LPRPDE : comment faire supprimer vos renseignements personnels au Canada

Ce que couvre réellement la LPRPDE

La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) s'applique aux organisations du secteur privé qui recueillent, utilisent ou communiquent des renseignements personnels dans le cadre d'activités commerciales. Concrètement, cela vise les banques, les télécommunications, les détaillants, les assureurs, les transporteurs aériens, les plateformes de commerce en ligne et la plupart des entreprises qui exercent leurs activités à l'échelle interprovinciale ou nationale. Elle ne s'applique pas au gouvernement fédéral (qui relève de la Loi sur la protection des renseignements personnels) ni aux matières purement provinciales, et elle ne vise pas les particuliers agissant à des fins personnelles ou journalistiques.

Une limite importante : la LPRPDE est construite autour du consentement, et non autour de la suppression. La loi prévoit qu'une organisation ne peut utiliser des renseignements personnels qu'à des fins qu'une personne raisonnable considérerait comme appropriées, et qu'elle doit respecter les choix que vous avez faits au moment de donner votre consentement. Retirer votre consentement est votre levier le plus solide, mais ce n'est pas la même chose qu'un droit général de faire disparaître tous vos renseignements.

Les dix principes équitables qui vous concernent

La LPRPDE s'articule autour de dix principes énoncés à l'annexe 1. Il n'est pas nécessaire de les mémoriser tous, mais quatre d'entre eux sont directement utiles dans une demande de suppression :

Ce sont les principes 4 et 3, combinés, qui rendent souvent la suppression possible en pratique : si les renseignements ont été recueillis pour une fin qui est terminée, ou au-delà de ce qui était nécessaire, il n'existe plus de fondement valable pour les conserver.

• Principe 3 – Consentement : votre connaissance et votre consentement sont requis pour la collecte, l'utilisation ou la communication, et vous pouvez retirer votre consentement (moyennant un préavis raisonnable), sous réserve de restrictions légales ou contractuelles.
• Principe 4 – Limitation de la collecte : une organisation ne peut recueillir que les renseignements dont elle a réellement besoin pour une fin déterminée.
• Principe 8 – Exactitude : les renseignements personnels doivent être exacts, complets et à jour selon la fin visée.
• Principe 9 – Accès individuel : sur demande, vous avez le droit de savoir si l'organisation détient des renseignements vous concernant et d'y avoir accès.

Première étape : présenter une demande d'accès officielle

Le processus commence par une demande écrite adressée au responsable de la protection des renseignements personnels de l'organisation. Soyez précis : nommez l'organisation, indiquez clairement que vous présentez une demande en vertu de la LPRPDE, décrivez les renseignements personnels visés et demandez de quelle façon ils ont été recueillis et utilisés, et à qui ils ont été communiqués. Si vous comptez demander la suppression, dites-le dans la même lettre et expliquez pourquoi votre consentement ne s'applique plus — par exemple parce que le compte est fermé, que la fin est atteinte ou que la période de conservation est écoulée.

L'organisation doit répondre dans les 30 jours. Elle peut prolonger ce délai dans des circonstances limitées (par exemple si répondre exige un volume de travail important ou une consultation), mais elle doit vous en aviser par écrit dans les 30 jours initiaux. Elle peut exiger des frais minimes, mais seulement après vous avoir fourni une estimation au préalable. Si vous n'obtenez aucune réponse, une réponse vague ou un refus sans motifs réels, il s'agit en soi d'un problème de conformité que vous pouvez soulever auprès du commissaire.

Deuxième étape : porter plainte au Commissariat à la protection de la vie privée

Si l'organisation refuse ou traîne, vous pouvez porter plainte au Commissariat à la protection de la vie privée du Canada (CPVP). En règle générale, la plainte doit être déposée dans l'année suivant l'acte ou l'omission visé, et le Commissariat s'attend à ce que vous ayez d'abord tenté de régler la question directement. Vous pouvez déposer en ligne ou par écrit, et vous devriez joindre la preuve documentaire : votre demande, leur réponse, les dates et un court exposé de ce qui, selon vous, a été enfreint.

Soyez réaliste quant au résultat. Le Commissariat enquête et rend des conclusions : il ne délivre pas d'ordonnances de cour ni d'amendes directement. Une conclusion portant qu'une organisation a contrevenu à la LPRPDE n'a pas force obligatoire pour celle-ci, mais elle est publiée, elle constitue une déclaration publique de non-conformité et elle suffit souvent à faire changer le comportement d'une entreprise. Lorsque les recommandations du Commissariat sont ignorées, il peut saisir la Cour fédérale, qui peut ordonner à l'organisation de corriger ses pratiques et, dans certains cas, accorder des dommages-intérêts.

Troisième étape : le recours devant la Cour fédérale

Vous pouvez aussi saisir vous-même la Cour fédérale, habituellement après que le Commissariat a terminé son enquête, ou dans certains cas au lieu de porter plainte. La Cour fédérale peut ordonner à une organisation de se conformer à la LPRPDE et, depuis 2018, elle peut accorder des dommages-intérêts dans des circonstances déterminées. C'est une voie réelle, mais elle est lente, coûteuse, et c'est à vous de constituer le dossier — c'est pourquoi la plupart des gens l'utilisent comme levier après une plainte documentée au CPVP plutôt que comme première étape.

Si le problème relève en réalité de la diffamation, du harcèlement ou d'un manquement à une obligation non liée à la vie privée, la LPRPDE n'est pas le bon outil. Le droit canadien de la diffamation, les recours civils et les lois provinciales mentionnées ci-dessous peuvent être plus directs.

Les lois provinciales peuvent être plus fortes — vérifiez laquelle s'applique

Trois provinces disposent d'une loi sur la protection des renseignements personnels que le gouvernement fédéral reconnaît comme essentiellement similaire à la LPRPDE, ce qui fait qu'elle s'applique au lieu de la LPRPDE pour les activités commerciales à l'intérieur de la province :

Si vous résidez au Québec, ou si l'organisation y est établie et que le traitement y a lieu, lisez notre guide complémentaire sur la Loi 25 du Québec avant d'envoyer une demande fondée sur la LPRPDE — le fondement juridique, les délais et l'organisme d'application sont tous différents, et plus solides.

• Alberta – Personal Information Protection Act (PIPA), appliquée par l'Office of the Information and Privacy Commissioner of Alberta, qui dispose d'un réel pouvoir de contraindre et d'imposer des sanctions.
• Colombie-Britannique – Personal Information Protection Act (PIPA), appliquée par l'Office of the Information and Privacy Commissioner for BC, incluant un pouvoir de rendre des ordonnances.
• Québec – Loi 25 (anciennement projet de loi 64), qui va nettement plus loin que la LPRPDE et accorde un véritable droit à l'effacement et à la désindexation.

Ce que représente réellement une démarche de suppression

Faire supprimer des renseignements personnels de sources canadiennes est rarement une simple lettre. C'est d'abord un travail de délimitation, suivi d'une campagne priorisée : recenser chaque organisation et chaque source publique qui détient les renseignements, déterminer pour lesquelles vous avez un fondement juridique pour agir en vertu de la LPRPDE ou d'une loi provinciale, et lesquelles les détiennent pour une raison que vous ne pouvez pas écarter (conservation réglementaire, dossiers judiciaires, obligations fiscales et d'emploi, journalisme, registres publics). C'est seulement ensuite que vous commencez à envoyer les demandes, par ordre de rendement probable.

Cette priorisation est la partie difficile, et c'est ce qui justifie l'existence d'un service payant. Nous pouvons faire la vérification, cartographier les sources, identifier les leviers juridiques et mener la correspondance — mais personne, nous compris, ne peut promettre qu'un renseignement donné sera supprimé. Certains dossiers sont conservés légalement, certaines organisations refuseront et d'autres seront simplement lentes. La version honnête de ce travail est une démarche documentée et bien argumentée, pas une garantie.