Notes from the IAPP Canada: The value of privacy oversight before launch

I wrote last week that privacy should help good things happen, not become the reason they do not. Ontario's latest data-integration review is a useful example of what that can look like in practice.

On 23 Sept., the Ontario Information and Privacy Commissioner published its review of the Ministry of Finance's new inter-ministerial data integration unit. The interesting part is not simply what the regulator found. It is when the regulator found it: before the unit became operational. As a general rule, before launch is a better time to discover a serious privacy, security or AI problem than in the subsequent investigation.

These units can collect, link and analyze personal information held across government for purposes such as resource allocation, program planning and evaluation. There is an obvious public benefit in giving governments better evidence about whether programs work and where resources should go. There is also considerable privacy and security risk when large datasets are brought together.

That is precisely where preventive oversight can earn its keep.

According to the IPC, the ministry was responsive and collaborative during the review and substantively amended its practices in response to the regulator's comments. This was not simply an inspection followed by a report card. The review itself changed the way the system was being built.

Collaboration did not mean a free pass. The IPC still identified an outstanding high-risk issue and issued a binding order requiring the ministry, before operating the unit, to complete a threat-risk assessment specific to the data-integration environment. Among other things, it must address penetration testing, privileged access and audit logs. The IPC also identified issues concerning service providers, business continuity and disaster recovery and the documentation of data destruction.

I think this is an important distinction in how we sometimes think about privacy regulation. We tend to put regulation into two buckets: permission or prohibition. Yet some of its most useful work can happen between those outcomes, when independent scrutiny helps an organization figure out how to do something valuable responsibly. It turns out a regulator can occasionally be useful before everybody starts exchanging letters marked urgent.

There is an additional wrinkle here. This was Ontario's last mandatory review of its kind.

Bill 97, the Plan to Protect Ontario Act (Budget Measures), 2026, received Royal Assent on 24 April. Freedom of Information and Protection of Privacy Act amendments that came into force 15 Sept. removed the requirements for these IPC reviews before certain data-integration units begin operating and every three years thereafter.

That does not mean Ontario has abolished independent privacy oversight. The IPC retains discretionary review and order-making powers where it has reason to believe the law is not being followed. But the law has changed somewhat in a way that matters.

On the one hand, there is a legitimate efficiency argument for the change. Mandatory regulatory processes consume resources. Government institutions themselves should be responsible for building privacy and security into their systems, rather than relying on an external regulator to find every problem. Regulatory attention can then be concentrated where risks or evidence of noncompliance justify intervention. That's one side of the coin.

Still, this final review illustrates something that may be harder to replicate under that new model. A regulator investigating because it has reason to suspect non-compliance performs a different function from a regulator examining a system before launch and asking whether its design actually works.

For privacy professionals, the lesson extends beyond Ontario's data-integration regime. We increasingly work with systems that are difficult to unwind once deployed. Large-scale data analytics and AI systems are obvious examples. By the time a problem produces sufficient evidence to trigger regulatory attention, data may already have been linked, processes embedded and decisions made.

I suppose that this does not establish that mandatory IPC reviews were the only, or necessarily the best, way to provide a preventive check. Ontario has deliberately moved more responsibility to government institutions while preserving the regulator's ability to intervene, just not proactively.

The question now is whether the new model can preserve the most useful feature demonstrated by this final review: independent, practical scrutiny early enough to change the answer. It's a nuanced but important public policy issue. I, and I'm sure, many other policy developers out there, would like feedback on the appropriate approach. Please feel free to comment or to reach out to me. I'm easy to find.

Notes de l’IAPP Canada : L’importance de la surveillance de la protection de la vie privée en amont du déploiement

La semaine dernière, j’ai écrit que la protection de la vie privée devrait contribuer à la réalisation de bonnes initiatives, plutôt que devenir la raison pour laquelle elles ne voient pas le jour. Le plus récent examen de l’intégration des données en Ontario offre un exemple utile de ce que cela peut vouloir dire en pratique.

Le 23 septembre, le Commissariat à l’information et à la protection de la vie privée de l’Ontario a publié son examen du nouveau service interministériel d’intégration des données du ministère des Finances. Ce qui est intéressant, ce n’est pas seulement ce que le CIPVP a constaté, mais le moment où il l’a constaté : avant que le service ne devienne opérationnel. En règle générale, il vaut mieux découvrir un grave problème de protection de la vie privée, de sécurité ou d’IA « avant le lancement » que « dans le cadre de l’enquête qui s’ensuit ».

Ces services peuvent recueillir, relier et analyser des renseignements personnels détenus par différents organismes gouvernementaux à des fins comme l’affectation des ressources, la planification des programmes et leur évaluation. Il y a un avantage public évident à donner aux gouvernements de meilleurs éléments probants pour déterminer si les programmes fonctionnent et où les ressources devraient être affectées. Le regroupement de vastes ensembles de données comporte également des risques considérables pour la vie privée et la sécurité.

C’est précisément là que la surveillance préventive peut montrer toute son utilité.

Selon le CIPVP, le ministère s’est montré réceptif et collaboratif pendant l’examen et a apporté des modifications importantes à ses pratiques en réponse aux commentaires du régulateur. Il ne s’agissait donc pas simplement d’une inspection suivie d’un bulletin de rendement. L’examen lui-même a modifié la façon dont le système était conçu.

Cette collaboration ne signifiait pas pour autant que le ministère avait carte blanche. Le CIPVP a relevé une question à risque élevé qui demeurait non résolue et a rendu une ordonnance contraignante obligeant le ministère à effectuer, avant la mise en service de l’unité, une évaluation de la menace et des risques propre à l’environnement d’intégration des données. Cette évaluation doit notamment porter sur les tests d’intrusion, les accès privilégiés et les journaux d’audit. Le CIPVP a aussi soulevé des questions concernant les fournisseurs de services, la continuité des activités, la reprise après sinistre et la documentation de la destruction des données.

Je pense qu’il s’agit d’une distinction importante dans notre façon de concevoir parfois la réglementation de la vie privée. Nous avons tendance à classer la réglementation dans deux catégories : la permission ou l’interdiction. Pourtant, une partie de son travail le plus utile peut se faire entre ces deux résultats, lorsque l’examen indépendant aide une organisation à déterminer comment réaliser une initiative valable de manière responsable. Il semble qu’un régulateur puisse parfois être utile avant que tout le monde commence à s’échanger des lettres portant la mention « urgent ».

Il y a toutefois une autre particularité. Il s’agissait du dernier examen obligatoire de ce type en Ontario.

Le projet de loi 97, la Loi de 2026 sur le plan pour protéger l’Ontario (mesures budgétaires), a reçu la sanction royale le 24 avril. Des modifications à la Loi sur l’accès à l’information et la protection de la vie privée, entrées en vigueur le 15 septembre, ont supprimé l’obligation de soumettre certains services d’intégration des données à un examen du CIPVP avant leur mise en activité, puis tous les trois ans.

Cela ne signifie pas que l’Ontario a supprimé la surveillance indépendante en matière de protection de la vie privée. Le CIPVP conserve des pouvoirs discrétionnaires d’examen et d’ordonnance lorsqu’il a des motifs de croire que la loi n’est pas respectée. La loi a néanmoins changé d’une façon qui compte.

D’un côté, ce changement repose sur un argument légitime d’efficacité. Les processus réglementaires obligatoires exigent des ressources. Les institutions gouvernementales devraient elles-mêmes intégrer la protection de la vie privée et la sécurité à leurs systèmes, plutôt que compter sur un régulateur externe pour trouver chaque problème. L’attention réglementaire peut alors se concentrer sur les situations où les risques ou les indices de non-conformité justifient une intervention. C’est un côté de la médaille.

Ce dernier examen illustre néanmoins quelque chose qui pourrait être plus difficile à reproduire dans le nouveau modèle. Un régulateur qui enquête parce qu’il a des motifs de soupçonner un manquement exerce une fonction différente de celle d’un régulateur qui examine un système avant son lancement et cherche à déterminer si sa conception fonctionne réellement.

Pour les professionnels de la protection des renseignements personnels, la leçon dépasse le régime ontarien d’intégration des données. Nous travaillons de plus en plus avec des systèmes qu’il est difficile de démanteler une fois qu’ils sont déployés. Les systèmes d’analyse de données à grande échelle et d’IA en sont des exemples évidents. Lorsqu’un problème produit suffisamment d’éléments pour attirer l’attention du régulateur, les données peuvent déjà avoir été reliées, les processus intégrés et les décisions prises.

J’imagine que cela ne démontre pas que les examens obligatoires du CIPVP constituaient le seul moyen, ni nécessairement le meilleur, d’assurer un contrôle préventif. L’Ontario a délibérément transféré davantage de responsabilités aux institutions gouvernementales tout en préservant la capacité d’intervention du régulateur, mais pas de façon proactive.

La question est maintenant de savoir si le nouveau modèle pourra préserver la caractéristique la plus utile mise en évidence par ce dernier examen : un regard indépendant et pratique porté assez tôt pour changer la réponse. Il s’agit d’un enjeu de politique publique nuancé, mais important. Comme, j’en suis certain, de nombreux autres artisans de politiques publiques, j’aimerais connaître votre point de vue sur l’approche à privilégier. N’hésitez pas à commenter ou à communiquer avec moi. Je suis facile à trouver.

This French companion article is not meant to be an exact translation, but rather an article that generally covers the same topic as the English article.