Ontario : la loi fédérale, et une seule loi provinciale qui vise les cliniques
Il n’existe pas de loi ontarienne sur la vie privée pour les entreprises. C’est la loi fédérale qui s’applique — sauf aux dépositaires de renseignements sur la santé, et même là, seulement pour ce qui se passe en Ontario.
Quelle loi ontarienne sur la vie privée s’applique à mon entreprise ?
Aucune, si vous n’êtes pas un dépositaire de renseignements sur la santé. L’Ontario n’a pas de loi générale sur la vie privée dans le secteur privé. C’est la loi fédérale — la Loi sur la protection des renseignements personnels et les documents électroniques — qui gouverne l’activité commerciale d’une entreprise ontarienne, intégralement, sans décret d’exclusion.
Les lois ontariennes d’accès à l’information visent les organismes publics : ministères, municipalités, services de police, établissements scolaires. Elles ne lient pas un plombier, un salon ou un garage. Si vous cherchez « la loi ontarienne sur la vie privée en entreprise », vous ne la trouverez pas, parce qu’elle n’existe pas.
Une seule loi ontarienne attrape une entreprise privée : la Personal Health Information Protection Act, qui vise les dépositaires de renseignements sur la santé. Et elle obéit à la même règle de frontière que partout au pays : la loi provinciale gouverne ce qui se passe dans la province, la loi fédérale gouverne les renseignements transférés à l’extérieur de la province ou du pays.
Ceci n’est pas un avis juridique. C’est un résumé de ce que nous avons lu, écrit pour un propriétaire d’entreprise, avec sa date de lecture plus bas.
Vous cherchez la loi ontarienne, et vous ne la trouvez pas
C’est la situation la plus fréquente des lecteurs de cette page. L’Ontario est la plus grosse économie du pays, et beaucoup de propriétaires supposent qu’il existe une loi provinciale sur la vie privée en entreprise, comme il en existe une au Québec. Ils tombent alors sur les lois d’accès à l’information, constatent qu’elles parlent de ministères et de municipalités, et concluent qu’ils ont mal cherché.
Ils ont bien cherché. La loi n’existe pas. Ce que cette page fait, c’est vous dire quelle loi prend sa place, ce qu’elle demande à une entreprise dont les appels sont répondus et enregistrés par un logiciel, et le seul cas où une loi ontarienne vous vise malgré tout.
Pourquoi il n’y a pas de loi ontarienne à trouver
Trois provinces se sont dotées d’une loi générale sur le secteur privé jugée essentiellement similaire à la loi fédérale : le Québec, l’Alberta et la Colombie-Britannique. Pour les organisations de ces trois provinces, un décret fédéral écarte la partie 1 de la loi fédérale — mais seulement pour ce qui se passe à l’intérieur de la province.
L’Ontario n’est pas de celles-là. Ses lois d’accès à l’information encadrent les organismes publics et le font bien, mais elles ne disent rien de ce qu’un commerce fait des renseignements de ses clients. Ce vide n’en est pas un : la loi fédérale s’applique à toute organisation qui recueille, utilise ou communique des renseignements personnels dans le cadre d’activités commerciales, et une PME ontarienne est exactement cela.
L’effet pratique est qu’il y a une seule autorité à connaître pour l’activité commerciale ordinaire, et une seule loi à lire. C’est plus simple qu’au Québec, et il faut le dire simplement plutôt que de meubler la page.
Ce que la loi fédérale demande à votre entreprise
Les renseignements sont recueillis pour une finalité déterminée, annoncée à la personne, avec son consentement, et utilisés pour cette finalité-là. Un enregistrement d’appel et sa transcription sont une collecte : ils tombent sous cette règle comme le reste. La conservation est limitée à ce que la finalité exige, et la personne a un droit d’accès à ce que vous détenez sur elle.
Depuis le 1er novembre 2018, une organisation assujettie à la loi fédérale doit déclarer au commissaire fédéral et aviser les personnes concernées toute atteinte aux mesures de sécurité qui présente un risque réel de préjudice grave. Elle doit aussi tenir un registre de toute atteinte pendant 24 mois suivant le jour où elle conclut qu’elle est survenue — y compris des atteintes qu’elle a jugées sans risque réel.
Cette obligation de registre surprend souvent. Elle ne demande pas un outil compliqué : elle demande une trace datée de ce qui s’est passé, de ce que vous en avez conclu, et de ce que vous avez fait ensuite.
La seule loi ontarienne qui vous vise, et à quelle condition
La Personal Health Information Protection Act régit les dépositaires de renseignements sur la santé — cabinets médicaux et dentaires, pharmacies, laboratoires. Le décret fédéral DORS/2005-399 exclut ces dépositaires de la partie 1 de la loi fédérale pour les renseignements personnels sur la santé recueillis, utilisés et communiqués en Ontario.
La règle de frontière vaut ici comme ailleurs : la loi fédérale continue de s’appliquer aux échanges interprovinciaux et internationaux, et à tout ce qui n’est pas un dépositaire. Une clinique ontarienne dont une partie du traitement sort de la province a donc deux lois au-dessus d’elle, pas une.
Nous ne disons pas ici quelles activités sont dépositaires au-delà de celles que la loi nomme : c’est une question à poser à un conseiller qui lit votre situation. Nous employons aussi le titre anglais de cette loi, parce que nous n’avons pas pu vérifier son titre français officiel.
Enregistrer un appel : deux régimes, pas un
Le Code criminel n’interdit pas à une entreprise partie à l’appel de l’enregistrer : le consentement d’une seule des personnes en communication suffit à écarter l’infraction.
La loi sur la vie privée, elle, exige que l’appelant soit informé au début de l’appel de l’enregistrement et de sa finalité, que cette finalité soit la seule utilisée, qu’une solution de rechange existe pour la personne qui refuse, qu’elle puisse demander l’accès à son enregistrement, et que la conservation soit limitée. Le fait qu’un enregistrement ne soit pas une infraction ne dit rien de sa licéité au regard de la vie privée.
Chez nous, la divulgation est énoncée avant l’ouverture du micro. Vous pouvez l’entendre en appelant votre propre réceptionniste.
Où va une plainte, et ce que le produit vous laisse démontrer
Pour l’activité commerciale ordinaire, la plainte d’un client sur l’usage de ses renseignements va au Commissariat à la protection de la vie privée du Canada. Pour un dépositaire de renseignements sur la santé, elle va au Commissaire à l’information et à la protection de la vie privée de l’Ontario.
Ce que le produit vous donne pour répondre à une demande : un journal des accès, l’export d’un dossier, sa suppression, et un rôle par membre de l’équipe qui limite ce que chacun voit. Ce sont des mécanismes vérifiables, pas une étiquette.
Ce qu’il ne fera pas à votre place : rédiger votre politique, fixer votre durée de conservation, tenir votre registre d’atteintes, ni décider si votre activité est celle d’un dépositaire. La loi fédérale en vigueur reste la même qu’ailleurs au pays ; le projet de loi C-36, déposé le 15 juin 2026, était au 23 octobre 2026 en deuxième lecture et sans sanction royale, donc rien de son contenu n’est en vigueur.
Ce que nous avons lu, et quand
- Gazette du Canada — index codifié des textes réglementaires, décrets d’exclusion
- Gazette du Canada — énoncé d’analyse : ce qu’un décret d’exclusion ne couvre pas
- Gazette du Canada — règlement sur les atteintes aux mesures de sécurité
- LEGISinfo — projet de loi C-36, état au 23 octobre 2026
Vérifié le
Ce qui s’y rattache dans le produit
Les pages qui décrivent les mesures, les lieux de traitement et leurs limites.