What the OPC’s decision in Equifax means for cross-border data transfers and outsourcing

The Office of the Privacy Commissioner of Canada (OPC) released its report on its investigation into a 2017 data breach at Equifax and reversed its position on the privacy requirements that attach to intercompany data transfers and cross-border data transfers. The decision will have long-term impacts for Canadian companies’ domestic and cross-border data practices.

What you need to know

• The OPC now considers transfers of personal information from a company to an affiliate or third-party vendor for processing purposes as disclosures of personal information to third parties.
• Companies must obtain meaningful consent to disclose personal information to third parties. This includes clearly explaining the nature and purpose of the transfer, whether the recipient processor is located outside Canada, and any alternatives that would allow the customer to continue receiving services without transferring data internationally.
• Cross-border data transfers are not necessarily prohibited. Rather, depending on the sensitivity of the information, the transparency of the transfer outside Canada, and the availability of domestic alternatives, companies may need to provide a higher level of disclosure to obtain valid consent.
• There is now a regulatory expectation that data transfers among corporate affiliates should be treated like third party disclosures. Most significantly, this may involve more detailed data processing agreements that impose rigorous privacy and security obligations on the recipient organization even when the entities are related and subject to comparable internal policies.
• The OPC’s evolving position on data transfers is yet another sign that it is interpreting Canada’s privacy law in a manner consistent with Europe’s privacy rules despite no legislative amendments having been proposed to formally align Personal Information Protection and Electronic Documents Act (PIPEDA) with General Data Protection Regulation (GDPR).

The Privacy Commissioner’s decision

On September 7, 2017, Equifax Inc. announced that an attacker had accessed the personal information of more than 143 million individuals, including personal information for certain U.K. and Canadian residents. Approximately 19,000 Canadians were affected by the attack.

The OPC’s investigation determined that the affected personal information of Canadians was collected by Equifax Inc. from certain Canadian consumers who purchased or received direct-to-consumer products or fraud alerts from Equifax Canada. Equifax Canada’s security infrastructure was highly integrated with that of Equifax Inc.

The investigation was broad: the OPC looked at the adequacy of safeguards by Equifax Inc. and Equifax Canada, whether Equifax Canada had adequate accountability for Canadian data processed by Equifax Inc., whether Equifax Canada had obtained valid consent for this processing, and the companies’ data destruction practices. The report concluded that both Equifax Inc. and Equifax Canada contravened PIPEDA in a number of respects and recommended improvements.

Importantly, the OPC found the transfer of data from Equifax Canada to Equifax Inc. to be inconsistent with the organizations’ obligation under PIPEDA to obtain meaningful consent from individuals before disclosing their personal information to a third party. For consent to be valid, individuals must be provided with clear information about the disclosure, including when the third party is located in another country, and the associated risks.

Impact on cross-border transfers

While the OPC’s decision focused on the transfer of data from Canada to the United States, it will affect all cross-border transfers of information, whether to third-parties or within the corporate organizational structure.

Organizations that process personal information about individuals in Canada in other countries have long been advised to include a notice of this practice in their privacy policies, and a statement that the privacy laws in those jurisdictions may differ from those in Canada. This decision indicates the standard will now be higher to obtain meaningful consent to process or store personal data outside Canada.

The OPC has indicated the existence of a cross-border transfer of information will be a factor in assessing the validity of consent for the company’s handling of the personal information. This is because individuals may not reasonably expect their information to be transferred to another country to provide services they have purchased from a Canadian company. Where the information is sensitive, individuals may also have heightened concerns about the transfer and storage of their personal information in particular countries, such as the United States. Accordingly, organizations should ensure that cross-border transfers of data, risks associated with the transfer, and alternatives to such transfers are clearly communicated to individuals in order to obtain valid consent.

Recognizing the significant impact that this change in position may have on Canadian businesses’ data practices, the OPC has launched a formal consultation process before issuing revised guidance on cross-border data flows.

Impact on intercompany transfers

Beyond cross-border issues, the OPC’s revised position will have a broad impact on domestic transfers of personal information for processing purposes. Although it will mean transfers of information to vendors (such as payment processors or marketing agencies) will be treated as disclosures rather than uses, the impact may be more significant in relation to intercompany transfers. A transfer of personal information to a corporate affiliate for processing purposes may have been less stringently documented than vendor arrangements under the previous view that this constitutes an internal use of data.

Even where all affiliates are located in Canada, where the services to be provided by a company will require data processing by a different legal entity, this transfer will be a factor in assessing the level of disclosure and consent required.

The OPC’s focus on intercompany transfers suggests another step toward interpreting PIPEDA in line with the GDPR. In particular, we may see data processing agreements reminiscent of EU standard contractual clauses become more routinely used for transfers between Canadian corporate affiliates in order to document the privacy and security obligations of the counterparties.

Le mois dernier, le Canada a publié sa première Stratégie industrielle de défense (la Stratégie), qui souligne l’engagement du Canada à développer une base industrielle de défense solide et à stimuler la croissance économique. Ces efforts pourraient aussi comprendre le renforcement de l’état de préparation à la biodéfense et aux contre-mesures médicales, ce qui pourrait constituer des débouchés pour le secteur canadien des sciences de la vie en raison de l’importance accordée aux capacités nationales en ce sens et de la nécessité d’atténuer les risques d’urgences sanitaires.

Développement de contre-mesures médicales au Canada

Comme indiqué dans les bulletins précédents, le quatrième pilier de la Stratégie est axé sur la « sécurisation des chaînes d’approvisionnement pour les intrants et les biens clés » par le renforcement de la production nationale et le stockage de ressources. L’accent est mis tout particulièrement sur les contre-mesures médicales, en précisant que nos « alliés ont établi un lien explicite entre l’état de préparation à la biodéfense et aux contre-mesures médicales et leur sécurité économique et nationale, en élaborant de nouvelles stratégies et de nouveaux mécanismes pour faire progresser ces travaux ». Les contre-mesures médicales désignent divers produits réglementés pouvant être utilisés pour protéger la population lors d’une situation d’urgence de grande ampleur, comme l’éclosion d’une maladie ou une attaque impliquant des armes chimiques, biologiques ou nucléaires. Il peut s’agir de vaccins, de médicaments thérapeutiques et produits biologiques, de dispositifs de tests diagnostiques, des équipements de protection individuelle ou industrielle, et d’autres dispositifs médicaux. Les contre-mesures médicales sont essentielles à la réduction et à l’atténuation des dommages lors d’une urgence de santé publique.

Exploiter les voies réglementaires mises en place lors de la pandémie de COVID-19

Pendant et après la pandémie de COVID-19, le Canada a mis en place plusieurs nouvelles voies réglementaires comme mécanismes d’accélération des approbations de produits médicaux, ce qui pourrait offrir au gouvernement des options pour déployer des contre-mesures médicales afin de faire face aux risques pour la santé publique. Au début de la pandémie, Santé Canada a émis diverses ordonnances provisoires pour permettre l’importation et la vente de médicaments et de dispositifs médicaux qui n’avaient pas eu l’approbation des voies réglementaires traditionnelles. Or, Santé Canada a plutôt fait confiance aux voies d’approbation réglementaire et de l’exemption de certaines exigences en homologation de produits des pays impliqués dans la transaction. Beaucoup de ces règles provisoires ont depuis été officiellement intégrées à la réglementation en vertu de la Loi sur les aliments et drogues et ont été appliquées bien après la COVID-19. Conformément au Règlement sur les aliments et drogues, Santé Canada tient à jour la Liste des maladies qui menacent la santé publique et utilisera une procédure d’autorisation modifiée pour les médicaments d’urgence de santé publique pouvant traiter les affections figurant sur la liste. De même, le Règlement sur les instruments médicaux a établi une liste d’instruments médicaux répondant à un besoin urgent de santé publique, ce qui permet à Santé Canada d’autoriser la commercialisation de ces instruments de manière accélérée. Ces outils réglementaires sont utilisés automatiquement quand une situation médicale présente un grand risque pour la santé publique au Canada et nécessite une action immédiate pour contrer ce risque.

Le rôle de la Stratégie dans le renforcement du régime réglementaire de la santé au Canada

La stratégie prévoit que le Canada adoptera une approche proactive en matière de planification en amont des crises sanitaires. Le gouvernement entend s’assurer que les produits médicaux sont déjà disponibles au Canada afin qu’ils puissent être distribués rapidement en cas d’urgence. D’autres modifications récentes au Règlement sur les aliments et drogues permettent de prépositionner au Canada tous les médicaments d’urgence en santé publique, ce qui signifie qu’ils peuvent être importés dans des installations d’entreposage canadiennes avant que leur mise sur le marché n’ait été autorisée. La Stratégie s’appuie sur ces fondements, en faisant référence à l’organisme existant Préparation aux crises sanitaires Canada (PCSC), un organisme opérationnel spécial au sein d’Innovation, Sciences et Développement économique Canada (ISDE), et à un nouveau Fonds des sciences de la vie, lesquels « collaborent avec des partenaires internationaux et de soutenir l’élaboration et la production de contre-mesures médicales ». PCSC supervise la Stratégie en matière de biofabrication et de sciences de la vie du Canada, qui vise à développer un secteur national des sciences de la vie fort et compétitif doté de capacités de biofabrication de pointe, en mettant l’accent sur la capacité à se préparer et à faire face aux futures priorités et crises sanitaires. Dans cette optique, il y aura des occasions pour les fabricants de nouer des collaborations de recherche et des accords commerciaux ou d’approvisionnement liés aux contre-mesures médicales financées par des programmes fédéraux.

Étroitement lié aux capacités nationales, le pilier III de la stratégie implique « Investissement ciblé pour renforcer un secteur canadien de la défense novateur », avec la promesse que le gouvernement fédéral « soutiendr[a] la recherche et le développement, protéger[a] la propriété intellectuelle, soutiendr[a] les petites et moyennes entreprises, investir[a] dans les compétences et la formation, et encourager[a] les exportations afin de créer un secteur de la défense agile et concurrentiel à l’échelle mondiale ». La nécessité de favoriser le développement de la propriété intellectuelle (PI) et la conservation des droits du Canada est mentionnée à plusieurs reprises dans la Stratégie. Par exemple, la Stratégie prévoit l’établissement de partenariats officiels avec l’industrie canadienne qui « [assureront] la propriété et le contrôle nationaux de la propriété intellectuelle (PI) et des capacités essentielles. » La Stratégie reconnaît l’immense talent des établissements canadiens et la précieuse recherche qui y est menée actuellement et qui est déjà financée par des subventions de recherche d’organismes tels que le Conseil de recherches en sciences naturelles et en génie et les Instituts de recherche en santé du Canada, et fait aussi référence à l’engagement de 1,6 milliard de dollars pour de nouveaux fonds de recherche dans le budget de 2025. Cette prise de conscience de la nécessité de promouvoir et de soutenir l’innovation au Canada laisse présager des possibilités de financement, notamment dans les domaines où le Canada accuse un retard en matière de production nationale et où des engagements d’investissement et de fabrication au Canada peuvent être pris.

Prochaines étapes

Dans les prochains mois, nous prévoyons que le gouvernement du Canada publiera d’autres directives et des mesures de suivi. L’équipe de défense des conservateurs poursuivra sa couverture de perspectives sur la défense au Canada en publiant une analyse supplémentaire pour donner des précisions sur l’incidence de la Stratégie sur de multiples secteurs.