Ontario enters the private sector privacy realm: what the new privacy law consultation means for business

On August 13, the Ontario Ministry of Government and Consumer Services launched a public consultation process and published a discussion paper about new private sector privacy legislation. The public consultation process will remain open until October 1, 2020. The discussion paper has been published in the wake of the Québec government’s decision to introduce Bill 64 (An Act to modernize legislative provisions as regards the protection of personal information)¹ this June, which proposes sweeping reform to Québec’s existing private and public sector privacy legislation. These two proposals, along with the pending review of federal PIPEDA, provide insight into how Canadian governments are approaching privacy law reform in the era of GDPR, data analytics and artificial intelligence.

What you need to know

• Unlike Québec, British Columbia, and Alberta, Ontario does not currently have private-sector privacy legislation. Organizations in Ontario are governed by Federal PIPEDA when they collect, use, or disclose personal information in the course of commercial activities.
• The discussion paper does not envision a radical departure from other Canadian privacy laws. Rather, the proposed model tracks PIPEDA’s informed consent model, with some discussion of enhanced consumer rights and regulatory enforcement powers.
• At this stage, the discussion paper notably discusses the following proposals:
  • enhancing transparency and consent requirements (including an opt-in consent model for secondary uses of data such as for marketing);
  • adopting data portability and erasure rights;
  • empowering the Ontario Information Privacy Commissioner to impose penalties for non-compliance; and
  • regulating non-commercial organizations such as charities and non-profits.
• Some of these proposals align with Québec’s Bill 64, which would substantially broaden the Québec Commission d’accès à l’information’s enforcement powers, adopt data portability rights, and impose more onerous consent requirements. That said, while Bill 64 appears to be a push toward the EU GDPR approach, the discussion paper more closely resembles the PIPEDA modernization framework being considered by the federal government.

Enhanced transparency and consent requirements

The discussion paper notes that under PIPEDA, organizations are required to publish policies regarding their practices for collecting and using consumer personal information but posits that they are typically written in inaccessible language. In a nod to commercial reality, the discussion paper notes that personal information is now so frequently collected that consumers cannot be expected to provide direct consent each time an organization collects their personal information.

To address these issues, the discussion paper proposes requiring organizations to offer “clear and plain language information” about what personal information is collected, how it is collected and used, and to which third parties it would be shared and to list exceptional situations in which they are not required to obtain consent. Consumers would only be required to provide separate consent to practices that are not in line with these descriptions. The discussion paper suggests introducing a rule that organizations must obtain opt-in consent from consumers for the collection, use, or disclosure of personal information for secondary purposes: those that are not central to the service being provided to the consumer or those that are not described in the privacy policy.

This approach largely aligns with PIPEDA and the OPC’s interpretation of the federal law, despite the suggestion in the discussion paper that enhanced transparency is needed. Plain language privacy policies that allow for meaningful consent are a key implementation mechanism for PIPEDA transparency, consent and openness requirements. As such, the Ontario proposal if adopted would not be a significant departure from the current federal approach.

In Québec, Bill 64 also proposes new transparency requirements such as mandatory governance policies to protect personal information and confidentiality policies which must both be published on an organization’s website. Under Bill 64, Organizations would also be required to obtain express consent when using sensitive personal information for purposes other than those for which it was collected and would also be required to do so before communicating “sensitive” personal information to a third party. Unlike the Ontario discussion paper proposal, however, under Bill 64 organizations would be required to request consent “for each [specific] purpose, in clear and simple language and separately from any other information provided to the person concerned”².

The discussion paper acknowledges that there may be exceptional circumstances in which obtaining consent is not practicable or appropriate such as instances in which data has been deidentified or derived or where the information is used to benefit the individual or the overall public good (such as when it is used for research or innovation purposes). Bill 64 also introduces new exceptions to obtaining consent, namely a service provider exception where the information is necessary to perform a service contract or complete a commercial transaction.

Data subject rights

Both the discussion paper and Bill 64 propose introducing data subject rights that resemble the rights set forth in the European Union General Data Protection Regulation (GDPR).

The right to erasure

The discussion paper discusses introducing data erasure rights (also referred to as the “right to be forgotten”), enabling individuals to request that organizations permanently de-index or delete their personal information when it is no longer required to deliver a service, or the individual has withdrawn their consent. The discussion paper notes that this right is not unlimited and that an Ontario solution would be careful not to become impractical for organizations to follow. Referring to the GDPR, the discussion paper notes that this right does not apply when exercising the right to free expression, complying with a legal obligation, acting in the public interest, exercising official authority, or to pursue or defend legal claims.

Bill 64 would introduce a similar right to erasure in Québec by requiring organizations to destroy or anonymize personal information when the purposes for which it was collected or used are achieved. Bill 64 further proposes providing individuals with the right to require organizations to cease disseminating personal information or to de-index any hyperlink attached to their name where continued dissemination of the personal information would injure their reputation or privacy rights, that injury is “clearly greater” than the public interest in knowing the information or to free expression and ending the dissemination would “not exceed what is necessary” to prevent the injury.

In contrast, the federal government’s proposed approach to modernizing PIPEDA explicitly excludes the right to be forgotten because the matter is before the Federal Court of Canada. 

Data portability

The discussion paper also proposes introducing a right to data portability, permitting individuals to request personal information collected about them in an open and accessible format.

Québec’s current private-sector privacy legislation requires every organization that holds a file on another person to, at their request, confirm its existence and communicate to them any personal information that concerns them. That said, Bill 64 would broaden this right by allowing the person to obtain a copy of the information in a written and intelligible transcript.

The scope of rights of erasure and data portability have been discussed at the federal level in recent consultations as well. A key distinction for business will be whether these rights are limited to information the individual provided to the organization originally, or whether it extends to records the organization generated internally or assembled from various sources about the individual. The narrower the data subject to portability and erasure is, the less risk such consumer rights pose to legitimate business initiatives such as product development and proprietary assessment tools.

Oversight, enforcement and fines

To ensure compliance, the discussion paper proposes allowing the Ontario IPC to issue orders and fines for non-compliance with the law. In this vein, Bill 64 would provide the Québec Commission with two new enforcement powers:

1. administrative monetary penalties of up to $10 million³ (subject to an internal review process and to judicial review before the Court of Québec); and
2. prosecutions seeking fines of up to $25 million⁴.

Under Québec’s current private-sector privacy legislation, organizations and their directors may be liable for fines of up to $20,000 for most first offences, following prosecution by the Attorney General of Québec. Under the new proposals of Bill 64, directors of an organization may be liable for the substantially increased penalties. It remains to be seen if Ontario privacy legislation will contemplate the potential for executive liability.

Bill 64 took a further step by proposing a civil cause of action for statutory damages where an organization or individual breaches the privacy provisions set forth in the amended Privacy Act or the Civil code of Québec and a right to claim punitive damages of at least $1,000 where the breach is intentional or results from gross fault⁵.

Application to non-commercial organizations

Given that PIPEDA applies only to organizations that collect, use, and disclose personal information in the course of commercial activities, the discussion paper proposes filling this gap by regulating non-commercial organizations such as not-for-profits, charities, professional associations, and trade unions. The discussion paper also notes that PIPEDA does not apply to the personal information of employees of most organizations or data collected outside of an organization’s commercial activities. Accordingly, the Ontario Government may be contemplating legislation to protect the privacy of this personal information as well. At a minimum, businesses should expect that any new Ontario legislation will regulate employee personal information, just as the private sector laws in BC, Alberta and Québec do.

Conclusion

The discussion paper is a preliminary stage of the legislative process and it may be several years before new Ontario private-sector privacy legislation enters into force. Proposed amendments to modernize PIPEDA have not yet been introduced, but the consultation process is further along than in Ontario. Conversely, Bill 64 has been referred to the consultation stage at the Québec National Assembly and the transitional provisions provide that Bill 64 will come into force one year after the date of its assent.

All of these developments should serve to focus businesses’ attention on their current privacy practices, internal and external resources available to monitor and adapt to legislative change, and whether the organization can smoothly integrate changes in various jurisdictions. A significant focus for many organizations and industries will be to urge the federal and Ontario governments to substantively align PIPEDA amendments with any new provincial legislation to avoid unnecessary disconnection between compliance regimes.

_________________________

¹ Bill 64 proposes amendments to Québec’s existing private-sector privacy legislation: the Act respecting the protection of personal information in the private sector, CQLR c P-39.1.

² Under Bill 64, personal information is deemed to be sensitive if it entails a high level of reasonable expectation of privacy because of its nature or the context of its use or communication.

³ Or, if greater, 2% of the organization’s worldwide turnover in the preceding year.

⁴ Or, if greater, 4% of the organization’s worldwide turnover in the preceding year.

⁵ Currently, in Québec it is only possible to obtain punitive damages for a privacy breach under the Québec Charter where the breach is both unlawful and intentional.

Le mois dernier, le Canada a publié sa première Stratégie industrielle de défense (la Stratégie), qui souligne l’engagement du Canada à développer une base industrielle de défense solide et à stimuler la croissance économique. Ces efforts pourraient aussi comprendre le renforcement de l’état de préparation à la biodéfense et aux contre-mesures médicales, ce qui pourrait constituer des débouchés pour le secteur canadien des sciences de la vie en raison de l’importance accordée aux capacités nationales en ce sens et de la nécessité d’atténuer les risques d’urgences sanitaires.

Développement de contre-mesures médicales au Canada

Comme indiqué dans les bulletins précédents, le quatrième pilier de la Stratégie est axé sur la « sécurisation des chaînes d’approvisionnement pour les intrants et les biens clés » par le renforcement de la production nationale et le stockage de ressources. L’accent est mis tout particulièrement sur les contre-mesures médicales, en précisant que nos « alliés ont établi un lien explicite entre l’état de préparation à la biodéfense et aux contre-mesures médicales et leur sécurité économique et nationale, en élaborant de nouvelles stratégies et de nouveaux mécanismes pour faire progresser ces travaux ». Les contre-mesures médicales désignent divers produits réglementés pouvant être utilisés pour protéger la population lors d’une situation d’urgence de grande ampleur, comme l’éclosion d’une maladie ou une attaque impliquant des armes chimiques, biologiques ou nucléaires. Il peut s’agir de vaccins, de médicaments thérapeutiques et produits biologiques, de dispositifs de tests diagnostiques, des équipements de protection individuelle ou industrielle, et d’autres dispositifs médicaux. Les contre-mesures médicales sont essentielles à la réduction et à l’atténuation des dommages lors d’une urgence de santé publique.

Exploiter les voies réglementaires mises en place lors de la pandémie de COVID-19

Pendant et après la pandémie de COVID-19, le Canada a mis en place plusieurs nouvelles voies réglementaires comme mécanismes d’accélération des approbations de produits médicaux, ce qui pourrait offrir au gouvernement des options pour déployer des contre-mesures médicales afin de faire face aux risques pour la santé publique. Au début de la pandémie, Santé Canada a émis diverses ordonnances provisoires pour permettre l’importation et la vente de médicaments et de dispositifs médicaux qui n’avaient pas eu l’approbation des voies réglementaires traditionnelles. Or, Santé Canada a plutôt fait confiance aux voies d’approbation réglementaire et de l’exemption de certaines exigences en homologation de produits des pays impliqués dans la transaction. Beaucoup de ces règles provisoires ont depuis été officiellement intégrées à la réglementation en vertu de la Loi sur les aliments et drogues et ont été appliquées bien après la COVID-19. Conformément au Règlement sur les aliments et drogues, Santé Canada tient à jour la Liste des maladies qui menacent la santé publique et utilisera une procédure d’autorisation modifiée pour les médicaments d’urgence de santé publique pouvant traiter les affections figurant sur la liste. De même, le Règlement sur les instruments médicaux a établi une liste d’instruments médicaux répondant à un besoin urgent de santé publique, ce qui permet à Santé Canada d’autoriser la commercialisation de ces instruments de manière accélérée. Ces outils réglementaires sont utilisés automatiquement quand une situation médicale présente un grand risque pour la santé publique au Canada et nécessite une action immédiate pour contrer ce risque.

Le rôle de la Stratégie dans le renforcement du régime réglementaire de la santé au Canada

La stratégie prévoit que le Canada adoptera une approche proactive en matière de planification en amont des crises sanitaires. Le gouvernement entend s’assurer que les produits médicaux sont déjà disponibles au Canada afin qu’ils puissent être distribués rapidement en cas d’urgence. D’autres modifications récentes au Règlement sur les aliments et drogues permettent de prépositionner au Canada tous les médicaments d’urgence en santé publique, ce qui signifie qu’ils peuvent être importés dans des installations d’entreposage canadiennes avant que leur mise sur le marché n’ait été autorisée. La Stratégie s’appuie sur ces fondements, en faisant référence à l’organisme existant Préparation aux crises sanitaires Canada (PCSC), un organisme opérationnel spécial au sein d’Innovation, Sciences et Développement économique Canada (ISDE), et à un nouveau Fonds des sciences de la vie, lesquels « collaborent avec des partenaires internationaux et de soutenir l’élaboration et la production de contre-mesures médicales ». PCSC supervise la Stratégie en matière de biofabrication et de sciences de la vie du Canada, qui vise à développer un secteur national des sciences de la vie fort et compétitif doté de capacités de biofabrication de pointe, en mettant l’accent sur la capacité à se préparer et à faire face aux futures priorités et crises sanitaires. Dans cette optique, il y aura des occasions pour les fabricants de nouer des collaborations de recherche et des accords commerciaux ou d’approvisionnement liés aux contre-mesures médicales financées par des programmes fédéraux.

Étroitement lié aux capacités nationales, le pilier III de la stratégie implique « Investissement ciblé pour renforcer un secteur canadien de la défense novateur », avec la promesse que le gouvernement fédéral « soutiendr[a] la recherche et le développement, protéger[a] la propriété intellectuelle, soutiendr[a] les petites et moyennes entreprises, investir[a] dans les compétences et la formation, et encourager[a] les exportations afin de créer un secteur de la défense agile et concurrentiel à l’échelle mondiale ». La nécessité de favoriser le développement de la propriété intellectuelle (PI) et la conservation des droits du Canada est mentionnée à plusieurs reprises dans la Stratégie. Par exemple, la Stratégie prévoit l’établissement de partenariats officiels avec l’industrie canadienne qui « [assureront] la propriété et le contrôle nationaux de la propriété intellectuelle (PI) et des capacités essentielles. » La Stratégie reconnaît l’immense talent des établissements canadiens et la précieuse recherche qui y est menée actuellement et qui est déjà financée par des subventions de recherche d’organismes tels que le Conseil de recherches en sciences naturelles et en génie et les Instituts de recherche en santé du Canada, et fait aussi référence à l’engagement de 1,6 milliard de dollars pour de nouveaux fonds de recherche dans le budget de 2025. Cette prise de conscience de la nécessité de promouvoir et de soutenir l’innovation au Canada laisse présager des possibilités de financement, notamment dans les domaines où le Canada accuse un retard en matière de production nationale et où des engagements d’investissement et de fabrication au Canada peuvent être pris.

Prochaines étapes

Dans les prochains mois, nous prévoyons que le gouvernement du Canada publiera d’autres directives et des mesures de suivi. L’équipe de défense des conservateurs poursuivra sa couverture de perspectives sur la défense au Canada en publiant une analyse supplémentaire pour donner des précisions sur l’incidence de la Stratégie sur de multiples secteurs.