Aussi publié dans Libre Média
Le ministre de la Cybersécurité, Gilles Bélanger, tire la sonnette d’alarme : les données de santé des Québécois ne sont pas sécurisées et le projet pilote du Dossier santé numérique n’est pas prêt pour sa mise en œuvre prévue en mai prochain.
Y a-t-il une différence entre la souveraineté d’un État et la souveraineté numérique? Sur le plan juridique, oui. Mais dans une société où les données et les infrastructures numériques deviennent essentielles au fonctionnement de l’État, peut-on encore réellement séparer les deux? La guerre territoriale est aussi devenue une guerre pour l’accès aux renseignements sensibles des citoyens. Et l’Assemblée nationale agit avec une grande légèreté dans ce dossier.
Le ministre de la Cybersécurité et du Numérique (MCN), Gilles Bélanger, a lancé cette semaine une nouvelle alerte sur la souveraineté numérique au Québec.
Il a déclaré que « nos données de santé ne sont pas du tout en sécurité » et que le projet pilote du Dossier santé numérique n’était pas prêt pour sa mise en œuvre prévue le 9 mai 2026.
En 2025, le ministre souhaitait « légiférer pour obtenir le droit d’annuler des contrats, mais le gouvernement Legault ne le lui permet pas ». Pourquoi ce refus? L’élargissement des pouvoirs du MCN soulève notamment la question de son intervention dans les responsabilités confiées aux autres ministères.
Or, il y a plusieurs bonnes raisons de voir une collaboration entre le MCN et les ministères dans l’implantation du portefeuille d’identité numérique.
Nous sommes à l’ère de la société numérisée. Elle nous propulse vers un nouveau mode de gouvernance qui inclut les intelligences artificielles. Les élus doivent désormais réfléchir à leurs dossiers en tenant compte de cette réalité, au moment où l’IA permet d’automatiser une part croissante de la programmation et des processus décisionnels.
Pire que l’ingérence interministérielle, des décisions automatisées ou assistées par l’IA pourraient entraîner des conséquences importantes si elles reposent sur des données sensibles insuffisamment protégées ou sur des mécanismes difficiles à contester.
Souhaitons-nous vraiment que des systèmes algorithmiques difficiles à expliquer interviennent dans la gestion de notre portefeuille d’identité numérique lorsque certaines infrastructures peuvent relever de fournisseurs soumis à des juridictions étrangères?
Comment résister si nos lois ne suffisent pas toujours, à elles seules, à éliminer les risques liés à l’utilisation de nos renseignements par l’État ou par ses fournisseurs?
La cybersécurité plus importante que l’ingérence interministérielle?
Le ministre Bélanger a raison de souhaiter « accroître ses pouvoirs en cas de manquement par un organisme public dans la gestion d’un projet en ressources informationnelles ». Il est toutefois impossible d’affirmer que de tels pouvoirs auraient empêché les problèmes de la SAAQ. Ils auraient au minimum donné au MCN des moyens d’intervention supplémentaires.
La loi confère effectivement au ministre différents pouvoirs en matière de ressources informationnelles, notamment celui d’imposer certaines mesures d’accompagnement, de déterminer des standards et de prendre des directives.
Contrairement à son prédécesseur, Éric Caire, Gilles Bélanger exprime aujourd’hui publiquement ses préoccupations quant aux conséquences de certains choix en matière d’hébergement infonuagique et de souveraineté numérique.
Sous le mandat de son prédécesseur, le gouvernement a conclu d’importants contrats infonuagiques avec des fournisseurs étrangers, notamment Amazon Web Services et Microsoft Canada. Les documents officiels du MCN confirment l’existence et l’importance financière de plusieurs de ces contrats.
Le recours à une entreprise étrangère ne signifie pas automatiquement que les données sensibles sont dépourvues de protection. Il soulève toutefois un enjeu de juridiction et de souveraineté que les gouvernements reconnaissent eux-mêmes aujourd’hui. Le Québec exige désormais que les données gouvernementales hautement sensibles soient hébergées dans des infrastructures dites souveraines.
Nous aurions pourtant pu davantage valoriser des entreprises québécoises.
Caire a édenté notre chien de garde
Les fournisseurs de services nuagiques ne sont pas la seule zone de vulnérabilité du projet de portefeuille d’identité numérique. Depuis 2022, Connexion-U dénonce une diminution du contrôle préalable exercé par la Commission d’accès à l’information (CAI) alors qu’Éric Caire dirigeait le MCN.
Plusieurs modifications législatives proposées sous son mandat ont eu pour effet de réduire certaines interventions préalables de la CAI. En décembre 2023, l’Assemblée nationale a adopté la loi 38.
La présidente de la CAI de l’époque, Me Diane Poitras, a critiqué ce projet de loi. L’article 10 retirait notamment l’obligation de faire approuver par la CAI certaines règles de gouvernance des renseignements personnels pour la remplacer par leur transmission à la Commission. La CAI recommandait le retrait de cette modification.
Me Poitras avait prévenu les parlementaires que la sensibilité des renseignements contenus dans le registre d’identité exigeait des règles de gouvernance robustes avant son utilisation comme source officielle.
La Ligue des droits et libertés s’est elle aussi opposée à cette modification. Elle s’est également inquiétée des pouvoirs accordés pour certains projets pilotes pouvant impliquer l’utilisation de renseignements personnels, jugeant leur encadrement insuffisant.
Ces critiques ne signifient pas que la loi québécoise sur la protection des renseignements personnels cesse de s’appliquer. Elles portent plutôt sur la diminution de certains contrôles préalables et sur l’étendue des pouvoirs accordés au gouvernement.
Redonner du mordant au MCN et à la CAI
Comment pouvons-nous penser construire un écosystème numérique sécuritaire alors que certains pouvoirs de contrôle préalable de la CAI ont été réduits et que l’État demeure dépendant, pour une partie de ses infrastructures numériques, de fournisseurs étrangers?
Le ministre Bélanger a lancé un avertissement sérieux, le 10 avril 2026. Ses interventions remettent notamment en question l’étendue des pouvoirs dont dispose le MCN pour intervenir dans les projets numériques des autres organismes publics.
Les organismes publics demeurent par ailleurs soumis aux lois québécoises en matière de protection des renseignements personnels. La question est plutôt de savoir si les pouvoirs de surveillance, d’intervention et de prévention sont suffisants lorsque les renseignements circulent dans des infrastructures de plus en plus complexes.
Gardons aussi à l’esprit cette réalité juridique : l’emplacement physique d’une donnée ne détermine pas nécessairement à lui seul les lois auxquelles elle peut être soumise. Au cours des dernières années, des autorités étrangères ont réussi, par les mécanismes de coopération judiciaire, à obtenir des renseignements détenus par des entreprises privées comme Proton. En 2021, une demande de la police française, transmise notamment par Europol et passée par les autorités suisses, a ainsi contraint Proton à fournir des renseignements permettant d’identifier un utilisateur.
Or, l’hébergement de nos renseignements auprès de fournisseurs étrangers peut lui aussi soulever des questions de juridiction. Le lieu où se trouvent nos données ne suffit donc pas, à lui seul, à déterminer quelles autorités pourront éventuellement chercher à y accéder.
Gardons aussi à l’esprit une réalité juridique importante : l’emplacement physique d’une donnée ne détermine pas nécessairement à lui seul les lois auxquelles elle peut être soumise.
Le gouvernement canadien reconnaît lui-même que lorsqu’un fournisseur infonuagique opérant au Canada est assujetti aux lois d’un État étranger, il subsiste un risque que ce dernier puisse, selon son droit et les procédures applicables, chercher à obtenir certaines données sous le contrôle du fournisseur.
C’est précisément pourquoi le choix d’un fournisseur infonuagique n’est pas seulement une décision technique. C’est aussi une question de juridiction et de souveraineté.
Savoir que le ministre de la Cybersécurité et du Numérique remet aujourd’hui en question certains choix antérieurs en matière d’hébergement infonuagique est rassurant.
Le gouvernement devrait réévaluer les contrats qui exposeraient des renseignements sensibles à des risques incompatibles avec les exigences québécoises de souveraineté et de protection des données. Il a le devoir de protéger la population.
Comprendre la portée de la loi 38 et évaluer les modifications nécessaires pour redonner à notre chien de garde, la CAI, tout son mordant serait le minimum. Rappelons quela CAI possède une double fonctionde surveillance et de tribunal administratif en matière d’accès et de protection des renseignements personnels.
Le ministre Gilles Bélanger a posé un geste important en alertant publiquement les Québécois sur ces enjeux. La protection de nos données sensibles exige maintenant que les pouvoirs, les responsabilités et les contre-pouvoirs soient suffisamment clairs pour agir avant que les dommages surviennent.