Concilier infonuagique et droit québécois

À l’heure actuelle, la jurisprudence québécoise reste muette sur l’interprétation des lois applicables à l’infonuagique et nous disposons de peu d’écrits à ce sujet. Bien que les questionnements soient nombreux, nous tenterons de souligner ici les principales dispositions applicables au secteur privé, après avoir soulevé certains risques découlant de l’externalisation des données à l’étranger.

Qu’est-ce que l’infonuagique?

Également appelée « cloud computing », l’Office québécois de la langue française définit l’infonuagique comme un : « [m]odèle informatique qui, par l’entremise de serveurs distants interconnectés par Internet, permet un accès réseau, à la demande, à un bassin partagé de ressources informatiques configurables, externalisées et non localisables, qui sont proposées sous forme de services, évolutifs, adaptables dynamiquement et facturés à l’utilisation »[1]. L’infonuagique repose ainsi sur « l’exploitation d’Internet et des notions de virtualisation pour créer un environnement dans lequel les personnes et les organisations peuvent acquérir de la capacité de stockage et de traitement »[2]. Autrement dit, l’infonuagique est un concept de « déportation sur des serveurs distants des traitements informatiques traditionnellement effectués sur des serveurs locaux[3] ».

Les principaux modèles de déploiement de l’infonuagique comprennent le service public, privé (interne ou externe), communautaire ou hybride. Parmi les modèles de service actuellement utilisées, on retrouve le logiciel sous forme de service (SaaS), la plateforme sous forme de service (PaaS) et l’infrastructure sous forme de service (IaaS). Comme l’infonuagique est une notion qui évolue sans cesse, l’on voit toutefois émerger de nouveaux types de modèles[4].

U.S.A. Patriot Act et autres problématiques

À moins que l’emplacement des données stockées dans l’infonuagique ne soit expressément prévu par contrat, la nature même de ces services implique le plus souvent que l’information soit transférée et conservée dans une juridiction étrangère[5]. Les renseignements pourront être ainsi soumis aux lois du pays où ils sont conservés, sans avoir la certitude que la législation étrangère offre un régime de protection des renseignements personnels et confidentiels adéquat.

À titre d’exemple, les procédures de surveillance augmentées par le USA Patriot Act[6] aux États-Unis permettraient au gouvernement américain d’accéder à nos données stockées dans un système infonuagique appartenant à une entreprise américaine ou faisant affaire sur le territoire américain. En effet, l’article 215 de la USA Patriot Act permet au Federal Bureau of Investigation (« FBI ») d’avoir accès à des dossiers détenus aux États-Unis ou par une compagnie américaine, « en demandant une ordonnance de la Foreign Intelligence Surveillance Act Court of review »[7].

La « juridiction extra-territoriale »[8] américaine implique donc que tous les fournisseurs de services infonuagiques opérant n’importe où dans le monde doivent se conformer à des requêtes sur les données qui tombent sous l’application des lois américaines. Les données ne doivent donc pas être nécessairement stockées sur des serveurs physiquement présents sur le territoire américain pour que le gouvernement puisse y accéder.

Notons que les organisations canadiennes peuvent être sujettes à des ordonnances équivalentes à celles du USA Patriot Act, les obligeant à communiquer au gouvernement fédéral des renseignements personnels détenus au Canada[9]. En effet, la Loi antiterroriste canadienne, L.C. 2001, c. 41 renferme également certaines dispositions qui « renforcent les pouvoirs d’investigation des autorités publiques en vue d’assurer la sécurité nationale et, corrélativement, internationale »[10].

Parmi les autres risques, il est tout à fait possible que les utilisateurs du nuage ne soient pas informés de l’existence de « données secondaires générées par les interactions avec une infrastructure d’informatique dans les nuages »[11]. Soulignons également qu’il existe plusieurs risques liés aux interactions non désirées entre les différents clients d’un fournisseur de services[12]. Par ailleurs, l’incertitude de l’emplacement des données rend l’infonuagique particulièrement concernée par les problèmes de compétences[13], par exemple en ce qui a trait aux litiges potentiels.

Cadre normatif applicable à l’infonuagique dans le secteur privé

La Loi sur la protection des renseignements personnels dans le secteur privé (« LPRPSP ») prévoit que « nul ne peut communiquer à un tiers les renseignements personnels contenus dans un dossier qu’il détient sur autrui ni les utiliser à des fins non pertinentes à l’objet du dossier, à moins que la personne concernée n’y consente ou que la présente loi ne le prévoie »[14].

Da façon cohérente avec l’article 13, l’article 17 LPRPSP prévoit que, avant le transfert de renseignements à l’extérieur du Québec, la personne qui exploite une entreprise doit au préalable prendre tous les moyens raisonnables pour s’assurer que les renseignements ne seront pas utilisés à des fins non pertinentes à l’objet du dossier ni communiqués à des tiers sans le consentement des personnes concernées (sauf dans des cas similaires à ceux prévus par les articles 18 et 23 de la Loi).

Si la personne qui exploite une entreprise estime que les renseignements visés au premier alinéa ne bénéficieront pas des conditions prévues à l’article 17, elle doit « refuser de communiquer ces renseignements ou refuser de confier à une personne ou à un organisme à l’extérieur du Québec la tâche de les détenir, de les utiliser ou de les communiquer pour son compte ».

Précisons que tout préposé, mandataire, agent de l’exploitant ou toute partie à un contrat de service ou d’entreprise peut avoir accès aux renseignements personnels détenus par l’entreprise sans le consentement de l’individu concerné, qu’à la condition que ce renseignement soit nécessaire à l’exercice de ses fonctions ou à l’exécution de son mandat ou de son contrat[15]. Ainsi, une entreprise qui confie des renseignements personnels à un tiers dans l’exécution d’un contrat pourra le faire sans le consentement de l’individu titulaire des renseignements si ceci demeure pertinent à la finalité de la collecte des renseignements personnels.

Mentionnons toutefois qu’une entreprise qui communique à un fournisseur de services les renseignements qu’elle détient, que ce soit pour l’hébergement, l’analyse ou le traitement, demeure responsable d’en assurer la sécurité, même si les renseignements se trouvent dans un autre pays[16]. En effet, la LPRPSP prévoit que « toute personne qui exploite une entreprise doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits et qui sont raisonnables compte tenu, notamment, de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support ».

La Loi concernant le cadre juridique des technologies de l’information[17] (« LCCJTI ») impose d’ailleurs l’obligation à celui qui confie un document technologique à un prestataire de services pour qu’il en assure la garde d’informer ce dernier de la protection que requiert le document en ce qui a trait à la confidentialité de l’information et quant aux personnes qui sont habilitées à en prendre connaissance. (…)[18]. Elle oblige aussi le fournisseur de service qui assure la garde des documents de voir à ce que les moyens technologiques convenus soient mis en place pour en assurer la sécurité, en préserver l’intégrité, en protéger la confidentialité et en interdire l’accès à toute personne qui n’est pas habilitée à en prendre connaissance. Ainsi, une organisation, qu’elle soit publique ou privée[19], devrait prévoir par contrat les mesures de sécurité que requièrent les renseignements qu’elle confie à un tiers dans l’infonuagique.

De plus, la personne qui recueille des renseignements personnels doit informer l’individu concerné de l’objet du dossier, de l’utilisation qui sera faite de ses renseignements, de ses droits d’accès et de l’endroit où sera détenu son dossier[20]. La loi n’est cependant pas claire à savoir si l’endroit doit être interprété comme étant un lieu physique, une région ou un pays, puisqu’aucun tribunal n’a interprété ces dispositions jusqu’à présent[21]. De plus, il est très difficile de savoir exactement où se trouvent les renseignements conservés dans l’infonuagique, à moins de l’avoir préalablement prévu par contrat. Selon ce qui est prévu à l’article 8 LPRPSP, une entreprise devrait donc être suffisamment informée et connaître le lieu de localisation des renseignements personnels qu’elle fait héberger dans le nuage, afin d’être en mesure d’informer les personnes concernées de l’emplacement où ceux-ci sont détenus, de leurs droits d’accès et des mesures de sécurité mises en place.

Meilleures pratiques

Avant d’avoir recours à des services dans le nuage, il est donc requis de rester prudent et de prévoir par contrat toutes les modalités relatives au traitement des renseignements personnels et confidentiels, tel que l’emplacement des données. Soulignons toutefois qu’il est beaucoup plus difficile voire impossible de stipuler les conditions d’un service infonuagique dans le cas du modèle public. En effet, dans plusieurs cas, l’utilisation du nuage public sera prévue par un contrat d’adhésion gratuit dont les conditions sont prévues d’avance et non négociables.

D’autre part, et afin de protéger la confidentialité des renseignements, nous sommes d’avis que l’utilisation d’un service infonuagique opéré par un fournisseur canadien hébergeant les renseignements au Canada est beaucoup moins risquée qu’à l’étranger. Si un organisme doit néanmoins utiliser les services d’un fournisseur pour lequel il est impossible de savoir précisément où sont conservées les données, il devra disposer de mesures de sécurité protégeant les données sensibles[22], telles que des technologies de chiffrement[23]. Rappelons que, lorsque les données ne sont pas localisées, la juridiction ayant compétence pour traiter un litige éventuel sera également difficile à déterminer, si cet aspect n’a pas été préalablement prévu par contrat.

*Ceci ne constitue pas un avis juridique*