Nouvelle-Écosse : le régulateur que la loi appelle « Review Officer »

L’avis d’atteinte, et son mécanisme inversé

L’article 69 de la loi néo-écossaise de santé impose au dépositaire d’aviser la personne concernée à la première occasion raisonnable lorsqu’il a des motifs raisonnables de croire que des renseignements ont été volés, perdus, ou ont fait l’objet d’un accès, d’un usage, d’une communication, d’une copie ou d’une modification non autorisés — et qu’il en résulte un potentiel de préjudice ou d’embarras pour la personne.

L’article 70 permet au dépositaire de conclure que l’avis n’est pas requis. Mais alors, son paragraphe 70(2) l’oblige à en aviser le Review Officer dès que possible.

C’est l’inverse du mécanisme albertain, où l’entreprise avise le commissaire et où c’est lui qui décide de l’avis aux personnes. En Nouvelle-Écosse, c’est la décision de NE PAS aviser la personne qui déclenche l’avis au régulateur. L’avis au Review Officer n’est donc pas systématique, et l’écrire autrement serait faux.

Qui est dépositaire, et qui ne l’est pas

La loi définit le dépositaire à son article 3(f) : professionnel de la santé réglementé ou cabinet de groupe, le ministre, une régie de santé, la commission de révision, une pharmacie, un établissement de soins continus, la Société canadienne du sang, et toute autre entité désignée par règlement. Nous avons lu la consolidation officielle, à jour au 1er avril 2026.

Un plombier, un garage, un salon, une école de danse ou une agence immobilière n’y figurent pas : ces entreprises relèvent de la loi fédérale, comme partout ailleurs au pays hors Québec, Alberta et Colombie-Britannique.

Les vétérinaires ne figurent pas non plus dans cette énumération. Nous nous arrêtons là : nous n’avons pas de source directe sur le statut des renseignements détenus par une clinique vétérinaire, et nous n’en tirerons pas de conclusion sur cette page.

Enregistrer un appel : ce que le Code criminel règle, et ce qu’il laisse entier

L’article 184 du Code criminel interdit d’intercepter une communication privée. Son exception de l’article 184(2)a), lue avec l’article 183.1, se contente du consentement d’une seule des parties : une entreprise partie à l’appel peut donc l’enregistrer sans commettre cette infraction.

Le droit de la vie privée est un régime distinct. Il demande d’informer l’appelant au début de l’appel de l’enregistrement et de sa finalité, de ne pas réutiliser l’enregistrement à une autre fin, d’offrir une autre voie à qui refuse — se présenter sur place, écrire, passer par le web —, de donner accès à l’enregistrement sur demande, et de limiter la conservation.

Chez Zenvox, la divulgation est prononcée avant l’ouverture du micro et ne se désactive pas. Ce que la réceptionniste demande ensuite vient de vos consignes, et c’est là que se joue la limite du nécessaire.

La règle fédérale, et ce qui sort de la province

Depuis le 1er novembre 2018, une organisation assujettie à la loi fédérale doit déclarer au commissaire fédéral et aviser les personnes concernées toute atteinte aux mesures de sécurité présentant un risque réel de préjudice grave, et tenir un registre de toute atteinte pendant 24 mois suivant le jour où elle conclut qu’elle est survenue.

Le décret fédéral de 2016 dit expressément que l’exclusion des dépositaires néo-écossais vaut pour la collecte, l’utilisation et la communication qui s’effectuent en Nouvelle-Écosse. Hors de la province, la loi fédérale demeure. C’est la règle de partage qui vaut partout : la loi provinciale gouverne ce qui se passe dans la province, la loi fédérale gouverne la sortie.

Ce qui sort dans notre cas, et pour combien de temps une copie existe ailleurs, est écrit au bas de cette page, dans la seule formulation que nous employons pour cela. Nous ne la réécrivons pas ici.

Au fédéral, rien de neuf n’est en vigueur : le projet de loi C-27 est mort au feuilleton le 6 janvier 2025, et le projet de loi C-36, déposé le 15 juin 2026, était à la deuxième lecture le 15 septembre 2026, sans sanction royale.