Long-Awaited PIPEDA Amendments Become Law
On June 18, 2015, the Digital Privacy Act (Senate Bill S-4) became law, amending the Personal Information Protection and Electronic Documents Act (PIPEDA) to include a business transaction exemption, mandatory breach notification requirements, enhanced powers for the Privacy Commissioner (Commissioner), and various other updates.
What You Need to Know
- Business transaction exception. PIPEDA now permits organizations to use and disclose personal information without consent of the applicable individuals in the context of a business transaction, provided that the parties enter into an agreement to: only use and disclose personal information for purposes related to the proposed transaction; protect the information with appropriate security safeguards; and return or destroy the information if the transaction does not proceed.
- Organizations may only disclose personal information to the extent necessary to determine if the transaction should proceed, and then to complete the transaction.
- If the transaction is completed, the acquiring organization may only use the personal information for purposes consistent with the original collection, and the affected individuals must be notified that their personal information has be transferred to another organization.
- Mandatory breach notification. The amendments to PIPEDA have introduced a mandatory breach reporting regime with hefty fines for non-compliance (up to $100,000 per offence). These provisions are not yet in force, but in the event of a breach of personal information that creates a "real risk of significant harm" to an individual, organizations will be required to:
- report the breach to the Commissioner;
- notify the individual whose personal information is at issue of the breach and provide any steps the individual can take to protect herself, as soon as possible;
- notify any other organization or government institution if doing so might mitigate the harm caused by the breach, as soon as possible (under these circumstances, disclosure may be made without the knowledge or consent of the individual); and
- maintain records of every breach involving personal information that is under the organization’s control.
- Compliance agreements and public announcements. The Commissioner now has the power to enter into compliance agreements with an organization, where the Commissioner believes that there has been, or is about to be, a contravention of PIPEDA. The Commissioner is also empowered to make public any information obtained in the course of his duties, if it is in the public interest to do so.
- Additional updates. Other changes to PIPEDA include:
- an express exclusion from the scope of the Act of "business contact information," which includes an individual’s "position name or title, work address, work telephone number, work fax number or work electronic address";
- clarification that consent is only valid if it is reasonable to expect that the individual to whom the organization’s activities are directed understands the nature, purpose and consequences of the collection/use/disclosure of one’s personal information; and
- exemptions from consent requirements in the context of fraud detection or prevention, or communications with next-of-kin, and with respect to managing the employment relationship for federally regulated businesses (e.g., banks, airlines).
"Significant harm" is defined broadly to include bodily harm, humiliation, damage to reputation or relationships, loss of employment or business opportunities, financial loss, identity theft, negative effects on the credit record and damage to or loss of property. Whether there is a "real risk of significant harm" is determined by the sensitivity of the personal information involved in the breach, the probability that the personal information has been or will be misused, and other factors that may be prescribed by regulation.
What’s Next?
The amendments to PIPEDA offer helpful clarity to organizations regarding consent requirements in various contexts. However, business should be mindful of the Commissioner’s expanded powers, and we suggest a review of current practices to ensure compliance with the enhanced provisions.
The mandatory breach reporting requirements will not be in force until regulations under PIPEDA are implemented, and no timeframe has been proposed at this time. Organizations can take this opportunity to prepare for the requirements by developing a robust breach response plan.
In another recent development, the federal government has proposed further amendments to PIPEDA in budget implementation of Bill C-59, aimed at broadening the Commissioner’s jurisdiction to include private-sector organizations engaged in non-commercial activities. The bill, which has reached third reading in the Senate, proposed to include the World Anti-Doping Agency within PIPEDA’s jurisdiction and to allow the government to designate additional non-commercial private-sector organizations going forward.
Le mois dernier, le Canada a publié sa première Stratégie industrielle de défense (la Stratégie), qui souligne l’engagement du Canada à développer une base industrielle de défense solide et à stimuler la croissance économique. Ces efforts pourraient aussi comprendre le renforcement de l’état de préparation à la biodéfense et aux contre-mesures médicales, ce qui pourrait constituer des débouchés pour le secteur canadien des sciences de la vie en raison de l’importance accordée aux capacités nationales en ce sens et de la nécessité d’atténuer les risques d’urgences sanitaires.
Développement de contre-mesures médicales au Canada
Comme indiqué dans les bulletins précédents, le quatrième pilier de la Stratégie est axé sur la « sécurisation des chaînes d’approvisionnement pour les intrants et les biens clés » par le renforcement de la production nationale et le stockage de ressources. L’accent est mis tout particulièrement sur les contre-mesures médicales, en précisant que nos « alliés ont établi un lien explicite entre l’état de préparation à la biodéfense et aux contre-mesures médicales et leur sécurité économique et nationale, en élaborant de nouvelles stratégies et de nouveaux mécanismes pour faire progresser ces travaux ». Les contre-mesures médicales désignent divers produits réglementés pouvant être utilisés pour protéger la population lors d’une situation d’urgence de grande ampleur, comme l’éclosion d’une maladie ou une attaque impliquant des armes chimiques, biologiques ou nucléaires. Il peut s’agir de vaccins, de médicaments thérapeutiques et produits biologiques, de dispositifs de tests diagnostiques, des équipements de protection individuelle ou industrielle, et d’autres dispositifs médicaux. Les contre-mesures médicales sont essentielles à la réduction et à l’atténuation des dommages lors d’une urgence de santé publique.
Exploiter les voies réglementaires mises en place lors de la pandémie de COVID-19
Pendant et après la pandémie de COVID-19, le Canada a mis en place plusieurs nouvelles voies réglementaires comme mécanismes d’accélération des approbations de produits médicaux, ce qui pourrait offrir au gouvernement des options pour déployer des contre-mesures médicales afin de faire face aux risques pour la santé publique. Au début de la pandémie, Santé Canada a émis diverses ordonnances provisoires pour permettre l’importation et la vente de médicaments et de dispositifs médicaux qui n’avaient pas eu l’approbation des voies réglementaires traditionnelles. Or, Santé Canada a plutôt fait confiance aux voies d’approbation réglementaire et de l’exemption de certaines exigences en homologation de produits des pays impliqués dans la transaction. Beaucoup de ces règles provisoires ont depuis été officiellement intégrées à la réglementation en vertu de la Loi sur les aliments et drogues et ont été appliquées bien après la COVID-19. Conformément au Règlement sur les aliments et drogues, Santé Canada tient à jour la Liste des maladies qui menacent la santé publique et utilisera une procédure d’autorisation modifiée pour les médicaments d’urgence de santé publique pouvant traiter les affections figurant sur la liste. De même, le Règlement sur les instruments médicaux a établi une liste d’instruments médicaux répondant à un besoin urgent de santé publique, ce qui permet à Santé Canada d’autoriser la commercialisation de ces instruments de manière accélérée. Ces outils réglementaires sont utilisés automatiquement quand une situation médicale présente un grand risque pour la santé publique au Canada et nécessite une action immédiate pour contrer ce risque.
Le rôle de la Stratégie dans le renforcement du régime réglementaire de la santé au Canada
La stratégie prévoit que le Canada adoptera une approche proactive en matière de planification en amont des crises sanitaires. Le gouvernement entend s’assurer que les produits médicaux sont déjà disponibles au Canada afin qu’ils puissent être distribués rapidement en cas d’urgence. D’autres modifications récentes au Règlement sur les aliments et drogues permettent de prépositionner au Canada tous les médicaments d’urgence en santé publique, ce qui signifie qu’ils peuvent être importés dans des installations d’entreposage canadiennes avant que leur mise sur le marché n’ait été autorisée. La Stratégie s’appuie sur ces fondements, en faisant référence à l’organisme existant Préparation aux crises sanitaires Canada (PCSC), un organisme opérationnel spécial au sein d’Innovation, Sciences et Développement économique Canada (ISDE), et à un nouveau Fonds des sciences de la vie, lesquels « collaborent avec des partenaires internationaux et de soutenir l’élaboration et la production de contre-mesures médicales ». PCSC supervise la Stratégie en matière de biofabrication et de sciences de la vie du Canada, qui vise à développer un secteur national des sciences de la vie fort et compétitif doté de capacités de biofabrication de pointe, en mettant l’accent sur la capacité à se préparer et à faire face aux futures priorités et crises sanitaires. Dans cette optique, il y aura des occasions pour les fabricants de nouer des collaborations de recherche et des accords commerciaux ou d’approvisionnement liés aux contre-mesures médicales financées par des programmes fédéraux.
Étroitement lié aux capacités nationales, le pilier III de la stratégie implique « Investissement ciblé pour renforcer un secteur canadien de la défense novateur », avec la promesse que le gouvernement fédéral « soutiendr[a] la recherche et le développement, protéger[a] la propriété intellectuelle, soutiendr[a] les petites et moyennes entreprises, investir[a] dans les compétences et la formation, et encourager[a] les exportations afin de créer un secteur de la défense agile et concurrentiel à l’échelle mondiale ». La nécessité de favoriser le développement de la propriété intellectuelle (PI) et la conservation des droits du Canada est mentionnée à plusieurs reprises dans la Stratégie. Par exemple, la Stratégie prévoit l’établissement de partenariats officiels avec l’industrie canadienne qui « [assureront] la propriété et le contrôle nationaux de la propriété intellectuelle (PI) et des capacités essentielles. » La Stratégie reconnaît l’immense talent des établissements canadiens et la précieuse recherche qui y est menée actuellement et qui est déjà financée par des subventions de recherche d’organismes tels que le Conseil de recherches en sciences naturelles et en génie et les Instituts de recherche en santé du Canada, et fait aussi référence à l’engagement de 1,6 milliard de dollars pour de nouveaux fonds de recherche dans le budget de 2025. Cette prise de conscience de la nécessité de promouvoir et de soutenir l’innovation au Canada laisse présager des possibilités de financement, notamment dans les domaines où le Canada accuse un retard en matière de production nationale et où des engagements d’investissement et de fabrication au Canada peuvent être pris.
Prochaines étapes
Dans les prochains mois, nous prévoyons que le gouvernement du Canada publiera d’autres directives et des mesures de suivi. L’équipe de défense des conservateurs poursuivra sa couverture de perspectives sur la défense au Canada en publiant une analyse supplémentaire pour donner des précisions sur l’incidence de la Stratégie sur de multiples secteurs.