Loi 25, article 17 : communication hors Québec

L'article 17 est la disposition de la loi québécoise sur le privé qui encadre la sortie de renseignements personnels du Québec, et il dit trois choses. Avant de communiquer un renseignement personnel à l'extérieur du Québec, vous devez procéder à une évaluation des facteurs relatifs à la vie privée (ÉFVP). Vous ne pouvez aller de l'avant que si cette évaluation démontre que le renseignement bénéficierait d'une protection adéquate. La communication doit ensuite faire l'objet d'une entente écrite qui tient compte des résultats de l'évaluation. Ce libellé est en vigueur depuis le 22 septembre 2023.

« Hors Québec » veut dire hors de la province, pas hors du pays. Un serveur à Toronto est à l'extérieur du Québec au même titre qu'un serveur en Virginie. L'article 17 s'applique aux deux.

Ceci n'est pas un avis juridique. Si votre organisation a des activités importantes au Québec, ou si vous doutez qu'une communication précise franchisse le seuil de protection adéquate, consultez un avocat spécialisé en vie privée au Québec.

Ce qu'exige l'article 17

La loi est la Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1), que la Loi 25 est venue modifier. L'article 17 comporte quatre rouages.

L'évaluation. Avant de communiquer un renseignement personnel à l'extérieur du Québec, l'entreprise doit procéder à une ÉFVP en tenant « notamment » compte des éléments suivants :

1. la sensibilité du renseignement
2. la finalité de son utilisation
3. les mesures de protection, y compris celles qui sont contractuelles, dont le renseignement bénéficierait
4. le régime juridique applicable dans l'État où ce renseignement serait communiqué, notamment les principes de protection des renseignements personnels qui y sont applicables

Le mot « notamment » compte. Ces quatre éléments forment un plancher, pas une liste fermée.

Le seuil. La communication « peut s'effectuer si l'évaluation démontre que le renseignement bénéficierait d'une protection adéquate, notamment au regard des principes de protection des renseignements personnels généralement reconnus ». Une évaluation qui ne parvient pas à cette conclusion ne décrit pas un risque à consigner et à accepter. Elle décrit une communication que vous n'avez pas le droit de faire.

L'entente écrite. La communication « doit faire l'objet d'une entente écrite » qui tient compte des résultats de l'évaluation et, le cas échéant, des modalités convenues pour atténuer les risques relevés. Faire l'évaluation et sauter le contrat ne satisfait pas à l'article.

L'impartition compte aussi. Le troisième alinéa applique tout ce qui précède lorsque l'entreprise « confie à une personne ou à un organisme à l'extérieur du Québec la tâche de recueillir, d'utiliser, de communiquer ou de conserver pour son compte » un tel renseignement. C'est cette phrase qui vise l'hébergement, les bases de données gérées, le stockage de sauvegardes, l'envoi de courriels, l'analytique, le suivi d'erreurs et les outils de soutien.

L'article 17 prévoit une seule exception. Il ne s'applique pas à une communication visée au paragraphe 7 du premier alinéa de l'article 18, soit lorsque le renseignement doit être communiqué en raison de l'urgence d'une situation qui menace la vie, la santé ou la sécurité d'une personne.

« Hors Québec » inclut le reste du Canada

La Commission d'accès à l'information (CAI), l'autorité québécoise en matière de vie privée, l'énonce directement : l'obligation s'applique avant de communiquer des renseignements personnels à une entité située à l'extérieur du Québec, « tant interprovinciale qu'internationale », et avant de confier de tels renseignements à une personne ou à un organisme à l'extérieur du Québec. Un fournisseur ontarien qui stocke les données en Ontario, c'est une communication visée par l'article 17. Un fournisseur de Colombie-Britannique aussi.

La rédaction est maladroite sur ce point, et il vaut la peine de savoir pourquoi. Le quatrième élément porte sur le régime juridique applicable « dans l'État » où le renseignement serait communiqué, ce qui évoque un pays plutôt qu'une province. Le déclencheur du premier alinéa, lui, vise clairement « l'extérieur du Québec », et l'autorité de contrôle y lit les transferts interprovinciaux. C'est donc la réponse pratique. Appliqué à une autre province, le quatrième élément devient une question de LPRPDE et de droit provincial plutôt qu'une question de droit étranger, ce qui est une analyse bien plus courte.

Ce que l'article 17 ne dit pas

Il ne parle pas de consentement. La page d'accompagnement de la CAI mentionne l'obligation d'informer et d'obtenir le consentement des personnes concernées à côté de l'évaluation, ce qui est plus large que le texte de l'article lui-même. L'obligation de transparence vient de l'article 8, qui exige d'informer la personne, au moment de la collecte, de la possibilité que ses renseignements soient communiqués à l'extérieur du Québec. Les règles de consentement viennent des articles 12 à 14, et l'article 18.3 permet la communication à un prestataire sans consentement lorsque le renseignement est nécessaire à l'exécution du contrat. Lisez ces dispositions ensemble plutôt que de traiter l'article 17 comme un déclencheur de consentement à lui seul.

Quelle ampleur doit avoir l'évaluation

La loi y répond directement. Une ÉFVP « doit être proportionnée à la sensibilité des renseignements concernés, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support » (article 3.3). Une liste d'envoi et une base de profils clients n'appellent pas le même document.

Il n'existe pas de liste québécoise d'adéquation. L'Union européenne publie des décisions d'adéquation sur lesquelles les organisations peuvent s'appuyer. La Loi 25 laisse plutôt la détermination à l'entreprise qui effectue la communication, au regard des principes généralement reconnus, et la CAI peut en demander le raisonnement par la suite. La CAI publie un guide pour réaliser une évaluation.

Ce que l'hébergement canadien change, et ce qu'il ne change pas

L'hébergement canadien n'éteint pas l'obligation de l'article 17 pour une entreprise québécoise. Si le serveur est à Toronto, le renseignement a quitté la province, et l'évaluation comme l'entente écrite restent dues. La résidence des données au Canada n'est pas la conformité à la Loi 25, et personne ne devrait vous la vendre comme telle.

Ce qui change, c'est le contenu de l'évaluation, pas le fait de la faire. Le troisième élément devient plus simple, parce que vous contractez avec une entreprise canadienne sous droit canadien. Le quatrième devient beaucoup plus court, parce que la destination relève de la LPRPDE plutôt que d'un système juridique étranger qu'il faut documenter et défendre. Déplacez les mêmes données vers une infrastructure américaine et ce quatrième élément doit traiter du CLOUD Act, un paragraphe nettement plus difficile à écrire.

La seule façon de n'avoir aucune communication visée par l'article 17, c'est de garder le renseignement au Québec, chez un fournisseur au Québec. Les serveurs de MapleDeploy sont à Toronto : ce n'est donc pas ce que nous vendons. Ce que nous offrons, c'est la version courte de l'évaluation plutôt que la longue.

Où MapleDeploy s'inscrit

MapleDeploy exploite une infrastructure canadienne dédiée à Toronto. Chaque client obtient une machine virtuelle (VM) isolée et sa propre instance Coolify. Les données d'application, les bases de données et les configurations de serveur sont hébergées au Canada.

Pour l'évaluation que vous devez rédiger, les faits sont publiés plutôt que fournis sur demande. Notre attestation de résidence des données nomme le fournisseur d'infrastructure, sa juridiction corporative et les contrôles en place. Notre liste de sous-traitants nomme chaque tiers que nous utilisons, ce qu'il traite et où il se trouve. Nous réalisons notre propre évaluation au sens de l'article 17 pour la communication interprovinciale vers notre fournisseur d'infrastructure. L'entente dont votre propre évaluation a besoin est cependant celle qui vous lie à nous, et il vaut mieux être direct sur ce qu'elle est : MapleDeploy n'offre pas actuellement d'entente de traitement des données distincte, de sorte que nos conditions d'utilisation constituent le contrat écrit offert. Si votre évaluation conclut qu'il vous faut des clauses supplémentaires, réglez cette question avant de bâtir sur nous.

Une précision de portée, puisque le premier facteur de l'article 17 est la sensibilité. Nos conditions interdisent les renseignements de santé et médicaux, les données de cartes de paiement, les identifiants gouvernementaux et financiers comme les numéros d'assurance sociale et de carte d'assurance maladie, les identifiants biométriques et les données génétiques. Si les renseignements personnels que vous évaluez appartiennent à ces catégories, MapleDeploy n'est pas la destination à évaluer.

Côté documentation, notre liste de vérification pour la résidence des données couvre quoi rassembler et conserver.

Le reste de la Loi 25, en bref

L'article 17 est une obligation parmi d'autres, et l'hébergement n'en touche qu'une. Votre organisation a encore besoin d'un responsable de la protection des renseignements personnels, de politiques et pratiques de gouvernance publiées, d'avis de collecte conformes à l'article 8, d'un consentement valide, d'une ÉFVP pour tout projet de système d'information au sens de l'article 3.3, d'un registre des incidents de confidentialité avec avis à la CAI et aux personnes concernées lorsqu'un incident présente un risque de préjudice sérieux, et d'un processus pour les demandes d'accès, de rectification, de portabilité et de désindexation. Aucune de ces obligations n'est une question d'infrastructure.

Sanctions

Les deux voies d'application visent une communication illicite. Les sanctions administratives pécuniaires s'appliquent à quiconque « recueille, utilise, communique, conserve ou détruit des renseignements personnels en contravention à la loi », jusqu'à 10 000 000 $ ou 2 % du chiffre d'affaires mondial de l'exercice précédent, selon le montant le plus élevé. L'infraction pénale reprend les mêmes mots et va de 15 000 $ à 25 000 000 $, ou 4 % du chiffre d'affaires mondial. L'article 93.1 ajoute des dommages-intérêts punitifs d'au moins 1 000 $ lorsqu'une atteinte intentionnelle ou une faute lourde cause un préjudice.

Par où commencer

1. Dressez la liste de tous les endroits où vont les renseignements personnels, y compris les sauvegardes, les journaux et les outils de soutien
2. Marquez les destinations situées à l'extérieur du Québec, les autres provinces incluses
3. Passez les quatre éléments en revue pour chacune et consignez la conclusion
4. Mettez l'entente écrite en place avant la communication, pas après
5. Vérifiez que vos avis de collecte mentionnent la possibilité d'une communication hors Québec
6. Refaites l'évaluation quand un fournisseur, une région ou les données elles-mêmes changent

La version la plus courte de ce travail est celle où la destination est le Canada. Ça reste du travail.