How Will the EU GDPR Affect Canadian Businesses?

The new European privacy regime—the General Data Protection Regulation (GDPR) is now in force. Although its broad scope may impose new privacy obligations on a larger number of Canadian businesses, the impact of the GDPR in Canada is unlikely to be significant in the short term. Rather, the influence of EU privacy standards on how Canadian privacy laws are amended and interpreted in the longer term promises to have a more direct impact on Canadian businesses than the GDPR itself.

What You Need To Know

• GDPR, like Canada's federal privacy law, PIPEDA, imposes obligations on companies which handle personal data: information that can be used to directly or indirectly identify individuals (e.g., name, email address, social networking posts, etc.). It also requires organizations to have consent of the individual to handle their personal data unless certain exceptions apply.
• GDPR has received substantial attention in Canada because of its extra-territorial application—it purports to extend to organizations based outside the EU that offer goods or services to individuals in the EU or who engage in practices that monitor online behaviour of those in the EU. This is similar to the Canadian privacy regulator's power to enforce PIPEDA against foreign organizations who handle data about Canadians.
• Although GDPR and PIPEDA share many of the same core tenets, Canadian businesses subject to GDPR will have to comply with several additional substantive obligations, such as the right to be forgotten and the right to object to automated decision making. Organizations who provide services to EU companies may also see these obligations imposed through contractual provisions.

Territorial Scope

As a general guide, three main factors will attract the application of GDPR to Canadian businesses:

1. the organization has an establishment in the EU (e.g., office or employees); or
2. the organization offers goods or services to individuals located in the EU; or
3. the organization engages in activities that monitor the behavior of individuals in the EU (e.g., devices, platforms or apps that track online activity).

The GDPR includes guidance on how to evaluate the application of these factors. Consequently, there are some nuances that must be considered in determining whether a Canadian organization is caught by the EU data protection rules. The legislative intention is not to subject every company with a website that could be accessed from the EU to the GDPR.

GDPR Challenges for Canadian Companies

Under GDPR, data subjects have increased control over their personal information. The GDPR is more extensive than PIPEDA in that it grants data subjects the right to be forgotten and the right to have automated decisions made by a person. Additionally, the GDPR mandates "data mapping" practices and "privacy by design."

The Right to be Forgotten

A data subject can request erasure of their personal data under the following circumstances:

• the data is no longer necessary to serve the purpose for which it was collected, as outlined by the data controller;
• the data subject withdraws consent to the processing of their personal data and there is no other legal justification to override the withdrawal; or
• the data subject objects to their personal data being processed for the purpose of direct marketing.

When a request for erasure is made, the business must inform third party processors of the erasure request. Additionally, if the personal data was made public, the controller must take reasonable steps to inform other controllers of the data subject's request for erasure.

The Right to Object to Automated Profiling-Based Decisions

The GDPR gives data subjects the right not to be subject to decisions based only on automated processing if those decisions produce legal effects for that person or significantly affect him or her. This provision seeks to prevent profiling and to avoid the risks associated with having important decisions, such as those relating to credit applications or e-recruitment practices, made without any human intervention. Businesses should consider, and develop an inventory of, any activities they carry out which may be considered 'profiling'. Furthermore, they should implement review procedures that allow individuals to opt out of data analytics, targeted marketing and other forms of profiling.

Data Mapping

The GDPR requires that businesses maintain a detailed record of how personal information is processed. When working towards compliance with GDPR, businesses should consider whether they monitor what personal information is held, how that information is used within and shared outside the company, how long the information is, or should be retained, who has access to the information internally and externally, and where the information is stored.

Privacy by Design

The concept of "privacy by design" in GDPR involves implementing technical and organizational measures, such as pseudonymization, to minimize processing of personal information and to limit processing to what is necessary to the purpose for which consent was received. Businesses should consider implementing a process for documenting the nature and purpose of personal information processing activities and the safeguards implemented in designing those activities. The reason for doing this would be to minimize data collection, ancillary uses of personal information, and retention beyond the periods required by law or to provide services.

Sanctions for Non-Compliance

Given that the extra-territorial scope of GDPR is not quite as broad as many pundits have claimed, and that the privacy obligations under the new regime are not entirely different from Canadian privacy laws, some businesses may wonder why the GDPR has received so much attention domestically. The answer largely rests on the enforcement powers under the GDPR. Maximum fines for non-compliance with GDPR reach 4% of annual global turnover or €20 million, depending on which is higher. In contrast, the Canadian privacy regulator currently has very limited powers to impose fines for violations of PIPEDA. Many organizations are therefore working to bring their data handling practices in line with GDPR in order to avoid the risk of large fines and preserve their ability to conduct business with EU companies.

Le mois dernier, le Canada a publié sa première Stratégie industrielle de défense (la Stratégie), qui souligne l’engagement du Canada à développer une base industrielle de défense solide et à stimuler la croissance économique. Ces efforts pourraient aussi comprendre le renforcement de l’état de préparation à la biodéfense et aux contre-mesures médicales, ce qui pourrait constituer des débouchés pour le secteur canadien des sciences de la vie en raison de l’importance accordée aux capacités nationales en ce sens et de la nécessité d’atténuer les risques d’urgences sanitaires.

Développement de contre-mesures médicales au Canada

Comme indiqué dans les bulletins précédents, le quatrième pilier de la Stratégie est axé sur la « sécurisation des chaînes d’approvisionnement pour les intrants et les biens clés » par le renforcement de la production nationale et le stockage de ressources. L’accent est mis tout particulièrement sur les contre-mesures médicales, en précisant que nos « alliés ont établi un lien explicite entre l’état de préparation à la biodéfense et aux contre-mesures médicales et leur sécurité économique et nationale, en élaborant de nouvelles stratégies et de nouveaux mécanismes pour faire progresser ces travaux ». Les contre-mesures médicales désignent divers produits réglementés pouvant être utilisés pour protéger la population lors d’une situation d’urgence de grande ampleur, comme l’éclosion d’une maladie ou une attaque impliquant des armes chimiques, biologiques ou nucléaires. Il peut s’agir de vaccins, de médicaments thérapeutiques et produits biologiques, de dispositifs de tests diagnostiques, des équipements de protection individuelle ou industrielle, et d’autres dispositifs médicaux. Les contre-mesures médicales sont essentielles à la réduction et à l’atténuation des dommages lors d’une urgence de santé publique.

Exploiter les voies réglementaires mises en place lors de la pandémie de COVID-19

Pendant et après la pandémie de COVID-19, le Canada a mis en place plusieurs nouvelles voies réglementaires comme mécanismes d’accélération des approbations de produits médicaux, ce qui pourrait offrir au gouvernement des options pour déployer des contre-mesures médicales afin de faire face aux risques pour la santé publique. Au début de la pandémie, Santé Canada a émis diverses ordonnances provisoires pour permettre l’importation et la vente de médicaments et de dispositifs médicaux qui n’avaient pas eu l’approbation des voies réglementaires traditionnelles. Or, Santé Canada a plutôt fait confiance aux voies d’approbation réglementaire et de l’exemption de certaines exigences en homologation de produits des pays impliqués dans la transaction. Beaucoup de ces règles provisoires ont depuis été officiellement intégrées à la réglementation en vertu de la Loi sur les aliments et drogues et ont été appliquées bien après la COVID-19. Conformément au Règlement sur les aliments et drogues, Santé Canada tient à jour la Liste des maladies qui menacent la santé publique et utilisera une procédure d’autorisation modifiée pour les médicaments d’urgence de santé publique pouvant traiter les affections figurant sur la liste. De même, le Règlement sur les instruments médicaux a établi une liste d’instruments médicaux répondant à un besoin urgent de santé publique, ce qui permet à Santé Canada d’autoriser la commercialisation de ces instruments de manière accélérée. Ces outils réglementaires sont utilisés automatiquement quand une situation médicale présente un grand risque pour la santé publique au Canada et nécessite une action immédiate pour contrer ce risque.

Le rôle de la Stratégie dans le renforcement du régime réglementaire de la santé au Canada

La stratégie prévoit que le Canada adoptera une approche proactive en matière de planification en amont des crises sanitaires. Le gouvernement entend s’assurer que les produits médicaux sont déjà disponibles au Canada afin qu’ils puissent être distribués rapidement en cas d’urgence. D’autres modifications récentes au Règlement sur les aliments et drogues permettent de prépositionner au Canada tous les médicaments d’urgence en santé publique, ce qui signifie qu’ils peuvent être importés dans des installations d’entreposage canadiennes avant que leur mise sur le marché n’ait été autorisée. La Stratégie s’appuie sur ces fondements, en faisant référence à l’organisme existant Préparation aux crises sanitaires Canada (PCSC), un organisme opérationnel spécial au sein d’Innovation, Sciences et Développement économique Canada (ISDE), et à un nouveau Fonds des sciences de la vie, lesquels « collaborent avec des partenaires internationaux et de soutenir l’élaboration et la production de contre-mesures médicales ». PCSC supervise la Stratégie en matière de biofabrication et de sciences de la vie du Canada, qui vise à développer un secteur national des sciences de la vie fort et compétitif doté de capacités de biofabrication de pointe, en mettant l’accent sur la capacité à se préparer et à faire face aux futures priorités et crises sanitaires. Dans cette optique, il y aura des occasions pour les fabricants de nouer des collaborations de recherche et des accords commerciaux ou d’approvisionnement liés aux contre-mesures médicales financées par des programmes fédéraux.

Étroitement lié aux capacités nationales, le pilier III de la stratégie implique « Investissement ciblé pour renforcer un secteur canadien de la défense novateur », avec la promesse que le gouvernement fédéral « soutiendr[a] la recherche et le développement, protéger[a] la propriété intellectuelle, soutiendr[a] les petites et moyennes entreprises, investir[a] dans les compétences et la formation, et encourager[a] les exportations afin de créer un secteur de la défense agile et concurrentiel à l’échelle mondiale ». La nécessité de favoriser le développement de la propriété intellectuelle (PI) et la conservation des droits du Canada est mentionnée à plusieurs reprises dans la Stratégie. Par exemple, la Stratégie prévoit l’établissement de partenariats officiels avec l’industrie canadienne qui « [assureront] la propriété et le contrôle nationaux de la propriété intellectuelle (PI) et des capacités essentielles. » La Stratégie reconnaît l’immense talent des établissements canadiens et la précieuse recherche qui y est menée actuellement et qui est déjà financée par des subventions de recherche d’organismes tels que le Conseil de recherches en sciences naturelles et en génie et les Instituts de recherche en santé du Canada, et fait aussi référence à l’engagement de 1,6 milliard de dollars pour de nouveaux fonds de recherche dans le budget de 2025. Cette prise de conscience de la nécessité de promouvoir et de soutenir l’innovation au Canada laisse présager des possibilités de financement, notamment dans les domaines où le Canada accuse un retard en matière de production nationale et où des engagements d’investissement et de fabrication au Canada peuvent être pris.

Prochaines étapes

Dans les prochains mois, nous prévoyons que le gouvernement du Canada publiera d’autres directives et des mesures de suivi. L’équipe de défense des conservateurs poursuivra sa couverture de perspectives sur la défense au Canada en publiant une analyse supplémentaire pour donner des précisions sur l’incidence de la Stratégie sur de multiples secteurs.