’appel de la décision rendue par laCour;

e) dans le cadre d’un contrôle judiciaire àl’égard de l’exercice des attributions que laprésente partie confère au commissaire.

(4) L’article 20 de la même loi est modifiépar adjonction, après le paragraphe (5), de cequi suit :

(6) Le commissaire peut communiquer — ouautoriser les personnes agissant en son nom ousous son autorité à communiquer — toutrenseignement figurant dans une déclarationobtenue en application du paragraphe 10.1(1) oudans un registre obtenu en application duparagraphe 10.3(2) à une institution gouverne-mentale ou à une subdivision d’une telleinstitution, si le commissaire a des motifs

Intérêt public

Communicationdans le cadre decertainesprocédures

Communica-tion— atteinteaux mesures desécurité


Defamation

Annual report

Consultation

investigation of a contravention of the laws ofCanada or a province that has been, is being oris about to be committed.

18. (1) The portion of subsection 22(2) ofthe Act before paragraph (a) is replaced bythe following:

(2) No action lies in defamation with respectto

(2) Paragraphs 22(2)(a) and (b) of theEnglish version of the Act are replaced bythe following:

(a) anything said, any information suppliedor any record or thing produced in good faithin the course of an investigation or auditcarried out by or on behalf of the Commis-sioner under this Part; and

(b) any report made in good faith by theCommissioner under this Part and any fairand accurate account of the report made ingood faith for the purpose of news reporting.

19. Paragraph 24(c) of the Act is replacedby the following:

(c) encourage organizations to develop de-tailed policies and practices, including orga-nizational codes of practice, to comply withDivisions 1 and 1.1; and

20. (1) Subsection 25(1) of the Act isreplaced by the following:

25. (1) The Commissioner shall, withinthree months after the end of each financialyear, submit to Parliament a report concerningthe application of this Part, the extent to whichthe provinces have enacted legislation that issubstantially similar to this Part and theapplication of any such legislation.

(2) Subsection 25(2) of the English versionof the Act is replaced by the following:

(2) Before preparing the report, the Commis-sioner shall consult with those persons in theprovinces who, in the Commissioner’s opinion,are in a position to assist the Commissioner in

raisonnables de croire qu’il pourrait être utile àune enquête sur une contravention au droitfédéral ou provincial qui a été commise ou esten train ou sur le point de l’être.

18. (1) Le passage du paragraphe 22(2) dela même loi précédant l’alinéa a) est remplacépar ce qui suit :

(2) Ne peuvent donner lieu à poursuites pourdiffamation :

(2) Les alinéas 22(2)a) et b) de la versionanglaise de la même loi sont remplacés par cequi suit :

(a) anything said, any information suppliedor any record or thing produced in good faithin the course of an investigation or auditcarried out by or on behalf of the Commis-sioner under this Part; and

(b) any report made in good faith by theCommissioner under this Part and any fairand accurate account of the report made ingood faith for the purpose of news reporting.

19. L’alinéa 24c) de la même loi estremplacé par ce qui suit :

c) encourage les organisations à élaborer despolitiques détaillées — notamment des codesde pratiques — en vue de se conformer auxsections 1 et 1.1;

20. (1) Le paragraphe 25(1) de la mêmeloi est remplacé par ce qui suit :

25. (1) Dans les trois mois suivant la fin dechaque exercice, le commissaire dépose devantle Parlement son rapport sur l’application de laprésente partie, sur la mesure dans laquelle lesprovinces ont édicté des lois essentiellementsimilaires à celle-ci et sur l’application de ceslois.

(2) Le paragraphe 25(2) de la versionanglaise de la même loi est remplacé par cequi suit :

(2) Before preparing the report, the Commis-sioner shall consult with those persons in theprovinces who, in the Commissioner’s opinion,are in a position to assist the Commissioner in

Diffamation

Rapport annuel

Consultation


Regulations

Whistleblowing

making a report respecting personal informationthat is collected, used or disclosed interprovin-cially or internationally.

21. (1) The portion of subsection 26(1) ofthe Act before paragraph (a) is replaced bythe following:

26. (1) The Governor in Council may makeregulations for carrying out the purposes andprovisions of this Part, including regulations

(2) Paragraph 26(1)(a.01) of the Act isrepealed.

(3) Subsection 26(1) of the Act is amendedby striking out “and” at the end of para-graph (a.1) and by replacing paragraph (b)with the following:

(b) specifying information to be kept andmaintained under subsection 10.3(1); and

(c) prescribing anything that by this Part is tobe prescribed.

22. Subsection 27(1) of the Act is replacedby the following:

27. (1) Any person who has reasonablegrounds to believe that a person has contra-vened or intends to contravene a provision ofDivision 1 or 1.1 may notify the Commissionerof the particulars of the matter and may requestthat their identity be kept confidential withrespect to the notification.

23. Paragraphs 27.1(1)(a) to (c) of the Actare replaced by the following:

(a) the employee, acting in good faith and onthe basis of reasonable belief, has disclosed tothe Commissioner that the employer or anyother person has contravened or intends tocontravene a provision of Division 1 or 1.1;

(b) the employee, acting in good faith and onthe basis of reasonable belief, has refused orstated an intention of refusing to do anythingthat is a contravention of a provision ofDivision 1 or 1.1;

making a report respecting personal informationthat is collected, used or disclosed interprovin-cially or internationally.

21. (1) Le passage du paragraphe 26(1) dela même loi précédant l’alinéa a) est remplacépar ce qui suit :

26. (1) Le gouverneur en conseil peut, parrèglement, prendre toute mesure d’applicationde la présente partie, notamment :

(2) L’alinéa 26(1)a.01) de la même loi estabrogé.

(3) L’alinéa 26(1)b) de la même loi estremplacé par ce qui suit :

b) préciser les renseignements qui doiventêtre tenus et conservés au titre du paragraphe10.3(1);

c) prendre toute mesure d’ordre réglemen-taire prévue par la présente partie.

22. Le paragraphe 27(1) de la même loi estremplacé par ce qui suit :

27. (1) Toute personne qui a des motifsraisonnables de croire qu’une autre personne acontrevenu à l’une des dispositions des sections1 ou 1.1, ou a l’intention d’y contrevenir, peutnotifier au commissaire des détails sur laquestion et exiger l’anonymat relativement àcette dénonciation.

23. Les alinéas 27.1(1)a) à c) de la mêmeloi sont remplacés par ce qui suit :

a) l’employé, agissant de bonne foi et sefondant sur des motifs raisonnables, ainformé le commissaire que l’employeur ouune autre personne a contrevenu à l’une desdispositions des sections 1 ou 1.1, ou al’intention d’y contrevenir;

b) l’employé, agissant de bonne foi et sefondant sur des motifs raisonnables, a refuséou a fait part de son intention de refuserd’accomplir un acte qui constitue une contra-vention à l’une des dispositions des sections 1ou 1.1;

Règlements

Dénonciation


Offence andpunishment

R.S., c. A-1

2010, c. 23

(c) the employee, acting in good faith and onthe basis of reasonable belief, has done orstated an intention of doing anything that isrequired to be done in order that a provisionof Division 1 or 1.1 not be contravened; or

24. The portion of section 28 of the Actbefore paragraph (a) is replaced by thefollowing:

28. Every organization that knowingly con-travenes subsection 8(8), section 10.1 or sub-section 10.3(1) or 27.1(1) or that obstructs theCommissioner or the Commissioner’s delegatein the investigation of a complaint or inconducting an audit is guilty of

CONSEQUENTIAL AMENDMENT

ACCESS TO INFORMATION ACT

25. Schedule II to the Access to Informa-tion Act is amended by adding, in alphabe-tical order, a reference to

Personal Information Protection and ElectronicDocuments ActLoi sur la protection des renseignements

personnels et les documents électroniques.

and a corresponding reference to “subsection20(1.1)”.

COORDINATING AMENDMENTS

26. (1) In this section “other Act” meansAn Act to promote the efficiency and adapt-ability of the Canadian economy by regulatingcertain activities that discourage reliance onelectronic means of carrying out commercialactivities, and to amend the Canadian Radio-television and Telecommunications Commis-sion Act, the Competition Act, the PersonalInformation Protection and Electronic Docu-ments Act and the Telecommunications Act,chapter 23 of the Statutes of Canada, 2010.

(2) On the first day on which both section82 of the other Act and subsection 6(3) of thisAct are in force, the portion of subsection

c) l’employé, agissant de bonne foi et sefondant sur des motifs raisonnables, aaccompli ou a fait part de son intentiond’accomplir un acte nécessaire pour empê-cher la contravention à l’une des dispositionsdes sections 1 ou 1.1;

24. Le passage de l’article 28 de la mêmeloi précédant l’alinéa a) est remplacé par cequi suit :

28. Quiconque contrevient sciemment auparagraphe 8(8), à l’article 10.1 ou auxparagraphes 10.3(1) ou 27.1(1) ou entravel’action du commissaire — ou de son délégué— dans le cadre d’une vérification ou del’examen d’une plainte commet une infractionet encourt, sur déclaration de culpabilité :

MODIFICATION CORRÉLATIVE

LOI SUR L’ACCÈS À L’INFORMATION

25. L’annexe II de la Loi sur l’accès àl’information est modifiée par adjonction,selon l’ordre alphabétique, de ce qui suit :

Loi sur la protection des renseignementspersonnels et les documents électroniquesPersonal Information Protection and Electro-

nic Documents Act

ainsi que de la mention « paragraphe20(1.1) » en regard de ce titre de loi.

DISPOSITIONS DE COORDINATION

26. (1) Au présent article, « autre loi »s’entend de la Loi visant à promouvoirl’efficacité et la capacité d’adaptation del’économie canadienne par la réglementationde certaines pratiques qui découragent l’exer-cice des activités commerciales par voie élec-tronique et modifiant la Loi sur le Conseil dela radiodiffusion et des télécommunicationscanadiennes, la Loi sur la concurrence, la Loisur la protection des renseignements person-nels et les documents électroniques et la Loisur les télécommunications, chapitre 23 desLois du Canada (2010).

(2) Dès le premier jour où l’article 82 del’autre loi et le paragraphe 6(3) de la présenteloi sont tous deux en vigueur, le passage duparagraphe 7.1(2) de la Loi sur la protection

Infraction etpeine

L.R., ch. A-1

2010, ch. 23


Collection ofelectronicaddresses, etc.

Confidentiality

Confidential-ity— reportsand records

7.1(2) of the Personal Information Protectionand Electronic Documents Act before para-graph (a) is replaced by the following:

(2) Paragraphs 7(1)(a) and (b.1) to (d) and(2)(a) to (c.1) and the exception set out in clause4.3 of Schedule 1 do not apply in respect of

(3) On the first day on which bothsubsection 20(6) of the Personal InformationProtection and Electronic Documents Act, asenacted by subsection 86(2) of the other Act,and subsection 20(6) of the Personal Informa-tion Protection and Electronic Documents Act,as enacted by subsection 17(4) of this Act, arein force,

(a) subsections 20(1) and (1.1) of thePersonal Information Protection and Elec-tronic Documents Act are replaced by thefollowing:

20. (1) Subject to subsections (2) to (7),12(3), 12.2(3), 13(3), 19(1), 23(3) and 23.1(1)and section 25, the Commissioner or any personacting on behalf or under the direction of theCommissioner shall not disclose any informa-tion that comes to their knowledge as a result ofthe performance or exercise of any of theCommissioner’s duties or powers under thisPart other than those referred to in subsection10.1(1) or 10.3(2).

(1.1) Subject to subsections (2) to (7), 12(3),12.2(3), 13(3), 19(1), 23(3) and 23.1(1) andsection 25, the Commissioner or any personacting on behalf or under the direction of theCommissioner shall not disclose any informa-tion contained in a report made under subsec-tion 10.1(1) or in a record obtained undersubsection 10.3(2).

(b) subsection 20(6) of the Personal In-formation Protection and Electronic Docu-ments Act, as enacted by subsection 86(2)of the other Act, is renumbered as subsec-tion 20(7) and is repositioned accordinglyif required.

des renseignements personnels et les docu-ments électroniques précédant l’alinéa a) estremplacé par ce qui suit :

(2) Les alinéas 7(1)a) et b.1) à d) et (2)a) àc.1) et l’exception prévue à l’article 4.3 del’annexe 1 ne s’appliquent pas :

(3) Dès le premier jour où le paragraphe20(6) de la Loi sur la protection des rensei-gnements personnels et les documents élec-troniques, édicté par le paragraphe 86(2) del’autre loi, et le paragraphe 20(6) de la Loisur la protection des renseignements person-nels et les documents électroniques, édicté parle paragraphe 17(4) de la présente loi, sonttous deux en vigueur :

a) les paragraphes 20(1) et (1.1) de la Loisur la protection des renseignements per-sonnels et les documents électroniques sontremplacés par ce qui suit :

20. (1) Sous réserve des paragraphes (2) à(7), 12(3), 12.2(3), 13(3), 19(1), 23(3) et 23.1(1)et de l’article 25, le commissaire et lespersonnes agissant en son nom ou sous sonautorité sont tenus au secret en ce qui concerneles renseignements dont ils prennent connais-sance par suite de l’exercice des attributions quela présente partie confère au commissaire, àl’exception de celles visées aux paragraphes10.1(1) ou 10.3(2).

(1.1) Sous réserve des paragraphes (2) à (7),12(3), 12.2(3), 13(3), 19(1), 23(3) et 23.1(1) etde l’article 25, le commissaire et les personnesagissant en son nom ou sous son autorité sonttenus au secret en ce qui concerne lesrenseignements figurant dans une déclarationobtenue en application du paragraphe 10.1(1) oudans un registre obtenu en application duparagraphe 10.3(2).

b) le paragraphe 20(6) de la Loi sur laprotection des renseignements personnels etles documents électroniques, édicté par leparagraphe 86(2) de l’autre loi, devient leparagraphe 20(7) et, au besoin, est déplacéen conséquence.

Collecte,utilisation etcommunicationd’adressesélectroniques

Secret

Secret—déclarations etregistre


Order in council

COMING INTO FORCE

27. Sections 10, 11 and 14, subsections17(1) and (4) and sections 19 and 22 to 25come into force on a day to be fixed by orderof the Governor in Council.

ENTRÉE EN VIGUEUR

27. Les articles 10, 11 et 14, les paragra-phes 17(1) et (4) et les articles 19 et 22 à 25entrent en vigueur à la date fixée par décret.

Décret


Published under authority of the Senate of Canada Publié avec l’autorisation du Sénat du Canada

Available on the Parliament of Canada Web Site at the following address:Disponible sur le site Web du Parlement du Canada à l'adresse suivante :

http://www.parl.gc.ca

MAIL POSTECanada Post Corporation / Société canadienne des postes

Postage Paid Port payé

Letter mail Poste-lettre1782711Ottawa

If undelivered, return COVER ONLY to:Publishing and Depository ServicesPublic Works and Government Services CanadaOttawa, Ontario K1A 0S5

En cas de non-livraison,retourner cette COUVERTURE SEULEMENT à :Les Éditions et Services de dépôtTravaux publics et Services gouvernementaux CanadaOttawa (Ontario) K1A 0S5

STATUTES OF CANADA 2015 LOIS DU CANADA … modifiant la Loi sur la protection des renseignements...

Documents

Transcript of STATUTES OF CANADA 2015 LOIS DU CANADA … modifiant la Loi sur la protection des renseignements...