Projet de loi C-34 : ce qui change et comment les exploitants de services numériques peuvent se préparer (Alerte client)

Aperçu du projet de loi C-34

• Le projet de loi établirait un nouveau cadre fédéral de sécurité numérique visant les services de médias sociaux réglementés, les services d’agents conversationnels (chatbots) réglementés et certains services en ligne.
• Le régime proposé s'appliquerait aux services de médias sociaux réglementés, aux services d’agents conversationnels fondés sur l'intelligence artificielle (IA) utilisant le langage naturel réglementés ainsi qu’à certains services en ligne qui présentent des risques pour les enfants.
• Les exploitants seraient assujettis à de nouvelles obligations en matière de protection de l'enfance, de contenus préjudiciables, de gouvernance et de transparence.
• Tout manquement à ces dispositions peut entraîner des sanctions administratives pécuniaires pouvant aller jusqu’à 10 M$ ou 3 % des revenus bruts mondiaux, selon la somme la plus élevée, ou jusqu’à 20 M$ ou 5 % des revenus bruts mondiaux, selon la somme la plus élevée, en cas d’infraction.
• Les éléments clés de ce cadre seront définis dans des règlements à venir, ce qui engendre une incertitude quant à son champ d'application et à sa mise en œuvre.

En quoi consiste le projet de loi C-34 et en quoi est-il important?

Le gouvernement fédéral a déposé le projet de loi C-34 le 10 juin 2026, édictant la Loi sur la sécurité numérique (la LSN) et la Loi sur la Commission canadienne de la sécurité numérique (la LCCSN).

Le projet de loi C-34 s’inscrit dans le cadre de l’approche plus large du Canada visant à réglementer les préjudices en ligne, les plateformes numériques et les services intégrant l’IA.

S’il est adopté, le projet de loi établirait un nouveau cadre fédéral de sécurité numérique pour les médias sociaux, les services d’agents conversationnels et les services en ligne, qui sont assujettis à la réglementation, en mettant fortement l’accent sur la réglementation des contenus préjudiciables et la protection des enfants. Ce cadre s’appuie en outre sur un régime de sanction rigoureux, comprenant des sanctions financières importantes en cas de non-conformité.

Le projet de loi C‑34 est le successeur du projet de loi C‑63 (la proposition de Loi sur les préjudices en ligne), qui n’a pas été adopté. Bien que les deux projets de loi visent à lutter contre les préjudices en ligne et à protéger les enfants, le projet de loi C‑34 adopte un cadre réglementaire et administratif axé sur les obligations des exploitants de certains types de services.

Cette évolution traduit une approche plus ciblée et plus opérationnelle de la sécurité numérique. Néanmoins, comme ce fut le cas avec le projet de loi C-63, de nombreux éléments clés du régime demeurent subordonnés à des règlements futurs, ce qui engendre une incertitude importante quant à son champ d’application, aux exigences techniques et aux délais de mise en œuvre pour les exploitants concernés de services réglementés.

Portée et application de la LSN

La LSN s’applique à trois catégories différentes de services :

1. Service de média social : site Web ou application ayant pour objectif principal de faciliter la communication en ligne entre ses utilisateurs en leur permettant d’accéder à du contenu et d’en partager.
2. Service d’agent conversationnel : système d’IA accessible en ligne qui utilise une interface en langage naturel pour fournir, en mode conversationnel, des réponses de type humain aux entrées effectuées par les utilisateurs, et qui peut être utilisé pour simuler, par de multiples interactions, des relations de type humain et qui peut créer des contenus qui ne sont pas entièrement préconçus par son développeur ou son exploitant.
3. Service en ligne : tout site Web ou toute application, autre qu’un service de média social ou un service d’agent conversationnel, qui permet aux utilisateurs du site Web ou de l’application d’interagir avec celui-ci, dans la mesure où le service relève d’une catégorie de services en ligne présentant un risque important de préjudice pour les enfants, catégorie qui sera définie dans de futurs règlements sur recommandation de la Commission.

Les obligations prévues à la LSN s’appliquent expressément aux services de médias sociaux réglementés, aux services d’agents conversationnels réglementés ou aux services en ligne réglementés.

Constituent des services réglementés les services :

• qui comptent un nombre d’utilisateurs égal ou supérieur au nombre d’utilisateurs significatif prévu par règlement;
• ou, à défaut d’atteindre ce seuil, qui présentent un risque important de préjudice pour les personnes (dans le cas des services d’agents conversationnels), un risque important que du contenu préjudiciable soit accessible (dans le cas des services de médias sociaux) ou qui présentent un risque important de préjudice pour les enfants au Canada (dans le cas des services en ligne).

La LSN exclut toutefois plusieurs types de services de son champ d’application, dont les suivants :

• les services utilisés principalement pour faciliter la vente, l’annonce ou la publicité de biens ou de services;
• les services fournissant un accès à des répertoires, à des résultats de recherche, à des cartes géographiques ou à des outils de navigation;
• les services de connectivité de base à Internet fournis par les fournisseurs de services de télécommunications;
• les fonctions de messagerie privée des services de médias sociaux ou des services en ligne.

La LSN vise les types de contenus préjudiciables suivants :

• contenu intime communiqué de façon non consensuelle;
• contenu représentant de la victimisation sexuelle d’enfants ou perpétuant la victimisation de survivants;
• contenu poussant un enfant à se porter préjudice;
• contenu visant à intimider un enfant;
• contenu fomentant la haine;
• contenu incitant à la violence;
• contenu de terrorisme ou d’extrémisme violent.

Principales obligations de conformité prévues au projet de loi C-34

Le projet de loi propose de créer des obligations spécifiques qui s’appliqueraient aux exploitants de tout service réglementé, mais aussi plus particulièrement à certains types de services réglementés.

Le projet de loi classe ces obligations comme suit :

• obligation de protéger les enfants (tous les services réglementés);
• obligation d’agir de manière responsable (services réglementés de médias sociaux et d’agents conversationnels);
• obligation de transparence (tous les services réglementés);
• obligation de rendre certains contenus inaccessibles (services de médias sociaux réglementés).

Obligations applicables à tous les services réglementés

La LSN imposerait une obligation générale de protéger les enfants aux exploitants de tout service réglementé. Cette obligation comprendrait l’intégration de caractéristiques de conception visant la protection des enfants prévues par règlement.

Pour les exploitants qui ont des motifs raisonnables de soupçonner qu’un service réglementé qu’ils exploitent rend accessible du contenu pornographique, la LSN imposerait également une obligation d’intégrer des mesures adéquates de vérification ou d’estimation de l’âge afin d’atténuer le risque que des enfants soient exposés à un tel contenu sur leur plateforme, en plus de toute mesure prévue par règlement.

Les exploitants de tous les types de services réglementés auraient en outre l’obligation de préparer un « plan de sécurité numérique » décrivant notamment les mesures qu’ils ont mises en œuvre pour se conformer à leurs autres obligations en vertu de la LSN, et de soumettre ce plan à la Commission et de le publier.

Un tel plan doit comprendre les renseignements suivants :

• des fonctionnalités de sécurité des enfants intégrées dès la conception et une évaluation de leur efficacité;
• des mesures relatives à l’âge applicables au contenu pornographique;
• l’allocation de ressources à la conformité, notamment en ce qui concerne la prise de décisions automatisées;
• des processus de signalement du contenu d’exploitation sexuelle d’enfants.

Enfin, les exploitants devront décrire tout protocole de signalement des risques graves aux organismes chargés de l’application de la loi, y compris les situations comportant un risque de décès ou de lésions corporelles graves, et divulguer des données sur la fréquence de ces signalements.

Obligations propres aux services de médias sociaux

Les exploitants de services de médias sociaux réglementés seraient assujettis à des obligations supplémentaires dans le cadre de leur obligation de protéger les enfants, notamment :

• la mise en œuvre de mesures adéquates de vérification ou d’estimation de l’âge pour empêcher les enfants de moins de 16 ans de créer un compte (sauf exemption);
• la mise en œuvre de mesures adéquates pour atténuer le risque que des utilisateurs soient exposés à du contenu préjudiciable, ainsi que les mesures prévues par les règlements applicables;
• la mise à la disposition des utilisateurs d’outils de blocage et de signalement;
• la mise en œuvre, dans la mesure du raisonnable, de mesures adéquates pour étiqueter le « contenu synthétique » (représentation sonore ou visuelle d’une personne, d’un objet, d’un lieu, d’une entité ou d’un événement réalisée par des moyens électroniques ou mécaniques et pouvant raisonnablement être confondues avec du contenu authentique).

Ces exploitants peuvent toutefois bénéficier d’une exemption de cette obligation s’ils démontrent à la Commission qu’ils ont mis en place des mesures adéquates de protection des enfants.

Obligations propres aux services d’agents conversationnels

Les exploitants de services d’agents conversationnels réglementés seraient tenus :

• d’atténuer le risque que du contenu préjudiciable soit communiqué par l’agent;
• de mettre en œuvre des mécanismes d’intervention en situation de crise, notamment en orientant les utilisateurs vers un soutien humain approprié lorsque des idées suicidaires, d’automutilation ou de préjudice envers autrui sont exprimées;
• de prévenir certains comportements préjudiciables déterminés, tels que l’usurpation d’identité, les pratiques trompeuses quant à la nature du service en tant que système d’IA;
• de prévenir l’encouragement à la dépendance émotionnelle;
• de fournir aux utilisateurs des outils pour signaler le contenu préjudiciable généré par les agents conversationnels.

Application de la loi et peines

Du point de vue de l’application de loi, la LCCSN établirait un organisme de réglementation centralisé par l’entremise de la Commission, qui disposerait de larges pouvoirs de surveillance, d’audit et de sanction. Ces pouvoirs incluent la capacité de rendre des ordonnances et d’examiner les plans de sécurité numérique.

Le non-respect de la LSN peut entraîner des sanctions administratives pécuniaires importantes pouvant atteindre le montant le plus élevé entre 10 M$ et 3 % des revenus bruts mondiaux (pour l’année précédant l’infraction).

Lorsque les infractions font l’objet de poursuites par mise en accusation, des sanctions nettement plus élevées peuvent être imposées, pouvant atteindre le montant le plus élevé entre 20 M$ et 5 % des revenus bruts mondiaux.

Ce régime de sanctions progressives place le Canada au même rang que d’autres pays ayant adopté des mécanismes de sanctions financières rigoureux dans ce domaine.

Les principaux défis auxquels les organisations pourraient être confrontées

Les organisations peuvent être confrontées à des défis pratiques de mise en œuvre, notamment en ce qui concerne :

• la mise en œuvre de mesures efficaces de vérification de l’âge;
• la gestion des risques associés aux réponses communiquées par les services d’agents conversationnels intégrant l’IA;
• adapter les systèmes de modération de contenu et de signalement pour répondre aux nouvelles exigences de la réglementation;
• élaborer et tenir à jour des plans de sécurité numérique.

Se préparer au projet de loi C-34 : prochaines étapes pour les organisations

Les organisations qui exploitent des services numériques au Canada devraient commencer à se préparer aux incidences éventuelles du projet de loi C-34, notamment :

• Évaluer l’applicabilité
  Déterminer si votre plateforme pourrait être considérée comme un média social, un service d’agent conversationnel ou un service en ligne, qui serait assujetti à la réglementation.
• Évaluer l’exposition au risque
  Repérer les domaines où du contenu préjudiciable pourrait figurer, en particulier ceux touchant les enfants.
• Passer en revue les mesures de protection existantes, notamment :
• les mesures de vérification ou d’estimation de l’âge;
• les processus de signalement et d’escalade;
• les mesures existantes visant à réduire l’exposition aux contenus préjudiciables.
• Préparer des plans de sécurité numérique
  Commencer à documenter les mesures de conformité, les structures de gouvernance et les mécanismes internes de responsabilisation.

Les organisations susceptibles d’être visées par la législation devraient commencer à se préparer dès maintenant en évaluant l’applicabilité de la loi, en cernant les lacunes en matière de conformité et en mettant en place les structures de gouvernance nécessaires pour s’adapter à l’évolution du cadre législatif et réglementaire.

Notre équipe continuera de suivre de près les développements liés au projet de loi C-34 et à la Loi sur la sécurité numérique, et fournira des mises à jour sur leurs incidences pour les organisations offrant des services numériques au Canada.