Since the 1970s and the first data protection laws, the flow of personal data across borders has always been a crucial issue. In this thesis, we study how we have moved from regulations advocating the protection of personal data outside borders to regulations establishing a principle of free data circulation on a global scale. This study is based firstly on a retrospective of personal data law with regard to transborder data flows, and secondly on the fact that these legal questions are now merged with issues of international trade law. Finally, we consider the drifts of such a free flow of data at the global level, and we reflect on certain avenues of reflection in order to place data protection as an end in itself, at the center of the issues. / Depuis les années 1970 et les premières législations relatives à la protection des données personnelles, la circulation des données personnelles hors des frontières a toujours été un enjeu crucial. Dans ce mémoire nous étudions comment l’on est passé de réglementations prônant la protection des données personnelles hors des frontières à des réglementations instaurant un principe de libre circulation des données à l’échelle mondiale. Cette étude se fonde dans un premier temps sur une rétrospective du droit des données personnelles en ce qui concerne les flux transfrontières de données avant de constater dans un second temps que ces questions de droit sont désormais fondues dans des enjeux de droit du commerce international. Posant enfin les dérives d’une telle libre circulation des données au niveau mondial, nous réfléchissons à certaines pistes de réflexion afin de replacer la protection des données comme une fin en soi, au centre des enjeux.

En s’inspirant de l’exemple des défis corporatifs, c’est-à-dire, des initiatives déployées par les sociétés pour rendre le marché de l’emploi plus accessible aux membres de groupes perçus comme marginalisés, ce mémoire cherche à analyser le conflit qui pourrait surgir au Québec entre le droit à la vie privé, protégé notamment par la Loi sur la protection des renseignements personnels dans le secteur privé et la Loi sur la protection des renseignements personnels et des documents électroniques et le besoin croissant de l’entreprise d’utiliser les données privées de leurs employés pour vendre leurs biens et services. Dans un premier temps, ce mémoire effectue un survol des régimes de protection de la vie privée des pays qui ont le plus influencé le droit québécois et canadien soit l’Europe, les États-Unis et le Royaume Uni en soulignant leur influence sur le régime en vigueur au Québec. Dans un second temps, il soulève les entraves que posent la LPRPS et la LPRPDE à la participation de l’entreprise aux défis corporatifs. Dans un troisième temps, il explore des pistes possibles à la fois interprétatives, législatives et contentieuses afin de rendre ces lois plus accommodantes aux besoins de l’entreprise. / This essay uses the example of Industry Challenges - a technique deployed by companies to promote the hiring and advancement of certain members of society - to explore a conflict that could arise in Quebec between the individual’s right to privacy as protected by An Act Respecting the Protection of Personal Information In the Private Sector and the Personal Information Protection and Electronic Documents Act , and that of an organisation to use personal information relating to its workforce to market itself. It briefly reviews privacy protection in jurisdictions with the greatest legal influence on Quebec and Canada: the European Union, the United States and the United Kingdom (Chapter 2). It demonstrates how a blend of these influences is reflected in the Quebec and Canadian approaches to privacy and how existing privacy legislation might prevent a company from effectively and efficiently responding to Industry Challenges (Chapter 3). Finally, the last two chapters respectively explore the interpretive and legislative amendments that could be made to PPIPS and PIPEDA to enable companies to respond to Industry Challenges (Chapter 4) as well as the possible legal action a company could take on the ground that Quebec’s privacy legislation violates its right to express itself commercially under s. 2(b) of the Canadian Charter of Rights and Freedoms (Chapter 5).

Thèse réalisée en cotutelle avec l'Université de Montréal et l'Université Panthéon-Assas Paris II / La question de la protection des renseignements personnels présente des enjeux majeurs dans le contexte des réseaux. Les premières lois en la matière au Canada et en Europe avaient pour base une série de principes qui sont encore aujourd’hui d’actualité. Toutefois, l’arrivée d’Internet et des structures en réseau permettant l’échange d’un nombre infini d’informations entre organismes et personnes ont changé la donne et induisent de nouveaux risques informationnels. Le principe de finalité, pierre angulaire des systèmes de protection des renseignements personnels, postule le caractère adéquat, pertinent et non excessif des informations collectées par rapport à l’objet du traitement et exige qu’elles soient uniquement utilisées à des fins compatibles avec la finalité initiale. Nous retracerons l’historique de ce principe et analyserons la manière dont la doctrine, la jurisprudence et les décisions du CPVPC comme de la CNIL ont contribué à délimiter ses contours. Nous étudierons comment ce principe se manifeste dans la structure en réseau de l’administration électronique ou du gouvernement électronique et nous relèverons les nouveautés majeures que présente l’État en réseau par rapport au modèle d’État en silo, ainsi que la nécessité d’une gouvernance adaptée à cette structure. Nous examinerons également la présence de standards juridiques et de notions à contenus variable dans le domaine de la protection des renseignements personnels et nous tenterons de montrer comment la finalité, en tant que principe ou standard, a les capacités de s’adapter aux exigences de proportionnalité, d’ajustement et de mutation continuelle qui sont aujourd’hui au cœur des défis de la gouvernance des réseaux. Finalement, il sera question de présenter quelques pistes pour l’adoption de mécanismes d’adaptation « réseautique » pour la protection des renseignements personnels et de montrer dans quelle mesure ce droit, capable de créer un cadre de protection adéquat, est également un « droit en réseau » qui possède tous les attributs du « droit post-moderne », attributs qui vont rendre possible une adaptation propre à protéger effectivement les renseignements personnels dans les structures, toujours changeantes, où circulent aujourd’hui les informations. / Personal data protection poses significant challenges in the context of networks. The first laws on this matter both in Canada and in Europe were based on a series of principles that remain valid today. Nevertheless, Internet and the development of network-based structures that enable infinite exchange of information between institutions and individuals are changing the priorities and, at the same time, present new risks related to data protection. The purpose principle, which is the personal data protection systems cornerstone, stresses the relevance and adequate yet not excessive nature of the collected information vis à vis the objective of data collection. The purpose principle also requires that the information shall not further be processed in a way incompatible with the initial purpose. We will describe the origins and evolution of this principle, as well as its present relevance and scope analysing the doctrine, jurisprudence and decisions of the Office of the Privacy Commissioner in Canada and of the Commission nationale de l’informatique et des libertés (CNIL) in France. We will also examine how this principle is reflected in the network structure of the digital administration and of the electronic government. We will also underline the differences between a network-based State and a « silo-based » State, each needing its structure of governance. Within the context of personal data protection, we will explore the presence of legal standards and of concepts with a changing nature. An effort will be made to highlight how purpose, be it as a principle or as a standard, has the capacity to adapt to the requirements of the core principles of the current network governance, such as proportionality, adjustment and continuous mutation. Finally, the objective is to reflect on some personal data protection network adaptation mechanisms, and to demonstrate how personal data protection can work in a network that includes all « post-modern law » elements that allow for true adaptation for effective personal data protection within the ever changing structures where data is being exchanged.

No description available.

Les mégadonnées font partie de ces sujets dont on entend parler sans trop savoir ce qu’ils signifient précisément. Souvent associés au domaine de l’intelligence artificielle, ces volumineux ensembles de données sont à la base d’un nombre croissant de modèles d’affaires axés sur la valorisation des données numériques que nous générons au quotidien. Le présent mémoire cherche à démontrer que cette exploitation des mégadonnées par les entreprises ne s’effectue pas dans un vide juridique. Les mégadonnées ne peuvent être considérées comme un objet de droit en l’absence d’une définition formelle. Une revue de la littérature multidisciplinaire à leur sujet, invite à les concevoir comme un actif informationnel doté de cinq caractéristiques principales, soit leur volume, leur vélocité, leur variété, leur valeur et leur véracité. L’analyse de ces caractéristiques permet au juriste d’atteindre une compréhension suffisante de ce phénomène afin de l’aborder sous le prisme du droit positif. Suivant un exercice de qualification juridique, les mégadonnées émergent à la fois comme un bien meuble incorporel et comme un ensemble de documents technologiques portant divers renseignements dont certains peuvent être qualifiés de renseignements personnels. Le cadre juridique applicable à l’exploitation des mégadonnées s’articule donc autour de la protection législative de la vie privée informationnelle qui s’incarne à travers les lois en matière de protection des renseignements personnels. Cet encadrement est complété par certaines règles relatives à la gestion documentaire et au droit à l’égalité. Une manière efficace de présenter cet encadrement juridique est selon le cycle de vie des renseignements personnels au sein des mégadonnées. Ainsi, il appert que les principes issus de l’approche personnaliste et minimaliste du droit québécois à la protection des renseignements personnels s’appliquent tant bien que mal à la collecte des données numériques ainsi qu’à leur traitement par les entreprises. / Big data is one of those topics we keep hearing about without knowing exactly what it means. Often associated with the field of artificial intelligence, these large datasets are the backbone of a growing number of business models that focus on leveraging the digital data we generate on a daily basis. This Master’s thesis seeks to demonstrate that this exploitation of big data by businesses is not happening in a legal vacuum. Big data cannot be considered as an object of rights in the absence of a formal definition. A review of the multidisciplinary literature on the subject invites us to conceive them as an information asset with five main characteristics: volume, velocity, variety, value and veracity. The study of these characteristics allows the jurist to reach a sufficient understanding of the phenomenon in order to approach it through the lens of positive law. Following a legal qualification exercise, big data emerges both as intangible movable property and as a set of technological documents carrying various types of information, some of which can be qualified as personal information. The legal framework governing the exploitation of big data is therefore built around the legislative protection of informational privacy, which is embodied in privacy laws. This framework is complemented by certain rules relating to document management and the right to equality. An effective way to present this legal framework is according to the life cycle of personal information within big data. Thus, it appears that the principles stemming from the personalist and minimalist approach of Quebec's data protection law apply, albeit not without struggle, to the collection of digital data as well as their processing by businesses.

Le 21 septembre 2021, l’Assemblée nationale du Québec a adopté le projet de loi 64 afin de moderniser son régime de protection des renseignements personnels. S’inspirant du Règlement Général sur la Protection des Données européen, ce projet de loi renforce substantiellement les obligations des entreprises privées et des organismes publics à l’égard des renseignements personnels des Québécois. Ce projet de loi assure également le respect de certains principes juridiques applicables aux systèmes d’intelligence artificielle. Or, dans le cadre de ce mémoire, nous démontrons que des tensions existent entre quatre de ces principes. Ces principes sont : le principe d’explicabilité, le principe d’exactitude, le principe de sécurité ainsi que le principe d’équité et de non-discrimination. En effet, il est souvent difficile et parfois impossible d’assurer un respect conjoint de ces quatre principes. La présente étude se divise en trois chapitres. Le premier explore les quatre principes pour ensuite identifier les obligations légales québécoises qui permettent d’en assurer le respect. Le second expose les tensions entre ces principes. Le dernier propose une solution permettant aux entreprises et aux organismes publics québécois de réaliser les arbitrages nécessaires entre ces principes tout en respectant la Loi. / On September 21, 2021, the Quebec legislative passed Bill 64 to modernize its privacy regime. Inspired by the European General Data Protection Regulation, this bill strengthens the obligations of private companies and public bodies with respect to personal data. This bill also provides obligations protecting normative principles applicable to artificial intelligence systems. In this paper, we show that four of these principles exist in a state of tension. These principles are : explicability, accuracy, security and fairness and non-discrimination. Indeed, it is often difficult and sometimes impossible to ensure that these principles are respected together. This study is divided into three parts. The first part defines the four principles to then identifies how these principles are translated into Quebec law. The second part sets out the tensions between these principles. The last part provides a solution that would allow Quebec businesses and public bodies to make the necessary trade-offs between these principles in a matter that complies with their legal obligations.

Le présent mémoire traite de la publicité comportementale en ligne (ci-après « PCL ») suite à la récente et importante vague de resserrements législatifs, des décisions judiciaires et enquêtes du CPVP, ainsi qu’aux récentes modifications technologiques impactant les pratiques de PCL. À la manière d’un guide, il y est recensé, décrit et analysées les obligations des entreprises participants à la PCL sous l’angle du droit à la vie privée et à la protection des renseignements personnels. Les enjeux et les principales zones d’ombre problématiques y sont identifiés et analysés, tel le critère de nécessité, l’exigence d’anonymisation et l’obligation de consentement, en incluant les enseignements des récentes décisions et enquêtes du CPVP. Une comparaison avec le cadre règlementaire de l’Union européenne est proposée sur certains points jugés plus pertinents. Le présent mémoire inclut une réflexion non seulement sur les obligations clés et leur évolution récente et rapide au Québec et au Canada dans un contexte de resserrement à l’international, mais également sur la PCL en soi en émettant des questionnements et des pistes de réflexion pour l’amélioration des pratiques. Ainsi, ce mémoire contient un volet pratique prononcé et un volet théorique qui se nourrissent l’un de l’autre. La partie I est un état des lieux où sont mises en lumière la complexité factuelle et juridique entourant la PCL, incluant une observation et une réflexion sur les interactions entre les différents acteurs (organisations, organismes d’autoréglementation, autorités de contrôle) et leur rôle dans la création et l’évolution des normes formelles et informelles. La partie II est consacrée à l’analyse des principales obligations incombant aux entreprises du secteur privé participant à la PCL en vertu de la LPRPDE et du Projet de loi C-27 au fédéral ainsi que des récentes modifications apportées par la Loi 25 au Québec en matière de protection des renseignements personnels. Finalement, la partie III propose une analyse de l’exercice de contrôle de l’utilisateur et des limites du consentement. / This master’s thesis is about online behavioral advertising (hereafter “OBA”). Like a guide, it lists, describes and analyzes the obligations of companies participating in the OBA from the perspective of the right to privacy and the protection of personal information. The issues and the main problematic gray areas are identified and analyzed, such as the criterion of necessity, the requirement of anonymization and the obligation of consent, including the lessons of recent decisions and investigations by the OPC. A comparison with the regulatory framework of the European Union is proposed on certain points deemed more relevant. This thesis includes a reflection not only on the key obligations and their recent and rapid evolution in Quebec and Canada in a context of international tightening, but also on the OBA itself by raising questions and lines of thought for improving practices. Thus, this dissertation contains a pronounced practical component and a theoretical component which feed off each other. Part I is an inventory highlighting the factual and legal complexity surrounding the OBA, including an observation and reflection on the interactions between the different actors (organizations, self-regulatory bodies, supervisory authorities) and their role in the creation and evolution of formal and informal norms. Part II is devoted to the analysis of the main obligations incumbent on private sector companies participating in the OBA under PIPEDA and draft law C-27 at the federal level and Bill 25 in Quebec with regards to the protection of personal information. Finally, Part III analyzes the exercise of user control and the limits of consent.

Réalisée en cotutelle avec l'Université de Panthéon-Assas (Paris II) / Vers la fin des années soixante, face à l’importance grandissante de l’utilisation des ordinateurs par les organisations, une définition englobante de la notion de donnée personnelle a été incorporée dans les lois en matière de protection de données personnelles (« LPDPs »). Avec Internet et la circulation accrue de nouvelles données (adresse IP, données de géolocalisation, etc.), il y a lieu de s’interroger quant à l’adéquation entre cette définition et cette réalité. Aussi, si la notion de donnée personnelle, définie comme étant « une donnée concernant un individu identifiable » est toujours applicable à un tel contexte révolutionnaire, il n’en demeure pas moins qu’il importe de trouver des principes interprétatifs qui puissent intégrer ces changements factuels. La présente thèse vise à proposer une interprétation tenant compte de l’objectif recherché par les LPDPs, à savoir protéger les individus contre les risques de dommage découlant de la collecte, de l’utilisation ou de la divulgation de leurs données. Alors que la collecte et la divulgation des données entraîneront surtout un risque de dommage de nature subjective (la collecte, un sentiment d’être sous observation et la divulgation, un sentiment d’embarras et d’humiliation), l’utilisation de ces données causera davantage un dommage objectif (dommage de nature financière, physique ou discriminatoire). La thèse propose plusieurs critères qui devraient être pris en compte pour évaluer ce risque de dommage ; elle servira de guide afin de déterminer quelles données doivent être qualifiées de personnelles, et fera en sorte que les LPDPs soient le plus efficaces possibles dans un contexte de développements technologiques grandissants. / In the late sixties, with the growing use of computers by organizations, a very broad definition of personal information as “information about an identifiable individual” was elaborated and has been incorporated in data protection laws (“DPLs”). In more recent days, with the Internet and the circulation of new types of information (IP addresses, location information, etc), the efficiency of this definition may be challenged. This thesis aims at proposing a new way of interpreting personal information. Instead of using a literal interpretation, an interpretation which takes into account the purpose behind DPLs will be proposed, in order to ensure that DPLs do what they are supposed to do: address or avoid the risk of harm to individuals triggered by organizations handling their personal information. While the collection or disclosure of information may trigger a more subjective kind of harm (the collection, a feeling of being observed and the disclosure, embarrassment and humiliation), the use of information will trigger a more objective kind of harm (financial, physical, discrimination, etc.). Various criteria useful in order to evaluate this risk of harm will be proposed. The thesis aims at providing a guide that may be used in order to determine whether certain information should qualify as personal information. It will provide for a useful framework under which DPLs remain efficient in light of modern technologies and the Internet.

La question de la protection des renseignements personnels présente des enjeux majeurs dans le contexte des réseaux. Les premières lois en la matière au Canada et en Europe avaient pour base une série de principes qui sont encore aujourd’hui d’actualité. Toutefois, l’arrivée d’Internet et des structures en réseau permettant l’échange d’un nombre infini d’informations entre organismes et personnes ont changé la donne et induisent de nouveaux risques informationnels. Le principe de finalité, pierre angulaire des systèmes de protection des renseignements personnels, postule le caractère adéquat, pertinent et non excessif des informations collectées par rapport à l’objet du traitement et exige qu’elles soient uniquement utilisées à des fins compatibles avec la finalité initiale. Nous retracerons l’historique de ce principe et analyserons la manière dont la doctrine, la jurisprudence et les décisions du CPVPC comme de la CNIL ont contribué à délimiter ses contours. Nous étudierons comment ce principe se manifeste dans la structure en réseau de l’administration électronique ou du gouvernement électronique et nous relèverons les nouveautés majeures que présente l’État en réseau par rapport au modèle d’État en silo, ainsi que la nécessité d’une gouvernance adaptée à cette structure. Nous examinerons également la présence de standards juridiques et de notions à contenus variable dans le domaine de la protection des renseignements personnels et nous tenterons de montrer comment la finalité, en tant que principe ou standard, a les capacités de s’adapter aux exigences de proportionnalité, d’ajustement et de mutation continuelle qui sont aujourd’hui au coeur des défis de la gouvernance des réseaux. Finalement, il sera question de présenter quelques pistes pour l’adoption de mécanismes d’adaptation « réseautique » pour la protection des renseignements personnels et de montrer dans quelle mesure ce droit, capable de créer un cadre de protection adéquat, est également un « droit en réseau » qui possède tous les attributs du « droit post-moderne », attributs qui vont rendre possible une adaptation propre à protéger effectivement les renseignements personnels dans les structures, toujours changeantes, où circulent aujourd’hui les informations. / Personal data protection poses significant challenges in the context of networks. The first laws on this matter both in Canada and in Europe were based on a series of principles that remain valid today. Nevertheless, Internet and the development of network-based structures that enable infinite exchange of information between institutions and individuals are changing the priorities and, at the same time, present new risks related to data protection. The purpose principle,which is the personal data protection systems cornerstone, stresses the relevance and adequate yet not excessive nature of the collected information vis à vis the objective of data collection. The purpose principle also requires that the information shall not further be processed in a way incompatible with the initial purpose. We will describe the origins and evolution of this principle, as well as its present relevance and scope analysing the doctrine, jurisprudence and decisions of theOffice of the Privacy Commissioner in Canada and of the Commission nationale de l’informatique et des libertés (CNIL) in France. We will also examine how this principle is reflected in the network structure of the digital administration and of the electronic government. We will also underline the differences between a network based State and a « silo-based » State, each needing its structure of governance. Within the context of personal data protection, we will explore the presence of legal standards and of concepts with a changing nature. An effort will be made to highlight how purpose, be it as a principle or as a standard, has the capacity to adapt to the requirements of the core principles of the current network governance, such as proportionality, adjustment and continuous mutation. Finally, the objective is to reflect on some personal data protection network adaptation mechanisms, and to demonstrate how personal data protection can work in a network that includes all« post-modern law » elements that allow for true adaptation for effective personal data protection within the ever changing structures where data is being exchanged.

Dans l’ère économique actuelle où les transactions commerciales, propulsées par l’omniprésence des technologies de l’information, se font de plus en plus à l’échelle mondiale, les risques de conflits juridiques de nature internationale augmentent considérablement. Les entreprises québécoises faisant plus fréquemment affaire avec des partenaires étrangers, les litiges d’aujourd’hui confrontent les parties et leurs représentants à des dilemmes légaux nouveaux qui les forcent à interagir avec des cultures judiciaires, autres que québécoises, et ce, particulièrement lors de la communication au préalable de la preuve civile. Nous nous pencherons donc sur l’analyse des divers enjeux légaux soulevés par ce processus afin de relever les considérations pratiques auxquelles seront soumises les parties à un conflit commercial international institué devant les tribunaux québécois. Ainsi, à l’aide d’un cas hypothétique, nous effectuerons l’étude des régimes procéduraux québécois, tant général que particulier, de communication de la preuve civile internationale, les restrictions applicables à la procédure ainsi que son encadrement supranational. Puis, nous étudierons l’impact des technologies de l’information sur le régime québécois de communication au préalable de la preuve civile en mettant l’accent tout particulièrement sur la dématérialisation de la preuve civile internationale, les changements législatifs de la réforme du Code de procédure civile et la protection des renseignements personnels. / In the current economic era, where business transactions are more than ever globalized due to the increasing use of technologies, the risks of legal conflicts being international in nature are now higher. Since businesses from Québec are now frequently making transactions with foreign partners, litigation nowadays confronts parties and their lawyers with new legal dilemmas, forcing them to interact with different judicial cultures other than Québec’s, especially during the pre-trial discovery and disclosure process. We will then analyze the many legal challenges resulting from this procedure to address the practical considerations that subject the parties of an international litigation instituted in front of Québec’s tribunals. Therefore, with the help of a hypothetical, we will study Québec’s general and specific procedures of discovery and disclosure of international civil evidence, its restrictions and the international legal frame surrounding it. Also, we will discuss the impact of technologies on Québec’s pre-trial discovery and disclosure process focusing on the dematerialization of civil evidence, the legislative modifications of the reform of the Québec Code of Civil Procedure, and the protection of personal data.