Transmission de renseignements personnels hors Québec : évaluation des fournisseurs de services infonuagiques et SaaS (art. 17)

Presque toutes les entreprises québécoises dépendent désormais d’outils infonuagiques et SaaS : courriel, comptabilité, CRM, paie, billetterie, partage de fichiers. Nombre de ces outils stockent des données en Ontario, aux États-Unis ou en Europe. En vertu de la Loi 25, cela est permis, mais pas par défaut. L’article 17 de la loi sur le secteur privé énonce ce que vous devez faire au préalable.

Ce que dit l’article 17

Avant de communiquer des renseignements personnels à l’extérieur du Québec, une entreprise doit effectuer une évaluation des facteurs relatifs à la vie privée (EFVP) qui tient compte, notamment (art. 17) :

1. de la sensibilité des renseignements;
2. des fins auxquelles ils seront utilisés;
3. des mesures de protection, y compris contractuelles, qui s’appliqueraient; et
4. du cadre juridique applicable dans le lieu où les renseignements seraient communiqués, y compris ses principes de protection des renseignements personnels.

Les renseignements peuvent être communiqués si l’évaluation démontre qu’ils recevraient une protection adéquate, notamment à la lumière des principes généralement reconnus en matière de protection des renseignements personnels. La communication doit faire l’objet d’une entente écrite qui tient compte des résultats de l’évaluation et de toute modalité convenue pour atténuer les risques identifiés (art. 17).

La même règle s’applique lorsque vous confiez à une personne ou à un organisme à l’extérieur du Québec la collecte, l’utilisation, la communication ou la conservation de renseignements personnels en votre nom. En clair : le choix d’un fournisseur SaaS qui héberge des données à l’extérieur du Québec déclenche l’application de l’article 17.

Note : « hors Québec » inclut le reste du Canada

L’article 17 ne se limite pas aux pays étrangers. Un centre de données à Toronto est situé hors Québec. L’évaluation peut être plus légère lorsque la destination a un régime de protection de la vie privée comparable, mais elle doit tout de même être effectuée et documentée.

Une évaluation pratique pour les fournisseurs de services infonuagiques et SaaS

La loi exige la proportionnalité (art. 3.3), de sorte que la profondeur doit correspondre au risque. Pour la plupart des décisions SaaS, ces étapes couvrent le terrain :

1. Cartographiez ce qui va où

Identifiez les catégories de renseignements personnels que l’outil détiendra, à qui ils appartiennent, et chaque emplacement où ils sont stockés ou accessibles, y compris les sites de support et de sauvegarde ainsi que les sous-traitants du fournisseur.

2. Évaluez la sensibilité et la finalité

Les renseignements sur la santé, financiers, biométriques et ceux concernant les enfants exigent un examen plus approfondi qu’une liste de contacts professionnels.

3. Examinez les mesures de protection du fournisseur

Examinez les preuves indépendantes disponibles, telles qu’un certificat ISO/CEI 27001 ou un rapport SOC 2 Type II, et vérifiez que leur portée couvre bien le service que vous achetez. Confirmez le chiffrement, les contrôles d’accès, la journalisation, les engagements de notification d’incidents et la suppression des données à la fin du contrat.

4. Tenez compte du cadre juridique de la destination

Notez la loi sur la protection de la vie privée qui s’applique là où les données sont stockées et si les autorités publiques locales pourraient y avoir accès. Vous n’avez pas besoin d’un traité juridique; un résumé motivé, avec des sources, est généralement suffisant pour les destinations courantes.

5. Intégrez-le au contrat

L’entente écrite doit refléter l’évaluation. Clauses typiques : utilisation limitée à vos instructions, confidentialité, mesures de sécurité, notification des incidents sans délai, restrictions sur la sous-traitance, droits d’audit ou de rapport, retour et destruction des données, et notification des changements de lieu d’hébergement.

6. Décidez et enregistrez

Concluez si la protection est adéquate, énumérez les conditions éventuelles et faites signer par un responsable. Conservez l’EFVP avec le contrat.

Raccourcis qui créent des risques

• Se fier uniquement à la page marketing du fournisseur. Les régions d’hébergement et les sous-traitants changent; demandez la liste actuelle.
• Accepter les conditions standard sans vérification. De nombreuses conditions SaaS permettent une utilisation large des « données client » pour l’amélioration des produits.
• Faire une seule évaluation par fournisseur pour toujours. Revoyez-la lorsque le fournisseur, l’emplacement ou les données que vous envoyez changent de manière significative.
• Oublier les outils gratuits. Les extensions de navigateur, les assistants IA et les convertisseurs de fichiers utilisés par le personnel peuvent envoyer des données client hors Québec sans que personne ne s’en aperçoive.

Pourquoi cela compte au-delà de la Loi 25

La réforme fédérale va dans le même sens. Le projet de loi C-36, déposé le 15/06/2026, exigerait une évaluation des facteurs relatifs à la vie privée avant le transfert de renseignements personnels à l’extérieur du Canada, selon McCarthy Tétrault et Gowling WLG. Le projet de loi est toujours devant le Parlement (LEGISinfo), mais un processus rigoureux d’évaluation des fournisseurs conçu pour la Loi 25 devrait s’adapter facilement.

Accel GRC regroupe vos EFVP de fournisseurs, vos contrats et votre registre de transferts, et KW Consulting peut examiner les fournisseurs à haut risque. Apprenez-en davantage sur nos pages Loi 25 et ISO 27001, consultez notre service d’examen de sécurité, explorez KW Consulting, ou contactez-nous.

Sources

• Act respecting the protection of personal information in the private sector (English)
• Loi sur la protection des renseignements personnels dans le secteur privé, art. 17 (French)
• LEGISinfo – Bill C-36 (45-1)
• McCarthy Tétrault – Bill C-36: What organizations need to know
• Gowling WLG – Understanding Bill C-36