La Loi 25 n'interdit pas le cloud : elle impose un processus que la majorité des projets ERP ignorent

La Loi 25 du Québec n'interdit pas le transfert de renseignements personnels hors de la province. Elle impose une évaluation des facteurs relatifs à la vie privée (EFVP), une entente écrite avec le fournisseur infonuagique et la démonstration d'une protection adéquate, sous peine d'amendes pouvant atteindre 25 M$ ou 4 % du chiffre d'affaires mondial.

Ce contenu est fourni à titre informatif et ne constitue pas un avis juridique.

Un projet ERP infonuagique peut être parfaitement conforme à la Loi 25. Le problème n'est pas le cloud. Le problème, c'est que la majorité des déploiements traitent l'analyse de conformité comme une formalité expédiée en fin de projet, sans évaluation sérieuse, sans entente négociée et sans documentation démontrable. Et c'est précisément la documentation que la Commission d'accès à l'information (CAI) peut exiger.

La CAI peut imposer des sanctions administratives pécuniaires atteignant 2 % du chiffre d'affaires mondial ou 10 millions de dollars. En matière pénale, l'amende d'une entreprise peut grimper jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial de l'exercice précédent. Source : Commission d'accès à l'information du Québec

Qu'exige réellement la Loi 25 avant un déploiement ERP cloud?

La Loi 25 exige une évaluation des facteurs relatifs à la vie privée (EFVP), une entente écrite avec le fournisseur et la démonstration d'une protection adéquate avant toute communication de renseignements personnels à l'extérieur du Québec. Entrée en vigueur par phases à compter du 22 septembre 2022, avec le gros des obligations actives depuis septembre 2023, la Loi sur la protection des renseignements personnels dans le secteur privé encadre précisément tout transfert de données personnelles hors du Québec. Y compris vers d'autres provinces canadiennes comme l'Ontario ou l'Alberta.

Les obligations concrètes pour un projet ERP infonuagique :

• EFVP dès la phase de sélection : l'article 3.3 impose une EFVP pour tout projet d'acquisition, de développement ou de refonte d'un système d'information impliquant des renseignements personnels. Un projet ERP est visé avant même la question de l'hébergement.
• EFVP avant tout transfert hors Québec : l'article 17 exige une évaluation tenant compte de la sensibilité des renseignements, de la finalité de leur utilisation, des mesures de protection (y compris contractuelles) et du régime juridique de l'État de destination. La communication peut s'effectuer si l'évaluation démontre une protection adéquate.
• Entente contractuelle écrite : les conditions d'utilisation standard d'un éditeur SaaS ne suffisent pas. Le transfert doit faire l'objet d'une entente écrite qui tient compte des résultats de l'EFVP et, le cas échéant, des mesures convenues pour atténuer les risques.
• Responsable de la protection des renseignements personnels (RPRP) : à défaut de délégation écrite, cette fonction revient à la personne ayant la plus haute autorité dans l'entreprise (article 3.1).
• Démonstration de la conformité en cas de contrôle : la CAI peut demander à voir vos évaluations documentées. L'intention n'est pas suffisante. La documentation l'est.

Obligations de la Loi 25 applicables à un projet ERP infonuagique, avec leur référence dans la Loi sur le privé (P-39.1) :

• EFVP pour tout projet de système d'information (article 3.3) : déclenchée dès l'acquisition ou la refonte de l'ERP.
• EFVP avant communication hors Québec (article 17) : analyse de la protection adéquate selon quatre facteurs.
• Entente écrite avec le fournisseur (article 17) : intègre les résultats de l'EFVP et les mesures d'atténuation.
• Désignation d'un RPRP (article 3.1) : par défaut, la personne ayant la plus haute autorité.
• Notification des incidents de confidentialité (article 3.5) : aviser la CAI et les personnes concernées avec diligence en cas de risque de préjudice sérieux.
• Sanctions (articles 90.1 et 91) : jusqu'à 10 M$ ou 2 % (administratif); jusqu'à 25 M$ ou 4 % (pénal).

Ce cadre s'applique à Oracle Cloud ERP, SAP S/4HANA Cloud, Microsoft Dynamics 365, NetSuite et à toute autre solution ERP hébergée hors du Québec. Ce n'est pas une question d'éditeur. C'est une question de géolocalisation des données et de juridiction applicable.

Quel est le risque réel du CLOUD Act américain pour vos données ERP?

Le CLOUD Act de 2018 permet aux autorités fédérales américaines d'exiger d'un fournisseur assujetti au droit américain la divulgation des données sous son contrôle, même si elles sont physiquement stockées dans des centres de données canadiens ou européens. C'est le texte même de la loi : le fournisseur doit divulguer les données en sa possession ou sous son contrôle, peu importe qu'elles se trouvent à l'intérieur ou à l'extérieur des États-Unis.

Or la majorité des éditeurs ERP majeurs sont des entreprises américaines : Oracle, Microsoft, Salesforce. SAP SE est une société de droit allemand, mais elle exploite des infrastructures infonuagiques aux États-Unis. Ce risque doit être évalué dans votre EFVP. Il ne disqualifie pas automatiquement un fournisseur américain, mais il doit être documenté avec les mesures d'atténuation choisies : chiffrement avec clés gérées par le client, pseudonymisation, restrictions d'accès contractuelles et évaluation des recours offerts aux personnes concernées.

Si votre ERP traite des données de fournisseurs, de clients ou d'employés québécois, ces données sont couvertes par la Loi 25 dès leur collecte. Leur migration vers un environnement infonuagique hébergé aux États-Unis ou en Irlande déclenche les obligations de l'article 17. Peu importe la nationalité de votre entreprise ou la taille de votre projet.

Précision importante : le Québec ne publie aucune liste officielle de juridictions offrant une protection adéquate. Chaque entreprise doit mener sa propre analyse, cas par cas. En pratique, un ERP hébergé dans une région infonuagique canadienne simplifie considérablement cette analyse par rapport à un hébergement aux États-Unis, où l'exposition au CLOUD Act et les recours limités des personnes concernées doivent être documentés et atténués.

Pourquoi la plupart des projets ERP ignorent-ils ces obligations?

Parce que la conformité à la Loi 25 n'est dans le périmètre de livraison de personne : ni l'éditeur ni l'intégrateur ne la prennent en charge par défaut. Les intégrateurs ERP certifiés vendent des projets d'implantation. L'EFVP, les clauses contractuelles de protection des données et la documentation de conformité ne font pas partie de leur livrable standard. Ils ne sont pas des avocats spécialisés en protection des données. Et ils n'ont pas d'intérêt économique à allonger le cycle de vente avec des considérations réglementaires.

Le résultat courant : le projet démarre, les données sont migrées vers le cloud, et la question de la conformité est traitée après coup, souvent à la demande d'un auditeur externe ou lors d'un incident de sécurité. À ce stade, rattraper les lacunes documentaires coûte plus cher que de les prévenir.

Un conseil ERP indépendant intègre la conformité à la Loi 25 dans la grille de sélection dès la phase de définition des besoins. La localisation des données, les engagements contractuels de l'éditeur et la structure de l'EFVP font partie des critères d'évaluation, au même titre que le périmètre fonctionnel ou le coût total de possession.

Quels éditeurs ERP facilitent la conformité à la Loi 25?

Les configurations qui facilitent la conformité combinent quatre éléments : une région d'hébergement canadienne, une entente de traitement des données négociable, le chiffrement avec clés gérées par le client et la transparence sur les sous-traitants. Tous les éditeurs ERP infonuagiques ne sont pas égaux sur la question québécoise. Voici les paramètres concrets qui différencient les options :

• Disponibilité d'une région Canada : les grands fournisseurs d'infrastructure infonuagique offrent des régions canadiennes où les données peuvent résider. Attention toutefois : la disponibilité des services varie selon les modules et les éditeurs. Vérifiez, service par service, ce qui est réellement hébergé au Canada.
• Capacité à négocier des clauses de protection des données : les grands éditeurs disposent de processus d'entente de traitement des données (DPA) documentés. Les éditeurs de milieu de gamme sont souvent moins structurés et leurs conditions standard sont parfois insuffisantes au regard de la Loi 25.
• Chiffrement avec clés gérées par le client (BYOK) : lorsque cette fonctionnalité est offerte, elle réduit le risque lié au CLOUD Act en rendant les données illisibles, y compris pour l'éditeur lui-même. Sa disponibilité et son coût varient selon les paliers de service.
• Transparence sur les sous-traitants : votre entente écrite doit couvrir les tiers qui traitent les données en votre nom. Certains éditeurs publient leur liste de sous-traitants et la tiennent à jour. D'autres ne la fournissent que sur demande contractuelle explicite.

Comment intégrer la Loi 25 dans votre appel d'offres ERP?

En inscrivant les exigences de protection des renseignements personnels directement dans l'appel d'offres, comme critères opposables aux soumissionnaires. La conformité ne s'obtient pas après la signature. Elle se structure pendant la sélection. Un appel d'offres ERP bien conçu inclut une section dédiée :

• Localisation des centres de données et engagement contractuel de résidence des données
• Disponibilité d'une entente de traitement des données conforme aux exigences québécoises et capacité à négocier des clauses supplémentaires
• Processus de notification en cas d'incident de confidentialité : la Loi 25 exige d'aviser la CAI et les personnes concernées avec diligence lorsqu'un incident présente un risque de préjudice sérieux, et de tenir un registre des incidents
• Documentation des sous-traitants et droits d'audit
• Disponibilité du BYOK ou d'un mécanisme de chiffrement équivalent

Les réponses des soumissionnaires à ces exigences sont révélatrices. Un éditeur incapable d'y répondre précisément en phase d'appel d'offres aura les mêmes difficultés en phase de déploiement. Au moment où le coût du changement sera beaucoup plus élevé.

Posez ces questions maintenant. Pas après la signature.

Que retenir avant de signer votre contrat ERP?

La Loi 25 n'interdit pas le cloud : elle impose un processus, et ce processus se joue avant la signature, pas après. Une EFVP documentée dès la sélection, une entente écrite négociée avec l'éditeur, un RPRP désigné, une résidence des données réfléchie et un plan de notification des incidents : avec ces éléments en place, un déploiement ERP infonuagique peut être conforme. Sans eux, l'entreprise porte un risque financier réel, jusqu'à 25 M$ ou 4 % du chiffre d'affaires mondial en matière pénale, et un risque de rattrapage documentaire coûteux. La non-conformité n'est pas une fatalité du cloud. C'est le résultat d'un projet mal préparé.

Questions fréquentes

La Loi 25 oblige-t-elle à héberger les données ERP au Québec?

Non. La Loi 25 n'impose pas la résidence des données au Québec. Elle exige, avant toute communication hors province, une évaluation des facteurs relatifs à la vie privée démontrant une protection adéquate, puis une entente écrite. Un hébergement au Canada simplifie l'analyse, mais un hébergement ailleurs peut aussi être conforme avec les mesures appropriées.

Un transfert de données vers une autre province canadienne déclenche-t-il la Loi 25?

Oui. L'article 17 vise toute communication de renseignements personnels à l'extérieur du Québec, y compris vers l'Ontario ou l'Alberta. L'évaluation des facteurs relatifs à la vie privée reste obligatoire, même si le risque est souvent plus faible pour une province canadienne soumise à la LPRPDE. Le transfert doit ensuite faire l'objet d'une entente écrite.

Quelles sont les sanctions en cas de non-conformité à la Loi 25?

La Commission d'accès à l'information peut imposer des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial. En matière pénale, l'amende d'une entreprise peut grimper jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial de l'exercice précédent, selon le montant le plus élevé.

Un ERP cloud peut-il être conforme à la Loi 25?

Oui, à condition de structurer le projet. Une résidence des données au Canada, une entente écrite conforme à l'article 17, une EFVP documentée, un chiffrement avec clés gérées par le client et un responsable désigné rendent un déploiement infonuagique conforme. La non-conformité n'est pas une fatalité du cloud, mais le résultat d'un projet mal préparé.