C’est l’obligation qui attrape le plus de PME québécoises, parce qu’elle se déclenche sans que rien ne soit « envoyé » au sens courant. Stocker vos dossiers de ressources humaines dans un service infonuagique dont les serveurs sont ailleurs qu’au Québec suffit à la faire jouer.
Cette page explique ce qu’exige l’article 17, pourquoi héberger équivaut à communiquer, et comment produire une évaluation utile sans y consacrer des semaines.
Réponse rapide : Avant de communiquer un renseignement personnel à l’extérieur du Québec, ou de confier son traitement ou sa conservation à quelqu’un à l’extérieur du Québec, l’entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée et conclure une entente écrite. La loi dit bien « à l’extérieur du Québec », pas « à l’extérieur du Canada » : un hébergement en Ontario est visé.
1. Ce que dit l’article 17
Avant de communiquer un renseignement personnel à l’extérieur du Québec, l’entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée. Elle doit notamment tenir compte de quatre éléments :
- la sensibilité du renseignement ;
- la finalité de son utilisation ;
- les mesures de protection, y compris contractuelles, dont le renseignement bénéficierait ;
- le régime juridique applicable dans l’État où le renseignement serait communiqué, notamment les principes de protection des renseignements personnels qui y sont applicables.
La communication peut s’effectuer si l’évaluation démontre que le renseignement bénéficierait d’une protection adéquate, notamment au regard des principes de protection des renseignements personnels généralement reconnus. Elle doit faire l’objet d’une entente écrite qui tient compte des résultats de l’évaluation et, s’il y a lieu, des modalités convenues pour atténuer les risques identifiés.
2. Le piège : héberger compte comme communiquer
Le quatrième alinéa de l’article 17 est celui qui attrape presque toutes les PME. Il applique les mêmes règles lorsque l’entreprise confie à une personne ou à un organisme à l’extérieur du Québec la tâche de recueillir, d’utiliser, de communiquer ou de conserver pour son compte un renseignement personnel.
Il n’y a donc pas besoin de transmettre quoi que ce soit au sens courant. Confier votre paie à un fournisseur qui traite en Ontario déclenche l’article 17. Utiliser un centre d’appels à l’étranger aussi. Héberger vos dossiers dans un service infonuagique dont les serveurs sont hors Québec aussi.
Notez aussi que la loi dit « à l’extérieur du Québec », pas « à l’extérieur du Canada ». Un transfert vers l’Ontario ou vers l’Alberta est visé au même titre qu’un transfert vers un autre pays. C’est la précision qui surprend le plus les dirigeants, parce qu’elle vise des fournisseurs qu’on considère spontanément comme locaux.
3. Ce que ça donne dans une PME typique
Faites l’inventaire de vos fournisseurs qui touchent à des renseignements personnels. La liste est presque toujours plus longue que prévu :
- suite bureautique et messagerie ;
- système de paie et gestion des ressources humaines ;
- système de gestion des relations clients et plateforme de facturation ;
- outil d’infolettre, système de billetterie ou de réservation ;
- outil de signature électronique, plateforme de sondage ;
- système de gestion des candidatures ;
- hébergement du site web, service de sauvegarde, outil de clavardage ;
- fournisseur d’intelligence artificielle.
Pour chacun : quelles données, quelle finalité, où sont les serveurs, quel contrat, quelles clauses de protection. Beaucoup de grands fournisseurs publient des engagements contractuels et documentent la localisation de leurs données. Cela facilite l’évaluation, sans la remplacer. C’est vous qui devez produire et conserver l’évaluation, pas eux.
4. Une évaluation par service, pas par pays
L’erreur fréquente consiste à conclure une fois pour toutes qu’un pays est acceptable. L’article 17 demande une évaluation qui tient compte de la sensibilité et de la finalité, donc du service en question.
Un outil d’infolettre qui détient un prénom et un courriel ne pose pas le même risque qu’une plateforme qui détient des dossiers médicaux d’employés. Le même pays peut être acceptable pour le premier et pas pour le second.
Traitez-le comme une fiche d’une page par service, à réviser lorsque le service change ou lorsque le contrat est renouvelé. Une fiche utile contient le service et son usage, l’entité contractante, les catégories de renseignements confiés, la sensibilité, l’emplacement des données au repos et en sauvegarde, la référence de l’entente écrite, les sous-traitants du fournisseur, le mécanisme de suppression à la fin du contrat et la date de prochaine révision.
5. Le lien avec l’intelligence artificielle
C’est aujourd’hui la source la plus courante de transferts non documentés dans une PME.
Un employé colle un extrait de dossier client dans un outil d’intelligence artificielle grand public. Le contenu part vers un service dont les serveurs sont à l’extérieur du Québec, sans évaluation, sans entente écrite, souvent avec des conditions d’utilisation qui autorisent la conservation du contenu soumis.
Deux mesures concrètes. Décidez quels outils sont autorisés et écrivez-le. Puis assurez-vous que le service retenu est encadré par un contrat d’entreprise plutôt que par des conditions grand public, parce que ce ne sont pas les mêmes engagements.
6. Ce qui relève de votre fournisseur TI
L’évaluation est un document, mais elle repose sur des faits techniques que seule l’infrastructure peut donner : quels services sont réellement utilisés dans l’entreprise, où les données sont stockées et sauvegardées, quels connecteurs exportent quoi vers l’extérieur, quels comptes ont accès.
Un inventaire technique à jour transforme l’article 17 en exercice de quelques heures par service. Sans lui, on évalue les fournisseurs dont on se souvient, et on oublie ceux qu’un département a ajoutés seul. Nos services informatiques gérés produisent cet inventaire et surveillent son évolution.
Foire aux questions
Un hébergement en Ontario est-il un transfert hors Québec ?
Oui. L’article 17 vise les communications à l’extérieur du Québec, pas à l’extérieur du Canada. Une évaluation et une entente écrite sont requises même pour un fournisseur canadien situé dans une autre province.
Le fournisseur peut-il faire l’évaluation à notre place ?
Non. L’obligation appartient à l’entreprise qui communique les renseignements. Le fournisseur peut remettre de la documentation sur l’emplacement des données et ses engagements contractuels, mais l’évaluation et sa conservation restent de votre côté.
Faut-il une évaluation par fournisseur ou par service ?
Par service. Un même fournisseur peut offrir plusieurs services aux profils de risque très différents. L’évaluation tient compte de la sensibilité et de la finalité, donc elle se fait au niveau du service utilisé.
Documenter vos transferts, depuis Trois-Rivières
La partie longue de l’article 17 n’est pas la rédaction, c’est de savoir qui détient quoi et où. Nos services informatiques pour PME incluent l’inventaire des fournisseurs, la cartographie des flux de données et la documentation technique qui alimente vos évaluations, pour des entreprises de la Mauricie et de partout au Québec. Pour faire le point, passez par le formulaire de contact ou appelez au 450-231-3836.
Ce guide vulgarise des obligations légales. Il n’est pas un avis juridique et ne remplace pas la lecture du texte de loi ni les conseils d’un conseiller juridique. Les références légales renvoient à la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1), telle que modifiée par la Loi 25.