Le droit à la suppression des renseignements personnels au Canada : entre réalité et fiction

Éloïse Gratton May 28, 2021

Il est de plus en plus courant pour les entreprises de recevoir de la part de clients des demandes de procéder à la suppression de l’ensemble des renseignements que l’entreprise détient à leur sujet. De telles demandes font intervenir la question de l’existence d’un droit à la suppression ou à l’effacement des renseignements personnels en vertu de la législation canadienne.

La notion de droit à l’effacement provient du Règlement général sur la protection des données (« RGPD ») qui est régulièrement cité comme la législation de référence en matière de protection des données à l’échelle internationale. Entrée en vigueur en 2018, le RGPD confère plusieurs droits aux personnes concernées par un traitement de données à caractère personnel, notamment à son article 17, un droit d’obtenir l’effacement, dans les meilleurs délais, de données à caractère personnel qu’une entreprise détient à leur sujet, lorsque l’une des conditions suivantes est rencontrée :

  • les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ;
  • la personne concernée retire le consentement sur lequel est fondé le traitement et il n’existe pas d’autre fondement juridique au traitement ;
  • la personne concernée s’oppose à un traitement de données à caractère personnel la concernant et qu’il n’existe pas de motif légitime impérieux pour le traitement ;
  • les données à caractère personnel ont été traitées d’une manière non conforme à la loi ;
  • les données à caractère personnel doivent être effacées pour respecter une obligation légale ; ou
  • les données à caractère personnel ont été collectées à l’époque où la personne concernée était enfant et n’était pas pleinement consciente des risques inhérents au traitement.

Il importe de souligner que le RGPD ne prévoit pas un droit général à l’effacement, mais plutôt un droit circonscrit à certaines circonstances précises. Les entreprises canadiennes qui sont visées par l’application extraterritoriale du RGPD doivent s’assurer d’avoir des processus en place pour procéder à l’évaluation et au traitement des demandes d’effacement introduites en vertu de cette législation. C’est-à-dire si ces entreprises offrent des biens et services à des personnes situées sur le territoire de l’Union européenne ou si elles effectuent le suivi du comportement de ces personnes, dans la mesure où le comportement en question a lieu sur le territoire de l’Union européenne.

Les lois canadiennes en matière de protection des renseignements accordent-elles aux individus un droit similaire ?

Vous pouvez consulter notre article cherche à répondre à cette question afin d’éclairer les entreprises qui doivent traiter des demandes de suppression des renseignements personnels.

This content has been updated on October 16, 2021 at 11 h 57 min.