Pour commencer : trois questions
Les lois sur la vie privée sont plus faciles à comprendre quand vous savez ce que vous détenez, pourquoi, et à qui une fuite pourrait nuire.
- Quelle loi s’applique? Habituellement celle du pays où vous êtes établi, et parfois celle de l’endroit où vivent les personnes que vous servez. Les organismes publics, les fournisseurs de soins de santé et les organismes de bienfaisance sont souvent visés par d’autres règles que les entreprises.
- Qu’est-ce que vous détenez de sensible? La plupart des lois protègent davantage la santé, l’origine ethnique, la religion, la vie sexuelle et d’autres catégories semblables, et bon nombre considèrent les numéros d’identité et les renseignements financiers comme à risque élevé en cas d’atteinte.
- Que feriez-vous le jour d’une atteinte? Plusieurs des pays ci-dessous fixent des délais courts. Décidez dès maintenant qui évalue une atteinte, qui décide de la déclarer ou non, et où se trouve le formulaire de déclaration de l’autorité.
États-Unis
- Loi principale
- Aucune loi fédérale générale unique sur la protection de la vie privée. Des lois sectorielles s’appliquent plutôt, dont HIPAA pour les régimes d’assurance maladie, les chambres de compensation en santé et de nombreux fournisseurs de soins de santé, ainsi que leurs associés d’affaires (business associates), et la Health Breach Notification Rule de la FTC pour les applications de dossiers de santé personnels non visées par HIPAA. Des lois des États s’appliquent aussi, dont des lois sur la notification des atteintes.
- Autorité de contrôle
- HHS Office for Civil Rights (HIPAA); Federal Trade Commission; procureurs généraux des États.
- Renseignements sensibles
- Il n’existe pas de liste fédérale unique. HIPAA protège les renseignements de santé détenus par les organisations qu’elle vise; les lois des États établissent leurs propres catégories.
- En cas d’atteinte
- Selon HIPAA, avisez les personnes touchées sans retard déraisonnable et au plus tard 60 jours civils après la découverte d’une atteinte à des renseignements de santé non sécurisés. Pour 500 personnes ou plus, avisez le HHS en même temps; pour moins de 500, consignez l’atteinte et déclarez-la au HHS dans les 60 jours suivant la fin de l’année civile. Les lois des États sur les atteintes ajoutent leurs propres obligations, selon l’endroit où vivent les personnes touchées.
Canada
- Loi principale
- La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) pour les organisations du secteur privé qui exercent des activités commerciales. En général, elle ne s’applique pas aux activités non commerciales des organismes sans but lucratif et des organismes de bienfaisance. L’Alberta, la Colombie-Britannique et le Québec ont leurs propres lois pour le secteur privé, plusieurs provinces ont des lois sur les renseignements sur la santé, et les municipalités, les hôpitaux, les écoles et les universités sont généralement visés par des lois provinciales. Les institutions fédérales sont visées par la Loi sur la protection des renseignements personnels.
- Autorité de contrôle
- Commissariat à la protection de la vie privée du Canada, ainsi qu’un commissaire ou un ombudsman dans chaque province et territoire.
- Renseignements sensibles
- Évalué selon le contexte. Pour décider si une atteinte doit être déclarée, le Commissariat vous demande de tenir compte de la sensibilité des renseignements et de la probabilité qu’ils soient mal utilisés.
- En cas d’atteinte
- Selon la LPRPDE, déclarez au Commissariat toute atteinte aux mesures de sécurité qui présente un risque réel de préjudice grave, avisez les personnes touchées dès que possible et tenez un registre de toutes les atteintes, qu’elles doivent être déclarées ou non. Cela s’applique aussi aux petites organisations. Les lois provinciales ont leurs propres règles.
Mexique
- Loi principale
- Une nouvelle Ley Federal de Protección de Datos Personales en Posesión de los Particulares (secteur privé) a été publiée au Diario Oficial le 20 mars 2025, en même temps qu’une nouvelle loi générale pour les organismes publics. La même réforme a aboli l’INAI, l’ancien institut de protection des données et de transparence.
- Autorité de contrôle
- Pour le secteur privé, la Secretaría Anticorrupción y Buen Gobierno, qui a repris les fonctions de l’INAI.
- Renseignements sensibles
- Datos personales sensibles : les données qui touchent la sphère la plus intime d’une personne, ou dont le mauvais usage pourrait entraîner de la discrimination ou un risque grave, notamment l’origine raciale ou ethnique, l’état de santé présent ou futur, l’information génétique, les croyances religieuses, philosophiques et morales, les opinions politiques et l’orientation sexuelle.
- En cas d’atteinte
- Les atteintes à la sécurité qui touchent de façon importante les droits patrimoniaux ou moraux des personnes doivent leur être signalées immédiatement, pour qu’elles puissent prendre des mesures pour se protéger (article 19).
À noterEn transition : la loi de 2025 a remplacé celle de 2010 et a confié la surveillance de l’INAI à un ministère. Attendez-vous à de nouveaux règlements et à de nouvelles lignes directrices.
Argentine
- Loi principale
- Ley 25.326 de Protección de los Datos Personales. Les bases de données publiques et privées destinées à fournir des rapports doivent être inscrites au registre national des bases de données personnelles.
- Autorité de contrôle
- Agencia de Acceso a la Información Pública (AAIP).
- Renseignements sensibles
- Datos sensibles : les données qui révèlent l’origine raciale et ethnique, les opinions politiques, les convictions religieuses, philosophiques ou morales, l’appartenance syndicale, et l’information sur la santé ou la vie sexuelle.
- En cas d’atteinte
- La loi exige des mesures techniques et organisationnelles pour assurer la sécurité et la confidentialité des données personnelles (article 9). Nous n’avons pas trouvé dans la loi elle-même de délai général pour signaler les atteintes. Obtenez des conseils si vous subissez une atteinte.
À noterUne réforme de la Ley 25.326 a fait l’objet d’une consultation publique de l’AAIP.
Royaume-Uni
- Loi principale
- Le UK GDPR (le RGPD tel qu’il s’applique au Royaume-Uni) et le Data Protection Act 2018, modifiés par le Data (Use and Access) Act 2025, qui a reçu la sanction royale le 19 juin 2025. Selon l’ICO, toutes ses dispositions touchant la loi sur la protection des données sont maintenant en vigueur.
- Autorité de contrôle
- Information Commissioner’s Office (ICO).
- Renseignements sensibles
- Special category data (données de catégorie particulière) : l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, les données génétiques, les données biométriques servant à l’identification, la santé, la vie sexuelle et l’orientation sexuelle. Les données sur les infractions criminelles ont leurs propres règles.
- En cas d’atteinte
- Si une atteinte aux données personnelles risque de porter atteinte aux droits et libertés des personnes, avisez l’ICO dès que possible et, si c’est faisable, dans les 72 heures. Si le risque est élevé, avisez aussi les personnes touchées.
Arménie
- Loi principale
- La loi de la République d’Arménie sur la protection des données personnelles.
- Autorité de contrôle
- L’Agence de protection des données personnelles du ministère de la Justice.
À noterNous n’avons pas pu ouvrir les pages de l’autorité ni le texte consolidé de la loi lors de notre dernière révision de ce guide; nous n’en avons donc pas résumé les détails. Lisez le texte en vigueur dans le système officiel d’information juridique, ARLIS, et obtenez des conseils sur place.
Inde
- Loi principale
- Le Digital Personal Data Protection Act, 2023.
- Autorité de contrôle
- Le Data Protection Board of India, créé en vertu de la loi; le ministère de l’Électronique et des Technologies de l’information (MeitY) en établit les règles.
À noterEn transition. L’entrée en vigueur des dispositions de la loi est fixée par avis du gouvernement, et le MeitY établit les règles qui en découlent. Les sites officiels du gouvernement n’ont pas répondu à nos vérifications lors de notre dernière révision de ce guide; nous n’indiquons donc ici ni dates d’entrée en vigueur ni obligations. Consultez les avis à jour du MeitY avant de vous fier à un résumé, y compris celui-ci.
Philippines
- Loi principale
- Le Data Privacy Act of 2012 (Republic Act No. 10173), avec les règles et circulaires de la National Privacy Commission.
- Autorité de contrôle
- National Privacy Commission (NPC).
- Renseignements sensibles
- Les sensitive personal information (renseignements personnels sensibles) comprennent la race, l’origine ethnique, l’état matrimonial, l’âge, la couleur, les affiliations religieuses, philosophiques ou politiques; la santé, l’éducation, la génétique ou la vie sexuelle; les procédures criminelles; et les identifiants délivrés par le gouvernement, comme les numéros de sécurité sociale, les dossiers de santé, les permis et les déclarations de revenus.
- En cas d’atteinte
- La loi vous oblige à aviser rapidement la NPC et les personnes touchées lorsqu’on a des motifs raisonnables de croire que des renseignements personnels sensibles, ou des renseignements qui pourraient permettre une fraude d’identité, ont été obtenus par une personne non autorisée. Les règles de la NPC sur la gestion des atteintes en précisent les détails et les délais; lisez-les sur le site de la NPC.
Australie
- Loi principale
- Le Privacy Act 1988 et ses Australian Privacy Principles. Il vise les organismes du gouvernement australien et les organisations dont le chiffre d’affaires annuel dépasse 3 millions de dollars. Certaines organisations plus petites sont visées quel que soit leur chiffre d’affaires, dont tout fournisseur de services de santé. Une petite entreprise ou un organisme sans but lucratif peut aussi choisir d’y adhérer.
- Autorité de contrôle
- Office of the Australian Information Commissioner (OAIC).
- Renseignements sensibles
- Sensitive information (renseignements sensibles) : l’origine raciale ou ethnique, les opinions ou associations politiques, les convictions religieuses ou philosophiques, l’appartenance ou les associations syndicales, l’orientation ou les pratiques sexuelles, le casier judiciaire, les renseignements sur la santé ou génétiques, et certains aspects des renseignements biométriques.
- En cas d’atteinte
- Selon le Notifiable Data Breaches scheme (régime de déclaration obligatoire des atteintes), si une atteinte risque de causer un préjudice grave à quelqu’un, avisez les personnes touchées et l’OAIC. Si vous soupçonnez une atteinte, vous devez évaluer rapidement si elle risque de causer un préjudice grave.
Nouvelle-Zélande
- Loi principale
- Le Privacy Act 2020. Le Privacy Amendment Act 2025 a ajouté un nouveau principe, l’IPP 3A, à compter du 1er mai 2026 : l’obligation d’informer les personnes quand vous recueillez leurs renseignements personnels auprès de quelqu’un d’autre qu’elles.
- Autorité de contrôle
- Office of the Privacy Commissioner.
- Renseignements sensibles
- Il n’y a pas de liste distincte. Le commissaire à la protection de la vie privée souligne que certains types de renseignements sont par nature plus sensibles et plus susceptibles de causer un préjudice grave en cas d’atteinte.
- En cas d’atteinte
- Si une atteinte à la vie privée a causé, ou risque de causer, un préjudice grave à quelqu’un, avisez le commissaire à la protection de la vie privée et les personnes touchées dès que vous êtes en mesure de le faire.
À noterChangement récent : l’IPP 3A s’applique depuis le 1er mai 2026.
Ce qu’il faut faire partout
Peu importe le pays, les mêmes habitudes vous gardent du bon côté de la loi et des personnes que vous servez.
- Tenez un registre simple des renseignements personnels que vous détenez, où, pourquoi, et qui peut y accéder.
- Recueillez moins. Un renseignement que vous n’avez jamais recueilli ne peut pas fuir.
- Dites aux gens, en mots simples, ce que vous recueillez et pourquoi, et comment demander accès à leurs renseignements.
- Écrivez qui décide si une atteinte doit être déclarée, et gardez le lien de déclaration de l’autorité dans votre plan d’intervention. Notre liste de la première heure est un bon endroit pour le noter.
- Demandez à chaque fournisseur dans quel délai il vous informera d’une atteinte. Voyez Avant de signer.