Protection des renseignements en Ontario : LPRPDE, PHIPA et surveillance des employés

Ce guide fournit des renseignements généraux pour la planification de projets logiciels, à jour en octobre 2026. Il ne constitue pas un avis juridique; confirmez vos obligations auprès d'un avocat spécialisé en protection des renseignements personnels.

Réponse courte : l'Ontario n'a pas de loi générale sur la protection des renseignements personnels dans le secteur privé; les entreprises ontariennes sont donc assujetties à la LPRPDE (PIPEDA) fédérale pour les renseignements personnels de leurs clients et leurs autres renseignements personnels de nature commerciale. Si vous traitez des renseignements personnels sur la santé à titre de dépositaire de renseignements sur la santé, ou pour le compte d'un tel dépositaire, c'est la Loi de 2004 sur la protection des renseignements personnels sur la santé (LPRPS, ou PHIPA) de l'Ontario qui s'applique. Les employeurs comptant 25 employés ou plus en Ontario doivent aussi avoir une politique de surveillance électronique écrite en vertu de la Loi de 2000 sur les normes d'emploi.

La LPRPDE : la principale loi pour les entreprises ontariennes

La LPRPDE repose sur dix principes relatifs à l'équité dans le traitement de l'information, dont la responsabilité, la détermination des fins, le consentement, la limitation de la collecte, les mesures de sécurité, la transparence et l'accès aux renseignements personnels. Pour une appli ou un site Web, cela se traduit par :

Une politique de confidentialité claire qui explique ce que vous recueillez, pourquoi, et avec qui vous le communiquez.
Un consentement valable, avec des choix distincts pour les utilisations facultatives comme le marketing ou l'analytique.
La collecte limitée à ce dont la fonctionnalité a besoin, et la suppression des données dont vous n'avez plus besoin.
Des mesures de sécurité proportionnelles à la sensibilité des données.
Un moyen permettant aux personnes d'accéder à leurs renseignements et de les corriger.

Le signalement des atteintes en vertu de la LPRPDE

Si une atteinte aux mesures de sécurité crée un risque réel de préjudice grave, vous devez la déclarer au Commissariat à la protection de la vie privée du Canada et aviser les personnes concernées dès que possible. Vous devez aussi tenir un registre de toutes les atteintes, même mineures, pendant 24 mois. Mettez en place une journalisation et des alertes qui vous permettent d'enquêter rapidement, ainsi qu'un processus interne simple pour déterminer si le seuil est atteint.

La PHIPA pour les applis de santé

Si vous développez des solutions pour des cliniques, des hôpitaux, des pharmacies ou d'autres dépositaires de renseignements sur la santé, la Loi de 2004 sur la protection des renseignements personnels sur la santé de l'Ontario impose des règles plus strictes pour la collecte, l'utilisation et la divulgation des renseignements personnels sur la santé, y compris pour les fournisseurs technologiques qui travaillent pour eux. Les projets en santé exigent, dès le premier jour, une journalisation des accès, un contrôle d'accès strict fondé sur les rôles et des ententes rigoureuses avec les fournisseurs.

Données des employés et surveillance électronique

En général, la LPRPDE ne couvre pas les renseignements sur les employés des employeurs ontariens sous réglementation provinciale. Toutefois, en vertu de la Loi de 2000 sur les normes d'emploi, les employeurs qui comptent 25 employés ou plus au 1er janvier doivent avoir une politique écrite expliquant s'ils surveillent leurs employés par voie électronique, et de quelle façon et à quelles fins ils le font. Si votre logiciel suit la localisation, les appareils ou l'activité, comme les outils de service sur le terrain ou de productivité, faites en sorte que les données qu'il recueille soient faciles à décrire dans cette politique.

Ce qu'il faut intégrer à une appli ontarienne

Des écrans et des paramètres de consentement qui distinguent les utilisations obligatoires des utilisations facultatives.
Un contrôle d'accès fondé sur les rôles, des journaux d'audit et le chiffrement des données sensibles.
Des règles de conservation des données et des suppressions qui s'exécutent réellement.
Une journalisation des atteintes et des alertes liées à un plan d'intervention.
La LCAP (loi canadienne anti-pourriel) pour les courriels et les textos. La loi anti-pourriel du Canada s'applique partout au pays : les courriels et textos commerciaux exigent un consentement, l'identification de l'expéditeur et un mécanisme de désabonnement fonctionnel. Intégrez ces éléments à vos parcours d'inscription et à vos paramètres de notification.

Vous servez aussi des clients au Québec? Consultez notre liste de vérification Loi 25, et voyez les lois sur la protection des renseignements personnels par province pour un portrait complet.

Qu'en est-il de la réforme fédérale de la protection de la vie privée?

En juin 2026, le gouvernement fédéral a déposé le projet de loi C-36, qui remplacerait les règles de la LPRPDE applicables au secteur privé par une nouvelle Loi sur la protection de la vie privée et des données des consommateurs, avec un nouvel organisme de réglementation et des mesures d'application plus rigoureuses. En octobre 2026, il n'a franchi que l'étape de la première lecture, et les tentatives précédentes (projets de loi C-11 et C-27) sont mortes au feuilleton avant de devenir loi. La LPRPDE continue de s'appliquer jusqu'à l'entrée en vigueur d'une nouvelle loi. Adopter dès maintenant de bonnes pratiques, comme un consentement clair, une collecte minimale de données et des mesures de protection documentées, vous prépare à toute éventualité.

Algoseed Labs en Ontario

Nous travaillons avec des entreprises ontariennes depuis notre bureau de Montréal, selon les mêmes heures de l'Est. Pour des commerçants du comté de Simcoe, nous avons conçu une place de marché hyperlocale avec un acheminement des livraisons fondé sur le code postal (lisez l'étude de cas), et nous avons écrit sur le développement d'applications mobiles à Toronto. Découvrez comment nous travaillons partout au Canada ou parlez-nous de votre projet.

Questions fréquentes

L'Ontario a-t-il sa propre loi sur la protection des renseignements personnels pour les entreprises?

Pas de loi générale. Les entreprises ontariennes sont assujetties à la LPRPDE fédérale pour les renseignements personnels de nature commerciale. La Loi de 2004 sur la protection des renseignements personnels sur la santé (PHIPA) de l'Ontario s'applique aux renseignements personnels sur la santé détenus par les dépositaires de renseignements sur la santé et par ceux qui agissent pour leur compte.

Les entreprises ontariennes doivent-elles signaler les atteintes à la protection des renseignements personnels?

Oui, en vertu de la LPRPDE. Si une atteinte crée un risque réel de préjudice grave, vous devez la déclarer au Commissariat à la protection de la vie privée du Canada et aviser les personnes concernées, et vous devez tenir un registre de toutes les atteintes pendant 24 mois.

Les employeurs ontariens ont-ils besoin d'une politique de surveillance électronique?

Oui, s'ils comptaient 25 employés ou plus au 1er janvier. La Loi de 2000 sur les normes d'emploi exige une politique écrite précisant si les employés sont surveillés par voie électronique, de quelle façon et à quelles fins.