Moissonnage web au Québec : enseignements tirés de l’enquête sur OpenAI et lignes directrices pratiques

• Accueil
• Perspectives
• Publications
• Moissonnage web au Québec : enseignements tirés de l'enquête...

Moissonnage web au Québec : enseignements tirés de l'enquête sur OpenAI et lignes directrices pratiques

En mai 2026, le Commissariat à la protection de la vie privée du Canada (le « CPVP ») et ses homologues provinciaux, de concert avec l'organisme de surveillance québécois de la protection des renseignements personnels (la Commission d'accès à l'information du Québec ou la « CAI »), ont publié leurs conclusions à la suite d'une enquête conjointe sur certaines pratiques de collecte et de traitement des données d'OpenAI OpCo, LLC (« OpenAI »). L'enquête a abordé un large éventail d'enjeux de protection de la vie privée soulevés par le développement et l'exploitation à grande échelle de systèmes d'intelligence artificielle (« IA »).

Bien que les conclusions de l'enquête aient une portée très large, le présent bulletin porte principalement sur l'évaluation de la CAI concernant le moissonnage Web de renseignements personnels et les considérations relatives à la protection de la vie privée en vertu des lois québécoises sur la protection des renseignements personnels. Cette évaluation sert d'ailleurs de fondement à nos lignes directrices pratiques que les organisations pourront suivre afin de mieux répondre aux attentes de la CAI dans le cadre de leurs activités de moissonnage de données.

1. Moissonnage Web : sa place dans l'économie numérique d'aujourd'hui

Depuis des décennies, Internet fonctionne comme le plus vaste référentiel d'information public au monde. Chaque jour, des milliards de pages de texte, d'images, de profils d'utilisateur, de messages de forum, d'articles de presse et de mises à jour dans les médias sociaux sont générés et publiés en ligne. Les organisations qui cherchent à tirer parti de ces données utilisent maintenant beaucoup le moissonnage. Au sens large, cette pratique vise la collecte automatisée de données à partir de sites Web et plateformes en ligne publics, généralement à l'aide de robots d'indexation spécialisés et d'autres types de robots qui extraient et stockent systématiquement du contenu à grande échelle.

Le moissonnage est répandu dans l'ensemble des secteurs d'activité. Par exemple, les organisations offrant des services de comparaison des prix s'y fient pour regrouper des données de vente au détail, les institutions financières s'en servent pour surveiller le sentiment du marché et les organismes de recherche le déploient pour analyser de vastes ensembles de textes ou de contenus. L'attrait demeure le même, peu importe le scénario : de grandes quantités de données sont facilement accessibles et la collecte automatisée de données en ligne peut s'avérer beaucoup plus efficace que les autres options.

Toutefois, avec l'expansion rapide de l'IA et, surtout, le développement de grands modèles de langage (« GML »), l'importance du moissonnage a pris une ampleur sans précédent. Pour qu'il puisse apprendre les structures grammaticales, les relations contextuelles, les associations factuelles et les schémas linguistiques ou établir d'autres associations, un modèle d'IA sophistiqué nécessite un volume énorme de données textuelles. Les ensembles de données extraits du Web sont donc devenus, pour les développeurs d'IA, une source principale de données d'entraînement.

Par ailleurs, le moissonnage comporte des risques de non-conformité qui ne se limitent pas nécessairement à un seul pays ou territoire de compétence. Les organismes de réglementation de la protection de la vie privée à travers le monde constatent une augmentation du nombre d'incidents impliquant cette pratique, surtout en ce qui concerne les médias sociaux et d'autres sites Web qui hébergent et diffusent des données en ligne. En août 2024, par exemple, le CPVP s'est joint à 11 autres autorités internationales de protection des données pour publier une déclaration commune [1] à l'intention des grandes entreprises de médias sociaux énonçant les principes clés de protection des renseignements personnels et signale une attention réglementaire mondiale coordonnée à l'égard du moissonnage.

Cela dit, un nombre croissant de directives, de décisions d'exécution et de commentaires des autorités de protection de la vie privée du monde entier porte sur les préoccupations en la matière liées au moissonnage. Plus récemment, la CAI a eu l'occasion d'évaluer les pratiques de moissonnage d'OpenAI afin de vérifier leur conformité à la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (la « Loi québécoise »), qui régit la collecte, l'utilisation et la communication de renseignements personnels.

2. Renseignements généraux à propos de l'enquête conjointe sur OpenAI

En mai 2023, à la suite d'une plainte déposée au Canada, le CPVP, la CAI, le Commissariat à l'information et à la protection de la vie privée de l'Alberta et le Commissariat à l'information et à la protection de la vie privée de la Colombie-Britannique ont mené une enquête conjointe sur le créateur de ChatGPT, OpenAI.

L'enquête portait sur un grand nombre de pratiques de traitement des données d'OpenAI en lien avec le développement et le déploiement des modèles d'IA sous-jacents GPT-3.5 et GPT-4, lesquels alimentent ChatGPT. Elle visait à déterminer, entre autres enjeux examinés, si OpenAI avait une raison légitime de recueillir les renseignements personnels des Canadiens, y compris ceux extraits du Web, pour entraîner ses modèles, si les individus concernés avaient été correctement informés des activités de collecte et de traitement des données de l'entreprise et si ces individus y avaient consenti de façon éclairée.

OpenAI a coopéré durant l'enquête et fourni de nombreuses déclarations. Les conclusions ont été publiées en mai 2026 [2], ce qui représente l'une des évaluations réglementaires canadiennes les plus complètes à ce jour.

3. Conclusions de la CAI : considérations juridiques en matière de moissonnage Web

3.1. Le moissonnage déclenchera des obligations en matière de vie privée

Durant l'enquête, OpenAI a soutenu, en partie, que toute collecte de renseignements personnels dans le cadre de ses activités d'entraînement était accessoire à l'objectif principal de créer un GML. La CAI, de même que les autres commissariats, a rejeté cette déclaration et conclu que la collecte de renseignements personnels par moissonnage, même si elle est accessoire à d'autres activités principales, est assujettie à l'application intégrale du cadre québécois de protection des renseignements personnels.

En fait, le recours à cette pratique a amené OpenAI à recueillir de vastes quantités de renseignements personnels pour entraîner ses modèles d'IA. Selon la CAI, le fait que de tels renseignements ont été extraits sans distinction dans un ensemble de données plus vaste n'a pas réduit la quantité recueillie, ni diminué leur degré de sensibilité, ni libéré OpenAI de l'obligation de respecter la Loi québécoise. La CAI a précisé que le caractère accessoire ou non de la collecte n'a aucune répercussion sur l'obligation pour OpenAI de respecter les exigences de cette Loi, puisque, dans les faits, il y a eu collecte de renseignements personnels.

Par conséquent, la CAI et les commissariats ont clairement établi que les activités de moissonnage déclenchent l'application des lois sur la protection des renseignements personnels lorsque ceux-ci sont recueillis, quelles que soient les fins (ou l'absence de fins) auxquelles ils ont été recueillis.

3.2. Les données en ligne ne sont pas des renseignements « publics »

Un autre aspect que la CAI a cherché à déterminer était la question de savoir si les renseignements accessibles en ligne étaient « publics » au sens de la Loi québécoise, ce qui les aurait libérés des exigences de cette dernière. Plus précisément, la Loi québécoise prévoit qu'elle « ne [s'applique] pas à un renseignement personnel qui a un caractère public en vertu de la Loi ».

La CAI a estimé que cette exception prévue à la Loi ne s'appliquait pas aux renseignements accessibles sur le Web sans restriction. Le simple fait qu'une personne ait publié des renseignements en ligne, que ce soit sur un blogue personnel, un forum ou une plateforme d'évaluation, ne leur conférait pas un caractère public aux fins de la Loi québécoise ni n'autorisait les tiers à les recueillir et à les utiliser sans discernement et à n'importe quelle fin.

De plus, les organisations ne devraient pas conclure que si une personne publie des renseignements ou du contenu sur le Web sans restriction, elle a forcément été bien informée de l'utilisation possible de ces renseignements et de l'éventuelle communication à des tiers, ou a même donné son consentement valide à une telle utilisation ou communication. Le contexte initial de publication ou de mise à la disposition en ligne doit être pris en compte pour déterminer si l'individu a été dûment avisé que ses renseignements personnels pouvaient être recueillis par des tiers et à quelles fins.

La position de la CAI sur ce point n'est pas entièrement nouvelle, puisqu'elle l'a exprimée par le passé, notamment dans le cadre d'une enquête sur Clearview AI, Inc [3]. L'entreprise avait créé une base de données de reconnaissance faciale en extrayant des milliards d'images faciales publiquement accessibles sur le Web. Dans cette enquête, la CAI a conclu qu'il n'existait aucune loi québécoise en vertu de laquelle des renseignements personnels pourraient être considérés comme publics uniquement parce qu'ils étaient publiés en ligne ou mis à la disposition sur les médias sociaux. La CAI était d'avis que les exceptions à l'obligation d'obtenir le consentement en vertu des lois sur la protection des renseignements personnels doivent être interprétées de manière restrictive et ne sauraient être invoquées au-delà de leur champ d'application pour justifier l'exploitation commerciale à grande échelle de tels renseignements simplement parce qu'ils étaient techniquement accessibles.

3.3. La collecte de renseignements effectuée directement auprès d'un individu diffère de celle effectuée auprès d'un tiers

La CAI a établi une distinction importante entre une collecte effectuée directement auprès de l'individu concerné et celle effectuée auprès d'un tiers. Elle a déclaré que, dans le cadre du moissonnage de données sur Internet, la collecte ne peut être considérée comme ayant été effectuée directement auprès de l'individu concerné que dans de rares situations. Par exemple, cela peut être le cas si une organisation récupère du contenu à partir d'une page Web qui appartient à cet individu ou si les conditions d'utilisation de la plateforme le prévoient expressément. Dans toutes les autres situations, les règles régissant la collecte de renseignements personnels auprès de tiers s'appliqueront, ce qui est particulièrement pertinent dans le contexte des plateformes de médias sociaux et de réseautage.

Les renseignements publiés sur les médias sociaux sont généralement assujettis à une licence que les utilisateurs accordent à la plateforme, autorisant celle-ci à publier leurs renseignements. Ainsi, lorsqu'une organisation extrait des données sur une plateforme de médias sociaux, elle recueille en fait les renseignements d'un individu assujettis à une licence auprès d'un tiers (et non directement auprès de l'individu). Cela entraîne donc l'application des règles relatives au consentement qui encadrent la collecte de renseignements personnels auprès de tiers plutôt que celles encadrant la collecte directement auprès de l'individu concerné.

Cette distinction est importante, car l'organisation qui recueille les renseignements doit, dans le cadre régissant la collecte auprès d'un tiers, être en mesure de prouver que le consentement a été donné au moment de leur publication sur le site Web ou la plateforme. Autrement dit, pour être conforme à la Loi québécoise, une organisation qui recueille des renseignements obtenus par moissonnage doit pouvoir démontrer qu'au moment où l'individu concerné les a publiés en ligne, il a été dûment informé de la communication de ses renseignements personnels à des tiers (l'organisation effectuant le moissonnage) aux fins prévues (l'entraînement de modèles d'IA ou d'autres fins) et y a consenti.

3.4. Le moissonnage légal est possible

Malgré les obligations susmentionnées, la CAI a précisé que le moissonnage de renseignements personnels n'est pas illégal en soi. Elle a reconnu qu'un moissonnage licite était possible, mais que le caractère légal ne pouvait être déterminé qu'à la suite d'une analyse rigoureuse tenant compte du contexte. Il est donc tout à fait possible que des utilisateurs, en fonction des renseignements fournis lors de la collecte, des conditions d'utilisation applicables au site Web ou à la plateforme, et des politiques de confidentialité en vigueur au moment de la publication initiale, aient été dûment informés et, par ce fait, aient consenti à ce que leurs renseignements personnels soient rendus accessibles sur le Web et communiqués à des tiers ainsi que moissonnés aux fins d'entraînement de modèles d'IA.

3.5. Nul ne doit présumer le consentement

OpenAI a soutenu que lorsqu'un tiers publie des renseignements personnels en ligne, il est raisonnable de supposer que l'individu concerné a autorisé la publication et de présumer son consentement. La CAI n'a pas retenu cet argument. Elle a plutôt estimé que les organisations doivent tenir compte du contexte général de la publication pour s'assurer que l'individu a bel et bien consenti à la communication à un tiers. Elle a ajouté qu'en cas de doute, elles doivent s'abstenir de recueillir les renseignements, au lieu de présumer qu'elles ont le droit de le faire.

Imaginons, par exemple, qu'un membre de la famille publie des renseignements personnels concernant un autre individu, y compris son nom, sa photo et son emplacement, sur une page de médias sociaux publique. L'individu dont les renseignements sont affichés en ligne n'a peut-être jamais consenti à cette publication, encore moins au moissonnage subséquent de ses renseignements. Selon l'approche de la CAI, une organisation ne doit pas présumer le caractère licite de sa collecte simplement parce que des renseignements sont publics. Elle doit tenir compte du contexte de la collecte initiale ainsi qu'évaluer si l'individu a reçu un avis approprié et s'il a donné un consentement valide. Dans le doute, il convient de s'abstenir de recueillir des renseignements.

La CAI a également indiqué qu'OpenAI aurait dû évaluer si la publication de ces renseignements constituait une communication sans consentement dans le contexte d'une utilisation à des fins secondaires de renseignements personnels initialement recueillis à une autre fin par un tiers ou si les renseignements concernaient une personne de moins de quatorze (14) ans, auquel cas le consentement du titulaire de l'autorité parentale ou du tuteur pourrait être requis.

Les autorités de protection de la vie privée du monde entier soulignent les préoccupations sur le moissonnage massif de renseignements personnels disponibles en ligne. Une fois que les renseignements personnels d'un individu ont été extraits, celui-ci en perd effectivement le contrôle. Les extracteurs de données pourraient regrouper et combiner les données extraites d'un site avec des renseignements personnels obtenus auprès d'autres sources, et les utiliser à des fins diverses. En outre, même si les individus retirent leur consentement de la plateforme où ils ont initialement publié leurs renseignements ou demandent la suppression de ceux-ci, l'exercice de leurs droits pourrait n'avoir aucun effet : les extracteurs de données continueront probablement à utiliser les renseignements et à les communiquer, limitant ainsi le contrôle que peuvent exercer ces individus sur leur présence et leur réputation en ligne [4].

3.6. Les renseignements personnels peuvent avoir différents cycles de vie

La Loi québécoise prévoit qu'une organisation ne peut pas communiquer de renseignements personnels à des tiers sans le consentement de l'individu concerné. OpenAI a soutenu qu'une telle interdiction ne s'appliquait pas à sa collecte de renseignements personnels sur le Web ou auprès de fournisseurs de données tiers, au motif que la communication de renseignements personnels est techniquement différente de leur collecte.

Rejetant cette position, la CAI a estimé que le moissonnage est assujetti aux règles régissant, d'une part, la communication de renseignements personnels à un tiers et, d'autre part, l'obtention de tels renseignements auprès d'une autre partie. Par exemple, lorsqu'un exploitant de site Web publie des renseignements personnels en ligne, cet acte peut constituer en soi la communication de ces renseignements à des tiers (comme des organisations réalisant un moissonnage de données). Parallèlement, lorsque l'organisation effectuant le moissonnage extrait les données, elle recueille effectivement des renseignements personnels. Un nouveau cycle de vie commence alors pour ces renseignements au sein de l'organisation. Vu sous cet angle, un renseignement personnel peut avoir plusieurs cycles de vie dans différentes organisations et être assujetti à des règles spécifiques en vertu de la Loi québécoise.

De plus, lorsque l'organisation effectuant le moissonnage développe un modèle d'IA susceptible de révéler ce même renseignement personnel aux utilisateurs dans ses résultats, cela peut constituer une nouvelle communication de ce renseignement à des tiers (cette fois aux utilisateurs du système d'IA). Les règles relatives à la communication à des tiers s'appliquent alors de nouveau. Autrement dit, la chaîne de communication aux tiers ne s'arrête pas au moment du moissonnage; elle peut comprendre toute communication subséquente des renseignements.

3.7. La documentation des activités de collecte et de traitement des données est essentielle

La CAI a conclu qu'OpenAI n'a pas établi les sources en ligne à partir desquelles elle a extrait ou obtenu ses renseignements. En raison de ce manque de transparence, OpenAI n'a pas été en mesure de démontrer, pour chaque source, que les individus dont les renseignements ont été recueillis avaient été correctement informés ou avaient donné un consentement valide. Par conséquent, faute de preuve attestant que des vérifications de conformité appropriées ont été effectuées, la CAI a conclu qu'OpenAI n'a pas respecté la Loi québécoise.

Un enseignement pratique que nous pouvons tirer des conclusions concernant OpenAI est qu'une organisation ne doit pas seulement affirmer qu'elle agit conformément aux lois sur la protection des renseignements personnels, mais aussi suffisamment documenter le contexte dans lequel les renseignements personnels qu'elle détient ont été recueillis, sont utilisés et seront communiqués et, selon le cas, démontrer que les individus concernés ont été dûment informés et ont donné un consentement valide.

3.8. Les mesures contractuelles avec des tiers doivent être bien définies

De nombreuses organisations n'effectuent pas de moissonnage Web elles-mêmes, mais obtiennent plutôt des ensembles de données préassemblés auprès de courtiers en données tiers, d'agrégateurs de contenu ou de partenaires commerciaux qui ont recueilli les renseignements par moissonnage. Afin de compléter ses activités de collecte directe, OpenAI a recueilli des renseignements personnels en concluant des ententes de partage de données avec des fournisseurs de données. Dans ce contexte, OpenAI a déclaré avoir contractuellement garanti que ces fournisseurs avaient transmis des avis appropriés aux individus concernés et, le cas échéant, obtenu leur consentement valide.

La CAI a adopté une position plus nuancée quant aux mesures contractuelles prises par OpenAI. Elle a conclu que, compte tenu des améliorations apportées aux ententes d'OpenAI au fil du temps, les mesures contractuelles en place au moment de l'enquête et les mécanismes de vérification du consentement étaient raisonnables dans les circonstances. Par conséquent, sous réserve de toute preuve contraire, elle a conclu que les pratiques contractuelles d'OpenAI à l'égard de ses fournisseurs de données étaient conformes aux exigences légales du Québec. Néanmoins, la CAI a encouragé OpenAI à mettre en œuvre des mesures supplémentaires pour renforcer sa gouvernance en matière de vie privée, notamment au moyen de vérifications de la protection des renseignements personnels, afin d'assurer une conformité continue.

En dehors du cadre de l'enquête sur OpenAI, les autorités de protection de la vie privée ont été plus explicites que la CAI quant à ce qui constitue, en pratique, une gouvernance contractuelle adéquate. En octobre 2024, 16 d'entre elles, dont le CPVP, ont publié une déclaration commune finale sur l'extraction de données [5] à la suite d'échanges directs avec les principales entreprises de médias sociaux. Cette déclaration précise que les modalités contractuelles ne peuvent pas, à elles seules, rendre cette extraction légitime. Les organisations doivent veiller à ce qu'il existe un fondement légitime pour accorder l'accès aux renseignements personnels ou permettre leur collecte, à être transparentes quant à la nature de l'extraction autorisée et à obtenir le consentement lorsque la loi l'exige.

4. Mise en pratique des enseignements tirés

À la lumière des recommandations officielles formulées dans les conclusions du rapport d'enquête sur OpenAI de la CAI et des considérations susmentionnées, nous avons élaboré quelques lignes directrices pratiques que les organisations devraient suivre. Il convient de souligner que la légalité des activités de moissonnage Web en vertu de la Loi québécoise doit être évaluée au cas par cas. Par conséquent, les lignes directrices ci-dessous doivent être considérées comme de l'information générale. Chaque activité de moissonnage doit être évaluée dans son contexte et tenir compte de tous les facteurs pertinents en matière de protection des renseignements personnels.

4.1. Il faut vérifier les sources avant d'effectuer la collecte

Avant de recueillir des renseignements personnels provenant d'une source publique, que ce soit directement auprès de l'individu concerné ou par l'intermédiaire d'un ensemble de données tiers, les organisations doivent évaluer la source afin d'établir le contexte de publication initial des renseignements et de déterminer si les individus ont été clairement informés que leurs renseignements pouvaient être rendus accessibles en ligne et ensuite recueillis par des tiers, si les conditions d'utilisation de la plateforme en question autorisaient la collecte de données par des tiers et si les renseignements pouvaient concerner des personnes de moins de quatorze (14) ans, nécessitant le consentement d'un parent ou d'un tuteur, ou pouvaient avoir un caractère sensible. Ces vérifications doivent être documentées à des fins de conformité.

4.2. Il ne faut pas présumer le consentement

Les organisations devraient établir des lignes directrices internes interdisant de présumer que les renseignements disponibles en ligne peuvent être librement recueillis et utilisés par les diverses unités opérationnelles de l'organisation. Des processus de gouvernance interne appropriés devraient être mis en place pour que chaque source de données soit évaluée individuellement aux fins de conformité, surtout pour s'assurer que les individus concernés ont consenti à ce que des tiers communiquent et utilisent leurs renseignements personnels. En cas de doute quant au fait que ces individus ont donné un consentement valide, la position par défaut est de s'abstenir de recueillir ou d'extraire les renseignements en question.

4.3. Il faut vérifier la chaîne d'avis et de consentement

Lorsque des renseignements personnels sont obtenus d'un fournisseur de données tiers qui les a recueillis par moissonnage, les organisations doivent s'assurer que leurs ententes de partage des données exigent de leur fournisseur de données qu'il garantisse qu'un avis approprié a été transmis et, le cas échéant, que le consentement a été obtenu lors de la collecte initiale. Les ententes doivent également exiger que les partenaires précisent les sources des données qu'ils fournissent. Au besoin, les organisations doivent également envisager d'exercer leurs droits de vérification afin d'examiner périodiquement les garanties et les déclarations du fournisseur de données à cet égard.

4.4. Il faut évaluer l'utilisation subséquente des renseignements personnels

Les organisations qui recueillent des renseignements personnels extraits, puis les utilisent ou les communiquent peuvent déclencher l'application de plusieurs dispositions de la Loi québécoise, y compris les règles de consentement applicables aux utilisations secondaires et les règles régissant la communication de tels renseignements par des tiers. Une analyse qui porte uniquement sur la collecte initiale de renseignements personnels, sans aborder leur utilisation, leur communication et leur traitement ultérieurs, peut entraîner des lacunes dans le dispositif de conformité. Assurez-vous qu'un avis approprié a été transmis et qu'un consentement valide a été obtenu pour toute fin subséquente pour laquelle les renseignements personnels pourraient être utilisés ou communiqués.

4.5. Il faut faire preuve de grande prudence avec les renseignements sur les mineurs

La CAI a spécifiquement mis en évidence les risques associés à la collecte de renseignements personnels concernant les personnes de moins de quatorze (14) ans, pour laquelle le consentement d'un parent ou d'un tuteur est requis. Les organisations doivent mettre en place des procédures pour repérer les renseignements personnels sur les mineurs et les exclure des ensembles de données extraits du Web ou prendre des mesures concrètes pour se conformer aux exigences de la Loi québécoise. Elles doivent aussi considérer les renseignements personnels sur les mineurs comme sensibles et mettre en œuvre des pratiques plus rigoureuses de gouvernance en matière de vie privée.

5. Points à retenir

Le moissonnage Web est une pratique de collecte de données répandue dans l'économie numérique moderne, et son utilisation devrait continuer à augmenter à mesure que s'accélère la demande en données d'entraînement des systèmes d'IA. Dans ce contexte, il est essentiel que les organisations résistent à la tentation de considérer les données disponibles en ligne comme un véritable « buffet à volonté » et une source infinie de données librement accessibles, que l'on peut recueillir et réutiliser sans aucune restriction.

La Loi québécoise s'applique chaque fois que des renseignements personnels sont recueillis à partir de sources en ligne, peu importe la façon dont ils sont devenus accessibles en ligne, que la collecte ait été effectuée directement auprès des individus concernés ou par l'intermédiaire d'un tiers. Peu importe la façon dont les renseignements personnels provenant de sources en ligne sont recueillis, les organisations doivent i) démontrer, au niveau de la source, que les individus ont été correctement informés et que leur consentement valide a été obtenu, ii) évaluer l'ensemble de la chaîne de possession des renseignements qu'elles recueillent, iii) faire preuve de grande vigilance lorsque leurs activités de collecte peuvent comprendre des renseignements sur des mineurs ou des renseignements sensibles, et iv) documenter adéquatement leur évaluation de la protection de la vie privée et leurs efforts de conformité, y compris lorsqu'ils font appel à des tiers.

Les organisations doivent donc considérer le moissonnage Web comme une activité de traitement des données nécessitant le même niveau de rigueur, de gouvernance et de responsabilisation que toute autre forme d'activité de ce genre qu'elles pourraient entreprendre. Il pourrait être judicieux de réaliser des évaluations des facteurs relatifs à la protection de la vie privée, de faire examiner la question par le service juridique interne et, le cas échéant, de consulter un conseiller juridique en protection de la vie privée avant d'entreprendre tout moissonnage Web de renseignements personnels concernant des individus au Québec.

Nous espérons que ce bulletin vous aura été utile pour mieux gérer et orienter vos efforts de conformité.

[1] Déclaration commune sur l'extraction de données et la protection des renseignements personnels, par le Commissariat à la protection de la vie privée du Canada et al., 24 août 2023.
[2] Conclusions en vertu de la LPRPDE nº 2026-002 - Enquête conjointe sur OpenAI OpCo, LLC, par le Commissariat à la protection de la vie privée du Canada et al., 6 mai 2026.
[3] Conclusions en vertu de la LPRPDE nº 2021-001 - Enquête conjointe sur Clearview AI, Inc., par le Commissariat à la protection de la vie privée du Canada et al., 2 février 2021.
[4] Déclaration commune sur l'extraction de données et la protection des renseignements personnels, par le Commissariat à la protection de la vie privée du Canada et al., 24 août 2023.
[5] Déclaration commune finale sur l'extraction de données et la protection des renseignements personnels, par le Commissariat à la protection de la vie privée du Canada et al., octobre 2024.

Par Amir Kashdaran

Mise en garde

Le contenu du présent document ne fournit qu'un aperçu du sujet et ne saurait en aucun cas être interprété comme des conseils juridiques. Le lecteur ne doit pas se fonder uniquement sur ce document pour prendre une décision, mais devrait plutôt obtenir des conseils juridiques précis.

© McMillan S.E.N.C.R.L., s.r.l. 2026