Journal des débats (Hansard) of the Committee on Public Finance - National Assembly of Québec

on social medias, Facebook, X, Youtube

Members

MNA Contact Information

The Office of MNA

Parliamentary Offices

Committee Makeup

Indemnities and Allowances

Cercle des femmes parlementaires

Cercle des jeunes parlementaires

Cercle des ex-parlementaires de l’Assemblée nationale du Québec

Fondation Jean-Charles-Bonenfant

Fondation des parlementaires québécois Cultures à partager

Parliamentary Proceedings

Calendrier hebdomadaire des travaux

Journal des débats (Hansard)

Index du Journal des débats

Standing Orders of the National Assembly

Propos non parlementaires

Attending Proceedings

National Assembly Proceedings

All Assembly Sittings

Documents Tabled

Bills

Cheminement des projets de loi

Register of Recorded Divisions

Committee Proceedings

Committees

Current Orders

Documents Tabled

Reports and Discussion Papers

Voice Your Opinion!

Petitions

Signing an E-Petition

Consulting a Petition Presented in the National Assembly

Starting a Petition

Following a Petition's Path

Public Consultations

Taking

Part in a Consultation

List of Public Consultations

Commenting on a Subject under Study

Introducing a Private Bill

Video

Live Streaming and Webcasts

Archives of Parliamentary Proceedings and Activities

National Assembly Proceedings

Parliamentary Committee Proceedings

Media Activities

Special and Institutional Events

Members

National Assembly Channel

Promotional Programs and Capsules

Youth

Section

Ordering a Video Excerpt

Calendar

Open

Live streaming

Detailed Calendar

_date_du_jour

Today

_heure_en_cours

In Progress

Today's Activities

Exhibitions

Flag(

s) flying above the Parliament Building

To use the Calendar, Javascript must be activated in your browser.

For more information

The ABC of the Assembly

Visitors

Restaurants

News and Press Room

Library

Publications

Éducation

Diplomacy

History

Home > Parliamentary Proceedings > Committee Proceedings > Journal des débats (Hansard) of the Committee on Public Finance

Parliamentary Proceedings

Journal des débats (Hansard)

Index du Journal des débats

Assembly Proceedings

Register of Recorded Divisions

Committee Proceedings

Public Administration

Agriculture, Fisheries, Energy and Natural Resources

Planning and Public Domain

National Assembly

Culture and Education

Labour and Economy

Public Finance

Institutions

Citizen Relations

Health and Social Services

Transportation and Environment

Current Orders

Reports and Discussion Papers

Cheminement des projets de loi

Bills

Documents Tabled

Newly Tabled Documents

Weekly Calendar of Proceedings

Keywords

Type of document

All documents

Documents tabled

Order Papers and Notices

Hansards

Briefs

Votes and Proceedings

Bills

Committee reports and consultation documents

Type of proceeding

Assembly and committee proceedings

Assembly proceedings

Committee proceedings

Committee on Agriculture, Fisheries, Energy and Natural Resources

Committee on Citizen Relations

Committee on Culture and Education

Committee on Health and Social Services

Committee on Institutions

Committee on Labour and the Economy

Committee on Planning and the Public Domain

Committee on Public Administration

Committee on Public Finance

Committee on the National Assembly

Committee on Transportation and the Environment

Subcommittee on Parliamentary Reform

Select a period

From

From</b> and <b>To</b> fields are filled in, the results will be between the dates indicated.<br />

If the <b>From</b> field alone is filled in, the results will be between the date indicated and the current date.<br />

If the <b>To</b> field alone is filled in, the results will be before the date indicated.

" class="champsDate choisirDate BulleInfo PeriodeFin" />

Start date must precede end date.

Session

All sessions

Current session - 43rd Legislature, 3rd Session (May 5, 2026 - )

43rd Legislature, 2nd Session (September 30, 2025 - April 8, 2026)

43rd Legislature, 1st Session (November 29, 2022 - September 10, 2025)

42nd Legislature, 2nd Session (October 19, 2021 - August 28, 2022)

42nd Legislature, 1st Session (November 27, 2018 - October 13, 2021)

41st Legislature, 1st Session (May 20, 2014 - August 23, 2018)

40th Legislature, 1st Session (October 30, 2012 - March 5, 2014)

39th Legislature, 2nd Session (February 23, 2011 - August 1, 2012)

39th Legislature, 1st Session (January 13, 2009 - February 22, 2011)

38th Legislature, 1st Session (May 8, 2007 - November 5, 2008)

37th Legislature, 2nd Session (March 14, 2006 - February 21, 2007)

37th Legislature, 1st Session (June 4, 2003 - March 10, 2006)

36th Legislature, 2nd Session (March 22, 2001 - March 12, 2003)

36th Legislature, 1st Session (March 2, 1999 - March 9, 2001)

35th Legislature, 2nd Session (March 25, 1996 - October 21, 1998)

35th Legislature, 1st Session (November 29, 1994 - March 13, 1996)

34th Legislature, 3rd Session (March 17, 1994 - June 17, 1994)

34th Legislature, 2nd Session (March 19, 1992 - March 10, 1994)

34th Legislature, 1st Session (November 28, 1989 - March 18, 1992)

33rd Legislature, 2nd Session (March 8, 1988 - August 9, 1989)

33rd Legislature, 1st Session (December 16, 1985 - March 8, 1988)

32nd Legislature, 5th Session (October 16, 1984 - October 10, 1985)

32nd Legislature, 4th Session (March 23, 1983 - June 20, 1984)

32nd Legislature, 3rd Session (November 9, 1981 - March 10, 1983)

32nd Legislature, 2nd Session (September 30, 1981 - October 2, 1981)

32nd Legislature, 1st Session (May 19, 1981 - June 18, 1981)

31st Legislature, 6th Session (November 5, 1980 - March 12, 1981)

31st Legislature, 5th Session (October 24, 1980 - October 24, 1980)

31st Legislature, 4th Session (March 6, 1979 - June 18, 1980)

31st Legislature, 3rd Session (February 21, 1978 - February 20, 1979)

31st Legislature, 2nd Session (March 8, 1977 - December 22, 1977)

31st Legislature, 1st Session (December 14, 1976 - December 23, 1976)

30th Legislature, 4th Session (March 16, 1976 - October 18, 1976)

30th Legislature, 3rd Session (March 18, 1975 - December 19, 1975)

30th Legislature, 2nd Session (March 14, 1974 - December 28, 1974)

30th Legislature, 1st Session (November 22, 1973 - December 22, 1973)

29th Legislature, 4th Session (March 15, 1973 - September 25, 1973)

29th Legislature, 3rd Session (March 7, 1972 - March 14, 1973)

29th Legislature, 2nd Session (February 23, 1971 - December 24, 1971)

29th Legislature, 1st Session (June 9, 1970 - December 19, 1970)

28th Legislature, 5th Session (February 24, 1970 - March 12, 1970)

28th Legislature, 4th Session (February 25, 1969 - December 23, 1969)

28th Legislature, 3rd Session (February 20, 1968 - December 18, 1968)

28th Legislature, 2nd Session (October 20, 1967 - October 20, 1967)

28th Legislature, 1st Session (December 1, 1966 - August 12, 1967)

27th Legislature, 6th Session (January 25, 1966 - April 18, 1966)

27th Legislature, 5th Session (October 22, 1965 - October 23, 1965)

27th Legislature, 4th Session (January 21, 1965 - August 6, 1965)

27th Legislature, 3rd Session (January 14, 1964 - July 31, 1964)

27th Legislature, 2nd Session (August 21, 1963 - August 23, 1963)

27th Legislature, 1st Session (January 15, 1963 - July 11, 1963)

26th Legislature, 2nd Session (November 10, 1960 - June 10, 1961)

26th Legislature, 1st Session (September 20, 1960 - September 22, 1960)

25th Legislature, 4th Session (November 18, 1959 - March 18, 1960)

25th Legislature, 3rd Session (November 19, 1958 - March 5, 1959)

25th Legislature, 2nd Session (November 13, 1957 - February 21, 1958)

25th Legislature, 1st Session (November 14, 1956 - February 21, 1957)

24th Legislature, 4th Session (November 16, 1955 - February 23, 1956)

20th Legislature, 1st Session (October 7, 1936 - November 12, 1936)

18th Legislature, 2nd Session (January 10, 1933 - April 13, 1933)

18th Legislature, 1st Session (November 3, 1931 - February 19, 1932)

17th Legislature, 2nd Session (January 8, 1929 - April 4, 1929)

16th Legislature, 4th Session (January 11, 1927 - April 1, 1927)

16th Legislature, 3rd Session (January 7, 1926 - March 24, 1926)

16th Legislature, 1st Session (December 17, 1923 - March 15, 1924)

15th Legislature, 4th Session (October 24, 1922 - December 29, 1922)

15th Legislature, 3rd Session (January 10, 1922 - March 21, 1922)

15th Legislature, 2nd Session (January 11, 1921 - March 19, 1921)

15th Legislature, 1st Session (December 10, 1919 - February 14, 1920)

14th Legislature, 3rd Session (January 21, 1919 - March 17, 1919)

14th Legislature, 2nd Session (December 4, 1917 - February 9, 1918)

14th Legislature, 1st Session (November 7, 1916 - December 22, 1916)

13rd Legislature, 4th Session (January 11, 1916 - March 16, 1916)

13rd Legislature, 3rd Session (January 7, 1915 - March 5, 1915)

13rd Legislature, 2nd Session (November 11, 1913 - February 19, 1914)

13rd Legislature, 1st Session (November 5, 1912 - December 21, 1912)

12nd Legislature, 4th Session (January 9, 1912 - April 3, 1912)

12nd Legislature, 3rd Session (January 10, 1911 - March 24, 1911)

12nd Legislature, 2nd Session (March 15, 1910 - June 4, 1910)

12nd Legislature, 1st Session (March 2, 1909 - May 29, 1909)

11st Legislature, 4th Session (March 3, 1908 - April 25, 1908)

Share

Seat plan of the Assembly (French only)

Live on the Web

Journal des débats (Hansard) of the Committee on Public Finance

Version préliminaire

Retour à la liste des séances du Journal des débats

43 rd Legislature, 1 st Session

(November 29, 2022 au September 10, 2025)

Cette version du Journal des débats est une version préliminaire : elle peut donc contenir des erreurs. La version définitive du Journal, en texte continu avec table des matières, est publiée dans un délai moyen de 2 ans suivant la date de la séance.

Pour en savoir plus sur le Journal des débats et ses différentes versions

Tuesday, April 22, 2025

Vol. 47 N° 73

Clause-by-clause consideration of Bill 82,

An Act respecting the national digital identity and amending other provisions

Aller directement au contenu du Journal des débats

Heures

11 h

11 h 30

12 h

15 h 30

16 h

16 h 30

17 h

17 h 30

18 h

18 h 30

19 h

Journal des débats

11 h (version non révisée)

(Onze heures trente-quatre minutes)

Le Président (M. Simard) : Alors,

chers collègues, bienvenue à toutes et à tous. Je constate que nous avons quorum.

Conséquemment, la commission…

Top of page

11 h 30 (version non révisé

e) Le Président (M. Simard) : …des

finances publiques peut reprendre ses travaux. Et, au moment d'ajourner nos

travaux, le 10 avril dernier, nous en étions rendus à l'étude de l'article 10.7.

Article, sur lequel et pour lequel notre collègue de Maurice-Richard avait

déposé un amendement. Donc, au moment de suspendre nos travaux, la parole

appartenait à notre collègue. Nous en sommes toujours, bien sûr, sur l'étude de

cet amendement. Mais avant, mais avant, je dois demander à mon secrétaire si

nous avons aujourd'hui des remplacements.

Le Secrétaire

: Oui, M.

le Président, M. Beauchemin (Marguerite-Bourgeoys) est remplacé par Mme Setlakwe

(Mont-Royal—Outremont); M. Morin (Acadie) par Mme Caron

(La Pinière); et Mme Zaga Mendez (Verdun) par M. Bouazzi (Maurice-Richard).

Le Président (M. Simard) : C'est

merveilleux! Donc, chers collègues, il vous reste 14 minutes, 25 secondes

dans le cadre de votre intervention.

M. Bouazzi : Merci, M. le

Président. Donc, juste pour nous rafraîchir un peu la mémoire, parce que ça

fait quand même plus d'une semaine que nous avons retrouvé, d'abord, nos

familles, mais aussi nos chers constituants dans nos circonscriptions

respectives. Donc, l'amendement qui ici vise à dire que les données doivent

être évidemment conservées de manière sécuritaire, c'est ce qui est inscrit,

mais gardées sur le territoire du Québec. Ici, on vise évidemment à garder des

données sous la législation québécoise, entre autres choses, dans donc… géographiquement

stockées dans des serveurs physiques à l'intérieur de notre territoire. Et nous

serions… Nous avons déjà dit que nous étions ouverts, même si on ne voyait pas

trop l'intérêt de faire en sorte que les données soient stockées sur le

territoire du Canada au complet. Mais, avant de faire des concessions, j'aurais

voulu entendre mes collègues sur cet amendement.

Le Président (M. Simard) : Je

vous remercie. Alors, M. le ministre, souhaitez-vous, à ce stade-ci, intervenir,

ou vous souhaitez laisser la parole à votre… à l'opposition officielle?

M. Bélanger : Êtes-vous prêt,

ou je peux intervenir, mais ça va quand même très bref.

Le Président (M. Simard) : Oui.

Très bien.

M. Bélanger : Vous m'avez fait

travailler quand même au cours des derniers jours, parce que je comprends votre

point. Puis on sait ce qui se passe du côté Sud, donc en termes de respect, de

respect des lois, parce que, bon, il y a le cloud Act, qui est le Patriot Act

et puis d'une certaine façon, vous avez raison, qu'il y a un risque, que… de ne

pas être au courant que ces données-là puissent être utilisées. La

problématique que j'ai, c'est de restreindre trop ou de préciser trop au niveau

du… au niveau de l'article.

Je vais vous donner un exemple. Je jugerais

que systématiquement des données de niveau trois, qui sont un niveau de

sécurité quand même un peu plus haut que ce qui existe actuellement, de ce qu'on…

on a des données de niveau un et de niveau deux, serait dans un endroit

souverain au Québec. Mais est-ce que je devrais le préciser au niveau du projet

de loi? Je ne crois pas, parce que si on arrive à un moment donné à changer la…

changer les règles ou les niveaux de sécurité, on perd… on perd beaucoup de

flexibilité. Ça fait que j'aime… Je comprends votre point. Il faut être plus

proactif. Puis peut-être le principe de précaution est un élément important,

mais je veux garder en même temps la facilité au niveau… Je ne veux pas avoir à

réouvrir ce projet de loi là, mettons, dans un an, parce que j'ai été tellement

précis au niveau… au niveau d'un

article en particulier, ça fait que ça m'enlève

de la flexibilité. Je ne sais pas si… Me Bacon, si vous avez des éléments à

rajouter à ce niveau-là ou c'est… parce que je peux passer la parole aussi à la

collègue de…

Le Président (M. Simard) : Alors

bien sûr, j'aurai besoin du consentement afin que maître Bacon puisse

intervenir. Il y a consentement. Maître, avant de vous laisser parler, je

comprends que vous souhaitiez peut-être intervenir, cher collègue de Maurice-Richard.

M. Bouazzi : J'avais un

questionnement, mais… de suivi par rapport à ce que M. le ministre allait dire,

écoutons Me Bacon, d'abord.

Le Président (M. Simard) :

Très bien. Alors, Me Bacon, pour les fins de nos travaux, parce que c'est la

première fois que vous avez à prendre la parole cette semaine, pourriez-vous, s'il

vous plaît, vous présenter.

Mme Bacon (Nathalie) : M. le

Président, Nathalie Bacon, à la direction des affaires juridiques pour le

ministère de la Cybersécurité et du numérique. Ce que le ministre a dit dans le

micro concernant la flexibilité qui est souhaitée, puis c'est un petit peu à

chaque fois notre enjeu, lorsqu'on rédige un projet de loi, là, de lui donner

ce qu'on appelle une texture ouverte…

Mme Bacon (Nathalie) : ...et

de lui donner aussi les outils pour qu'il puisse intervenir de façon adéquate.

En fait, le ministre, il fait référence à la... notamment, là, je vous dis,

entre autres, un outil déjà existant à la

Loi sur la gouvernance et la gestion

des ressources informationnelles, la LGGRI. Alors, l'article 21 qui lui

permet de prendre notamment un arrêté ministériel pour déterminer des

orientations. Donc, le ministre pourrait formuler des orientations pour

dire : Les données d'une certaine sensibilité doivent être, exemple, dans

des serveurs situés au Québec ou dans un nuage privé gouvernemental et

prévoir... et dépendamment de l'évolution de la technologie, mais on pourrait

changer ces orientations. Donc, c'est cette flexibilité-là à laquelle il fait

référence notamment.

• (11 h 40) •

Le Président (M. Simard) : Très

bien. Oui, M. le ministre.

M. Bélanger : Je pourrais

rajouter un autre point assez... L'enjeu de stocker les données, si les

données, par exemple — là, je ne veux pas rentrer dans le technique — mais

si elles ne sont pas fragmentées ou si elles ne sont pas encryptées, il y a un

enjeu d'accessibilité parce qu'on peut accéder à une donnée qui est intégrale,

donc avoir l'information. Mais ça évolue quand même assez rapidement puis il y

a des... Vous comprenez que les GAFAM actuellement sont dans une situation où

elles ne veulent pas perdre un marché, elles ne veulent pas perdre un marché.

Il y a un enjeu de risque. Le gouvernement américain peut... puis l'exemple que

je pourrais prendre c'est, s'il y a une enquête, puis vous avez votre

cellulaire, puis les... au niveau de l'enquête, il y a accès à l'information, à

vos conversations, vous n'avez pas nécessairement le pouvoir de dire ou vous ne

le savez peut-être même pas qu'il va y avoir une intrusion à ce niveau-là.

Mais.... mais les GAFAM sont en réflexion aussi. D'un certain côté, ils ne

veulent peut-être pas perdre un marché pour certaines données. On sait que les

données très sensibles, on ne prendra pas de risque, puis elles vont être dans

le cloud souverain, mais les autres types de données qui sont actuellement

entreposés, il y a peut être des avenues qui vont devoir être explorées dans le

respect des ententes qu'on a, que ce soit la LCOP ou d'autres, qu'on va devoir

évaluer si c'est l'encryptage, par exemple, ou si c'est la fragmentation des

données qui pourrait nous garantir que ces données- là ne seraient pas

accessibles parce qu'on aurait accès, à ce moment-là à des données fragmentées

qui seraient... qui seraient inutiles, là, pour... pour qui les utiliserait.

Le Président (M. Simard) : Très

bien. Mme la députée de 3MRO.

Mme Setlakwe : Oui. Merci, M.

le Président. Mais merci au ministre et à Me Bacon pour les explications. Il y

en a eu ce matin, puis il y en a eu aussi lors de la dernière session avant

qu'on se soit quittés.

Je... on comprend donc les...

l'encadrement juridique. Vous en aviez parlé la dernière fois, là, la LCOP, la

loi sur l'accès, le contexte des accords. Vous parlez aussi ce matin de laisser

donc une flexibilité., que ça prend une texture ouverte, tout ça, et je pense

qu'on le comprend bien.

Moi, je retournerais vers le ministre en

disant : On comprend la nécessité d'avoir cette flexibilité. Mais vous,

votre plan, vous, votre vision, vous, vos... les démarches, les... le plan

d'action sur lequel vous travaillez justement pour avoir un nuage

gouvernemental, c'est bien l'expression qu'il faut utiliser, là, pour... Ce qui

est le plus sécuritaire, c'est quoi, c'est un nuage gouvernemental?

M. Bélanger : C'est un nuage

gouvernemental avec une infrastructure physique qui est au Québec et il existe

actuellement. On a des infrastructures qui sont situées au Québec, qui nous

permettent de stocker des données qui sont sensibles, et on a des données de

niveau 2 qui sont stockées dans le nuage gouvernemental, et c'est notre

intention de l'utiliser.

Mais la situation géopolitique change

rapidement et on doit garder une certaine flexibilité. Je ne dis pas par là

qu'on va reculer puis on va revenir un peu à ce qui se faisait avant, dans un

an, si, aux États-Unis, ça change. Mais il faut quand même avoir cette

agilité-là pour pouvoir ne pas avoir à justement, à chaque moment donné qu'on

veut faire un ajustement, de rouvrir un projet de loi. Donc, avoir l'agilité,

puis je pense que c'est important. Et on a toujours la stratégie, une stratégie

souveraine qui va être mise en place, qui va nous donner les... les lignes

directrices justement sur comment... comment agir.

Le Président (M. Simard) : Alors,

M. le député de Maurice-Richard, souhaitiez-vous revenir

sur... sur l'amendement?

M. Bouazzi : Vous, vous avez

parlé des catégories 1, 2 et 3, peut-être pour nous, nous nous décrire à

quoi on se réfère exactement. C'est quoi...

M. Bouazzi : ...les

différentes... les différences entre ces trois catégories.

M. Bélanger : Mais au niveau

de catégorie 1, c'est des informations, là, je ne les ai pas avec moi, on

pourra... mais c'est des informations qui sont assez simples, qui est un peu

le... le nom de l'individu, son numéro de permis de conduire, certaines

informations de base qui nous permettent un accès, justement, à un portefeuille

de services au niveau service gouvernemental. Il y a un niveau 2. Le niveau 2,

c'est on a une information au niveau... au niveau impôt qui est, là, j'oublie

le terme, là, qui... le...

Une voix : …

M. Bélanger : ...fiscal. Oui.

Une voix : ...

M. Bélanger : Oui,

renseignement fiscal, ça, c'est le niveau 2. Et le niveau 3. Bien, le

niveau 3, je n'ai pas les détails, mais c'est un niveau de sécurité

supplémentaire. Puis la journée où on arrive avec des informations

biométriques, parce que c'est quand même des éléments, on va avoir des

consultations publiques à ce niveau-là, si jamais nous avions des informations

biométriques, si jamais il y avait des informations au niveau de la santé, donc

qui ouvriraient la porte à un profilage potentiel, ça fait que, ça, c'est des

données d'un niveau de sécurité supérieur. Mais ces données-là, on veut en

garantir... on veut interdire, justement, l'accès ou empêcher l'accès parce que

c'est des données d'un niveau... et puis ça dépasse le 3, il y a des... Je n'ai

pas le tableau, je pourrais vous revenir là-dessus, puis c'est quand même une

catégorie qui est reconnue au niveau international. Donc, ce n'est pas juste le

Québec qui utilise ces catégories-là. Mais nous, on a jugé, puis j'ai eu des

discussions avec mon équipe, c'est automatique, le niveau trois, c'est quelque

chose qui va être entreposé au Québec dans le nuage gouvernemental. Mais,

maintenant, est-ce que le niveau 2, st ce qu'on peut désirer le faire

aussi? Probablement, mais je veux me garder la flexibilité de... à ce

niveau-là.

Le Président (M. Simard) :

Merci, M. le ministre. Alors, Mme la députée de La Pinière.

Mme Caron : Merci, M. le

Président. Alors, bonjour, tout le monde. Au sujet de l'amendement, je

comprends qu'on veut ajouter «conservation sécuritaire sur le territoire du

Québec», mais d'après moi ça ne vient pas régler la préoccupation du Cloud Act

américain, parce que ce que le Cloud Act dit, c'est qu'il l'obligerait...

c'est-à-dire qu'il permet, cette loi-là permet au gouvernement fédéral

américain d'obliger les entreprises de TI à fournir les données que le

gouvernement américain demande, qui sont situées... qui sont stockées sur des

serveurs peu importe où, mais les entreprises... on oblige les entreprises dont

le siège social est aux États-Unis de fournir ces données-là si elles sont

demandées par le gouvernement par subpoena, par exemple, ou mandat. Donc, même

si on vient ajouter «conservation sécuritaire sur le territoire du Québec»,

parce qu'on veut que les données soient stockées sur le territoire du Québec ou

même au Canada, mais sans préciser qu'on veut que ce soit stocké par une

entreprise dont le siège social est au Québec ou au Canada, on ne se protège

davantage avec cet amendement-là.

Le Président (M. Simard) : M.

le ministre.

M. Bélanger : Mais on parle

du cloud gouvernemental, il n'y a pas d'entreprises américaines à ce niveau-là,

donc il n'y a aucun accès possible si... les données qu'on entrepose dans notre

cloud souverain gouvernemental, les Américains n'ont aucune possibilité

d'accéder ces données-là. La problématique est plus au niveau des entreprises

américaines qui peuvent avoir un siège social au Québec, mais comme elles sont

entreprises américaines, oui, il y a possibilité d'accéder à ces données-là,

c'est pour ça que je parlais de... plus tôt de possibilité de les encrypté ou

de les déplacer.

Donc c'est certain qu'à l'heure actuelle,

autant Québec que Canada, on est après évaluer les données qui sont entreposées

dans des clouds comme AWS, ou Azur, ou d'autres. Premièrement, est-ce que ce

sont des données qui sont sensibles? Si c'est le cas, quelle est l'action qu'on

doit faire? Est-ce qu'on doit a priori les mettre dans le cloud gouvernemental

ou il y a une possibilité de fragmenter, d'encrypter? Donc, on est dans ce

processus, dans ce processus-là, mais il y a des aspects contractuels à

considérer, donc...

Le Président (M. Simard) :

Bien. Chère collègue.

Mme Caron : Alors, est ce

qu'on comprend que tous les renseignements dont il est question à

l'article 10.7 sont dans le nuage gouvernemental?

M. Bélanger : Non, pas

actuellement, ils ne sont pas...

Mme Caron : Ils ne sont pas

dedans. Alors, la question, est-ce que la question ne demeure pas? S'il y a des

données, des renseignements personnels qui sont... qui ne sont pas...

Mme Caron : ...qui ne sont

pas dans le nuage gouvernemental, mais qui sont stockés dans un autre nuage qui

appartient, finalement, à une... qui est fournie par Amazon ou autre, à ce

moment-là, la préoccupation demeure? Parce que je n'ai pas compris tout à fait

pourquoi il n'y avait plus de préoccupation tout d'un coup, là. J'ai peut-être

mal saisi quelque chose.

• (11 h 50) •

M. Bélanger : Je n'ai pas dit

qu'il n'y avait pas de préoccupation. Mais je vais vous donner un exemple. Vous

utilisez des e-mails, vous utilisez des textos. C'est une application qui

utilise Microsoft. Techniquement, les Américains pourraient accéder à tous vos

e-mails, toute l'information, toutes vos données. Quand vous passez la

frontière, votre téléphone... On est dans... C'est une situation qui a évolué

rapidement. Ça fait que nous sommes... Nous avons pris acte et puis nous sommes

à évaluer, justement, qu'est-ce qu'on fait avec toutes ces données-là. Est-ce

que, du jour au lendemain, on désire... on désire être souverain partout?

Est-ce qu'on exclut Microsoft des... Pas sûr. Il y a une considération de

gestion de changement ou de risque. Ce qui est important, par contre, s'il y a

des données qu'on développe, qu'on utilise qui sont au niveau de la santé, qui

sont au niveau biométrique, ces données -là qui... Actuellement, on n'est pas

rendu en biométrie, là, mais, quand on va arriver à ce niveau-là, bien, c'est

certain, je vous confirme que ça va être ici. Ça ne sera pas dans un cloud

américain, ça va être ici, au niveau du cloud gouvernemental.

Mme Caron : Puis,

actuellement, les données, les renseignements sur la santé, par exemple, sont

déjà dans le cloud gouvernemental québécois ou pas encore?

M. Bélanger : Bien, au niveau

de la santé, il y a quand même des projets qui sont... des projets qui sont en

cours, il y a des projets qui ne sont pas encore démarrés. Je vous dirais qu'il

n'y a... il n'y a pas de données, actuellement, qui sont dans des clouds

américains. Si vous prenez... Il y a des projets, par exemple, qui pointent à

l'horizon. Et est-ce qu'il y a des enjeux au niveau de données qui seraient

stockées chez une entreprise américaine dans un cloud? Possiblement. Ça fait

qu'on est après, justement, à évaluer cet enjeu-là. Qu'est-ce qu'on fait avec?

Il y a une question... il y a des questions contractuelles. Ça fait que je ne

veux pas... je ne veux pas trop avancer dans cette situation-là, mais c'est

certain qu'on va considérer entreposer ces données-là dans le cloud

gouvernemental.

Le Président (M. Simard) : Très

bien. Cher collègue de Maurice-Richard.

M. Bouazzi : Bien, je ne sais

pas si vous voulez continuer. Moi, je pense que le point est très, très valide,

le... L'amendement qu'il y a ici ne règle pas la question du CLOUD Act,

effectivement. D'ailleurs, c'est pour ça qu'on a un autre amendement qu'on va

déposer, qui est déjà dans le pipeline, là, depuis... depuis déjà deux

semaines, qu'on va déposer juste après celui-là, qui ne parle plus du

territoire, mais qui ne parle que de la question de la législation, pour

s'assurer que les données des Québécoises et Québécois ne soient assujetties à

aucune législation étrangère, ce qui paraît assez évident.

M. le... Ce que je ne comprends pas,

honnêtement, dans ce que... Si on reste sur la question du territoire, ce que

je ne comprends pas dans ce que vous dites, M. le ministre, en tout respect,

c'est les données en tant que tel, qu'il soit dans un... Appelons-le cloud

souverain, comme ça, c'est clair pour tout le monde parce que... Dans le

jargon, on dit cloud privé pour parler de son propre cloud, mais, du coup, il

n'est pas privé, il appartient au public. Appelons le cloud que nous allons

avoir dans les murs des institutions de l'État un cloud souverain, bon. Donc,

que ce soient des données que vous allez stocker dans le cloud souverain ou des

données que vous allez stocker chez Amazon et AWS, chez Amazon et AWS, ils

pourront tout à fait être stockés au Québec. Les deux ont des instances à

Montréal et à Québec, la distance dépasse les 60 kilomètres. S'il y en a

un qui prend feu, l'autre prend le relais, etc., on est correct. Je ne

comprends pas pourquoi ça serait si grave pour vous de... si contraignant

d'accepter quelque chose qui, en fait, est très, très, très peu contraignant,

là. Le prochain amendement l'est beaucoup plus. Ça, je veux bien ouvrir la

conversation juste après là-dessus, mais, sur celui-là, il est très peu

contraignant. Tout ce qu'on dit, c'est qu'on dit : Bien, les données, on

ne les stocke pas ni à New York, ni à Tombouctou, ni nulle part ailleurs qu'au

Québec. Bien oui, c'est des données des Québécoises et Québécois, et puis

catégorie un, deux ou trois, ce n'est pas grave, là, c'est une question de

souveraineté nationale, on les garde sur notre territoire. Je veux dire, ce

n'est pas parce qu'il y a une dématérialisation... Dans les faits, cette

dématérialisation est... C'est terriblement matériel. Quelque part, un serveur

a été donné. Et jamais on n'aurait accepté qu'il y ait des gros dossiers, des

données personnelles, des... en papier, là, avec des classeurs...

M. Bouazzi : ...avec pour

chaque, je ne sais pas, moi, c'est des données de citoyennes et citoyens qui

ont en stock quelque part au Massachusetts. Bien, je veux dire, c'est juste

inacceptable. Je ne comprends pas pourquoi, tout d'un coup, parce que c'est

simple, on accepterait quelque chose qui est en fait vraiment inacceptable,

c'est-à-dire que les données soient stockées à l'extérieur de notre propre

territoire. Surtout que même techniquement il y ait... Je ne le vois pas, là.

Et je comprends, à date, tu sais, il y avait la question d'est-ce que les

Accords de libre-échange Mexique, États-Unis, Canada nous permettent d'exiger

que les données restent sur notre territoire. Moi, je suis persuadé que oui. Et

là je n'ai toujours pas reçu la preuve de l'inverse, là. Dans mes souvenirs, ce

qu'on n'a pas le droit de faire, c'est de mettre des conditions qui excluent de

facto les compagnies américaines, etc. Mais comme elles ont toutes des gros

centres de données à Montréal et à Québec et puis, bon, si on élargit au

Canada, à Toronto, je ne crois pas qu'il y ait même Ottawa dans mes souvenirs,

mais je ne sais plus. Je ne vois pas. Je ne vois pas pourquoi c'est si grave

que ça d'accepter quelque chose qui n'est pas contraignant, en fait, et qui est

très peu... Enfin, c'est contraignant, mais ça vous laisse toute la flexibilité

derrière.

Le Président (M. Simard) :

Merci. M. le ministre.

M. Bélanger : Bien, moi,

j'y vois une contrainte. Un, c'est de considérer que le seul moyen de sécuriser

des données et de les stocker dans un endroit au Québec, un cloud souverain,

est la seule solution. Je ne suis pas prêt à m'avancer là-dessus parce qu'il y

a le quantique, il y a tout ce qui est au niveau de fragmenter, il y a

l'encryptage. Il y a des façons de faire au niveau de sécuriser des données

qu'on doit évaluer. Ceci étant dit, on a plusieurs contrats qui sont déjà

signés avec des GAFAM. Est-ce que demain, si je prends l'engagement de dire

j'annule ou je cancelle tous ces contrats-là parce que la seule solution est

d'entreposer les données, tous niveaux de sécurité confondus parce que, là, on

veut... on ne veut pas, dans le projet de loi, rentrer dans le détail, mais au

niveau des données, ça va être stocké au Québec. Il peut y avoir des enjeux au

niveau du Québec où, si c'est stocké dans un endroit en particulier, il y a

peut-être des enjeux de sécurité. Je ne veux pas faire une corrélation avec les

devises ou avec les... avec les... que ça soit les lingots d'or ou autre chose,

est-ce qu'on est ce qu'on doit a priori, de façon à assurer une sécurité,

d'avoir uniquement un endroit physique au Québec? Je ne suis pas prêt à

m'avancer là-dessus parce qu'il y a des façons de sécuriser. Il y a une donnée.

Je reviens au niveau de l'encryptage et de fragmenter ces données-là qui

peuvent... qui peuvent assurer une sécurité. D'accéder au niveau de ce qui est

stocké dans un endroit, si c'est fragmenté, c'est encrypté, ne vous donne pas

la facilité d'utiliser ces données-là si vous n'avez pas la clé... la clé

d'encryptage. Donc, aujourd'hui, je ne suis pas en mesure de vous... de

garantir automatiquement qu'on doit absolument passer par une centralisation

des données dans un cloud souverain. Ce que je peux... Par contre, ma pensée,

c'est qu'on a une stratégie souveraine au niveau de la protection des données

et des données de niveau 3 et peut-être 2, peut-être que ça va évoluer

dans le temps, vont être au Québec, entreposées au Québec. Est-ce qu'un jour il

va y avoir un miroir ailleurs parce qu'on va avoir eu une entente avec un autre

pays, que ce soit en Europe, parce qu'on veut un entreposage miroir pour

sécuriser si jamais, je ne sais pas, il y a une tempête solaire, ou bien un feu

ou quelque chose comme ça, c'est que c'est des éléments qui sont évolutifs.

Puis d'être trop précis, je pense que ça ferme la porte, justement, d'être trop

précis. Et on considère une situation. Ça ne fait pas longtemps qu'elle existe

cette situation-là. Ça fait quelques mois. Et on a déjà une stratégie au niveau

souverain. On travaille déjà avec le Canada, qui ont la même stratégie et les

mêmes préoccupations, qui ont signé eux aussi des ententes avec les GAFAM. On

fait la même chose avec des Européens qui, eux aussi, travaillent à une

stratégie souveraine. Donc, c'est quelque chose qui est évolutif, puis c'est

quelque chose qui exige une flexibilité au niveau des articles de projet de

loi.

Le Président (M. Simard) :

...Mme la députée de Mont-Royal—Outremont.

Mme Setlakwe : Merci. J'écoute

les échanges, puis encore une fois, je pense qu'on comprend l'importance d'une

flexibilité. Mais la question demeure. Dans l'état actuel des choses, les

données, en ce moment...

Mme Setlakwe : ...nos données

selon les catégories. Il me semble qu'il y avait un arrêté ministériel

relativement récent, là, qui faisait une nouvelle classification. Je ne pense

pas qu'on a la réponse, lequel pourcentage ou quelle... Selon les différentes

catégories, quelle proportion de nos données ne sont... sont dans le nuage

gouvernemental privé, souverain, et quelle proportion ne l'est pas?

• (12 heures) •

M. Bélanger : Bien, je vais

vous... puis je vais quand même vous répondre. Je peux vous donner quatre

niveaux, là. Le niveau 1, c'est du non-sensible, c'est du... c'est du A, donc,

niveau 1. Sensible, c'est le niveau B, c'est du niveau 2, puis c'est des B.

Puis le niveau C, c'est hautement sensible, c'est 3, c'est ce que je vous

disais tantôt, qu'on va avoir dans le... dans le cloud souverain. Puis 4, c'est

secret, non-P6TI. Bien, en tout cas, je ne sais pas c'est quoi que ça veut

dire, mais c'est... donc c'est des données à très haut niveau, niveau 4.

Est-ce qu'actuellement nous avons des

données, que ce soit au niveau de santé, ou ailleurs, qui sont dans des... dans

des clouds qui sont des clouds non souverains, qui sont des... La réponse est

oui. Il y a eu des ententes qui ont été signées. On est à préévaluer toutes ces

ententes-là. Il y a l'aspect légal, il y a l'aspect du... de la LCOP, puis il y

a des... il y a des règles à suivre. Donc, je ne veux pas rentrer dans le débat

aujourd'hui, là. Parce qu'il y en a qui vont dire : Bon bien, on n'a pas

la preuve, peut-être qu'il y a déjà des données qui ont fui, tout ça. Mais ça

évolue rapidement, puis on est... on est après travailler, justement, sur ces

solutions-là. Puis la bonne nouvelle, c'est qu'on en a un cloud souverain. On

n'est pas à évaluer à mettre un cloud souverain avec des infrastructures. Je

vous confirme qu'on a un cloud souverain, qui est capable d'héberger des

données et qui en héberge déjà.

Le Président (M. Simard) : Chère

collègue.

Mme Setlakwe : Et si on se...

merci... si on se... on se ramène à... au projet qui est sous étude, là,

identité numérique, est-ce que les données qui sont... Les données

personnelles, il va y en avoir, donc ce sera pas uniquement catégorie 1.

J'essaie de voir, là. Selon le projet qu'on souhaite déployer, que le

gouvernement souhaite déployer, ce registre... ce registre national, cette identité

numérique nationale va comprendre des données pas seulement de la catégorie 1.

C'est ce que je comprends, ou je me trompe?

M. Bélanger : Ne vous trompez

pas. Il va y en avoir de catégorie 3, et je vous confirme que les catégories 3

vont être stockées au Québec dans un cloud souverain, donc non accessible pour

des sociétés... via, mettons, par exemple, le Patriot Act, avec un... avec un

pouvoir d'accéder les données. Pour les données... pour les niveaux 3, est-ce

qu'on va prendre la décision d'y mettre les niveaux 2 et les niveaux 1?

Peut-être, peut-être, si on évalue le risque, si on évalue comment on peut

résilier les contrats, quel est le risque, quels sont les avantages et

inconvénients.

Je vous dirais aujourd'hui que d'annuler

des contrats qui hébergent des données de niveau 1, est-ce que c'est une...

est-ce que c'est judicieux? Pas sûr, parce que c'est des données... Quelle est

l'utilité qu'on peut... qu'on peut faire de données non sensibles? Donc, il

faut... et il faut faire discerner, là, quelles sont les données qui sont

sensibles, et lesquelles ne le sont pas. Il y a une... il y a aussi une

éducation à avoir, parce que vous pouvez avoir un organisme qui a signé un

contrat avec un cloud américain puis qui a jugé que ces données sont non

sensibles. Moi, je veux avoir la possibilité de faire une contre-vérification

de ces données-là. Et puis, si lui les jugeait non sensibles, peut être que je

les juge sensibles. Donc, le p.l. n° 82, le projet de loi me donne cette

possibilité là d'envoyer des avis, de faire des audits.

Mais là on... Je ne veux pas qu'on spécule

là, mais c'est quand même... c'est en mouvement, là. On est sur le projet de

loi n° 82, qui donne des pouvoirs. Ça fait que, si on peut aller de

l'avant avec le projet de loi n° 82, le faire évoluer puis garder une

certaine flexibilité, je vous confirme qu'avec la stratégie souveraine il va y

avoir des actions qui vont être prises, puis le portrait actuel va être

différent du portrait dans quelques mois.

Le Président (M. Simard) : Très

bien. M. le député de Maurice-Richard, souhaitiez-vous ajouter quelque chose à

ce stade-ci?

M. Bouazzi : Bien, peut-être

une question : Est-ce qu'aujourd'hui... parce que vous parlez beaucoup des

données qui ne sont pas juste les données de... du... de l'identité numérique

des Québécois... est-ce qu'actuellement le gouvernement stocke des données

gouvernementales à l'extérieur du Canada?

M. Bélanger : Moi, je vous

dirais que les données de niveau 1, certainement, là. Les données de niveau 1,

c'est des informations qui sont non sensibles. Je vous confirme qu'elles sont

probablement stockées... Bien, pour moi, hors du Canada...

Top of page

12 h (version non révisé

e) M. Bélanger : ...entreprise

américaine qui stocke ces données-là près de Montréal, moi, je le considère,

dans la situation géopolitique actuelle, hors du Canada parce que justement, au

niveau du Patriot Act et du Cloud Act, il y a une possibilité d'accès à cette

information-là. Ça fait que la localisation physique, si c'est une entreprise

américaine qui a une place d'affaires ici, pour moi, c'est considéré à risque.

Maintenant, si c'est une donnée non sensible, il y a une évaluation de risque.

C'est une donnée non sensible, tu peux l'accéder, mais je veux dire, qu'est-ce

que tu... qu'est-ce qui peut être fait avec une donnée non sensible en termes

de risque? On est là-dessus, on est après évaluer. Est-ce que, dans six mois,

est-ce qu'on va... toutes les données, que ça soit niveau 1, 2, 3, vont

être dans le cloud gouvernemental? Peut-être. Sauf qu'aujourd'hui, je ne peux

pas vous le garantir puis je veux être capable d'avoir cette flexibilité- là,

justement. Si on m'arrive puis on dit : C'est 2 milliards pour... pour

canceller tes contrats qui hébergent des données de niveau 1, et puis ça

va être «nice... nice to have», je ne veux pas utiliser cet anglicisme-là, mais

que ça serait intéressant que ce soit d'un cloud gouvernemental, il y a une

question, il y a une question qui va se poser.

M. Bouazzi : Je comprends

que, pour vous, ça ne fait pas la... de différence, mais... mais je réitère ma

question. Aujourd'hui, on a des contrats avec, en gros de ce que je comprends,

avec Azure de Microsoft et AWS d'Amazon. Donc, dans la transformation

infonuagique du gouvernement à date, là, est-ce que vous savez s'il y a, parmi

les instances qui ont été démarrées sur ces plateformes infonuagiques, des

instances qui ont été démarrées à l'extérieur du pays?

M. Bélanger : Je ne peux pas

vous le confirmer, mais je ne serais pas surpris parce qu'au... c'est quand

même... il y a un réseau mondial de... de... et Amazon pourrait avoir un cloud

miroir ou un stockage miroir de ce qui est stocké ici, en Scandinavie. C'est

possible.

M. Bouazzi : Tout à fait

possible, monsieur le ministre, qu'Amazon stocke des données un peu partout

dans le monde. Mais moi, je ne vous demande pas s'il peut le faire, je vous

demande : Est-ce qu'il le fait tout simplement? Est-ce que vous exigez

aujourd'hui... Je suis très, très étonné que vous ne sachiez pas, en tant que

ministre si nos données sont stockées à l'extérieur ou pas du pays. C'est une

donnée qui n'est pas secrète quand on a des contrats avec Amazon et Microsoft.

À moins que vous ne l'ayez jamais spécifié ou votre prédécesseur, là, pour le

coup, je vous... ce n'est vraiment pas vous. Mais... mais qu'il n'y ait jamais

eu aucune demande qui va en ce sens, parce que c'est des contraintes

habituelles. À moins que le gouvernement du Québec n'ait jamais pensé utile de

dire qu'on voudrait que les données restent à l'intérieur du pays, on est

censés savoir si les données des Québécoises et Québécois sont stockées

aujourd'hui à l'extérieur du pays ou pas.

M. Bélanger : On va vérifier.

Mais moi, je ne connais pas la chaîne d'approvisionnement de la gestion des

données d'AWS ou d'Azure qui ont des centres de données un peu partout à

travers le monde, avec un réseau de fibres qui connectent au niveau de ces

données-là. Ce que je peux vous confirmer, c'est que si vous utilisez la

reconnaissance faciale sur votre... sur votre téléphone, bien, vos données

biométriques sont probablement un petit peu partout dans le monde parce

qu'Apple a des centres de données un peu partout.

C'est de connaître les secrets des

entreprises, les GAFAM ou autres, quel est leur... Je ne connais pas les

emplacements de notre infrastructure de cloud souverain au Québec. Je peux

peut-être savoir dans quelle ville elles sont, mais je ne sais pas où. Ça fait

qu'il y a un enjeu, il y a un enjeu de sécurité, et c'est que de connaître où

nos données peuvent être. Mais si c'est des données non sensibles, quel est le

niveau de risque? Si ça devient des données sensibles, mais pour être certain

qu'il n'y a pas de risque, je vous confirme que les niveaux 3, par

exemple, vont être dans notre cloud souverain que je ne connais pas les

emplacements.

M. Bouazzi : Donc, les

données pourraient être en Russie ou en Chine, par exemple, parce qu'Amazon a

des serveurs là-bas.

M. Bélanger : Ah! bien, moi,

je vous dirais... Là, je reviens aux données non... aux données non sensibles.

M. Bouazzi : Ça ne vous

gênerait pas que nos données pas sensibles soient en Chine ou en Corée du Nord.

Est- ce que ça vous gênerait ou pas?

M. Bélanger : Mais

laissez-moi répondre parce que je pourrais vous dire : Est-ce que ça

vous... est-ce que ça vous mettait mal à l'aise d'utiliser TiKToK, sachant que

l'entrepôt de TiKToK était en Chine.

M. Bouazzi : On n'utilise pas

TiKToK.

M. Bélanger : Bon, vous

n'utilisez pas TiKToK.

M. Bouazzi : Oui.

M. Bélanger : Mais d'autres

exemples, d'autres applications, Instagram, et il y a des... il y a plusieurs

applications, et actuellement, ces informations-là, que ce soit biométriques ou

autres sont... sont un peu partout.

Ça fait trois mois qu'il y a des enjeux

géopolitiques. On est à développer une approche souveraine au niveau de

l'identité numérique et de...

M. Bélanger : …gestion des

données. On a un cloud souverain au Québec et des infrastructures. Le Québec

est probablement l'une des provinces qui est la plus avancée à ce niveau-là et

on stocke déjà des données dans ce cloud souverain là. On est après réévaluer

tous les contrats que nous avons au niveau de l'entreposage dans les cloud et

probablement que demain, il va y avoir des actions qui vont être… qui vont être

prises autant au niveau du Québec que du reste du Canada. On travaille en

collaboration avec nos homologues au Canada sur justement une approche

souveraine au niveau du data, au niveau canadien, pas uniquement… pas

uniquement Québec.

• (12 h 10) •

M. Bouazzi : Je tiens aussi à

rectifier une information. Les données biométriques sur nos téléphones

respectifs ne sont dans aucun serveur et ils ne sont présents que dans les

devices qu'on a ici. C'est pour ça d'ailleurs qu'on doit resauver notre visage

quelques… si on a un nouvel iPad ou autre chose. Entre autres parce qu'Apple ne

voulait absolument pas enregistrer les données biométriques pour ne pas avoir à

gérer une sécurité qui ne serait pas gérable. Donc, non, nos données… En tout

cas, moi, j'espère que mes données biométriques ne sont sur aucun serveur, ceux

que j'utilise ne le sont pas et je ne voudrais pas que le gouvernement du

Québec, s'il me les demande, s'amuse à les mettre sur des serveurs assujettis à

des législations étrangères. Je vous avouerais que j'ai… je ne sais pas où sont

mes collègues, mais moi, j'ai hâte de passer à l'autre amendement, en fait,

oui.

Le Président (M. Simard) :

Très bien. Je vérifie. Ma collègue de La Pinière avait souhaité intervenir

également sur votre amendement, Madame.

Mme Caron : Oui. Merci. Alors,

en fait, c'est une demande de précision que j'aurais, parce que, tout à

l'heure, pour les niveaux de sécurité des données, on a dit : Bon, on

comprend que le P1, c'est des données non sensibles. On a donné l'exemple, par

exemple, de courriels. P3, Ça… c'est… ça commence à être sensible, P4, c'est

secret, P2, c'est entre le P1 et le P2, mais entre le P1 et le P3… Mais ce que

j'aimerais savoir, c'est des… peut-être quelques exemples de types de données

qui entrent dans le P2. Vous… M. le ministre a mentionné, je crois, tantôt, des

données de… les données fiscales qui seraient dans le P2 et que là, on est en

train de regarder qu'est-ce que… si peut-être P2 pourrait aller dans le cloud

gouvernemental. Alors, juste une précision pour comprendre un petit peu la

façon dont les données sont catégorisées.

M. Bélanger : Bien, je vais

vous donner peut-être l'exemple. Je pourrai vous revenir avec plus de détails,

mais au niveau du service d'authentification gouvernementale, le SAG, il y a

deux niveaux. Il y a un niveau un puis il y a un niveau deux et puis dans le

niveau deux, L'information additionnelle, c'est l'avis de cotisation. Ça fait

que si vous n'avez pas l'avis de cotisation, Exemple, quelqu'un qui vient

d'arriver au Québec n'a peut-être pas d'avis de cotisation, il va être… il va

être d'un niveau un, puis dans le niveau un, C'est le nom, il y a peut-être le

nom de la mère, une information au niveau du permis de conduire, puis de la

carte d'assurance maladie. C'est la seule information qu'il y a. Et puis est-ce

que c'est des données sensibles ou non sensibles? C'est des données qui sont

non sensibles, d'un niveau de sensibilité très bas. Lorsqu'on a des données

sensibles, vous allez avoir de l'information, peut -être que ça peut être au

niveau biométrique, ça peut être… Je ne le sais pas, des informations qui sont

qui sont plus sensibles que le niveau un ou le niveau deux.

Mme Caron : Et dans les avis

de cotisation par exemple, est-ce qu'on retrouve le numéro d'assurance sociale,

qui peut… qui est quand même une donnée assez… assez sensible, Parce que si

quelqu'un a accès au nom, au nom de la mère, au numéro d'assurance sociale. Il

y a des… il y a des risques quand même de vol d'identité.

M. Bélanger : Là, je ne veux

pas rentrer trop dans le détail, mais c'est un peu comme une clé, au niveau du

SAG, vous avez une clé, vous avez trois informations. Cette clé-là vous permet

d'accéder à une base de données, ça fait que ça peut être au niveau… au niveau d'un

ministère en particulier qui lui, dans cette base de données là, peut avoir un

numéro d'assurance sociale et d'autres informations. Donc là, on parle de

diverses bases de données. Est-ce que l'information que vous avez, la clé va

vous donner accès aux autres bases de données? La réponse, je vous dirais, ça

dépend. Est-ce que l'autre base de données, là, il y a une question, là,

d'utiliser cette clé-là pour accéder d'autres bases de données qui elles

seraient dans un cloud américain? On…

M. Bélanger : ...est après

évaluer cette situation-là. On est après évaluer ces informations-là. Moi, je

vous dirais qu'au cours des peut-être les 20 dernières années, il y a

peut-être eu un laxisme au niveau justement de travailler avec des sociétés qui

peuvent accéder, accéder l'information. On est rapide à, il y a le citoyen en

premier, à accepter. Vous utilisez un véhicule, vous utilisez un véhicule qui

est... qui a certainement une caméra intégrée au niveau du véhicule avec une

géolocalisation. Ça peut être la Tesla ou ça peut être un autre véhicule,

Nissan. Je vous confirme que les données qui sont utilisées, probablement quand

vous avez acheté le véhicule, vous avez dit O.K. Ces données-là sont peut-être

entreposées ailleurs. C'est des données que, moi, je considère sensibles. Mais

nous, au niveau de l'État, on est... on est en avance, on catégorise le niveau

de sensibilité. On a un cloud gouvernemental qui est sécuritaire et on est dans

le processus d'évaluer tous les contrats en place, soit justement, au niveau de

stockage de ces données-là qui sont sensibles. Est-ce qu'on va... Je reviens,

est ce qu'on va tout stocker, incluant les données qui sont non sensibles,

parce qu'il y aurait un risque que ça serait utilisé, ces données-là, pour être

capable de créer un lien avec une autre base de données qui est dans un

organisme public? Peut-être. Peut-être, mais c'est des choses qu'on est

après... qu'on est après évaluer. Moi, je ne suis pas nécessairement pour, puis

on en avait parlé, je pense, un peu plus tôt, pour avoir plusieurs bases de

données un peu partout, parce qu'on prête flanc. Il y a des... Il y a des

enjeux de cybersécurité. À ce moment-là, si on a plusieurs bases de données, il

y a des enjeux aussi à peut-être avoir toutes les données à un seul endroit.

Ça, c'est des... C'est des choses qu'on va considérer au cours des... au cours

des prochains mois. Et je veux un outil qui est le projet de loi n° 82 qui

me donne cette flexibilité-là, justement, d'être capable de mettre les bons...

les bons paramètres.

Le Président (M. Simard) :

Merci. Mme la députée de Mont-Royal—Outremont.

Mme Caron : ...

Le Président (M. Simard) :

Ah! Désolé, chère collègue.

Mme Caron : Bien, merci

pour ces précisions-là. Sauf que ça ne me dit pas nécessairement.. Ça ne répond

pas nécessairement à la question. Ce que je cherche à savoir, c'est... Bon, P1,

on comprend que ce n'est pas des données sensibles, c'est du... Ça peut être

des courriels et tout ça. Est-ce que P2 c'est les renseignements fiscaux ou

renseignements à Revenu Québec, et quoi d'autre? P3, là, on commence à parler

de sécurité. Je veux... Ce que je veux savoir, c'est qu'est-ce que vous

considérez comme du P3 par rapport à du P2, notamment parce que vous avez

mentionné tout à l'heure que le projet de loi, une fois adopté, vous donnera la

possibilité d'aller voir, hein, des organismes publics qui ne pensent peut-être

pas, qui ne considèrent peut-être pas que certains renseignements sont des

renseignements sensibles, alors que le gouvernement considère que ce sont des

renseignements sensibles. Alors, comment, comment cette... Je ne veux pas dire

cette intrusion. Comment cette vérification-là ou cette surveillance-là va se

faire, des organismes publics? J'imagine qu'ils vont avoir une... des critères

qui vont leur permettre de définir que, bien, ou de vérifier que, bien, O.K.,

ça, là, on ne le considérait pas sensible, mais en fait c'est sensible. Donc,

on devrait s'aligner sur ce que le gouvernement détermine comme étant sensible.

Alors, comment... J'imagine que cette liste-là, ce type de définition ou

d'explication de ce qui rend une donnée sensible doit exister. C'est là-dessus

que je... que j'aimerais avoir une précision.

M. Bélanger : Si vous me

permettez, Me Drolet, juste en arrière de moi, est certainement plus

qualifié ou pourrait venir bonifier ce que j'ai... ce que j'ai expliqué au

niveau des... au niveau des données sensibles. Peut-être que ça peut répondre à

certaines, certaines de vos questions.

Le Président (M. Simard) :

Donc, est-ce qu'il y aurait consentement afin que Me Drolet puisse

intervenir? Très bien. Me Drolet, bien que vous soyez une habituée de nos

travaux, auriez-vous d'abord, s'il vous plaît, l'amabilité de vous présenter?

Mme Drolet (Émilie) : Oui.

Merci beaucoup. Donc, Émilie Drolet, je suis avocate pour les affaires

juridiques du MCN. Donc, pour rappel, on parle de l'arrêté

ministériel 2024-05 du 12 décembre 2024. C'est un sujet qui a été

abordé, là, dans la présente étude un petit peu plus tôt, en février

d'ailleurs. Donc, le modèle de classification des données numériques

gouvernementales va permettre cette évaluation là des données. Ça fait que,

pour donner des exemples, c'est toujours en qualifiant au niveau du préjudice

qui peut survenir s'il y a une perte de disponibilité, d'intégrité ou de

confidentialité. Donc, quand on parle de renseignements personnels, c'est

surtout au niveau du bris de confidentialité qu'on va venir déterminer on est à

quel niveau. Pour donner un exemple du... Le niveau a, c'est des renseignements

personnels qui...

Mme Drolet (Émilie) : ...sont

généralement à caractère public, là, ce n'est pas des renseignements

nécessairement qu'on veut protéger, qu'on veut cacher. À partir du niveau

profil, tout à l'heure, on a parlé du profil b, le niveau de modéré, ça peut

être des renseignements personnels plus de base, puis plus on va vers le niveau

c, plus on est dans des renseignements personnels. Tout à l'heure, le ministre

parlait des renseignements fiscaux, ça peut être aussi des données de santé

pour lesquelles on a un niveau de sensibilité plus élevé. Donc, dans tous les

cas, il y a un guide au travers de cet arrêté ministériel là, mais il y a

toujours une évaluation en fonction du contexte, en fonction du préjudice. Donc,

je parlais tout à l'heure des niveaux de santé... des données de santé,

nécessairement, de par le contexte, ça peut aller plus vers un profil c, tandis

que pour des renseignements personnels qu'on n'a pas nécessairement de

préoccupation, qui sont qui sont plus de base, bien, ça pourrait être au

minimum du protégé b. Mais selon le contexte, là, ça pourrait quand même être

évalué un petit peu plus élevé.

• (12 h 20) •

Le Président (M. Simard) : Merci

beaucoup, chère maître. Alors, est-ce que cela répond à votre question?

Mme Caron : Oui, merci. Merci

beaucoup.

Le Président (M. Simard) : Merci.

Mme la députée de Mont-Royal—Outremont.

Mme Setlakwe : Merci.

L'échange et les informations qui sont fournies par le ministre suscitent des

questions. On comprend très bien qu'il y a une évaluation qui est en cours,

qu'il faut se demander si... quelles sont les conséquences de résilier des

contrats qui ont été signés puis qui sont en vigueur, etc. On comprend ça. Là,

vous avez dit : On regarde tout ça, on est en évaluation. La bonne

nouvelle, c'est que le nuage existe, l'infrastructure existe. On comprend que

les données entrent dans différentes catégories, on étudie le contexte, etc.

Mais moi, ma question, c'est... bien, j'ai plusieurs questions, quel est

l'échéancier pour cette évaluation? Est-ce que vous vous êtes fixé des dates

butoirs, des échéances que vous souhaitez respecter? Et est-ce que vous avez

les fonds pour le faire? Est-ce que ça implique des ressources? Est-ce que ça

implique... Qu'est-ce que ça implique comme équipe en termes de travail? Et

vous avez aussi mentionné que vous avez besoin du projet de loi pour avancer,

pour faire cette évaluation-là. Il me semble que vous avez mentionné quelque

chose comme ça. Puis on a parlé, en y reviendra, là, d'amendements à venir,

mais est-ce que donc, en ce moment, vous n'avez pas les pouvoirs pour mener à

bien cette analyse-là? Je pense que ça nécessite des précisions.

Le Président (M. Simard) : Alors,

M. le ministre.

M. Bélanger : Actuellement,

il y a certains pouvoirs. Je peux faire des audits, je peux faire une

évaluation, mais il y a plusieurs organismes, il y a des organismes publics, il

y a des organismes gouvernementaux. Chaque organisme peut avoir son équipe au

niveau technologies de l'information, peut être en mesure de signer des

ententes. Donc, il y a deux choses qui se font, les nouveaux projets. Les

nouveaux projets, on est capables d'être proactifs, on est capables d'évaluer

au niveau du projet s'il y a tel type de données qui vont être utilisées et où

devraient-elles être stockées. Ça, ça se fait quand même assez bien. Puis ça,

ça peut se faire à court terme aujourd'hui. Tout ce qui a été signé, tout ce

qui a des... où il y a des ententes qui ont été établies, on est en révision au

niveau de ces ententes-là, mais on n'est pas le seul. Québec ne va pas agir

seul, Québec collabore avec le reste du Canada qui, justement, fait cette

réflexion-là. On a des discussions aussi avec avec l'Europe justement sur

quel... Parce que, si chacun va de son côté puis essaie de réinventer la roue,

il y a un enjeu, un enjeu d'efficacité.

Donc, vous me parlez d'échéancier. Bien,

l'échéancier, on est, oui, peut-être en mode réaction parce que pas certain

qu'on est aussi agiles que ce qui se passe au sud du Québec, là, à chaque jour,

ça peut changer, mais je peux vous dire qu'on est quand même assez rapides au

niveau des... au niveau de la mise en place... de la mise en place de

solutions. Déjà là, j'y reviens, on a un cloud qui n'existe, ce n'est pas tous

les... ce n'est pas toutes les provinces qui l'ont, et puis on a une stratégie

souveraine qu'on est en train... qu'on ait en train élaboré.

Maintenant, sur les moyens, c'est certain

que le p.l., le projet de loi n° 82, va me permettre

d'être encore plus proactif, mais il y a d'autres lois, la LGGRI, il y a

d'autres éléments qui sont déjà en place, qui nous permettent justement d'être

aussi proactifs...

M. Bélanger : ...mais il a

fallu réagir rapidement, là. À partir de janvier, là, dans certains cas, on

remet en question beaucoup de... beaucoup d'informations, beaucoup d'outils qui

sont utilisés. Il y a des facteurs de gestion du changement qui doivent être...

qui doivent être considérés. On ne peut pas décider du jour au lendemain

d'arrêter de fonctionner de la façon comment on le fait depuis des décennies.

Le Président (M. Simard) :

Merci. Mme la députée.

Mme Setlakwe : Merci.

Pouvez-vous nous dire, donc, où exactement dans le projet de loi n° 82

qu'il y a des dispositions qui va vous... vont vous permettre d'être encore

plus proactif?

Des voix : ...

M. Bélanger : Je peux passer

la parole à...

Le Président (M. Simard) : ...

Mme Bacon (Nathalie) : Oui,

M. le Président. Il y a... Il y a plusieurs articles, là. Pour n'en nommer

qu'un, pour fin d'exemple, on vous réfère à un

article qui s'en vient,

l'article 12, où que le ministre va pouvoir donner son avis sur un actif

informationnel ou un service en ressources informationnelles. Et, quand il

donne son avis, c'est à... c'est aux autres organismes publics, donc à la

communauté gouvernementale, et ça, ça lui donne un levier additionnel pour

pouvoir intervenir, parce que chaque organisme public est responsable de ses

ressources informationnelles, incluant ses projets en ressources

informationnelles.

Mme Setlakwe : Merci. Et

aussi question plus générale mais qui était d'actualité récemment : Est-ce

que votre projet d'identité numérique est suspendu? Est-ce que... Là, on est en

train d'étudier un projet de loi. Là, on comprend qu'au PQI il y a... les

sommes ne s'y retrouvent plus. Est-ce que vous avez une réponse en lien avec

cette information qui est... qui a fait l'objet des médias récemment?

Le Président (M. Simard) : ...sur

l'amendement, à ce stade-ci?

Mme Setlakwe : Non.

Le Président (M. Simard) : Très

bien. Alors, j'aimerais bien qu'on puisse revenir sur l'amendement.

M. Bélanger : Mais je peux

quand même répondre rapidement, parce que ça va éviter peut-être, à la période

des questions, d'avoir cette question-là, mais en tout cas... Dans le fond, il

y a le programme de Service québécois d'identité numérique. Et puis l'article

qui est sorti, c'était justement sur l'identité numérique citoyenne, qui est un

des blocs, et je vais simplifier la chose, mais on l'a suspendue parce qu'il y

a la question de consultation citoyenne sur la biométrie. Ça fait qu'on ne

l'annule pas. Le projet... Le projet... Et puis je pense que c'est une bonne...

une bonne chose à faire, justement, cette consultation-là citoyenne. Et, par la

suite, il va être remis à l'agenda. Mais il y a plusieurs blocs, là, il y a...

Ce n'est pas... Ça, c'est le bloc... je crois que c'est le bloc quatre ou...

Une voix : ...

M. Bélanger : ...le bloc trois

sur six.

Le Président (M. Simard) : ...s'il

vous plaît, M. le ministre. Donc, merci pour ces précisions, mais, ceci

étant dit, je nous ramène, s'il vous plaît, à la portée de notre amendement. Y

aurait-il d'autres commentaires sur cet amendement?

Mme Setlakwe : Non, c'est sûr

que ce n'était pas techniquement sur l'amendement, mais je pense que c'est

important qu'on comprenne bien où on s'en va avec l'identité numérique dans son

ensemble, avec les différents blocs, etc.

M. Bélanger : C'est

l'objectif du projet de loi n° 82, justement, de mettre les bases pour

l'identité... l'identité numérique.

Le Président (M. Simard) : Très

bien. Alors, nous poursuivons, chère collègue.

Mme Setlakwe : Merci. Donc,

ce qui est suspendu, c'est... Parce qu'il y avait... le prochain livrable,

c'était, bien, fin mars, mais fin mars, c'est déjà derrière nous. On avait

compris que l'échéance de fin mars était repoussée à la fin de l'année pour

livrer le portefeuille. Est-ce que c'est ça qui est suspendu ou c'est un autre

bloc?

M. Bélanger : C'est identité

numérique citoyenne. Projet deux, fin mars, il y a une

partie du projet qui est

faite, et puis il y a la consultation citoyenne au niveau de la biométrie qui

va être... qui va être exécutée, qui va être faite. Et, par la suite, on va

redémarrer le projet, au niveau de la biométrie, là.

Mme Setlakwe : C'est au

niveau de la biométrie que c'est suspendu, la consultation.

M. Bélanger : Bien, parce

que...

Mme Setlakwe : On dirait que

ce n'est pas clair pour moi, ce qui... Je m'excuse. Peut-être que les autres

ont compris. Moi...

M. Bélanger : Mais, avant

d'aller de l'avant avec... question de biométrie, on veut faire une consultation

citoyenne justement pour cet élément-là. Ça fait que c'est pour ça qu'on a

suspendu ce bloc-là au niveau du... au niveau de l'identité numérique. Mais

le... au niveau de la... du Service québécois d'identité numérique, le

programme, le SQIN, qui... lui, il n'est pas suspendu. C'est un des blocs qui

est suspendu, justement, pour adresser l'enjeu de biométrie.

Mme Setlakwe : Merci.

Le Président (M. Simard) : Très bien. S'il n'y a pas d'autre commentaire, nous allons procéder à la mise

aux voix sur cet amendement. Est-ce que l'amendement est adopté?

M. Bouazzi : Par vote

nominal, s'il vous plaît.

Le Président (M. Simard) : Par

appel nominal. M. le secrétaire, je vous en prie.

Le Secrétaire : Pour, contre,

abstention. M. Bouazzi (Maurice-Richard)?

M. Bouazzi : Oh! Pour.

Le Secrétaire

: M. Bélanger

(Orford)?

M. Bélanger : Contre.

Le Secrétaire

: Mme Abou-Khalil

(Fabre)?

Mme Abou-Khalil : Contre.

Le Secrétaire

: Mme Mallette

(Huntingdon)?

Mme Mallette : Contre.

Le Secrétaire

: M. Thouin

(Rousseau)?

M. Thouin : Contre.

Le Secrétaire

: M. Poulin

(Beauce-Sud)?

M. Poulin : Contre.

Le Secrétaire

: Mme Setlakwe

(Mont-Royal—Outremont)?

Mme Setlakwe : Abstention...

Le Secrétaire : Mme Caron (La

Pinière)?

Mme Caron : Abstention.

Le Secrétaire : M. Simard

(Montmorency)?

Le Président (M. Simard) : Abstention.

Cet amendement est donc rejeté.

Conséquemment, compte tenu de l'heure,

nous allons suspendre nos travaux et nous nous retrouvons en après-midi après

les affaires courantes. À plus tard.

(Suspension de la séance à 12 h 30)

Top of page

15 h 30 (version non révisée)

(Reprise à 15 h 39)

Le Président (M. Simard) : Bien.

Chers collègues, je constate que nous avons quorum, nous pouvons donc

poursuivre nos travaux.

Notre commission est réunie afin de

procéder à l'étude du projet de loi n° 82 portant sur l'identité

numérique.

Au moment de suspendre cet avant-midi,

nous en étions rendus à l'étude de l'article 10.7 introduit par l'article 6,

et notre collègue de Maurice-Richard nous annonçait son intention de déposer un

amendement que nous avons du reste sur Greffier depuis quand même plusieurs

jours, qui se retrouvent actuellement sur nos écrans. Alors, cher collègue,

auriez-vous l'amabilité, s'il vous plaît...

Le Président (M. Simard) : …de

nous en faire lecture.

• (15 h 40) •

M. Bouazzi : Avec plaisir. Un

amendement qu'elle a depuis un bout, comme on dit chez nous, un amendement

important, chers collègues, je pense très important par les temps qui courent.

Donc, il va comme suit, donc : À l'article 10.7 de la

Loi sur le

ministère de la cybersécurité et du numérique, introduit par l'article six du

projet de loi : Insérer, au paragraphe un, au deuxième alinéa, après les

mots «conservation sécuritaire», les mots «sur des infrastructures qui ne sont

pas assujetties à des juridictions étrangères».

Et là, celui-ci, M. le Président, me

semble tout simplement de notre responsabilité en tant que législateurs de ne…

de l'incorporer à ce projet de loi ça fait que peut-être… Je voudrais que tout

le monde soit à la même page. Je vais commencer par quelques questions à M. le

ministre. Est-ce qu'il y a des infrastructures sur le territoire québécois qui

sont assujetties à des lois étrangères?

M. Bélanger : Tout à fait.

M. Bouazzi : Et parmi ces

lois-là, évidemment, il y a le Cloud Act américain.

M. Bélanger : Patriot Act, Cloud Act.

M. Bouazzi : Entre autres, le

Cloud Act permet à un gouvernement américain, sous certaines conditions,

d'avoir accès aux données privées d'individus, y compris donc sur des serveurs

au Québec, et d'y avoir accès sans informer ni l'individu ni vous en tant que

gouvernement ou le gouvernement fédéral. C'est bien ça?

M. Bélanger : Qu'est-ce que

vous entendez par les données? Quel niveau de sensibilité des données? Des

données personnelles, sensibles, non sensibles?

M. Bouazzi : Bien, le Cloud

Act permet tout ça à ma connaissance, à moins que vous ayez des informations

qui vont à l'inverse.

M. Bélanger : Non, mais je

voulais savoir, là, de… qu'est-ce qui vous préoccupe en termes de… tu sais,

c'est les données… les données sensibles?

M. Bouazzi : Bien, moi,

n'importe quel gouvernement étranger qui pourrait avoir accès à des données

privées des Québécois, qu'elles soient niveau un, deux, trois, quatre, ou 0,5,

sans en informer ni les individus ni le gouvernement, pour moi, est tout à fait

inadmissible. Maintenant, on rentrera dans les détails, à ce stade-ci, on est

tous d'accord. Je voudrais juste qu'on soit tous d'accord que si ceci n'est pas

adopté, un gouvernement américain pourrait avoir accès aux données personnelles

des Québécois, qui sont donc hébergées chez Amazon ou Microsoft, sans que ni

l'individu ne soit informé, ni vous en tant que gouvernement, ni même le

gouvernement fédéral, évidemment, nous sommes bien d'accord, nous avons la même

interprétation de la situation.

M. Bélanger : Bien,

actuellement, on est dans un processus d'inventaire au niveau des... au niveau

des données, prises d'inventaire au niveau des données. Tel type de données se

situent où. Il y a différents registres. Je peux vous donner un exemple parce

que vous citez… ce n'est pas une bonne chose d'avoir accès aux données

citoyennes pour d'autres juridictions. Moi, je vous dirais que, si je suis un

entrepreneur puis que je fais des affaires à l'extérieur du Canada, au niveau

mondial, bien, je pense que d'autres juridictions doivent connaître ou doivent

avoir certaines informations. Donc, il faut... il faut être prudent lorsqu'on…

lorsqu'on tranche, puis lorsqu'on dit : On veut s'exclure de toute… de

toute juridiction pour toutes les données. Il y a quand même une prise de

conscience. Quels types de données on veut entreposer? On veut les entreposer

où? Il y a un inventaire qui se fait.

Est-ce que... est-ce que je pourrais

affirmer qu'actuellement, avec la situation aux États-Unis, toutes les données

sont correctement entreposées ou stockées? La réponse est non. C'est pour ça

qu'on fait un inventaire et, par la suite, on va avoir un plan. Le projet de

loi n° 82 va nous permettre justement d'agir à ce niveau-là. On va avoir

une stratégie souveraine en termes de gestion des données et on va pouvoir agir

en conséquence selon le niveau de sensibilité des données.

M. Bouazzi : Est-ce que

l'identité numérique québécoise existe déjà?

M. Bélanger : Vous avez le...

Il y a différents… dans le programme d'identité, puis là on déborde peut-être

un peu, puis je ne veux pas aller trop à fond là-dessus parce que, justement,

dans le projet de loi, le but du projet de loi, c'est d'être capable…

M. Bélanger : ...justement

d'avancer au niveau de l'identité numérique québécoise. Mais il y a un

programme, il y a plusieurs blocs. Actuellement, on a un service

d'authentification gouvernementale qui est utilisé, il est utilisé en santé,

est utilisé à plusieurs, plusieurs endroits. Et il y a des données qui sont

utilisées pour permettre aux citoyens d'accéder à une porte. Avant, le citoyen

devait passer par différentes portes. Et là, la bonne nouvelle, c'est qu'il va

pouvoir accéder à une porte via le service d'authentification gouvernemental.

Ça fait que pour votre question, est-ce que l'identité numérique, le projet

d'identité numérique, est ce qu'il est en cours? Oui, il y a plusieurs blocs,

plusieurs blocs, et le premier bloc est déjà en opération. On a des millions de

transactions qui se font.

M. Bouazzi : Donc, mon point,

c'est que l'identité numérique nationale sous la responsabilité du ministre,

est-ce qu'elle existe déjà, oui ou non? Moi, j'étais dans la compréhension que

non, mais si elle existe déjà, c'est oui, mais... Parce que j'ai du mal, M. le

ministre, à comprendre. Je comprends qu'il y a plein de données qui sont

problématiques partout ailleurs, là, mais on n'est pas obligé d'en rajouter.

Ça, c'est du nouveau, c'est du nouveau. Et donc, pour le nouveau, il n'y a

aucune bonne raison de faire quoi que ce soit d'autre que de le protéger. Donc,

comme c'est du nouveau, je veux bien qu'on parle d'autres affaires ailleurs,

là, mais c'est du nouveau. Est-ce que pour le nouveau, vous avez prévu de

mettre les données personnelles des Québécoises et Québécois sur des... de

l'infrastructure nuagique qui appartient aux Américains?

M. Bélanger : Je vais

peut-être reprendre votre question. Votre question, c'est : Est ce qu'on a

l'intention de mettre des données personnelles des citoyens du Québec sur des

clouds américains? C'est un peu ça, votre question?

M. Bouazzi : Bien là, je

parle vraiment de ce qui est... On a un projet de

loi sur l'identité numérique,

restons sur l'identité numérique. Moi, je veux bien parler de santé, ça va me

faire plaisir, honnêtement, M. le ministre, j'avais prévu d'en parler avec vous

pendant les crédits, on peut en parler pendant le projet de loi, mais là on

parle d'identité numérique, c'est la seule question qui nous anime.

Aujourd'hui, il y a des nouvelles données, un nouveau système, un nouveau

concept qui est l'identité numérique nationale des Québécoises et des

Québécois, est-ce que vous avez prévu, oui ou non, de l'envoyer chez Amazon ou

chez Microsoft?

M. Bélanger : Non, on n'a pas

de stratégie de l'envoyer chez Amazon ou Microsoft. On a mis en place le

premier jalon d'identité numérique par le SAG, service d'authentification

gouvernemental. Il y a d'autres étapes. Le projet de loi n° 82 va nous

permettre de continuer et d'aller de l'avant avec une identité numérique

citoyenne.

M. Bouazzi : Donc, je prends

ça pour un non. Ce n'est pas... pour l'instant, ce n'est pas prévu.

M. Bélanger : Mais je pense

que ce ne serait pas... considérant la situation actuelle, ce ne serait pas

judicieux d'envoyer nos données personnelles, surtout si elles sont sensibles à

un endroit où elles pourraient être utilisées à mauvais escient ou avec des

objectifs qui sont non constructifs.

M. Bouazzi : Donc, on est

d'accord. Est-ce que le président des États-Unis a, à plusieurs reprises,

expliqué son intention de vouloir annexer le Canada?

M. Bélanger : Je pense qu'on

dévie un peu, là. C'est des... À chaque jour, il y a des nouvelles qui sont

différentes. Une journée, c'est le Groenland puis après ça c'est le Canada.

Moi, je ne m'attarde pas à ces fables-là, je pense que... Nous on regarde, on

fait l'inventaire des données, on voit qu'il y a un risque au niveau des données

sensibles, on ne veut pas que les données sensibles soient utilisées à mauvais

escient, et puis on va prendre acte, et on a une stratégie de souveraineté au

niveau des données sensibles, et ces données-là qui sont sensibles, qui

pourraient être à risque, vont être hébergées dans le cloud québécois et

souverain.

M. Bouazzi : Est ce que le

nom et le prénom sont des données sensibles?

M. Bélanger : Si le nom

est... Là, je pense qu'on est spécifiques. Je ne sais pas c'est... quel est votre

objectif. Moi, je dirais que le nom et le prénom ne sont pas nécessairement des

données sensibles. Vous pouvez prendre un bottin téléphonique, vous faites une

commande de... sur... avec UPS, ces données-là, vous fournissez les données

d'informations qui sont votre nom, et prénom, et adresse. Je veux comprendre

votre objectif. Si vous parlez au niveau du premier volet, qui est...

M. Bélanger : ...service

d'authentification gouvernemental, il y a des informations qui sont fournies.

Il y a des informations qui sont fournies, qui sont nom, prénom, peut-être

d'autres informations qui ne sont pas jugées à risque ou qui requièrent une

haute sécurité.

• (15 h 50) •

M. Bouazzi : Bien, moi, moi,

mon questionnement, il est clair, M. le ministre. On a un pays dont les dérives

fascisantes sont évidentes pour tout le monde. On a un président qui ne

respecte même plus les décisions qui viennent de la Cour suprême qui sont

prises à l'unanimité, qui déporte des gens sans autre accusation dans des camps

de concentration ou dans des pays du Sud, et qui par ailleurs est doté d'une

loi qui lui permettrait d'accéder aux données des individus à l'extérieur même

de son... de son territoire, sur des serveurs de compagnies, sous prétexte que

ces compagnies-là sont américaines. Le même président nous promet qu'il veut

rendre du Canada le 51ᵉ État. Il veut aussi envahir le Groenland, etc. On est

quand même dans quelque chose de totalement inusité de nous, notre... notre

notre vécu. On a un voisin qui renoue avec des choses qu'on n'avait pas vues

depuis la Deuxième Guerre mondiale, avec vraiment un côté impérialiste assumé

et... et belliqueux. Et nous on est en train de se poser la question, vous et

moi, et avec mes chers collègues si, oui ou non il serait judicieux de se dire

que les données personnelles des Québécois devraient rester sur des serveurs

qui appartiennent au gouvernement québécois où on est prêts à ouvrir la porte,

à les mettre sur des serveurs où ce même gouvernement-là que je viens de

décrire, qui a lâché des suprémacistes dans la nature qui ont essayé de faire

un coup d'État. Je veux dire, on a comme perdu. Bien, vous imaginez ce que la

prochaine génération va penser de nous? Ils vont dire : Vous avez mis ça

dans le cloud. On va peut-être dire, oui, mais avant on n'était pas au courant.

En... en 2020, on en a mis un peu chez Amazon, on

n'était pas au courant. Mais en 2025, M. le ministre, mais ça va être quoi,

notre excuse? Ah! oui, vous n'avez pas parlé du 51ᵉ État? Ah! si, si, si. Vous

n'avez pas arrêté de respecter les décisions de justice? Ah! si, si, si. Vous

n'avez pas compris les conséquences du Cloud Act? Ah! oui, oui, oui, on a

compris. Mais vous avez quand même décidé d'accepter de ne pas verrouiller pour

que les données des Québécoises et des Québécois soient protégées, souveraines

d'un gouvernement étranger, impérialiste et clairement fascisant. Ah! non, non,

non, on voulait se laisser de la flexibilité. C'est sûr qu'on ne peut pas faire

ça, M. le ministre.

M. Bélanger : Mais là, vous

me prêtez des intentions, mais pas à peu près. Non, non, mais laissez-moi,

laissez-moi aller de l'avant. Là, je vous dis qu'on est en train de faire un

inventaire. Tantôt, cet avant-midi, vous avez mentionné que vous vous sentiez

en sécurité avec... avec votre iPhone. Quand vous dites qu'un président

américain qui peut accéder les données, mais le président américain est capable

d'accéder les données chez iPhone, hein? Il peut... il peut... chez Apple. Le

président est capable d'accéder au niveau de Microsoft. Est-ce que vous pensez

que Microsoft que vous utilisez chaque jour n'a pas plus de données sensibles à

votre propos que le système d'authentification gouvernemental qui utilise un

nom de famille et un prénom?

Ce que je vous dis, c'est que nous sommes

après faire l'inventaire. Suite à l'inventaire, on va identifier où les données

se situent. Si des données sensibles à prime abord des données sensibles se

situent dans un cloud où le gouvernement américain peut avoir accès, notre

intention va être de les rediriger vers un cloud québécois souverain à moins

qu'il n'y ait évidence qu'il y ait des outils d'encryptage ou de fragmentation

des données qui... qui empêcheraient tout accès à l'intégralité de ces

données-là.

C'est qu'il y a un processus. Pour le

moment, on est en processus d'inventaire. Ça fait trois mois. Il y a eu des

ententes qui ont été signées, des ententes ont été signées par des ministères,

des organismes qui ont leur propre gouvernance ou leur propre registre en

termes de données, parce que, là, ce n'est pas toutes les données, l'Éducation

a des registres de données, la Santé a des registres de données.

Là, vous vous prêter des intentions comme

quoi mon désir est de faire affaire avec des Américains au niveau d'entreposage

des données, lorsqu'on est après faire l'inventaire et lorsqu'on va décider

lesquelles données devraient être entreposées a priori chez nous. Par la suite,

il y a des contrats et des ententes qui sont faites avec des Américains, je

vous ai dit ce matin qu'on allait évaluer chacune des ententes, voir quels sont

les risques, voir quels sont les coûts. Et je vous dirais que la priorité pour

l'entreposage des données, c'est dans un cloud souverain au Québec. C'est

notre...

M. Bélanger : ...priorité. Par

contre, s'il y a des données qui sont non sensibles, qui sont jugées non

sensibles et qu'on est tous d'accord sur le niveau de risque, que le niveau de

risque est nul, parce que ça peut être un nom ou un nom... un prénom ou un nom

de famille, bien, à ce moment-là, on va probablement évaluer quelle est la

situation qui est la... qui est la plus juste, en ce moment, si on doit

résilier un contrat ou pas, qu'est-ce qu'on doit faire.

Là, vous confondez, vous parlez de toutes

les sortes de données, et puis vous me prêtez des intentions comme quoi je veux

faire affaire avec des entreprises américaines, sans égard... puis vous parlez

de... vous parlez de 51e État, etc. Ça fait que je pense qu'on dévie un peu du

sujet. Et puis l'objectif du projet de loi n° 82, c'est, justement,

d'aller de l'avant avec une identité numérique, et ça fait partie, justement,

du travail qu'on doit faire au niveau du projet de loi n° 82. Mais si on

passe les six prochains mois à débattre au niveau de l'identité numérique,

bien, on n'y arrivera pas.

M. Bouazzi : Alors, M. le

ministre, je ne vous prête absolument aucune intention. Moi, ce que je

remarque, de manière limpide, c'est que vous voulez garder la porte ouverte à

envoyer les données personnelles des Québécois sur des infrastructures américaines

assujetties au Cloud Act. Ce n'est pas une intention, c'est juste une réalité,

elle est devant nous. Voter pour ça, ça ferme la porte. Pas voter pour ça, ça

laisse la porte ouverte. C'est facile. Je pense qu'on est d'accord que vous,

vous gardez la porte ouverte.

M. Bélanger : Non, non, non,

pas du tout. Actuellement, il y a des données qui sont entreposées, et on est

après faire l'inventaire, et on va prendre acte, et on va avoir un plan, un

plan d'action, avec une stratégie souveraineté au niveau des données. Mais là

je ne peux pas changer l'état actuel... l'état actuel de la situation. On a des

ententes avec Amazon, on a des ententes avec Microsoft, avec d'autres. Donc, on

fait l'inventaire et, par la suite, on va prendre des actions pour être

capables d'entreposer ces données-là à un endroit selon leur niveau de

sensibilité.

M. Bouazzi : Bon, d'abord...

alors, deuxièmement, je n'ai jamais dit que j'étais en sécurité avec mon Apple.

J'ai juste dit que les données biométriques étaient stockées juste sur les

devices, et pas sur les serveurs d'Apple. Effectivement, vous avez bien raison

de dire... Et d'ailleurs il y a eu des exemples, dans l'histoire, que le

gouvernement américain peut accéder à l'infonuagique d'Apple.

Le... Je veux juste être sûr de

comprendre. Donc, on a dit... Parce que la question, c'est : Où est-ce

qu'on met la ligne là? Est ce qu'une liste... Donc, de noms et prénoms, on a

dit : C'est bon. Est-ce que l'adresse est sensible ou pas sensible? Est-ce

qu'un gouvernement étranger puisse savoir où habitent les Québécoises et

Québécois sans nous prévenir? Est-ce que c'est acceptable ou pas?

M. Bélanger : On a un expert

au niveau de, justement, sensibilité de données, et tout ça. Si vous me

permettez le... de... autoriser...

M. Bouazzi : Avec grand

plaisir.

M. Bélanger : ...pour qu'il

puisse répondre.

Le Président (M. Simard) : Très

bien. Alors, il y a consentement pour ce faire? Merci. Donc je ne sais trop qui

souhaite intervenir à ce stade-ci. Monsieur, laissez le temps à la caméra de

pouvoir vous rejoindre. Et auriez-vous d'abord l'amabilité de vous présenter?

M. Girard (Marc) : Bien sûr.

Marc Girard. Je suis conseiller en sécurité de l'information au ministère de la

Cybersécurité.

Le Président (M. Simard) : Nous

vous écoutons, monsieur.

M. Girard (Marc) : Est-ce que

vous pouvez répéter votre question?

M. Bouazzi : Bien, j'étais...

Parce que la question, c'est : Qu'est-ce qui est sensible, qu'est-ce qui

n'est pas sensible? Donc, on a dit : Le nom et le prénom, est-ce que c'est

sensible? L'adresse, est-ce que c'est... Quand est-ce qu'on commence à rentrer

dans du sensible?

M. Girard (Marc) : Bon, selon

nous, le nom puis le prénom, ce sont des informations qui ne sont pas

sensibles, mais quand on y ajoute des attributs, comme l'adresse, et une date

de naissance, ou une adresse courriel, là, ça devient des renseignements

personnels qu'on doit protéger. On a des renseignements personnels qui sont

plus sensibles que d'autres. Ça fait que des renseignements de santé, par

exemple, ce sont des informations ou des renseignements personnels qui sont

plus sensibles qu'une adresse ou une adresse courriel, ou une adresse physique.

Ça fait qu'on... selon le modèle de classification — je

pense que vous en avez entendu parler — on fait une distinction. Mais

dans les deux cas, du moment qu'il y a des renseignements personnels, on doit

les protéger, ces informations-là, sauf que... Dépendamment du niveau de

sensibilité, on va ajouter des mesures de sécurité supplémentaires pour

s'assurer de respecter ce niveau de sensibilité là. Ça fait que c'est... cette

distinction-là, on la fait dans nos évaluations.

M. Bouazzi : C'est ce qui se

retrouve dans la loi n° 25 aussi.

M. Girard (Marc) : Oui.

• (16 heures) •

M. Bouazzi : Donc, si on se

dit qu'à partir du moment où on a le nom, le prénom, une adresse et une date de

naissance on est dans quelque chose qu'il faut protéger. Est-ce que ça... Juste

ces quatre là, là. On n'est pas...

Top of page

16 h (version non révisé

e) M. Bouazzi : ...on n'est pas

dans une énorme base de données. Est-ce que ça, on est ouvert ou pas à garder

un gouvernement américain qui a accès à ces informations-là des Québécoises et

Québécois? Parce que, si vous voulez, M. le ministre, on peut changer le

«wording». Vous avez peut-être des migrations à faire, etc. changer le

«wording», excusez l'anglicisme, pour dire qu'on vise à, on se donne du temps,

quelque chose, là, mais on ne peut pas se dire on est ouvert à ça, là, parce

que c'est ça que ça dit. Si on ne le bloque pas, on est ouverts à ça, là. On ne

peut pas être ouverts à ça.

M. Bélanger : Je n'ai jamais

dit qu'on était ouverts à ça. Ce que j'ai dit, c'est qu'on fait l'inventaire.

La réponse sur les niveaux de données, lorsque le... M. Girard a qualifié que c'étaient

des données sensibles, non, on n'est pas ouverts à donner, à fournir ces

données-là ou à ce qu'elles soient stockées dans un cloud qui est américain.

Donc, on veut que ces données-là sensibles soient stockées chez nous.

Est-ce qu'il y a de ce type de données là,

qui, actuellement sont stockées dans un cloud ou via le Patriot Act ou le Cloud

Act, le gouvernement américain pourrait avoir accès? La réponse est oui. On

était après faire la prise d'inventaire et, par la suite, il va y avoir un plan

d'action. Ça fait que, dans certains cas, il y a des contrats qui ont été

signés, dans d'autres cas, bien, il y a des contrats à venir. Les nouveaux

contrats vont être beaucoup plus faciles à faire que les contrats qui sont... qui

sont existants et qui doivent être revus. Ça fait qu'on est dans le processus d'inventaire.

M. Bouazzi : Là, je lis :

Est-ce que le registre de l'identité numérique nationale est déjà dans un

contrat existant? Est-ce qu'il existe? On vient de dire qu'il n'existe pas, que

c'était du nouveau. Je veux bien, pour le reste, il va y avoir de la job, là,

parce qu'effectivement c'est très grave, là.

Le Président (M. Simard) : Alors,

consentement afin que Mme Martel puisse s'adresser à nous? Mme Martel,

pourriez-vous d'abord vous présenter, s'il vous plaît?

Mme Martel (Mylène) : Oui.

Bonjour, M. le Président. Mylène Martel, sous-ministre adjointe au Dirigeant

principal de l'information et à la gouvernance. Alors, il n'existe pas sous

cette appellation-là. Il existe sous l'appellation du Registre de l'autorité de

l'identité gouvernementale, le RAIG. Ce que l'on veut instaurer par la

proposition du projet de loi maintenant, c'est le Registre de l'identité

numérique citoyenne. Donc, le RAIG est, en fait, une copie des données qui sont

détenues actuellement par la RAMQ, la Régie de l'assurance maladie du Québec.

Alors, il existe sous une autre

appellation, et on veut réellement, dans un futur projet... Ce dont parle M. le

ministre, c'est de venir recueillir, nous, le ministère de la Cybersécurité,

les données de l'identité pour les préserver et les stocker dans un registre

nommé comme tel, sous la responsabilité du ministre.

M. Bouazzi : Donc, si on

adopte l'amendement, ça n'oblige pas à une migration de données demain matin,

étant donné que c'est un nouveau concept qu'on met en place?

Mme Martel (Mylène) : En

fait, il y a les données de l'identité, actuellement, d'authentification, que j'expliquais

tout à l'heure, le registre de... le RAIG. Il existe, là, le registre, il

existe, il est déjà stocké. Donc, il faut faire une migration de ces données-là

vers une infrastructure souveraine. Et, à votre question, M. le député, s'il

est de notre intention d'héberger ces données de l'identité sur des

infrastructures américaines ou étrangères, le RIN, là, le Registre de l'identité

numérique, à cette question, la réponse, c'est non.

M. Bouazzi : Est-ce qu'actuellement

ces données-là sont hébergées sur un infonuagique américain?

Mme Martel (Mylène) : Actuellement,

j'ai... j'ai le devoir de vous dire qu'ils ne sont pas hébergés sur des données

des infrastructures... les données ne sont pas hébergées sur les

infrastructures du MCN. Évidemment, depuis trois... depuis trois mois, le

contexte géopolitique a changé, et on est en train de planifier cette

migration-là vers les infrastructures du MCN.

Donc, à votre question, clairement, ces

données-là, qui sont une copie, sont hébergées sous des infrastructures, je

vais dire, non souveraines, toutefois hébergées au Québec, hébergées au Québec.

Alors, selon le... évidemment, on a une certaine zone de vulnérabilité, on en

est bien conscient. Mais s'il devait y avoir une intervention légale, bien,

évidemment on en serait informé... On estime qu'on en serait informé, on estime

qu'on en serait informé.

M. Bouazzi : C'est tout le

problème. Donc, je résume, c'est très clair. Actuellement, il y a quelque

chose, l'ancêtre, disons, du...

Mme Martel (Mylène) : L'ancêtre.

M. Bouazzi : ...future

identité numérique nationale, hébergé quelque part sur un infonuagique

américain, tout le monde est conscient que ce n'est pas bon. Il y a déjà une

migration qui est déjà dans la planification parce qu'on veut en sortir. Par

ailleurs, on va créer cette identité numérique, ça fait que, de toute façon, c'est

une bonne occasion de migrer parce qu'il va y avoir des nouvelles affaires. Et

donc, encore une fois, M. le ministre, je ne comprends pas pourquoi est-ce qu'on

n'aurait pas un «statement» clair...

M. Bouazzi : ...aujourd'hui,

tous ensemble, en tant que législateurs, pour dire : Les données

personnelles des Québécois, pour l'identité numérique nationale, sur des

infrastructures assujetties à des juridictions étrangères, c'est non, c'est non.

C'est ça, c'est ça, la souveraineté du Québec. C'est ça, la sécurité nationale

du Québec. C'est ça qui fait en sorte qu'on est responsable comme législateurs.

C'est non, et ça n'engage même pas des nouvelles dépenses parce que c'est du

nouveau, en fait.

M. Bélanger : Parce que c'est

trop précis, parce que je m'engage à ce que tous les contrats soient résiliés.

Et aussi je conclus que le seul moyen d'être capable de sécuriser des données,

c'est de les stocker chez nous, dans un cloud souverain, sans évaluer diverses

technologies qui vont sûrement être proposées par les GAFAM, et que nous

devrons considérer parce qu'il y a quand même des lois et des ententes qui ont

été faites. Ça fait que si de nouvelles technologies, que ce soit par encryptage

ou que ce soit par fragmentation, ou qu'on utilise éventuellement, un jour, le

quantique, permettraient d'assurer au niveau de la sécurité ou du non-accès de

l'intégralité de la donnée, à ce moment, c'est des choses, on ne peut pas se

fermer la porte.

Mais si vous me demandez aujourd'hui, si

advenant qu'il n'y avait aucun contrat, aucune entente de signée, quelle serait

l'action qu'on ferait? Bien, ce serait tout dirigé vers le cloud

gouvernemental. Mais là il y a quand même beaucoup d'ententes qui ont été

faites. Dans certains cas, c'est des organismes, des ministères, des... c'est

des registres différents. Je ne peux pas, dans un claquement, arriver,

spécifier, dans le projet de loi, que tout va être vers le cloud souverain

gouvernemental, parce qu'il y a beaucoup trop d'éléments légaux à considérer.

Ça fait que je ne peux pas m'avancer, je veux me garder la flexibilité de

pouvoir évaluer divers scénarios. Mais le scénario prioritaire que je

préconise, c'est un cloud souverain gouvernemental.

M. Bouazzi : Mais je ne vous

parle pas de tout, je vous parle de l'identité numérique nationale. Est ce

qu'il y a un contrat actuellement qui touche à l'identité numérique nationale?

M. Bélanger : On n'est pas

rendus encore à l'identité numérique nationale. Le projet de loi n° 82 va nous

permettre de réaliser l'identité numérique nationale. Donc, c'est un processus.

J'assume que si on réussit à évoluer puis à avancer dans le projet de loi n°

82, mais on va pouvoir probablement avancer plus rapidement au niveau de

l'identité numérique nationale. On va pouvoir aussi avoir des consultations

particulières pour, justement, la biométrie. On va pouvoir avancer. Si on reste

encore à évaluer divers scénarios puis à essayer de préciser, dans des

articles, les différents... différentes situations, je pense qu'on n'y

arrivera. On va beaucoup trop se limiter. Il faut être capable de se garder une

flexibilité justement au niveau de l'exécution. Mais je comprends très bien

votre préoccupation et la réponse, et qu'on veut justement, au niveau des

données sensibles, être capables de les héberger chez nous, dans un cloud

souverain.

M. Bouazzi : Mais je ne veux

pas qu'il y ait de malentendu, moi, je suis pour que toutes les données des

Québécois ne soient pas dans des clouds étrangers, point barre, là. Il n'y a

pas de données sensibles. Là, on est rendu au troisième point. Quatrième point,

de données, on est déjà dans comme un peu trop de données, puis il faudrait les

cacher, c'est évident. Nom, prénom, date de naissance, je veux dire, c'est nos

propres lois québécoises qui obligent aujourd'hui le privé à se dire : Oh

là là! Je vais les cacher, je vais les cacher dès que j'ai une adresse. Même un

courriel personnel plus une date de naissance, c'est trop d'informations. Et là

le gouvernement du Québec va dire : Bien là, moi, j'ai dit : Je vais

me laisser les portes ouvertes. Il n'y a pas de portes ouvertes. Toutes les

données personnelles des Québécoises et des Québécois devraient être sur des

infrastructures souveraines.

Maintenant, il n'y a, et je veux juste

être clair pour tout le monde, à moins que vous me contredisez, M. le ministre,

aucun contrat à résilier si on décide que les données de l'identité numérique

nationale se retrouvemt sur des infrastructures souveraines, aucun. Évidemment,

parce que ça n'existe pas. Si vous me dites que vous avez déjà signé les

contrats...

Le Président (M. Simard) : Très

bien. Alors, à ce stade-ci, on va suspendre momentanément nos travaux.

(Suspension de la séance à 16 h 09)

(Reprise à 16 h 15)

Le Président (M. Simard) :

Bien, chers collègues, nous pouvons poursuivre nos échanges. Et à ce stade-ci,

je souhaite peut-être, à la demande du ministre, soit dit en passant, céder la

parole à Me Bacon pour pouvoir peut-être répondre à l'intervention de

notre collègue de Maurice-Richard.

Mme Bacon (Nathalie) :

Merci, M. le Président. Alors, pour le député de Maurice Richard, j'aimerais

apporter quelques éléments de réponse. Alors, d'abord, pour l'identité

numérique nationale, on pourrait dire qu'elle est déjà... elle a déjà débuté

avec le décret numéro 870 2022 ou que le MTM est déclaré source officielle pour

les fins du service s'identification gouvernementale. Et si vous allez au

projet de loi, on a déjà passé à travers cette section-là. Là, on en est rendus

à 10.7 de l'article 6 de la

loi sur le ministère. Vous allez à 10.5, où

qu'on dit que le ministre fournit aux organismes publics les services relatifs

à l'identité numérique nationale. Dans ses services relatifs à l'identité

numérique nationale, il y a le SAG. Et dans l'article 10.7, comme la

sous-ministre adjointe, Mme Martel vient de le préciser, il y a le

registre de l'identité numérique qui, lui, va être créé au jour 1 de

l'entrée en vigueur du p.l. no° 82 et qui vient remplacer le registre de

l'attribut... des attributs d'identité, le RAIG. Alors, le RAIG, que vous avez

l'article 40 du projet de loi qui prévoit la bascule du registre actuel,

qui est la copie du registre de la RAMQ pour les données, les noms, prénoms,

etc., alors, on va basculer le RAIG dans ce qu'on appelle le, excusez les

lettres, là, le RIN, hein? Alors, tout ça fait en sorte qu'on est dans une

situation transitoire, vous avez même des dispositions transitoires au projet

de loi. Donc, c'est qu'évidemment, dans la situation actuelle, il y a des

contrats en cours qu'on ne ne peut pas se permettre, à cause d'un changement

politique subite début janvier avec le côté sud de, bien de... Il y a toute la

question qui se pose, là, des contrats en cours, notamment avec l'infonuagique.

Alors, l'amendement que vous suggérez, qui

est d'introduire sur l'expression le solde des infrastructures qui ne sont pas

assujetties à des juridictions étrangères, pour nous, c'est la même chose que

l'amendement précédent que vous avez présenté. Donc, c'est de faire

indirectement ce que tantôt qui n'était pas possible, puis on voulait dire

territoire du Québec, là. Ça fait que, là, vous dites la même chose, mais d'un

autre angle. Alors, nous, on vous propose que la contreproposition que le

ministre vous a faite lorsqu'il a déposé, suite à la pause, l'amendement, qui

est l'article 15.2, là, pour... qui a été déposé, là, qui est dans... sur

le Greffier d'ailleurs, alors, où qu'on dit que le ministre peut développer un

ensemble de moyens pour renforcer... assurer la souveraineté numérique. Et dans

votre questionnement, ce qu'il est exact de penser, c'est que vous avez dans la

souveraineté numérique deux volets, la souveraineté des données, d'une part, et

ensuite la souveraineté technologique. Alors, le ministre, lorsqu'il parle du

nuage gouvernemental du cloud privé gouvernemental, alors, c'est justement la

souveraineté technologique qui va nous donner la souveraineté numérique avec la

période transitoire.

Le Président (M. Simard) :

Très bien. Peut-être une dernière intervention, après quoi je laisserai la

parole à notre collègue de La Pinière. M. le député de Maurice-Richard.

M. Bouazzi : Bien, je

vais laisser les collègues prendre la parole.

Le Président (M. Simard) :

Oui. Bien, merci pour votre collaboration. Alors, chère collègue, à vous la

parole.

Mme Caron : Oui. Merci,

M. le Président. Alors, j'ai besoin qu'on me renouvelle la mémoire. Est-ce

qu'on avait déjà adopté un amendement à ce... à cet article-là, 10.7?

Le Président (M. Simard) :

Non.

Mme Caron : Parce que là,

on a la

section qui est en caractères gras au paragraphe 1°, mais à

l'alinéa qui suit le paragraphe 5°, il me semble que ce qui est écrit dans cet

amendement n'est pas la même chose que ce qui est écrit dans le projet de loi.

Parce que, dans le projet de loi, on lit : «Le ministre ne peut utiliser

ces données à des fins de profilage des personnes», tandis que dans

l'amendement, on dit, même si ce n'est pas en gras, c'est écrit : «Aucun

ministère ou organisme public ou privé ne peut utiliser ces données à des fins

de profilage des personnes». Alors, s'il n'y a pas eu d'amendements à

l'article 10.7, ça veut dire que l'alinéa tel qu'il est dans cet

amendement n'est pas valide pour l'instant en tout cas.

Le Président (M. Simard) :

C'est-à-dire que c'est sans incidence dans la mesure où on étudie un projet de

loi qui est devant nous, le libellé 5°. Alors, pour l'instant, en fait,

c'est que c'est le compte rendu de ce que ça pourrait être, mais... au final.

Mais pour l'instant, là, nous, on porte notre attention...

Le Président (M. Simard) : …sur

l'alinéa un sur des infrastructures qui ne sont pas assujetties à des

juridictions étrangères. Donc, je suis d'accord avec vous, là, sur la modalité

que vous évoquez, mais c'est sans incidence juridique. Mais merci de nous en

informer, mais…

• (16 h 20) •

Mme Caron : C'est sans

incidence juridique, sauf si on adopte l'amendement tel qu'amendé… qu'on adopte

l'article tel qu'amendé. Non?

Le Président (M. Simard) :

Non. Non, non, ça ne changerait pas… ça ne changerait pas ce qui est imprimé à

l'article 10.7,

alinéa 5.

Mme Caron : O.K. Parfait.

Merci. Merci pour la précision.

Le Président (M. Simard) :

Merci de cette demande de précision. Oui, chère collègue.

Mme Setlakwe : Oui. Merci, M.

le Président. J'apprécie les échanges, j'apprécie les compléments d'information

qui nous sont fournis, autant de la sous-ministre qu'au niveau de la juriste et

du ministre, mais ce que je retiens, c'est qu'on a un cloud souverain

gouvernemental. Il existe déjà. J'aimerais savoir quelle est sa capacité, quel

est… Quel est le plan d'action pour le bonifier, pour y stocker plus de

données? Je comprends que c'est l'objectif. On s'en va vers quoi? Est-ce qu'on

a… Est-ce qu'on a besoin d'investissements additionnels? Est-ce que ça, ce sont

des questions qui se posent ou c'est simplement de… en ce moment d'analyser

l'inventaire actuel des contrats qu'on a avec des sociétés étrangères et les

données sensibles ou moins sensibles qui sont hébergées auprès de ces

entreprises-là?

M. Bélanger : Je ne peux pas

vous répondre de façon précise, mais on a quand même déjà investi. Il existe…

lorsque… on est en train de faire la prise d'inventaire, suite à la prise

d'inventaire, on va pouvoir évaluer l'ampleur des… et la quantité de données.

Puis ce n'est pas quelque chose qui est fixe parce qu'on transforme l'État. Il

y a plusieurs projets de transformation, il y a plusieurs données qui vont

être… qui vont être créées, qui éventuellement peuvent être utilisées par des

outils d'intelligence artificielle pour peut-être arriver à certaines

applications pour être plus efficient. Donc, c'est quelque chose qui va évoluer.

En ce moment, je n'ai pas la réponse.

Par contre, ce que je sais, c'est qu'il y

a quand même des sommes importantes qui sont investies avec les GAFAM au niveau

du stockage de ces données-là. C'est des montants qui sont significatifs. Et si

par… je ne sais pas, je ne veux pas utiliser le terme mutualisation des

données, mais peut-être moins d'infrastructures, moins d'ententes, bien, à ce

moment-là, peut-être qu'il peut y avoir des économies, ou en tout cas des

sommes qui pourraient être recirculées. Mais là je ne veux pas spéculer que, si

on arrête un contrat à un endroit qu'on va pouvoir récupérer ces sommes-là. il

va y avoir des enjeux, là, de… des enjeux légaux, là, à suivre.

Donc, je pourrais peut-être vous revenir

éventuellement. Je ne pense pas que c'est quelque chose qui bloque le fait

d'avancer avec le projet de loi, parce que quand… en 15, c'est en 5.3, 5.3 au

niveau des infrastructures. Je me dote des pouvoirs pour être capable de

justement déployer les infrastructures en conséquence. Là, je vais utiliser un

autre parallèle, là, mais j'ai été en charge d'un autre projet que ça faisait

20 ans qu'on attendait pour justement de la connectivité des régions. J'ai

défini que les besoins étaient à 1,1 milliard. J'ai eu 1,1 milliard de

budget. Par la suite, j'ai négocié avec Ottawa qui nous ont... qui ont

participé. Donc, j'ai pu… on a pu le réaliser à 700 millions au lieu de

1,1 milliard.

Il y a certainement un processus qui va

faire qu'on va vouloir peut-être collaborer avec Ottawa au niveau des infrastructures.

Il y a peut-être des projets communs qui vont être faits au niveau d'une

infrastructure. Est-ce que l'infrastructure souveraine québécoise est la

solution ou si on travaille… parce qu'on travaille déjà avec la

Colombie-Britannique, qui a quand même certaines avancées au niveau de

l'identification numérique. Il y a peut-être un travail de collaboration qui

peut se faire. Puis, à ce moment-là, bien, les investissements, au lieu que ce

soit le Québec seul, peut-être que c'est acceptable de considérer une

souveraineté canadienne au niveau des données versus une souveraineté

uniquement québécoise.

Mme Setlakwe : Merci. On a… On

a entendu que... Vous avez admis en tout cas, par le biais de votre

sous-ministre, c'était très clair, il existe une vulnérabilité actuellement.

Nous sommes dans une situation où nous sommes vulnérables par rapport à

certaines données sensibles actuellement. C'est ce que j'ai entendu, vous le

confirmez?

M. Bélanger : Bien, c'est pour

ça qu'il y a eu deux amendements, deux amendements qui ont été faits, mais

en tout cas le… c'est 5.2? Je me trompe avec le 15.2, c'est 5.2. À 5.2, au

niveau de la souveraineté, c'est quelque chose qui est arrivé entre janvier et

aujourd'hui. On a...

M. Bélanger : ...on n'a pas

eu cet article-là au niveau de la souveraineté des données. Personne ne parlait

de souveraineté des données il y a de ça une année. C'était... Même

qu'Amazon avait des entrepôts, puis, je veux dire, on utilisait Amazon. Et

puis, au niveau de la marchandise, au niveau des données, c'étaient les

leaders, c'était ce qui était, probablement, le moins coûteux, les ententes

contractuelles. Aujourd'hui, on fait affaire avec Microsoft. Mais je vous

dirais qu'il y a des pays dans le monde qui évaluent de ne plus faire affaire

avec Microsoft. Est-ce que c'est le cas chez nous actuellement? Non. Là, on est

au niveau... on est on au niveau des données, mais il y a des questions qui se

posent, il y a des questions dites qui se posent. Puis il faut être capable

d'être agile. Et puis je pense que le projet de loi n° 82 nous permet

d'être agile. Est-ce qu'on doit, dans le projet de loi n° 82, détailler

toutes les possibilités? Je ne pense pas. Je pense qu'il faut se garder une

flexibilité puis être capable en... par la suite, là, d'être capable de

s'ajuster, au besoin.

Mme Setlakwe : J'en suis

consciente, mais on a quand même une situation, actuellement, où on n'a pas

encore complété l'exercice. Vous êtes en processus d'inventaire, c'est ce que

vous nous expliquez. Il y a des contrats avec des sociétés américaines et

autres, étrangères. Nos données, incluant des données sensibles, sont stockées

auprès de ces entreprises-là, peut-être chez nous, mais, en tout cas, ils

sont... on a des contrats avec ces entreprises-là pour les fins de stockage. Est-ce

que... Ma question, c'est : Est-ce qu'avec l'adoption du projet de loi et

les étapes qui vont suivre vers ce registre d'identité numérique nationale... est-ce

qu'on va... on ne s'expose pas, justement, à accroître notre vulnérabilité?

Étant donné... C'était une question importante. Parce qu'on reconnaît qu'il y a

des changements qui s'imposent, on reconnaît qu'actuellement, avec ce qui se

passe avec nos voisins, ce n'est pas idéal, on... il y a un plan d'action pour

étudier tout ça et voir qu'est-ce qu'on peut faire pour améliorer la situation,

mais c'est important qu'on se pose la question comme parlementaires. Est-ce

qu'on devrait prendre un pas de recul et mettre ça sur pause ou vous êtes à

l'aise qu'on va de l'avant puis on n'augmente pas notre vulnérabilité?

M. Bélanger : Moi, je veux

l'éliminer, la vulnérabilité. Et, par contre, il y a des ententes qui ont été

signées. Il y a des ententes qui ont été signées en 2024, il y a des... Et puis

il y en a, un millier de projets, mais ils ne sont pas... ils ne sont pas tous

en exécution, là. Il y en a peut-être 200 quelques projets en exécution.

On est à évaluer ces projets-là, s'il y a des facteurs, s'il y a des facteurs

de risque. Et, pour les ententes qui ont déjà été établies, on va devoir

reconsidérer ces ententes-là pour assurer une sécurité au niveau des données.

Maintenant, pour les nouveaux projets, au

niveau de l'élaboration des contrats, moi, je peux vous garantir que ma position,

ça va être d'être blindé au niveau des données puis s'assurer que ces

données-là, au cas... parce qu'on voit la volatilité au niveau... au sud du

Québec, ça fait que je vais probablement vouloir être plus blanc que blanc. Et

est-ce qu'on avait une nécessité d'avoir... Puis mon prédécesseur, je pense,

qu'il a quand même été visionnaire parce que je n'ai pas eu à créer un cloud

souverain au Québec. C'est quelque chose qui existe déjà. Est-ce qu'on aurait

dû, sachant ce qu'il allait se passer au sud du Québec, signer avec Amazon?

Peut-être pas, mais on ne le savait pas, hein? Bien, il n'y a pas grand monde,

il n'y a pas grand monde qui le savait.

Et là je vous dis qu'on est quand même

assez agile parce que ça fait trois mois, là. On n'attend pas des années.

Puis on a un projet de loi qui va me permettre cette flexibilité-là, avec une

stratégie de souveraineté au niveau des données et du numérique.

Mme Setlakwe : Je vous entends

et je vous remercie pour vos réponses. Là où j'ai encore certaines réserves,

c'est quand j'entends que tout ça est subi, là... c'est arrivé subitement. Bon,

évidemment, on le sait, il y a eu les élections américaines et le changement

d'attitude de nos alliés envers nous... bien, pas le peuple américain, mais le

président, on va le dire comme ça. Mais il me semble que la question de... la

question de l'hébergement de nos données auprès de... de garder une mainmise

sur nos données sensibles puis la question de la souveraineté, ça ne date quand

même pas de l'élection américaine. Ça ne date pas du mois de novembre qu'on se

pose ces questions-là au MCN, rassurez-moi, là.

M. Bélanger : Et puis on est

beaucoup plus vulnérable aujourd'hui qu'on va l'être demain, et on l'était

encore plus, vulnérable, il y a six mois qu'on l'est aujourd'hui. Qu'il y

a eu une amélioration, parce qu'il y a... L'accès à ces données-là, il y a

plusieurs organismes qui utilisaient, qui entreposaient des données. Et là nous

autres, on veut fermer la porte à ça avec un accès unique. Ça commence par le

service d'authentification gouvernementale. Par la suite, ces clés-là

d'accès...

Top of page

16 h 30 (version non révisé

e) M. Bélanger : ...ces clés-là,

d'accès à l'information, elles vont être contrôlées. Il y a six mois, il y a un

an, vous aviez des bases de données éparpillées un peu partout, puis il pouvait

y avoir des... certaines attaques et accéder à des informations qui sont

sensibles. Ça fait que je vous dirais qu'aujourd'hui on s'est amélioré. Est-ce

que c'est vers où on veut être dans un an? Pas du tout. Ça va évoluer. Ça va

évoluer, justement, rapidement. On va se donner les moyens d'être capables d'assurer

une protection au niveau des données. Est-ce qu'on doit tout stopper? Bien, il

y a des transformations numériques qui doivent être... qui doivent être en

place. Il y a des vieilles technologies. Dans certains cas, ça fait 30, 40 ans,

et il y a des risques au niveau des services aux citoyens. Et on doit évaluer

entre stopper un projet risqué au niveau des services ou continuer, avancer ce

projet-là, mais tout en ayant en tête la sécurité des données.

• (16 h 30) •

Ça fait que c'est un équilibre, c'est du

cas par cas. Je vous dirais que c'est facile, demain, si j'ai un nouveau

projet... un nouveau projet, je pense qu'on va commencer par la rédaction du

contrat puis on va s'assurer qu'au niveau du contrat, au niveau de la gestion

des données, ça va être un aspect qui va être blindé.

Mme Setlakwe : Merci. Je

peux... Je vous suis dans votre logique, là, de dire : Il vaut mieux ne

pas avoir un dédoublement d'informations puis de données, puis de s'assurer d'avoir...

de réduire, ainsi réduire le potentiel de fuite, de cyberattaque, mais là on

parle de stockage. Puis le veux juste revenir sur la question de... On ne

parlait pas de souveraineté, avant les élections américaines, on ne parlait pas

de souveraineté de nos données, de cloud souverain. Il me semble que ça fait un

bout que des experts, quand même, soulèvent ou lèvent le drapeau puis parlent

du Cloud Act, et tout, et de cette emprise potentielle de juridiction étrangère

sur nos données. Je comprends que c'est exacerbé, mais on ne peut pas dire que

c'est arrivé comme ça, là, du jour au lendemain, avec l'arrivée du président

Trump.

M. Bélanger : Non, mais, au

niveau des données, c'est quand même assez récent, au niveau du cloud, c'est

quelque chose qui est quand même assez récent. Et est-ce que les promesses des

GAFAM au niveau de sécuriser ces données-là étaient suffisantes pour prendre

les décisions? Est-ce que c'étaient les bonnes décisions? Moi, je ne veux pas

juger là-dessus, mais ce que je peux juger, c'est que moi, j'étais responsable

de comment les données circulent, il y a trois ans, et puis on a décidé de

faire le projet puis de déployer notre propre fibre optique. Je vous dirais qu'aujourd'hui

on a beau entreposer nos données, mais, si nos données circulent à l'échelle

mondiale et qu'elles passent par un pipeline de données qui s'en va aux États-Unis,

peut être qu'il y a un enjeu de sécurité même si ces données-là sont

encryptées. Je ne veux pas arriver dans le détail, mais, au niveau des

infrastructures... Parce qu'on a les infrastructures de données pour les

stocker, mais moi, je vous dirais aussi qu'on a des infrastructures de

circulation de ces données-là. Et, à l'heure actuelle, la circulation entre l'Europe

et les États-Unis passe directement vers les États-Unis. On n'a pas de lien.

Donc, ça, c'est un autre élément, puis on l'avait dans 5.3, justement, cet

aspect-là, au niveau des infrastructures.

Ça fait que ça déborde d'où on stocke ces

données-là. On va probablement vouloir qu'elles circulent si on a des ententes

avec l'Europe, et qu'elles circulent de l'Europe vers le Québec, vers le Canada,

sans passer par les États-Uni, même si on a un cloud, même si on a un cloud

souverain. Ça, ça va être un autre élément où on va vouloir s'assurer que les

données ne transitent pas par les États-Unis.

Le Président (M. Simard) : D'autres

interventions sur cet amendement? Sans quoi nous allons procéder à la mise aux

voix. Ah! M. le député de Maurice Richard, vous souhaitez un appel nominal ou

bien...

M. Bouazzi : Non, pas du

tout, pas du tout. Je veux continuer ma conversation avec...

Le Président (M. Simard) : Il

vous reste une dizaine de minutes.

M. Bouazzi : Une dizaine de

minutes. Ce ne sera peut-être pas assez, devant l'enjeu, je vous avouerai, M.

le ministre. Très sérieusement, j'entends les... j'entends les arguments, et, à

date, le seul que je comprends franchement et que je trouve recevable, c'est de

dire : Bien là, nous, on a déjà des données sur une affaire qui s'appelle

autre chose. Le jour J plus un où cette loi est adoptée, l'affaire qui s'appelle

autre chose s'appellera désormais Identité numérique nationale, et donc, de

facto, se trouve sur un cloud étranger, donnez-moi le temps de pouvoir migrer.

Non, ce n'est même pas ça? Je vois un non. Si... Je pense qu'on veut m'éclairer.

Oui.

Le Président (M. Simard) : Alors,

M. le ministre, à vous la parole.

M. Bélanger : Je voudrais...

Il y a un autre point parce que... on mentionne un autre point : le Cloud

Act, qui a commencé en 2022, est encore en négociation. Je vous donne un...

M. Bélanger : ...un scénario,

un scénario, un scénario de mi-mandat, un scénario de mi-mandat aux États-Unis,

il y a un changement, puis les circonstances géopolitiques sont plus

favorables. Et il y a négociation au niveau du CLOUD Act qui assure une

certaine souveraineté des données qui seraient, mettons, hébergées dans un

autre... dans un autre pays pour ce pays-là. Est-ce que c'est des éléments qui

seraient suffisants à considérer? Peut-être, peut-être pas, mais je veux me

garder cette flexibilité-là. Sauf qu'entre-temps je vous confirme que tous les

nouveaux projets, où il y a des données qui sont sensibles, vont être hébergés

au Québec, dans un cloud souverain. Les ententes qui ont déjà eu lieu vont être

reconsidérées une après l'autre. Chaque entente va être considérée à la pièce

et on va évaluer le risque. Et là, par la suite, bien, on verra quels sont les

investissements en conséquence, pour être capable de modifier au niveau des

ententes qui ont eu lieu.

M. Bouazzi : Vous m'avez

perdu, M. le ministre. Quel Cloud Act est en train d'être négocié en ce moment?

De quoi on parle?

M. Bélanger : Me Bacon,

allez-y.

Le Président (M. Simard) : Alors,

Me Bacon.

Mme Bacon (Nathalie) : Alors,

ce qui est en train d'être négocié par le Canada, depuis 2022, là, c'est

l'application du CLOUD Act, donc, une entente accessoire. Donc, juridiquement,

actuellement, on n'a pas eu l'information à savoir où c'était rendu, mais... Et

tous les pays du monde, là, c'est depuis les préoccupations de souveraineté

numérique. L'emprise des GAFAM, c'est depuis les années 2000, on est 2025. Le

problème qu'il y a, c'est les changements... pas juridiques, mais d'échiquier

politique. Alors, c'est ça, les enjeux qui sont... qui ont changé depuis

janvier 2025, et que là, la souveraineté numérique est plus que jamais devenue

à l'ordre du jour. Alors, vous êtes aux premières loges. Et si vous faites une

recherche dans Légis Québec, sur les lois du Québec, vous ne trouverez pas les

mots «souveraineté» dans notre corpus législatif.

Donc, avec ce que le ministre vous propose

comme amendement avec le nouvel

article 15.2, qui va être le 19.2 de la LGGRI,

vous, les parlementaires, allez innover en matière... Alors, vous êtes des

innovateurs par rapport aux courants mondiaux qui existent actuellement et sur

des sujets qui sont préoccupants pour tous.

M. Bouazzi : Je veux juste

qu'elle soit claire pour tout le monde, le CLOUD Act a été adopté en 2018, avec

ou sans le Canada, pour les Américains, ça ne change pas grand-chose.

Mme Bacon (Nathalie) : Ça ne

change pas grand-chose. C'est juste des pourparlers pour savoir comment,

comment s'imbriquer avec le CLOUD Act puis de protéger nos données malgré le

CLOUD Act.

M. Bouazzi : Puis le CLOUD

Act permet aussi au Canada de demander des données, j'imagine que ça fait

partie aussi de ça. Donc, je... Ce que vous avez dit, M. le ministre, je vous

avouerai, en fin de compte, ne me rassure pas,