Notes from the IAPP Canada: Course correction may be coming for Canada's privacy enforcement model

At the end of this article, it will become obvious why I'm writing about the history of administrative law in Canada — patience is a virtue.

Starting in the 1950s and accelerating on a curve, Western democracies learned that the laisser-faire approach that preceded and partially resulted in world wars and other atrocities like the great depression, was not sustainable. While resisting the Eastern-bloc approach of the state interfering in every aspect of business and life, Western democracies started down the path of regulating issues more seriously. Think atomic energy and, later, the environment.

In parallel, particularly in the 1970s and early '80s, these same Western democracies were interested in entrenching — often constitutionally — freedoms and rights against government abuse. Essentially, this was akin to regulating the government in somewhat the same way as we were regulating businesses.

The difference, back then, was that the regulation of industries was too cumbersome for regular law enforcement — think police and courts — to enforce. Hence, we created what became a sophisticated administrative law system where, as part of the executive branch of government, tribunals and commissions were set up to monitor, investigate and enforce specific laws. 

On the public sector side, at least at the federal level, the first out of the gate on these issues, we didn't want executive-branch administrative tribunals enforcing public-sector obligations, so we created Officers of Parliament. There are several, but of interest to this audience, was the creation of the privacy commissioner who was set up to monitor and enforce the government's handling of personal information. The motivation behind this was nothing close to the motivation — almost 20 years later — for the need to regulate privacy in the private sector.

However, when it came to the regulation of privacy in the private sector, the path of least resistance in the mid to late 1990s was to use the same body that was doing this type of enforcement for the public sector. Hence the privacy commissioner was tagged with enforcing a private sector law, even though they were an Officer of Parliament, without the regular tools and accountability measures as the traditional administrative tribunals that were created for other industries.

If we're reading the tea leaves and interpreting brand-new laws properly, the writing is on the wall that this uniquely Canadian approach from generations ago might be up for a rather drastic course correction. This past week, the federal government introduced legislation that would create an administrative tribunal to oversee social media companies. 

And, the rumours are fast and furious that this same administrative tribunal could become the proposed regulator for all personal information regulation in the private sector. Clearly, I have a ton to write about over the next few weeks to fill you in on what's going on — regardless of whether these rumours I'm hearing are true.

What is clear is that we are coming up against a tidal wave of new ideas and proposed laws. New social media rules, new private sector privacy legislation, a consultation on unsolicited marketing rules, etc. 

A slow summer 2026? I don't think so. I suspect many of us will be doing lots of homework and reading while listening to the loons on the lake.

Notes de l'IAPP Canada : Une correction de cap pourrait venir pour le modèle canadien d'application de la vie privée

À la fin de ce texte, vous comprendrez pourquoi je me lance dans un retour sur l’histoire du droit administratif au Canada. Un peu de patience.

À partir des années 1950, et de façon de plus en plus rapide par la suite, les démocraties occidentales ont réalisé que l’approche de laisser-faire qui avait caractérisé les décennies précédentes — et qui avait contribué, en partie, à des crises majeures comme la Grande Dépression et même aux conflits mondiaux — n’était tout simplement pas viable. Sans pour autant adopter le modèle interventionniste des régimes du bloc de l’Est, elles ont entrepris de réguler davantage certains secteurs jugés essentiels. On peut penser notamment à l’énergie nucléaire, puis, plus tard, à l’environnement.

En parallèle, dans les années 1970 et au début des années 1980, ces mêmes démocraties ont cherché à mieux protéger les droits et libertés, souvent en les inscrivant dans leurs constitutions. En quelque sorte, on s’est mis à encadrer l’action de l’État avec la même rigueur qu’on imposait désormais aux entreprises.

À l’époque, cependant, les mécanismes traditionnels d’application de la loi — comme les tribunaux judiciaires ou les forces policières — n’étaient pas adaptés à cette nouvelle réalité réglementaire, trop complexe et spécialisée. C’est ainsi qu’a émergé, au Canada comme ailleurs, un système de droit administratif sophistiqué, reposant notamment sur des tribunaux spécialisés, des commissions et divers organismes chargés de surveiller, d’enquêter et de faire respecter des lois précises.

Du côté du secteur public fédéral, on a emprunté une voie un peu différente. Plutôt que de confier la surveillance à des organismes relevant de l’exécutif, on a créé des agents du Parlement. Parmi eux, le commissaire à la protection de la vie privée, chargé de surveiller et d’encadrer la manière dont l’État traite les renseignements personnels. À ce moment-là, la motivation n’avait rien à voir avec celle qui, près de vingt ans plus tard, allait mener à la réglementation de la vie privée dans le secteur privé.

Lorsque le moment est venu, dans les années 1990, d’encadrer la protection des renseignements personnels dans le secteur privé, la solution la plus simple a été d’utiliser l’institution déjà en place. Le commissaire à la protection de la vie privée s’est donc vu confier ce nouveau rôle, même s’il demeurait un agent du Parlement. Résultat : un modèle assez particulier, où un organisme sans les mêmes outils ni les mêmes mécanismes de reddition de comptes que les tribunaux administratifs traditionnels se retrouve à faire respecter des règles applicables aux entreprises.

Si on se fie aux signaux récents — et aux nouveaux projets de loi qui commencent à émerger — il est possible que cette approche typiquement canadienne fasse l’objet d’une remise en question importante. Le gouvernement fédéral a récemment présenté un projet de loi visant la création d’un tribunal administratif chargé de surveiller les plateformes de médias sociaux. Et selon plusieurs échos qui circulent, ce même tribunal pourrait éventuellement devenir le régulateur de référence pour l’ensemble de la protection des renseignements personnels dans le secteur privé.

Peu importe que ces hypothèses se concrétisent ou non, une chose est claire: nous entrons dans une période particulièrement dynamique sur le plan législatif et réglementaire. Nouvelles règles pour les médias sociaux, réforme annoncée du cadre applicable au secteur privé, consultations sur le marketing non sollicité… les dossiers s’accumulent rapidement.

Un été tranquille en 2026? J’en doute. Il y a fort à parier que plusieurs d’entre nous passeront une bonne partie de la saison à lire et à se mettre à jour… peut-être avec le chant des huards en trame de fond.

This French companion article is not meant to be an exact translation, but rather an article that generally covers the same topic as the English article.