You don’t own your data, but you can still protect it
Businesses often think that they “own” data, but they are probably wrong. In fact, Canada does not recognize free-standing ownership in data. Rather, like much business information, “proprietary” data is mostly kept proprietary not because independent rights govern it—but because it is not shared.
As a result, protecting data requires a patchwork of contracts, intellectual property (IP), statutory regimes and common law causes of action. Appreciating how this assortment of legal rights and restrictions applies to data will allow businesses to gain a more accurate understanding of their rights and therefore the value of their data. This article canvasses them, and then discusses concrete steps businesses can take to protect their data rights.
Where do data rights and protections come from?
There are four primary sources of data rights and protections in Canada. While businesses typically rely on all four sources to protect their data, the specific rights and protections that apply depend on the type of data in question among other variables.
1. Intellectual property
While people often consider data to be intellectual property, they are often surprised at how little traditional IP rights assist in protecting this important business asset. Patents can protect specific methods for analyzing data, but not the data itself. Copyright applies to a database if sufficient skill and judgment go into its selection and arrangement, but not to the underlying data. Trademark law offers no data-related protection at all.
The other area of law that is sometimes referred to as “intellectual property” is the law of confidential information. However, unlike patent, copyright and trademark, this area does not have comprehensive statutory frameworks for protecting confidential information. Rather, confidential information is protected primarily by keeping it confidential (think about KFC or Coca-Cola).
Of course, some business information needs to be shared or used in a way that makes it difficult to keep it entirely confidential. That does not mean it cannot be protected, however. Rather, it usually means it is protected through contracts.
2. Contracts
Contracts are one of the most straightforward ways to obtain rights or apply protections to data. They allow you to share information on the basis that your counterparty agrees to protect it in certain ways. Businesses often make the mistake of including clauses that assert “ownership” of data. However, since data cannot really be “owned” in the traditional sense, we instead recommend specifying permissible and impermissible uses of the data.
Contracts can also require that a party have specific safeguards in place as an additional layer of legal protection. Indeed, this is a common question asked by companies conducting due diligence for transactions.
Another example of contractually protecting data is terms and conditions on websites, which can restrict or prohibit the collection or use of the website’s data. Businesses seeking to accumulate data using screen-scraping and similar techniques should be aware of the contractual risks that come with these types of practices.
3. Statutory forms of data protection
A number of statutory regimes protect what can and cannot be done with data requirements in particular contexts.
One widely applicable example is privacy statutes like the federal Personal Information Protection and Electronic Documents Act (PIPEDA) and similar provincial legislation. PIPEDA and its provincial cousins provide requirements for organizations that collect, use or disclose personal information. While these requirements are primarily aimed at protecting the privacy of the individual to whom the personal information relates, they also govern when one company may or may not collect, use or disclose personal information under another company’s custody or control.
Sector-specific statutory regimes also create their own data rights and requirements. For example, laws in financial services, securities, healthcare, life sciences and telecommunications may stipulate circumstances regarding when and how certain data can be handled or shared, and by whom.
Finally, companies should be aware of protections for trade secrets in the Criminal Code. It is an offence to knowingly obtain, communicate or make available a trade secret by deceit, falsehood or other fraudulent means. The Criminal Code also prohibits:
- knowingly intercepting a private communication;
- fraudulently obtaining computer services or intercepting any function of a computer system;
- willfully destroying or altering computer data, or rendering it meaningless, useless or ineffective; and
- willfully obstructing, interrupting, or interfering with the lawful use of computer data.
4. Common law
Common law claims can also help protect data. A company may be able to claim breach of confidence when it conveys confidential data to a recipient, a reasonable person would have understood that the data was conveyed in confidence, and the recipient misuses the confidential data to the detriment of the confiding party.
A plaintiff may also be able to claim unjust enrichment in relation to the use of data. Such a claim could be made out where a defendant is enriched through the use of data, that use causes a corresponding deprivation to the plaintiff, and there is no legal reason for the defendant’s enrichment.
Other common law claims may also arise in contexts relating to data, such as a breach of fiduciary duty (provided that a plaintiff can establish a fiduciary relationship and show that the misuse of data constituted a breach) or negligence (such as the negligent use or protection of data).
What businesses can do
Instead of relying on a general right of data ownership, businesses should assess the value of the data under their custody or control and audit which precise rights and protections apply to it.
Once value is assessed, businesses should consider the most effective legal and practical steps that can be taken to protect their data. For example, a business sharing data with another company should be protecting itself with contracts. Contract terms should clearly specify what actions or purposes are permitted and prohibited, and not rely on a general assertion of ownership. Businesses should also consider whether the contract provides an adequate remedy for misuse.
Businesses should also be aware of the remedies available to them. Depending on the circumstances, remedies can include injunctions and damages awards, by various measures (including restitution for unjust enrichment). However, companies should also consider the ease, cost and likelihood of obtaining a remedy, and whether that remedy will be sufficient. In particular, some statutory regimes may penalize a party who has misused a business’ data, but still fail to provide an adequate remedy to the business whose data has been misused.
Businesses should also consider the practical steps they can take to prevent misuse of their data in the first place. This includes implementing a robust data protection and cybersecurity program that applies physical and technical safeguards to a company’s data.
Organizational safeguards are also important. For example, businesses should ensure that data that they want to keep confidential is treated as confidential in practice within their organization. Common steps businesses can take include formally designating information as confidential, stipulating specific restrictions on disclosure and other data handling practices in internal policies, limiting access to the data to a “need-to-know” basis, and ensuring proper data handling practices are included in employee training.
Le mois dernier, le Canada a publié sa première Stratégie industrielle de défense (la Stratégie), qui souligne l’engagement du Canada à développer une base industrielle de défense solide et à stimuler la croissance économique. Ces efforts pourraient aussi comprendre le renforcement de l’état de préparation à la biodéfense et aux contre-mesures médicales, ce qui pourrait constituer des débouchés pour le secteur canadien des sciences de la vie en raison de l’importance accordée aux capacités nationales en ce sens et de la nécessité d’atténuer les risques d’urgences sanitaires.
Développement de contre-mesures médicales au Canada
Comme indiqué dans les bulletins précédents, le quatrième pilier de la Stratégie est axé sur la « sécurisation des chaînes d’approvisionnement pour les intrants et les biens clés » par le renforcement de la production nationale et le stockage de ressources. L’accent est mis tout particulièrement sur les contre-mesures médicales, en précisant que nos « alliés ont établi un lien explicite entre l’état de préparation à la biodéfense et aux contre-mesures médicales et leur sécurité économique et nationale, en élaborant de nouvelles stratégies et de nouveaux mécanismes pour faire progresser ces travaux ». Les contre-mesures médicales désignent divers produits réglementés pouvant être utilisés pour protéger la population lors d’une situation d’urgence de grande ampleur, comme l’éclosion d’une maladie ou une attaque impliquant des armes chimiques, biologiques ou nucléaires. Il peut s’agir de vaccins, de médicaments thérapeutiques et produits biologiques, de dispositifs de tests diagnostiques, des équipements de protection individuelle ou industrielle, et d’autres dispositifs médicaux. Les contre-mesures médicales sont essentielles à la réduction et à l’atténuation des dommages lors d’une urgence de santé publique.
Exploiter les voies réglementaires mises en place lors de la pandémie de COVID-19
Pendant et après la pandémie de COVID-19, le Canada a mis en place plusieurs nouvelles voies réglementaires comme mécanismes d’accélération des approbations de produits médicaux, ce qui pourrait offrir au gouvernement des options pour déployer des contre-mesures médicales afin de faire face aux risques pour la santé publique. Au début de la pandémie, Santé Canada a émis diverses ordonnances provisoires pour permettre l’importation et la vente de médicaments et de dispositifs médicaux qui n’avaient pas eu l’approbation des voies réglementaires traditionnelles. Or, Santé Canada a plutôt fait confiance aux voies d’approbation réglementaire et de l’exemption de certaines exigences en homologation de produits des pays impliqués dans la transaction. Beaucoup de ces règles provisoires ont depuis été officiellement intégrées à la réglementation en vertu de la Loi sur les aliments et drogues et ont été appliquées bien après la COVID-19. Conformément au Règlement sur les aliments et drogues, Santé Canada tient à jour la Liste des maladies qui menacent la santé publique et utilisera une procédure d’autorisation modifiée pour les médicaments d’urgence de santé publique pouvant traiter les affections figurant sur la liste. De même, le Règlement sur les instruments médicaux a établi une liste d’instruments médicaux répondant à un besoin urgent de santé publique, ce qui permet à Santé Canada d’autoriser la commercialisation de ces instruments de manière accélérée. Ces outils réglementaires sont utilisés automatiquement quand une situation médicale présente un grand risque pour la santé publique au Canada et nécessite une action immédiate pour contrer ce risque.
Le rôle de la Stratégie dans le renforcement du régime réglementaire de la santé au Canada
La stratégie prévoit que le Canada adoptera une approche proactive en matière de planification en amont des crises sanitaires. Le gouvernement entend s’assurer que les produits médicaux sont déjà disponibles au Canada afin qu’ils puissent être distribués rapidement en cas d’urgence. D’autres modifications récentes au Règlement sur les aliments et drogues permettent de prépositionner au Canada tous les médicaments d’urgence en santé publique, ce qui signifie qu’ils peuvent être importés dans des installations d’entreposage canadiennes avant que leur mise sur le marché n’ait été autorisée. La Stratégie s’appuie sur ces fondements, en faisant référence à l’organisme existant Préparation aux crises sanitaires Canada (PCSC), un organisme opérationnel spécial au sein d’Innovation, Sciences et Développement économique Canada (ISDE), et à un nouveau Fonds des sciences de la vie, lesquels « collaborent avec des partenaires internationaux et de soutenir l’élaboration et la production de contre-mesures médicales ». PCSC supervise la Stratégie en matière de biofabrication et de sciences de la vie du Canada, qui vise à développer un secteur national des sciences de la vie fort et compétitif doté de capacités de biofabrication de pointe, en mettant l’accent sur la capacité à se préparer et à faire face aux futures priorités et crises sanitaires. Dans cette optique, il y aura des occasions pour les fabricants de nouer des collaborations de recherche et des accords commerciaux ou d’approvisionnement liés aux contre-mesures médicales financées par des programmes fédéraux.
Étroitement lié aux capacités nationales, le pilier III de la stratégie implique « Investissement ciblé pour renforcer un secteur canadien de la défense novateur », avec la promesse que le gouvernement fédéral « soutiendr[a] la recherche et le développement, protéger[a] la propriété intellectuelle, soutiendr[a] les petites et moyennes entreprises, investir[a] dans les compétences et la formation, et encourager[a] les exportations afin de créer un secteur de la défense agile et concurrentiel à l’échelle mondiale ». La nécessité de favoriser le développement de la propriété intellectuelle (PI) et la conservation des droits du Canada est mentionnée à plusieurs reprises dans la Stratégie. Par exemple, la Stratégie prévoit l’établissement de partenariats officiels avec l’industrie canadienne qui « [assureront] la propriété et le contrôle nationaux de la propriété intellectuelle (PI) et des capacités essentielles. » La Stratégie reconnaît l’immense talent des établissements canadiens et la précieuse recherche qui y est menée actuellement et qui est déjà financée par des subventions de recherche d’organismes tels que le Conseil de recherches en sciences naturelles et en génie et les Instituts de recherche en santé du Canada, et fait aussi référence à l’engagement de 1,6 milliard de dollars pour de nouveaux fonds de recherche dans le budget de 2025. Cette prise de conscience de la nécessité de promouvoir et de soutenir l’innovation au Canada laisse présager des possibilités de financement, notamment dans les domaines où le Canada accuse un retard en matière de production nationale et où des engagements d’investissement et de fabrication au Canada peuvent être pris.
Prochaines étapes
Dans les prochains mois, nous prévoyons que le gouvernement du Canada publiera d’autres directives et des mesures de suivi. L’équipe de défense des conservateurs poursuivra sa couverture de perspectives sur la défense au Canada en publiant une analyse supplémentaire pour donner des précisions sur l’incidence de la Stratégie sur de multiples secteurs.