Du cidre pour faire passer la pilule!

Comment rendre digeste une réforme législative qui donne des maux de tête aux dirigeants? Gowling WLG a trouvé une recette pour le moins surprenante.

Le 27 octobre dernier, un événement intrigant réunissant des gens d’affaires, des juristes et des conseillers d’entreprise avait lieu dans le bureau montréalais de Gowling WLG sous l’intitulé « Dégustation pétillante, confidentialité assurée ».

En règle générale, dès qu’il est question de législations relatives à la protection des données, les entrepreneurs ont les poings serrés et des maux de tête. « On a presque eu un traumatisme collectif avec la loi 25 », a admis d’entrée de jeu Me Antoine Guilmain, l’associé initiateur de cette activité.

Le codirecteur du groupe de pratique national Cybersécurité et protection des données du cabinet, ainsi que professeur à la faculté de droit de l’Université de Sherbrooke, souhaitait-il calmer les tensions avec une dégustation de cidres à l’approche de la probable adoption de la nouvelle loi C-36 au début de l’année 2027?

Il s’est tout de suite fait rassurant : « J'aime à croire que C-36 va un peu régler les choses. Mais je pense aussi que C-36 va tout autant nous impacter que d'autres provinces. C'est pour ça qu’il est important d'en parler. Donc le programme va être le suivant : on va boire en même temps qu'on parle, et j'espère que vous allez nous écouter quand vous boirez! »

Accord n. 1 : cidre tonic et stabilité légale

L’invité spécial de l’événement n’était pas un avocat vedette, mais Vincent Dion-Lavallée, chef copropriétaire, avec son mentor Martin Picard, de la Cabane d'à Côté et de la Cidrerie Au Pied de Cochon.

Au-delà des cuisines, le chef a rappelé qu’il était aussi un entrepreneur, avec tous les aléas que cela comporte. C’est d’ailleurs par souci de rentabilité qu’il y a neuf ans, quand il s’est rendu compte que le verger sur les terres de la Cabane d’à côté fournissait une récolte trop importante de pommes pour les besoins du groupe, il s’est tourné vers la production de cidres. Il en a profité pour en étayer un des grands principes : la fermentation.

Tout en buvant ses paroles, les participants pouvaient déguster un premier verre, en l’occurrence un cocktail à base d’un gin Au pied de cochon agrémenté de cidre Limonade. Une excellente entrée en matière pour le premier volet de la présentation, à savoir les éléments qui ne changent pas vraiment dans le projet de loi C-36.

Me Nayla El Zir a pris la balle au bond. « On peut se figurer que C-36 est le produit de 25 ans de fermentation. Il s'inscrit vraiment dans la continuité de la PIPEDA (promulguée en l’an 2000), alors qu’on voulait trouver un équilibre entre la protection de la vie privée des individus et l'intérêt des entreprises de collecter, d'utiliser et de communiquer des renseignements personnels. Donc, on va voir qu’il s’agit des mêmes pommes et du même verger, mais avec une recette un peu différente 25 ans plus tard. »

Effectivement, a expliqué ensuite l’avocate, le fondement légal pour le traitement des renseignements personnels, à savoir le consentement des personnes, reste le même. On en a simplement codifié les principes initiaux, notamment en ce qui a trait à la responsabilité des entreprises, qui demeurent responsables des renseignements qu'elles collectent. La notion de transparence, le droit des individus par rapport à leurs renseignements personnels, ainsi que la déclaration des incidents de confidentialité sont également encore au menu.

« Ce qui est peut-être différent avec la loi 25, je dirais, c'est la structure de cette nouvelle loi, a ajouté Me El Zir. Avec C-36, on est parti d'une nouvelle loi au complet pour amender une loi vieille de 25 ans. C’est plus lisible, plus clair. C'est le projet de loi barreau par excellence, avec une belle table des matières, des beaux titres, contrairement à la loi 25 qui est complètement décousue. »

Accord n.2 : cidre macéré et nouveautés du projet de loi

Un second verre, cette fois-ci de Chemin des pères, constitué d’un assemblage de deux cidres, dont un ayant macéré sur les marcs de raisins du viticulteur Pinard et filles, a permis à Vincent Dion-Lavallée d’expliquer l’importance de la traçabilité en cidriculture lorsqu’on veut obtenir un éventail de profils aromatiques. Jusqu’à 50 variétés de pommes sont utilisées et mariées par le producteur dans sa gamme d’une vingtaine de produits.

Invité à faire un lien entre cette présentation et les nouveautés du projet de loi C-36, Me Cedrik Pierre-Gilles a lancé : « Je comprends que dans ce processus, vous allez chercher des variétés de pommes un peu partout, en Europe notamment. Eh bien, c’est un peu la même chose avec les nouvelles exigences du projet de loi C-36, notamment pour le nouveau volet des intérêts légitimes. Il est intéressant de savoir que les gens qui rédigent des projets de loi au fédéral passent beaucoup de temps à analyser ce qui se fait ailleurs, et qu’ils arrivent avec un résultat qui est un petit peu comme du cidre ».

L’avocat a ensuite détaillé les nouveaux éléments qui se retrouvent dans le projet de loi. À commencer par l’annonce surprise d’un nouveau super régulateur remplaçant, avec des pouvoirs renforcés, le commissariat de la protection de la liberté du Canada.

« Cette nouvelle Commission de la sécurité numérique et de la protection des données sera un organe d’enquête, mais pourra aussi émettre des ordonnances contraignantes, et donner des sanctions administratives pécuniaires assez salées » a expliqué Me Cedrik Pierre-Gilles. De quel ordre, au juste? Jusqu’à 10 millions de dollars ou de 3% du chiffre d'affaires. Et pour les contraventions pénales, ces dernières pourront aller jusqu'à 25 millions ou 5% du chiffre d'affaires de l’entreprise.

Par contre, les organisations seront intéressées d’apprendre que de nouvelles exceptions apparaissent dans le projet de loi concernant le consentement. S’il s'agit de renseignements qui sont nécessaires aux services rendus aux individus, à des questions de sécurité à l'interne ou à des intérêts légitimes, il sera sous certaines conditions possible de recueillir, communiquer ou utiliser des renseignements sans consentement.

Enfin, de nouveaux éléments liés au droit de retrait pour les individus sont présents dans C-37. Ces derniers peuvent toujours demander à supprimer ou à anonymiser leurs renseignements personnels, mais plusieurs exceptions s’appliquent, par exemple si le fardeau de l’opération est trop élevé ou si le changement touche une tierce personne. « Donc, des organisations pourraient dorénavant refuser de donner suites à certaines demandes », indique l’avocat.

Accord n. 3 : cidre aromatisé et préparation à la loi C-37

Pour le troisième et dernier service de l’événement, le cidriculteur a choisi de faire découvrir aux participants Coquette, un cidre demi-sec aromatisé avec un sirop maison de fruits du verger (prunes, poires, cerises et canneberges).

Cela lui a donné l’occasion de parler de la méthode traditionnelle utilisée par la Cidrerie Au pied de cochon, et de la mise en vente des produits. Un processus où tous les détails comptent, surtout lorsqu’on sait que chaque pommier que l’on plante ne donnera des fruits que sept ans plus tard.

« Avec C-36, on est encore loin des touches finales et de la mise en vente. Par contre, on peut planter dès maintenant en attendant l'entrée en vigueur de la loi », a rebondi Me Nawal Sassi.

L’avocate a ensuite proposé aux gens d’affaires quatre actions concrètes à mener dans leur entreprise. La première d’entre elles est de cartographier les renseignements personnels et sensibles dont l’organisation dispose, de manière à lister ceux qui seront assujettis à la loi, car il existe un certain nombre d’exceptions. Cette vérification touche aussi bien les renseignements à l’interne, que ceux des fournisseurs et des clients.

« J’attire également votre attention sur un petit ajout du projet de loi C-36 : les renseignements personnels déduits. À savoir les inférences qu'on peut tirer à partir des renseignements personnels que vous collectez sur quelqu'un » a indiqué Me Sassi.

Sa seconde recommandation a été d’effectuer une cartographie de flux de données, afin de savoir comment elles se promènent dans et hors de l’organisation, y compris à travers les fournisseurs de services et lors de transferts hors du Canada.

« En troisième lieu, je conseille de répertorier les systèmes décisionnels automatisés, c’est-à-dire toute technologie qui utilise des systèmes basés sur l'analyse prédictive, l'apprentissage automatique, l'apprentissage profond, les réseaux neuronaux ; bref, toutes sortes de systèmes qui servent à appuyer ou à remplacer le jugement décisionnel humain », a-t-elle mentionné, avant d’ajouter que la nouvelle loi exigera que les entreprises disposent d’une politique relative à l'usage d’un système décisionnel automatisé, et qu’elles soient en mesure de fournir une explication des décisions qui auront été prises.

Le dernier volet auquel les entrepreneurs doivent se préparer touche la gouvernance. En vertu de la loi C-37, toute organisation devra effectivement mettre en œuvre et tenir à jour un programme de gestion des renseignements personnels : protection des renseignements personnels, traitement des demandes et des plaintes, formation du personnel et documents explicatifs au besoin. Le nouveau régulateur pourra analyser et exiger des mesures correctives s’il juge que ce programme n'est pas adéquat.

« De plus, vous devrez établir et consigner à quelles fins tous les renseignements personnels que vous comptez collecter seront utilisés et communiqués », a expliqué l’avocate.

« C'est probablement ce qui est le plus pénible au sein de vos organisations. On dit "cartographie", et on commence à avoir des boutons », a renchéri Me Antoine Guilmain.

L’associé s’est toutefois voulu rassurant, en rappelant que le projet de loi n'est pas final et fera sans doute l’objet de changements. « C'est également un projet de loi qui est très pro-innovation, il faut être très clair là-dessus, a-t-il ajouté. Je pense que c'est une bonne chose qu'il reconnaisse dans son préambule que ce qui est important, c'est la protection des renseignements personnels et la possibilité de faire du commerce. »

C’est sur ces bonnes paroles que la conférence présentée par le cabinet Gowling WLG, finalement tout aussi éclairante qu’originale (et gourmande!), a pris fin. Cela vous a-t-il ouvert l’appétit ? Alors, sachez que Me Guilmain aimerait marier un prochain thème avec une dégustation de fromages, pour les intéressés!