Privacy modernization with a northern touch: the proposed Digital Charter Implementation Act

The federal government has introduced Bill C-11 the Digital Charter Implementation Act, 2020, into Parliament. Bill C-11 aims to modernize the framework for the protection of personal information in the private sector and provide individuals with greater control over their information.

Video: Watch Ronak Shah and Molly Reynolds on our privacy and data governance team share their initial reactions to the proposed CPPA.

What you need to know

• The Bill proposes to create a new privacy statute, the Consumer Privacy Protection Act (CPPA)—as well as a new administrative tribunal, the Personal Information and Data Protection Tribunal (Data Protection Tribunal).
• The Privacy Commissioner’s powers will be expanded, including with respect to mandatory orders and financial penalties.
• Consumers will have a private right of action following a regulatory investigation, but must prove loss in order to recover damages.
• The CPPA includes several new obligations for businesses and new consumer rights, ranging from algorithmic transparency to data deletion requirements, but is not a mirror image of the EU’s GDPR.

Key highlights

While the Bill will undergo significant debate through the legislative process, outlined below are key highlights that businesses should monitor.

The new Act continues to use a principles-based approach, and, for the most part, remains technology neutral.

Consent continues to remain at the center of CPPA.

• CPPA establishes the need for express consent unless the organization can demonstrate that implied consent is appropriate in the circumstances. This largely aligns with regulatory guidance in recent years interpreting the scenarios in which organizations can rely on implied or express consent.
• CPPA codifies the narrow circumstances in which consent to the handling of personal information can be a ‘conditions of service’, but again does not significantly differ from regulatory interpretations of current PIPEDA.

Consent exemptions. CPPA outlines a number of consent exemptions similar to those outlined previously under PIPEDA, such as processing personal information to investigate fraud, financial abuse or collect debts. In addition, it includes:

• Business operations exceptions: Bill C-11 introduces a business operations exemption to consent if the collection and use is:
  • within the reasonable expectation of the individual;
  • not for the purposes of influencing the individual’s behaviour or decisions (i.e., not for marketing or profiling); and
  • for limited, prescribed activities such as service delivery, safety, risk mitigation or cybersecurity.

While this clarification will be useful, it is unlikely that businesses will see an expanded ability to process personal information without consent given that many of these activities are already permissible as a condition or service or with implied consent under PIPEDA. The proposed exemption is not as flexible as GDPR’s legitimate interest basis for processing, which is not centered around a particular purpose.

• De-identification exemption: organization may use an individual’s personal information without their knowledge or consent to de-identify the information. This will also provide certainty to organizations that anonymize personal information for analytics and other purposes. However, other provisions of the CPPA purport to regulate the use of de-identified data, raising questions about whether the legislative intent it to expand the law’s jurisdiction beyond personal information.

Limited use of de-identified information. under Bill C-64 de-identified information can only be used without an individual’s consent for:

• the organization’s internal research and development purposes; and
• socially beneficial purposes.

Additionally, organizations must not use de-identified information to identify an individual, except in order to test the effectiveness of security safeguards used to protect the information.

Service provider obligations. Organizations may transfer personal information to a service provider without individual knowledge or consent. This is a welcome clarification following the uncertainty that flowed from the Privacy Commissioner’s Equifax decision. In addition, service providers are generally exempt from direct application of the CPPA when processing data for another organization; the accountable company must contractually impose equivalent obligations. However, service providers will be required to notify accountable organizations of data breaches.

Change in prospective business transaction exemption. PIPEDA permits organizations to share personal information without consent for due diligence purposes in a business transaction. CPPA proposes to add a new requirement that the seller de-identify personal information before sharing it with a potential buyer. If passed, this would have significant impacts on deal process—additional time and expense would be required to de-identify information critical to evaluating the transaction, such as financial or salary information about key customers or employees. The standard of de-identification required is not articulated in the Bill, raising the prospect that potential buyers will be deprived of relevant information during diligence because of the process used to strip out personal identifiers. The rationale for this requirement is unclear, given that there is also a requirement that only personal information necessary to evaluating the transaction may be shared under the existing exemption.

Data portability. Bill C-11 introduces a sparse right to data portability. An individual may request that an organization transfer the personal information it has collected .from the individual to another organization. However, the details and scope of application will be set out in a data portability framework regulation.

Right to deletion. the proposed legislation would allow individuals to request that organizations delete their data, subject to legal retention obligations or where it can’t be severed from others’ personal information. CPPA also imposes an obligation on the accountable organization to ensure that service providers have deleted the information. The scope of the severance exemption may be significant for companies engaged in data analytics and machine learning in which personal information is stored in pseudonymized or defragmented formats or blockchain technology that makes record deletion difficult.

Algorithmic transparency.  CPPA contains new transparency requirements for automated systems that make significant predictions, recommendations or decisions about individuals. Individuals would also have the right to request that businesses explain how a prediction, recommendation or decision was made by an automated decision-making system and explain how the information was obtained. Unlike the GDPR however, the Bill does not include a right to object to or opt out of such automated tools.

Prohibition on routinely updating personal information. Bill C-11 proposes a prohibition on regularly updating personal information unless it is necessary to fulfil the purposes for which the information is collected, used or disclosed. This will impose additional transparency requirements on organizations that routinely collect and refresh sensitive personal information from third-parties such as credit reporting agencies, and increase the burden to demonstrate why such regular updating is necessary for business, risk or legal purposes.

OPC powers. The CPPA proposes to give the Privacy Commissioner extensive order making powers, including to require an organization to modify its practices and to make public any steps to correct practices; and to recommend fines to the Data Protection Tribunal.

Penalties. The Bill proposes GDPR-level penalties and fines:

• the higher of $10 million or 3% of the organization’s annual gross global revenue for failure to comply with certain requirements under the Act (e.g. limiting collection, data retention, breach notification etc.)
• up to 5% of revenue or $25 million, whichever is greater, for various offences including failure to comply with an OPC order or knowingly contravening CPPA’s breach notification or record keeping requirements.

Private right of action. Bill C-11 introduces a private right of action in the Federal Court or Superior Court as long as the OPC or the Data Protection Tribunal have issued findings of non-compliance. Unlike in some international regimes, Bill C-11 does not propose statutory damages—claimants must prove loss or injury.

Next steps

Bill C-11 will proceed through committee review and consultation. The Government’s focus on providing certainty for business, facilitating data-driven innovation and international harmonization suggest that there will be opportunities for industry consultation during this process.

Le mois dernier, le Canada a publié sa première Stratégie industrielle de défense (la Stratégie), qui souligne l’engagement du Canada à développer une base industrielle de défense solide et à stimuler la croissance économique. Ces efforts pourraient aussi comprendre le renforcement de l’état de préparation à la biodéfense et aux contre-mesures médicales, ce qui pourrait constituer des débouchés pour le secteur canadien des sciences de la vie en raison de l’importance accordée aux capacités nationales en ce sens et de la nécessité d’atténuer les risques d’urgences sanitaires.

Développement de contre-mesures médicales au Canada

Comme indiqué dans les bulletins précédents, le quatrième pilier de la Stratégie est axé sur la « sécurisation des chaînes d’approvisionnement pour les intrants et les biens clés » par le renforcement de la production nationale et le stockage de ressources. L’accent est mis tout particulièrement sur les contre-mesures médicales, en précisant que nos « alliés ont établi un lien explicite entre l’état de préparation à la biodéfense et aux contre-mesures médicales et leur sécurité économique et nationale, en élaborant de nouvelles stratégies et de nouveaux mécanismes pour faire progresser ces travaux ». Les contre-mesures médicales désignent divers produits réglementés pouvant être utilisés pour protéger la population lors d’une situation d’urgence de grande ampleur, comme l’éclosion d’une maladie ou une attaque impliquant des armes chimiques, biologiques ou nucléaires. Il peut s’agir de vaccins, de médicaments thérapeutiques et produits biologiques, de dispositifs de tests diagnostiques, des équipements de protection individuelle ou industrielle, et d’autres dispositifs médicaux. Les contre-mesures médicales sont essentielles à la réduction et à l’atténuation des dommages lors d’une urgence de santé publique.

Exploiter les voies réglementaires mises en place lors de la pandémie de COVID-19

Pendant et après la pandémie de COVID-19, le Canada a mis en place plusieurs nouvelles voies réglementaires comme mécanismes d’accélération des approbations de produits médicaux, ce qui pourrait offrir au gouvernement des options pour déployer des contre-mesures médicales afin de faire face aux risques pour la santé publique. Au début de la pandémie, Santé Canada a émis diverses ordonnances provisoires pour permettre l’importation et la vente de médicaments et de dispositifs médicaux qui n’avaient pas eu l’approbation des voies réglementaires traditionnelles. Or, Santé Canada a plutôt fait confiance aux voies d’approbation réglementaire et de l’exemption de certaines exigences en homologation de produits des pays impliqués dans la transaction. Beaucoup de ces règles provisoires ont depuis été officiellement intégrées à la réglementation en vertu de la Loi sur les aliments et drogues et ont été appliquées bien après la COVID-19. Conformément au Règlement sur les aliments et drogues, Santé Canada tient à jour la Liste des maladies qui menacent la santé publique et utilisera une procédure d’autorisation modifiée pour les médicaments d’urgence de santé publique pouvant traiter les affections figurant sur la liste. De même, le Règlement sur les instruments médicaux a établi une liste d’instruments médicaux répondant à un besoin urgent de santé publique, ce qui permet à Santé Canada d’autoriser la commercialisation de ces instruments de manière accélérée. Ces outils réglementaires sont utilisés automatiquement quand une situation médicale présente un grand risque pour la santé publique au Canada et nécessite une action immédiate pour contrer ce risque.

Le rôle de la Stratégie dans le renforcement du régime réglementaire de la santé au Canada

La stratégie prévoit que le Canada adoptera une approche proactive en matière de planification en amont des crises sanitaires. Le gouvernement entend s’assurer que les produits médicaux sont déjà disponibles au Canada afin qu’ils puissent être distribués rapidement en cas d’urgence. D’autres modifications récentes au Règlement sur les aliments et drogues permettent de prépositionner au Canada tous les médicaments d’urgence en santé publique, ce qui signifie qu’ils peuvent être importés dans des installations d’entreposage canadiennes avant que leur mise sur le marché n’ait été autorisée. La Stratégie s’appuie sur ces fondements, en faisant référence à l’organisme existant Préparation aux crises sanitaires Canada (PCSC), un organisme opérationnel spécial au sein d’Innovation, Sciences et Développement économique Canada (ISDE), et à un nouveau Fonds des sciences de la vie, lesquels « collaborent avec des partenaires internationaux et de soutenir l’élaboration et la production de contre-mesures médicales ». PCSC supervise la Stratégie en matière de biofabrication et de sciences de la vie du Canada, qui vise à développer un secteur national des sciences de la vie fort et compétitif doté de capacités de biofabrication de pointe, en mettant l’accent sur la capacité à se préparer et à faire face aux futures priorités et crises sanitaires. Dans cette optique, il y aura des occasions pour les fabricants de nouer des collaborations de recherche et des accords commerciaux ou d’approvisionnement liés aux contre-mesures médicales financées par des programmes fédéraux.

Étroitement lié aux capacités nationales, le pilier III de la stratégie implique « Investissement ciblé pour renforcer un secteur canadien de la défense novateur », avec la promesse que le gouvernement fédéral « soutiendr[a] la recherche et le développement, protéger[a] la propriété intellectuelle, soutiendr[a] les petites et moyennes entreprises, investir[a] dans les compétences et la formation, et encourager[a] les exportations afin de créer un secteur de la défense agile et concurrentiel à l’échelle mondiale ». La nécessité de favoriser le développement de la propriété intellectuelle (PI) et la conservation des droits du Canada est mentionnée à plusieurs reprises dans la Stratégie. Par exemple, la Stratégie prévoit l’établissement de partenariats officiels avec l’industrie canadienne qui « [assureront] la propriété et le contrôle nationaux de la propriété intellectuelle (PI) et des capacités essentielles. » La Stratégie reconnaît l’immense talent des établissements canadiens et la précieuse recherche qui y est menée actuellement et qui est déjà financée par des subventions de recherche d’organismes tels que le Conseil de recherches en sciences naturelles et en génie et les Instituts de recherche en santé du Canada, et fait aussi référence à l’engagement de 1,6 milliard de dollars pour de nouveaux fonds de recherche dans le budget de 2025. Cette prise de conscience de la nécessité de promouvoir et de soutenir l’innovation au Canada laisse présager des possibilités de financement, notamment dans les domaines où le Canada accuse un retard en matière de production nationale et où des engagements d’investissement et de fabrication au Canada peuvent être pris.

Prochaines étapes

Dans les prochains mois, nous prévoyons que le gouvernement du Canada publiera d’autres directives et des mesures de suivi. L’équipe de défense des conservateurs poursuivra sa couverture de perspectives sur la défense au Canada en publiant une analyse supplémentaire pour donner des précisions sur l’incidence de la Stratégie sur de multiples secteurs.