(Onze heures vingt minutes)

La Présidente (Mme D'Amours) : Bonjour,

tout le monde. Ayant constaté le quorum, je déclare la séance de la Commission

de l'économie et du travail ouverte.

La commission

est réunie afin de poursuivre l'étude détaillée du projet de loi n° 38, Loi modifiant la

Loi sur la gouvernance et la

gestion des ressources informationnelles des organismes publics et des

entreprises du gouvernement et d'autres dispositions législatives.

Mme la secrétaire, y a-t-il des remplacements?

La Secrétaire : Oui, Mme la

Présidente. Mme Tremblay (Hull) est remplacée par Mme Abou-Khalil

(Fabre) et Mme Cadet (Bourassa-Sauvé) est remplacée par Mme Setlakwe

(Mont-Royal—Outremont).

La Présidente (Mme D'Amours) : Merci.

Lors de l'ajournement de nos travaux d'hier, nous étions... les discussions,

c'est-à-dire, portaient sur, précisément, l'article 16. Est-ce qu'il y a

d'autres interventions sur cet article?

Mme Setlakwe : Merci, Mme la

Présidente. Bien, peut-être qu'on peut finir nos... notre échange, parce qu'on

a... ça tirait à sa fin. Mais, quand on s'est laissés, on obtenait des

comparables, parce qu'on discutait du libellé, à savoir la... entre autres, sur la durée maximale de projets pilotes,

et puis la légiste, là, Me Bacon, nous faisait état de comparables. J'avais noté, entre autres, le Code de la sécurité routière, la

loi sur le cannabis. Je ne sais pas si vous

voulez élaborer un peu plus là-dessus ou si vous avez terminé.

M. Caire : Non. C'est correct, je

pense.

Mme Setlakwe : Et ce qui m'amènerait

à une dernière ou deux dernières questions. On a parlé quand même abondamment,

là, de cette possibilité, ce pouvoir de mettre en oeuvre des projets pilotes. À

la fin du premier alinéa, on mentionne que

ça peut s'appliquer aussi à des citoyens. Donc, ça vise vraiment... Ça ratisse

large, là. Le projet peut viser des

organismes publics, des entreprises du gouvernement, toute autre entreprise,

donc, du secteur privé ou les citoyens.

Caire : Oui. Oui, parce que, comme j'ai dit, la mission en

cybersécurité du ministère, elle est sur le territoire québécois. Donc,

effectivement, ça pourrait impliquer les citoyens, donc, les composantes de la

société. La principale composante, c'est le citoyen. Donc,

effectivement, il pourrait y avoir des projets pilotes, notamment sur le... par

exemple, la littéracie en matière de cybersécurité. On fait grand état du fait

qu'il y a peut-être une lacune sur ces questions-là.

Donc, est-ce qu'il y aurait lieu d'intervenir dans ce domaine-là? Et, si oui,

de quelle façon? Moi, je pense que, par des projets pilotes, ça pourrait

être intéressant de tester des hypothèses.

Mme Setlakwe : Est-ce que vous avez

des exemples plus précis ou non?

Caire : Pas nécessairement, mais c'est vraiment dans

l'objectif de prévoir que... Compte tenu de l'ampleur du mandat, il faut s'assurer qu'on est capables

d'agir dans tous les secteurs d'activité qui touchent la cybersécurité, puis, bien

évidemment, au premier chef, les citoyens le sont.

Mme Setlakwe : Est-ce que,

généralement, ça va être contraignant ou... Moi, j'avais noté peut-être que,

les participants, ou les entreprises, ou les

organismes, ou les citoyens visés, ça allait se faire sur une base d'adhésion

volontaire.

M. Caire : ...sur une base

d'adhésion volontaire.

Mme Setlakwe : Est-ce qu'on est

assez clairs là-dessus?

M. Caire : Bien, je vous laisse en

juger. Moi, je pense que oui, là, mais je vous laisse en juger, là. Mais, de

toute façon, il n'y aurait pas d'intérêt, je vous dirais, de façon

pratico-pratique, à rendre un projet ou l'adhésion à un projet pilote obligatoire,

parce que, dans le fond, l'idée, c'est de tester des hypothèses, là.

Mme Setlakwe : OK. Qu'est-ce que

vous pensez de... Je me rapporte au mémoire qui a été déposé. On a eu très peu de mémoires puis d'intervenants, mais il

y en a un assez détaillé qui a été soumis par la Fédération des cégeps. Eux, ils demandent de

baliser cette notion de projet pilote. Entre autres, ils disent que «les

projets pilotes ne devraient pas imposer

des contraintes aux organismes publics qui pourraient être obligés d'y

participer». Là, je pense, vous avez répondu que c'est sur une base

volontaire.

Mme Setlakwe : «La Fédération des

cégeps s'inquiète des conséquences administratives inhérentes à l'autorisation de projets pilotes dans le domaine

de la cybersécurité tel que prévu à 10.1. Par conséquent, elle demande une révision de cette disposition pour y apporter

des clarifications supplémentaires.» Je pense que l'intention a peut-être

été clarifiée, justement, ici, là, mais...

Caire : Bien, à micro ouvert. Puis, sur les balises, dans

le fond, le deuxième alinéa nous donne les balises légales qu'on doit

respecter. Donc, le cadre général législatif québécois s'applique, là.

Mme Setlakwe : Très bien. À la toute

fin, donc, quand on parle de la reddition de comptes, je pense qu'on est

assez... ou si on se colle au libellé du corpus législatif, là, les résultats

doivent être publiés sur le site Internet du ministère au plus tard un an après

la fin du projet pilote.

M. Caire : Oui. Ça aussi, c'est

assez standard.

Mme Setlakwe : Merci. Moi, je n'ai

pas d'autre chose.

La Présidente (Mme D'Amours) : Est-ce

que l'article 16 est adopté?

La Présidente (Mme D'Amours) :

L'article 17.

M. le ministre, s'il vous plaît.

M. Caire : Oui, Mme la Présidente.

L'article 32.1 de la

Loi sur le ministère de la Justice

(chapitre M-19) est modifié par la suppression, dans le paragraphe 2°, de

«à la certification requise pour assurer la sécurité des échanges électroniques impliquant le gouvernement, ses

ministères et ses organismes, dans le cadre de fonctions qui ont été déléguées

en application de l'article 66 de la

Loi sur l'administration publique

(chapitre A-6.01), ou».

Alors, c'est

en lien avec ce qu'on fait sur les infrastructures à clés publiques, clés de

certification, etc. Donc, c'est de la concordance.

Setlakwe : Oui. Non, je n'ai pas de question, là. C'est

vraiment de la concordance, et... mais, ici, on vise la

Loi sur le

ministère de la Justice.

M. Caire : Oui, parce que, compte

tenu que c'était résiduel, bien, il faut mettre ça à jour.

Mme Setlakwe : Je n'ai pas de

question.

La Présidente (Mme D'Amours) : Merci.

L'article 17 est-il adopté?

La Présidente (Mme D'Amours) :

L'article 18.

M. le ministre, s'il vous plaît.

M. Caire : Mme la Présidente, la

Directive sur les services de certification offerts par le gouvernement du

Québec approuvée par le décret n° 6-2014 du

15 janvier 2014 cesse d'avoir effet à l'entrée en vigueur d'un décret pris

en vertu de l'article 5.1 de la

Loi sur le ministère de la Sécurité... de

la Cybersécurité, pardon, et du Numérique (chapitre M-17.1.1), édicté par

l'article 14 de la présente loi, concernant le même objet.

Donc, encore là, c'est de la concordance, compte

tenu que c'est maintenant le MCN qui va assumer cette responsabilité.

La Présidente (Mme D'Amours) : Commentaires

sur l'article 18?

Mme Setlakwe : Non. Je vais juste

revoir le commentaire ici. Non, ça va. Je n'ai pas de commentaire.

La Présidente (Mme D'Amours) :

L'article 18

est-il adopté?

La Présidente (Mme D'Amours) :

L'article 19.

M. le ministre, s'il vous plaît.

Caire : Oui, Mme la Présidente. Tout organisme public désigné pour

agir à

titre de source officielle de données

numériques gouvernementales conformément à un décret pris en vertu de

l'article 12.14 de la

Loi sur la gouvernance

et la gestion des ressources informationnelles des organismes publics et des

entreprises du gouvernement (chapitre G-1.03)

peut exercer cette fonction de source dès lors qu'il a rempli les obligations

prévues à l'article 12.16 de cette loi, tel que modifié par

l'article 10 de la présente loi.

Encore là, c'est de

la concordance avec l'article 10 que nous avons adopté.

Mme Setlakwe :

Oui. Bien, écoutez... Oui, c'est

de la concordance, mais, ici, ce que ça fait en pratique, c'est que, là,

ça va venir mettre fin au processus qui est en cours entre le ministère de la

Cybersécurité et du Numérique...

M. Caire : En

fait, si je peux me permettre peut-être une nuance, ça va mettre fin à

l'obligation de compléter le processus qui est en cours. Ça ne met pas

nécessairement fin au processus, dans le sens où la CAI a toujours la possibilité d'analyser, d'évaluer et de faire des

recommandations quant aux règles de gouvernance. C'est l'approbation qui

n'est plus un absolu.

Setlakwe : Mais est-ce que vous avez l'intention de compléter les

échanges, avec eux, de...

M. Caire : Bien

oui, on va... bien oui, on va continuer. Je vous dirais, Mme la députée, qu'on

a intérêt à le faire. On a intérêt à ce que

la CAI... travailler avec la CAI. Puis c'est pour ça que je dis : C'est

vraiment tout le contexte administratif que ça amène puis la durée dans

le temps que ça amène. Mais bien sûr que... Tu sais, le rôle de la Commission

d'accès à l'information est un rôle névralgique. Puis, toujours, je pense que

c'est une bonne idée de la consulter, puis

d'avoir des discussions, puis d'écouter les recommandations qui nous sont

faites. La CAI a clairement établi, là,

que, par son processus de surveillance, les conséquences pourraient quand même

être assez... assez désastreuses, là.

Alors,

on n'a pas intérêt à... on n'a pas intérêt à faire comme si la CAI n'existait

pas, là. C'est juste que, dans le temps, administrativement, c'est une lourdeur

qui ne nous apparaît pas nécessaire. Puis, comme je l'ai déjà dit puis je veux

le répéter, ça n'a pas été repris dans les autres lois. Mais bien sûr qu'on a

l'intention de continuer les discussions avec la CAI.

Setlakwe : Eux, ils recommandent vraiment de le retirer, là, cet

article-là, parce que, dans le fond, la disposition avise une seule situation,

c'est celle visant le MCN désigné comme source officielle aux fins du service

d'authentification gouvernementale, comme on a discuté quand même abondamment.

Est-ce qu'il y a du nouveau par rapport à la semaine... tu sais, depuis la semaine

dernière?

M. Caire : Je

ne sais pas, Mme la députée, parce que, vous comprendrez, pour des raisons

assez évidentes, que je ne suis pas

personnellement impliqué dans les discussions. Et ça se fait entre la

gestionnaire à la donnée numérique gouvernementale, la CAI, la cheffe

gouvernementale de la sécurité de l'information, qui conduisent les

discussions.

Mais

je vous dirais, a contrario, qu'il n'y a pas de logique à dire que le

processus... ce processus-là n'est pas utile, «sauf dans le cas de». Il

est utile ou il n'est pas utile.

Setlakwe : Bien non, mais, dans les faits, actuellement, il y en a une

seule, demande qui est en cours.

M. Caire : Oui,

oui, je comprends, mais c'est... Plus largement, je pense que, comme

législateurs, on se pose la question :

Est-ce que le processus est utile? À l'article 10, on en est arrivés à la

conclusion... bien, je dirais : Nous en sommes arrivés à la

conclusion, parce que je comprends votre position là-dessus, Mme la députée, et

je la respecte, mais nous en sommes arrivés à la conclusion que non. Donc, s'il

n'est pas utile à l'article 10, je pense qu'il ne l'est pas plus à

l'article 16.

Setlakwe : Non, mais j'étais curieuse de savoir s'il y avait eu, à

votre connaissance, une indication de la CAI comme quoi ils étaient rendus à la

fin ou qu'ils étaient sur le point d'approuver.

M. Caire : Écoutez,

je n'ai pas le... Comme je vous disais, là, je n'ai pas le suivi quotidien des

discussions. Ce qu'on me disait... Déjà, au mois d'octobre, on me disait qu'on

était sur le bord d'avoir cette approbation-là. Mais, en même temps, vous

comprendrez que je ne peux pas fixer ou mettre de la pression. Je veux dire, la

CAI est un organisme indépendant. La CAI

travaille selon son mode opératoire et en fonction des échéanciers qu'elle se

fixe. Donc, je ne saurais pas vous dire si les règles sont à