Renseignements personnels dans un OBNL : quelles lois s'appliquent au Canada

À jour au 11 octobre 2026. Cet article informe ; il ne remplace pas un avis juridique.

Un OBNL détient beaucoup de renseignements personnels : dossiers d'employés, coordonnées de bénévoles, listes de donateurs, parfois des informations de santé sur les personnes servies. Savoir quelle loi s'applique vous permet de répondre correctement à une demande d'accès, de gérer un incident sans paniquer et de garder la confiance de votre milieu.

La question à se poser d'abord

Il n'existe pas une seule loi pour tout le Canada. Trois éléments décident de ce qui s'applique :

• la province ou le territoire où vous exercez vos activités ;
• la nature de l'activité (activité de base de l'organisme ou activité commerciale) ;
• le type de renseignement (employés, bénévoles, clientèle, santé).

Le fédéral : la LPRPDE

La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) vise les renseignements recueillis, utilisés ou communiqués dans le cadre d'activités commerciales (art. 4). Selon le Commissariat à la protection de la vie privée du Canada, elle ne s'applique généralement pas aux organismes sans but lucratif et de bienfaisance, sauf pour des activités commerciales qui ne sont pas au cœur de leur mission (par exemple, vendre une liste de membres ou de donateurs).

À retenir :

• Pour les employés, la LPRPDE ne vise que les entreprises de compétence fédérale.
• Les organisations du Yukon, des Territoires du Nord-Ouest et du Nunavut sont considérées comme de compétence fédérale aux fins de la LPRPDE.
• Les renseignements qui traversent une frontière provinciale ou nationale dans un contexte commercial relèvent de la LPRPDE, où que soit l'organisme.
• Quand elle s'applique : répondre à une demande d'accès dans les 30 jours, déclarer au Commissariat toute atteinte qui présente un risque réel de préjudice grave (art. 10.1) et tenir un registre de toutes les atteintes (art. 10.3).

Les trois provinces qui ont leur propre loi

L'Alberta, la Colombie-Britannique et le Québec ont une loi sur le secteur privé jugée essentiellement similaire à la LPRPDE. Leurs règles pour les OBNL diffèrent.

Colombie-Britannique : la PIPA vise les OBNL

La Personal Information Protection Act définit « organisation » de manière à inclure les organismes sans but lucratif. Elle s'applique donc à l'ensemble de leurs activités. Points clés :

• désigner une ou plusieurs personnes responsables et rendre public leur titre ;
• le mot « employee » comprend les bénévoles : leurs dossiers suivent les mêmes règles ;
• les renseignements nécessaires pour établir, gérer ou terminer la relation d'emploi peuvent être recueillis sans consentement si c'est raisonnable, mais la personne doit d'abord être avisée de la collecte et de ses fins (art. 13) ;
• répondre à une demande d'accès dans les 30 jours.

Alberta : la PIPA vise surtout les activités commerciales des OBNL

La Personal Information Protection Act (art. 56) ne s'applique aux « non-profit organizations » qu'à l'égard de leurs activités commerciales, comme la vente ou la location de listes de membres ou de donateurs. La définition vise les organismes constitués en vertu de la Societies Act ou de l'Agricultural Societies Act, ou enregistrés sous la partie 9 de la Companies Act. Un organisme constitué autrement pourrait être visé pour toutes ses activités : vérifiez votre cas. Quand la loi s'applique :

• aviser le commissaire, sans délai déraisonnable, de tout incident qui présente un risque réel de préjudice important (art. 34.1) ;
• répondre à une demande d'accès dans les 45 jours.

Québec : la loi sur le secteur privé, modernisée par la Loi 25

La Loi sur la protection des renseignements personnels dans le secteur privé vise l'exploitation d'une entreprise au sens de l'article 1525 du Code civil : une activité économique organisée, qu'elle soit ou non à caractère commercial. Beaucoup d'OBNL sont donc visés. Les obligations principales :

• la personne ayant la plus haute autorité est responsable de la protection des renseignements personnels ; elle peut déléguer cette fonction par écrit, et le titre et les coordonnées du responsable sont publiés sur le site Web (art. 3.1) ;
• adopter des politiques de gouvernance, dont la conservation et la destruction et le traitement des plaintes (art. 3.2) ;
• faire une évaluation des facteurs relatifs à la vie privée avant tout projet de système d'information (art. 3.3) ;
• en cas d'incident présentant un risque de préjudice sérieux, aviser la Commission d'accès à l'information et les personnes concernées (art. 3.5), et tenir un registre des incidents (art. 3.8) ;
• informer les personnes, lors de la collecte, des fins, des moyens et de leurs droits (art. 8) ;
• répondre à une demande d'accès dans les 30 jours (art. 32).

Les autres provinces : Saskatchewan, Manitoba, Ontario, Nouveau-Brunswick, Nouvelle-Écosse, Île-du-Prince-Édouard, Terre-Neuve-et-Labrador

Ces provinces n'ont pas de loi générale sur le secteur privé. La LPRPDE y vise les activités commerciales. Pour les activités de base d'un OBNL, aucune loi générale ne s'applique le plus souvent, mais de bonnes pratiques restent attendues par vos membres, vos bailleurs de fonds et vos assureurs.

Les lois sur les renseignements de santé

Chaque province et territoire, sauf le Nunavut selon la liste du Commissariat, a une loi propre aux renseignements de santé. Elles visent surtout les fournisseurs de soins et les dépositaires de renseignements de santé. Si votre organisme offre des soins ou des services de santé, vérifiez si vous êtes visé :

• Colombie-Britannique : E-Health (Personal Health Information Access and Protection of Privacy) Act ;
• Alberta : Health Information Act ;
• Saskatchewan : Health Information Protection Act ;
• Manitoba : Loi sur les renseignements médicaux personnels ;
• Ontario : Loi de 2004 sur la protection des renseignements personnels sur la santé ;
• Québec : Loi sur les renseignements de santé et de services sociaux ;
• Nouveau-Brunswick : Loi sur l'accès et la protection en matière de renseignements personnels sur la santé ;
• Nouvelle-Écosse : Personal Health Information Act ;
• Île-du-Prince-Édouard : Health Information Act ;
• Terre-Neuve-et-Labrador : Personal Health Information Act ;
• Yukon : Health Information Privacy and Management Act ;
• Territoires du Nord-Ouest : Health Information Act.

Les bonnes pratiques qui valent partout

1. Nommez une personne responsable et publiez ses coordonnées.
2. Recueillez seulement ce qui est nécessaire, et dites pourquoi.
3. Limitez l'accès aux dossiers à ceux qui en ont besoin.
4. Fixez une durée de conservation, puis détruisez de façon sûre.
5. Préparez une marche à suivre en cas d'incident et tenez un registre.
6. Répondez aux demandes d'accès dans les délais (30 jours le plus souvent, 45 en Alberta).
7. Formez votre équipe, bénévoles compris.

Ce que Samwell fait pour vous

• Un registre des renseignements personnels et le suivi des demandes d'accès, avec leurs échéances.
• Des accès limités selon le rôle : chacun voit ce dont il a besoin.
• Des rappels pour les formations obligatoires de votre équipe.

Découvrir les fonctionnalités ou nous écrire.