Bill document — Vigie #193859

Vigie 193859

Quebec — Bills

PREMIÈRE SESSION QUA RANTE-TROISIÈME LÉGISLATURE Projet de loi n o 38 Loi modifiant la

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement et d’autres dispositions législatives Présentation Présenté par M. Éric Caire Ministre de la Cybersécurité et du Numérique Éditeur officiel du Québec 2023

NOTES EXPLICATIVES Ce projet de loi apporte diverses modifications à la

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement ainsi qu’à la

Loi sur le ministère de la Cybersécurité et du Numérique. Le projet de loi précise notamment que le ministre de la Cybersécurité et du Numérique assume le leadership de la transformation numérique et de la cybersécurité de l’Administration publique. Il lui donne aussi la fonction d’assurer la cohérence et l’harmonisation des actions gouvernementales dans les domaines de la cybersécurité et du numérique et prévoit qu’il doit être associé à l’élaboration des mesures ainsi qu’aux décisions ministérielles dans ces domaines.

En ce qui concerne les organismes publics, il établit expressément leur obligation d’appliquer les orientations, les stratégies, les politiques, les standards, les directives, les règles ou les indications d’application pris en vertu de la

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement et prévoit que la responsabilité du respect de cette obligation incombe au plus haut dirigeant de l’organisme. Le projet de loi donne au ministre la responsabilité de proposer au gouvernement un portefeuille des projets prioritaires en ressources informationnelles afin que soient établies les priorités gouvernementales au regard des initiatives de transformation numérique des organismes publics.

Il prévoit que les organismes publics responsables des projets visés par les priorités gouvernementales doivent en prioriser la réalisation. Par ailleurs, il habilite le ministre à prendre une directive ayant notamment pour objet d’établir les règles visant à assurer une gouvernance centralisée de la gestion de portefeuille des projets prioritaires, entre autres en ce qui concerne le suivi de ces projets. Il prévoit qu’une telle directive doit être approuvée par le gouvernement.

Le projet de loi prévoit aussi différentes mesures ayant pour objectif de rehausser et d’uniformiser les pratiques en matière de sécurité de l’information. À ces fins, il habilite le ministre à prendre un arrêté prévoyant l’obligation pour tout organisme public qu’il désigne de recourir à ses services pour réaliser des activités de cybersécurité. Il confère aussi au ministre le pouvoir d’ordonner, dans certaines circonstances, à un organisme public de retirer de ses

3 infrastructures et de ses systèmes tout logiciel, toute application ou tout autre actif informationnel qu’il détermine. De plus, il autorise notamment le gouvernement à prévoir, sur recommandation conjointe du ministre et du ministre chargé de l’application de la loi qui régit une entreprise du gouvernement, que certaines dispositions de la

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement relatives à la sécurité de l’information s’appliquent, en tout ou en partie, à une telle entreprise. Le projet de loi donne également au ministre la responsabilité de fournir aux organismes publics les services de certification, de répertoire et de signature électronique que le gouvernement détermine par décret.

Il prévoit notamment qu’un tel décret peut, pour assurer sa mise en œuvre, transférer au ministre les actifs informationnels d’un organisme public ainsi que toutes les obligations qui en résultent. Il prévoit aussi que le ministre peut fournir tout autre service en ressources informationnelles en vue de répondre à un besoin particulier d’un organisme public.

Le projet de loi permet par ailleurs au gouvernement d’autoriser la mise en œuvre d’un projet pilote visant à étudier, à expérimenter ou à innover dans le domaine de la cybersécurité ou dans celui du numérique, ou à définir des normes applicables en de tels domaines. Il remplace de plus l’obligation, pour un organisme public désigné comme source officielle de données numériques gouvernementales, de faire approuver par la Commission d’accès à l’information du Québec les règles qu’il doit établir concernant sa gouvernance des renseignements personnels par une obligation de les lui transmettre.

Enfin, le projet de loi apporte certaines modifications de concordance à la

Loi sur le ministère de la Justice et comporte des dispositions diverses, transitoires et finales. LOIS MODIFIÉES PAR CE PROJET DE LOI : –

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement (chapitre G-1.03);

4 –

Loi sur le ministère de la Cybersécurité et du Numérique (chapitre M-17.1.1); –

Loi sur le ministère de la Justice (chapitre M-19).

Projet de loi n o 38 LOI MODIFIANT LA

LOI SUR LA GOUVERNANCE ET LA GESTION DES RESSOURCES INFORMATIONNELLES DES ORGANISMES PUBLICS ET DES ENTREPRISES DU GOUVERNEMENT ET D’AUTRES DISPOSITIONS LÉGISLATIVES LE PARLEMENT DU QUÉBEC DÉCRÈTE CE QUI SUIT :

LOI SUR LA GOUVERNANCE ET LA GESTION DES RESSOURCES INFORMATIONNELLES DES ORGANISMES PUBLICS ET DES ENTREPRISES DU GOUVERNEMENT 1. L’article 5 de la

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement (chapitre G-1.03) est modifié par l’ajout, à la fin, de l’alinéa suivant : « Il peut également, sur recommandation conjointe du ministre de la Cybersécurité et du Numérique et du ministre chargé de l’application de la loi qui régit une entreprise du gouvernement visée à l’article 4, prévoir que les dispositions du

chapitre II.2, les dispositions de tout règlement pris en vertu de l’article 22.1.1 ou les orientations, les stratégies, les politiques, les standards, les directives, les règles ou les indications d’application relatifs à la sécurité de l’information pris en vertu de la présente loi s’appliquent, en tout ou en

partie et aux conditions qu’il détermine, à une telle entreprise. » . 2. Cette loi est modifiée par l’insertion, après l’article 5, du suivant : « 5.1. Un organisme public doit appliquer les orientations, les stratégies, les politiques, les standards, les directives, les règles ou les indications d’application pris en vertu de la présente loi. La responsabilité du respect de cette obligation incombe au dirigeant de l’organisme public, qui doit prendre des moyens pour la faire connaître et respecter par les membres du personnel de celui-ci.

Pour l’application de la présente loi, le dirigeant de l’organisme public correspond à la personne ayant la plus haute autorité administrative, tel le sous-ministre, le président, le directeur général ou toute autre personne responsable de la gestion courante de l’organisme. Toutefois, lorsqu’il s’agit d’un organisme public visé aux paragraphes 4° ou 4.1° du premier alinéa de l’article 2, le conseil d’administration ou, dans le cas d’une commission scolaire

6 visée par la

Loi sur l’instruction publique pour les autochtones cris, inuit et naskapis (chapitre I-14), le conseil des commissaires est le dirigeant de l’organisme. ». 3. L’article 8 de cette loi est modifié par la suppression du troisième alinéa. 4. Cette loi est modifiée par l’insertion, après l’article 12.5, des suivants : « 12.5.1. Le ministre peut, par arrêté, prévoir l’obligation pour un organisme public qu’il désigne de recourir à ses services pour réaliser des activités de cybersécurité, selon les conditions et modalités qu’il détermine. « 12.5.2.

Le ministre peut, par tout moyen et dans l’objectif de soutenir un organisme public en cas d’atteinte ou de risque d’atteinte visé au deuxième alinéa de l’article 12.2, lui ordonner de retirer de ses infrastructures ou de ses systèmes tout logiciel, toute application ou tout autre actif informationnel qu’il détermine.

Le pouvoir prévu au premier alinéa peut être exercé uniquement dans l’un ou l’autre des cas suivants : 1° le ministre estime qu’il y a urgence d’agir sans délai en matière de cybersécurité ou qu’il y a danger que soit causé un préjudice irréparable à une ressource informationnelle ou à de l’information sous la responsabilité de l’organisme public visé; 2° le ministre estime qu’il y a urgence d’agir dans un court délai en matière de cybersécurité.

Dans le cas prévu au paragraphe 2° du deuxième alinéa, le ministre ne peut exercer le pouvoir prévu au premier alinéa qu’à la suite de vérifications sérieuses et documentées. Il ne peut en outre l’exercer sans qu’une consultation entre le chef gouvernemental de la sécurité de l’information et le chef délégué de la sécurité de l’information rattaché à cet organisme ait eu lieu et sans avoir préalablement avisé le dirigeant de l’organisme public concerné de son intention de le faire. ». 5.

L’article 12.6 de cette loi est modifié par l’insertion, après le paragraphe 4°, du suivant : « 4.1° mettre à la disposition des organismes publics des outils et des pratiques exemplaires en telle matière et informer le ministre des résultats observés; ». 6. L’article 12.8 de cette loi est modifié par l’insertion, dans le premier alinéa et après « doit », de « , en conformité avec les orientations définies par le ministre concernant les initiatives de transformation numérique, ».

7 7. Cette loi est modifiée par l’insertion, après l’article 12.8, des suivants : « 12.8.1. Le ministre propose annuellement au gouvernement, dans les 60 jours suivant le dépôt à l’Assemblée nationale du plan des investissements et des dépenses en matière de ressources informationnelles des organismes publics visé à l’article 16.1, un portefeuille des projets prioritaires en ressources informationnelles afin que soient établies les priorités gouvernementales au regard des initiatives de transformation numérique des organismes publics.

Sous réserve de l’obtention des autorisations requises conformément à la présente loi, un organisme public doit prioriser la réalisation de tout projet visé par les priorités gouvernementales dont il est responsable. Le ministre peut prendre une directive pour préciser les orientations quant aux critères de priorisation des projets en ressources informationnelles des organismes publics et établir les règles visant à assurer une gouvernance centralisée de la gestion de portefeuille des projets prioritaires, entre autres en ce qui concerne le suivi des projets. Une directive prise en vertu du présent

article doit être approuvée par le gouvernement et est applicable à la date qui y est fixée. Une fois approuvée, elle lie les organismes publics concernés et les règles qu’elle établit s’ajoutent à celles qui leur sont déjà applicables en vertu de la présente loi, notamment en matière de reddition de comptes et de vérification. « 12.8.2. Le ministre présente au gouvernement, au moment qu’il juge opportun, la consolidation des états d’avancement des projets en ressources informationnelles des organismes publics visés par le portefeuille des projets prioritaires. ». 8.

L’article 12.9 de cette loi est modifié : 1° par l’insertion, après le paragraphe 3°, du suivant : « 3.1° maintenir à jour une consolidation des états d’avancement des projets en ressources informationnelles des organismes publics visés par le portefeuille des projets prioritaires; »; 2° par la suppression du paragraphe 5°. 9. L’article 12.12 de cette loi est modifié par l’insertion, après le paragraphe 8° du premier alinéa, du paragraphe suivant : « 8.1° proposer au ministre des stratégies pour favoriser l’approche de gouvernement ouvert et voir à la mise en œuvre de celles-ci; ».

8 10. L’article 12.16 de cette loi est modifié : 1° par le remplacement, dans le paragraphe 2° du premier alinéa, de « faire approuver par » par « transmettre à »; 2° par la suppression de la dernière phrase du deuxième alinéa. 11. L’article 19 de cette loi est modifié par l’ajout, à la fin, de l’alinéa suivant : « Le ministre assure le leadership de la transformation numérique et de la cybersécurité de l’Administration publique. ».

LOI SUR LE MINISTÈRE DE LA CYBERSÉCURITÉ ET DU NUMÉRIQUE 12. L’article 2 de la

Loi sur le ministère de la Cybersécurité et du Numérique (chapitre M-17.1.1) est modifié par l’insertion, après le premier alinéa, du suivant : « Le ministre doit assurer la cohérence et l’harmonisation des actions gouvernementales dans les domaines de la cybersécurité et du numérique et, à cette fin, être associé à l’élaboration des mesures ainsi qu’aux décisions ministérielles dans ces domaines et donner son avis lorsqu’il le juge opportun. ». 13.

L’article 4 de cette loi est modifié : 1° par l’insertion, dans le troisième alinéa et après « étendue », de « , les conditions d’utilisation, incluant en ce qui a trait aux responsabilités du ministre et des utilisateurs »; 2° par l’ajout, à la fin, de l’alinéa suivant : « Le ministre peut fournir à un organisme public tout autre service en ressources informationnelles en vue de répondre à un besoin particulier d’un tel organisme lorsque ce dernier lui en formule la demande. ». 14. Cette loi est modifiée par l’insertion, après l’article 5, du suivant : « 5.1.

Le ministre fournit aux organismes publics les services de certification, incluant les services de répertoire y afférents, ainsi que les services de signature électronique que le gouvernement détermine. Un décret pris en vertu du premier alinéa détermine les services visés, les conditions et modalités de leur fourniture ainsi que les cas et les conditions selon lesquels un organisme public est tenu d’y recourir pour répondre à ses besoins. Il peut autoriser le ministre à déléguer certaines fonctions relatives aux services à un organisme public.

Pour permettre sa mise en œuvre, il peut également prévoir le transfert au ministre d’actifs informationnels d’un organisme public ainsi que de toutes les obligations qui en résultent.

9 Lorsqu’un décret pris en vertu du premier alinéa concerne des services de certification et de répertoire, il doit contenir l’énoncé de politique prévu à l’article 52 de la Loi concernant le cadre juridique des technologies de l’information (chapitre C-1.1). ». 15. L’article 7 de cette loi est modifié par le remplacement de « à l’article 4 et » par « aux articles 4 et 5.1 ainsi que ». 16. Cette loi est modifiée par l’insertion, après l’article 10, du suivant : « 10.1.

Le gouvernement peut autoriser la mise en œuvre par le ministre d’un projet pilote visant à étudier, à expérimenter ou à innover dans le domaine de la cybersécurité ou dans celui du numérique, ou à définir des normes applicables en de tels domaines. Un tel projet pilote peut viser les organismes publics ou les entreprises du gouvernement au sens de la

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement (chapitre G-1.03), toute autre entreprise ou les citoyens. Dans le respect des dispositions législatives applicables, notamment en matière de protection des renseignements personnels et de la vie privée, le gouvernement détermine les normes et les obligations applicables dans le cadre d’un projet pilote. Il détermine également les mécanismes de surveillance et de reddition de comptes applicables dans le cadre d’un projet pilote.

Un projet pilote est établi pour une durée maximale de trois ans, que le gouvernement peut prolonger d’au plus un an. Le gouvernement peut, en tout temps, modifier un projet pilote ou y mettre fin. Les résultats du projet pilote doivent être publiés sur le site Internet du ministère de la Cybersécurité et du Numérique au plus tard un an après la fin du projet pilote. ».

LOI SUR LE MINISTÈRE DE LA JUSTICE 17. L’article 32.1 de la

Loi sur le ministère de la Justice (chapitre M-19) est modifié par la suppression, dans le paragraphe 2°, de « à la certification requise pour assurer la sécurité des échanges électroniques impliquant le gouvernement, ses ministères et ses organismes, dans le cadre de fonctions qui ont été déléguées en application de l’article 66 de la

Loi sur l’administration publique (chapitre A-6.01), ou ». DISPOSITIONS DIVERSES, TRANSITOIRES ET FINALES 18. La Directive sur les services de certification offerts par le gouvernement du Québec approuvée par le décret n° 6-2014 du 15 janvier 2014 cesse d’avoir effet à l’entrée en vigueur d’un décret pris en vertu de l’article 5.1 de la

Loi sur le ministère de la Cybersécurité et du Numérique (chapitre M-17.1.1), édicté par l’article 14 de la présente loi, concernant le même objet.

10 19. Tout organisme public désigné pour agir à

titre de source officielle de données numériques gouvernementales conformément à un décret pris en vertu de l’article 12.14 de la

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement (chapitre G-1.03) peut exercer cette fonction de source dès lors qu’il a rempli les obligations prévues à l’article 12.16 de cette loi, tel que modifié par l’article 10 de la présente loi. 20. Les dispositions de la présente loi entrent en vigueur le ( indiquer ici la date de la sanction de la présente loi ), à l’exception de celles de l’article 17, qui entrent en vigueur à la date fixée par le gouvernement.

Document details

Collection	Quebec — Bills
Citation	Vigie 193859
Type	bill
Volume / chapter	MediaId ANQ.Vigie.Bll.DocumentGenerique 193859 amp process Default amp token ZyMoxNwUn8ikQ TRKYwPCjWrKwg vIv9rjij7p3xLGT
Language	en
Format	json
Source	PROVINCIAL
Identifier	cca4e1a807539016ae8c479033625009fde6e516

Source file is stored in the law ingest library (json).