Alberta : la PIPA albertaine, et l’avis d’atteinte qui part au commissaire
En Alberta, l’entreprise qui subit une atteinte avise le commissaire, et c’est le commissaire qui décide de l’avis aux personnes touchées. C’est l’inverse du réflexe fédéral, et l’inverse de la province voisine dont la loi porte le même nom.
Quelle loi s’applique à une entreprise albertaine qui fait répondre ses appels ?
La Personal Information Protection Act de l’Alberta, en vigueur depuis le 1er janvier 2004, avec son règlement d’application. Le décret fédéral DORS/2004-219 écarte, pour l’activité qui se déroule dans la province, l’application de la partie 1 de la loi fédérale.
La loi provinciale gouverne ce qui se passe en Alberta ; la loi fédérale gouverne les renseignements transférés à l’extérieur de la province ou du pays. Elle demeure aussi applicable aux entreprises fédérales, partout au pays.
Une particularité mérite d’être lue avant tout le reste. En cas d’atteinte, l’entreprise albertaine avise le commissaire provincial, et c’est ensuite le commissaire qui peut exiger que les personnes touchées soient avisées. Écrire l’inverse est une erreur de fond, et c’est l’erreur la plus fréquente sur ce sujet.
Ceci n’est pas un avis juridique. C’est un résumé de ce que nous avons lu, écrit pour un propriétaire d’entreprise, avec sa date de lecture plus bas.
Où vous en êtes probablement
Vous dirigez une entreprise en Alberta, et vous avez peut-être déjà lu une page sur la loi britanno-colombienne en pensant qu’elle décrivait la vôtre. Les deux lois portent le même nom, s’écrivent avec les mêmes mots, et diffèrent sur le point le plus lourd de conséquences : ce qu’on fait quand quelque chose tourne mal.
Cette page décrit la loi albertaine, dit ce qu’elle demande au moment où un appel est répondu et enregistré, et distingue explicitement le mécanisme albertain du mécanisme fédéral et de celui de la province voisine.
Qui est visé par la loi albertaine
La loi vise les organisations du secteur privé sous réglementation provinciale : sociétés par actions, associations non constituées en personne morale, organismes de réglementation professionnelle, syndicats, sociétés de personnes, écoles et collèges privés, et toute personne agissant à titre commercial. Elle s’applique de façon limitée aux organismes sans but lucratif qui exercent une activité commerciale.
Autrement dit, une PME albertaine ordinaire y est assujettie, et c’est la loi provinciale — plutôt que la loi fédérale — qui gouverne ce qu’elle fait des renseignements de ses clients à l’intérieur de la province.
Une loi albertaine distincte encadre les renseignements de santé détenus par les dépositaires qu’elle énumère, dont plusieurs professionnels de la santé réglementés. Nous ne l’étendons pas au-delà de ce que son énumération nomme.
L’avis exigé au moment de la collecte
Avant de recueillir un renseignement personnel, ou au moment de le recueillir, l’organisation doit donner avis de son intention de le faire et des fins de la collecte, et indiquer le nom, le poste ou le titre d’une personne en mesure de répondre aux questions de l’intéressé.
Pour un appel, c’est exactement la forme d’une divulgation prononcée à l’ouverture : ce qui est recueilli, pourquoi, et qui répond si la personne veut en savoir plus. La partie qu’on oublie le plus souvent est la dernière : votre entreprise doit pouvoir nommer quelqu’un.
Ce que vous écrivez dans vos consignes détermine ce que la réceptionniste dira à votre place. C’est le bon endroit pour formuler votre finalité en une phrase, dans vos mots.
Trois formes de consentement, et ce qu’elles engagent
Le consentement peut être exprès. Il peut être tacite lorsqu’une personne fournit volontairement un renseignement pour une fin donnée et qu’il est raisonnable qu’une personne le fournisse ainsi. Il peut enfin résulter d’un avis assorti d’une possibilité de retrait.
Cette troisième forme a une conséquence qu’on manque souvent : l’usage est alors limité aux fins énoncées dans l’avis. Un avis rédigé pour « la qualité du service » n’autorise donc pas ensuite du marketing ou du profilage.
La collecte elle-même doit se limiter à des fins raisonnables, et à ce qui est raisonnablement nécessaire pour ces fins. Un enregistrement d’appel et sa transcription sont une collecte : ils tombent sous cette règle comme le reste.
L’atteinte : qui avise qui, et pourquoi c’est différent ailleurs
L’organisation qui a des renseignements personnels sous son contrôle doit aviser le commissaire provincial, sans délai déraisonnable, de toute atteinte lorsqu’une personne raisonnable considérerait qu’il existe un risque réel de préjudice important pour une personne. L’avis au commissaire doit comprendre une évaluation du risque de préjudice.
C’est ensuite le commissaire qui peut exiger de l’organisation qu’elle avise les personnes touchées. La loi précise que rien n’empêche l’organisation de les aviser d’elle-même, et beaucoup le font. Mais l’obligation, elle, part vers le commissaire.
Le fédéral emploie un seuil comparable — un risque réel de préjudice grave — et un aiguillage différent : l’organisation y avise le commissaire fédéral et les personnes concernées, et tient un registre de toute atteinte pendant 24 mois. Et la loi britanno-colombienne, qui porte pourtant le même nom que la loi albertaine, ne contient aucune obligation de déclaration d’atteinte. Trois régimes, trois réponses : celui qui s’applique dépend de l’endroit où le renseignement se trouvait.
Enregistrer un appel, et où va une plainte
Le Code criminel n’interdit pas à une entreprise partie à l’appel de l’enregistrer : le consentement d’une seule des personnes en communication suffit à écarter l’infraction. La loi sur la vie privée, elle, exige que l’appelant soit informé au début de l’appel de l’enregistrement et de sa finalité, et que cette finalité soit la seule utilisée. Les deux régimes s’appliquent en même temps.
Le régulateur provincial est le bureau que nous désignons par son sigle, OIPC AB : nous n’avons pas trouvé de nom français officiel à ce bureau, et nous préférons le sigle à une traduction maison. Il administre la loi sur le secteur privé, la loi sur les renseignements de santé, et les lois d’accès du secteur public. Pour ce qui sort de la province, la plainte va au Commissariat à la protection de la vie privée du Canada.
La loi albertaine du secteur public a été refondue récemment ; elle ne s’applique pas à une PME, et une page qui la citerait pour vous viserait la mauvaise cible.
Ce que le produit fait, et ce qu’il ne fera pas à votre place
Ce qu’il fait : la divulgation est énoncée avant l’ouverture du micro ; les accès sont journalisés ; l’export et la suppression d’un dossier sont des opérations de l’application ; le rôle de chaque membre de votre équipe limite ce qu’il voit. Ce sont les pièces dont vous aurez besoin si un commissaire vous demande ce qui s’est passé.
Ce qu’il ne fera pas : désigner la personne qui répond aux questions sur la collecte, rédiger votre politique, fixer votre durée de conservation, évaluer le risque de préjudice à votre place, ni écrire l’avis que vous devez au commissaire. Ce sont des obligations de votre entreprise, et un fournisseur qui laisse croire le contraire vous rend un mauvais service.
La loi fédérale en vigueur reste la Loi sur la protection des renseignements personnels et les documents électroniques. Le projet de loi C-36, déposé en première lecture le 15 juin 2026, était au 23 octobre 2026 à l’étape de la deuxième lecture et n’avait pas reçu la sanction royale : rien de son contenu n’est en vigueur.
Ce que nous avons lu, et quand
- OIPC AB — aperçu de la loi albertaine sur le secteur privé
- OIPC AB — déclaration d’atteinte : seuil, délai, qui avise qui
- Alberta.ca — l’avis exigé lors de la collecte de renseignements personnels
- Gazette du Canada — index codifié des textes réglementaires, décrets d’exclusion
- Gazette du Canada — énoncé d’analyse : ce qu’un décret d’exclusion ne couvre pas
Vérifié le
Ce qui s’y rattache dans le produit
Les pages qui décrivent les mesures, les lieux de traitement et leurs limites.