Le projet de loi 64 et l’exportation de données personnelles du Québec : des complications en vue

En réformant à la fois la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels^[1] (la « Loi sur le secteur public ») et la Loi sur la protection des renseignements personnels dans le secteur privé^[2] (la « Loi sur le secteur privé ») au moyen du projet de loi 64^[3], le Québec a choisi de s'inspirer du modèle européen en ce qui a trait à l'exportation de données. La règle pertinente est que les renseignements personnels ne devraient être communiqués que dans les territoires où il existe un degré de protection équivalent à celui du Québec.

Ce principe dit d'adéquation appliqué par l'Union européenne (l'« UE ») a suscité des débats et des litiges sans fin. Son application à l'échelle d'une province fortement dépendante des exportations vers d'autres territoires nord-américains constituera, pour les entreprises, une nouvelle exigence onéreuse.

L'exportation de renseignements personnels détenus par le secteur public québécois

Selon le Projet de loi 64, avant de communiquer à l'extérieur du Québec (ce qui semble inclure une autre province) un renseignement personnel, un organisme public doit procéder à une évaluation des facteurs relatifs à la vie privée^[4]. Il doit notamment tenir compte des éléments suivants :

• la sensibilité du renseignement;
• la finalité de son utilisation;
• les mesures de protection dont le renseignement bénéficierait;
• le régime juridique applicable dans l'État où ce renseignement serait communiqué, notamment son degré d'équivalence par rapport aux principes de protection des renseignements personnels applicables au Québec.

Si l'évaluation démontre que le renseignement bénéficierait d'une protection effectivement équivalente, la communication peut être effectuée, à condition qu'elle fasse l'objet d'une entente écrite qui tient compte notamment des résultats de l'évaluation et, le cas échéant, des modalités convenues dans le but d'atténuer les risques identifiés.

Il en va de même lorsque l'organisme public confie à une personne ou à un organisme à l'extérieur du Québec la tâche de recueillir, d'utiliser, de communiquer ou de conserver pour son compte un renseignement personnel.

Les exceptions

Un organisme public peut communiquer un renseignement personnel à l'extérieur du Québec sans suivre une telle procédure dans les cas suivants^[5] :

• il y a urgence;
• le renseignement est communiqué à un organisme public d'un autre gouvernement au bénéfice d'une personne;
• la communication est faite dans le cadre d'un engagement international pris par le gouvernement du Québec et visé au chapitre III de la Loi sur le ministère des Relations internationales^[6];
• la communication est faite dans le cadre d'une entente visée au chapitre III.1 (accord de coopération) ou au chapitre III.2 (ententes conclues par l'Assemblée nationale avec des institutions parlementaires) de la Loi sur le ministère des Relations internationales;
• le directeur de la santé publique procède à une communication prévue à l'article 133 de la Loi sur la santé publique^[7].

Exportation de renseignements personnels détenus par des entreprises du secteur privé

Le Projet de loi 64 prévoit des exigences supplémentaires pour les personnes (y compris les entreprises) qui recueillent des renseignements personnels dans le secteur privé. En effet, le Projet de loi 64 prévoit que la personne qui recueille des renseignements personnels auprès de la personne concernée doit l'informer de la possibilité qu'ils soient communiqués à l'extérieur du Québec^[8].

Autrement, les étapes que les entités du secteur privé doivent suivre et les responsabilités qu'elles doivent assumer reflètent celles prévues dans le Projet de loi 64 pour le secteur public^[9].

Enfin, le Projet de loi 64 mentionne expressément que l'exception prévue au paragraphe 7 de l'article 18 de la Loi sur le secteur privé est maintenue et que, lorsqu'il existe une situation d'urgence mettant en danger la vie, la santé ou la sécurité de la personne concernée, la procédure de communication de renseignements à l'extérieur du Québec ne s'applique pas.

La Gazette officielle du Québec

Cette publication sera essentielle à la bonne application des nouvelles règles. À cette fin, le Projet de loi 64 prévoit que le gouvernement du Québec publiera à la Gazette officielle une liste d'États dont le régime juridique encadrant les renseignements personnels équivaut aux principes de protection des renseignements personnels applicables au Québec^[10].

Que signifie suivre les règles proposées?

Les entités des secteurs public et privé doivent maintenant se fier à l'évaluation du gouvernement du Québec quant aux territoires de destination des données. Même si l'on peut supposer que les organismes gouvernementaux partageront les évaluations, dans le cas contraire, les entreprises à but lucratif qui souhaitent exporter leurs produits ou services ou communiquer des renseignements à leurs succursales à l'extérieur du Québec seront obligées de faire leur propre évaluation, ce qui alourdira leur fardeau réglementaire. De nos jours, il y a peu de transactions qui ne comportent pas au moins quelques renseignements personnels.

Il faut d'abord procéder à une évaluation des facteurs relatifs à la vie privée qui tient compte du régime juridique du territoire de destination. Avant l'envoi des données, il faut conclure une entente écrite indiquant les modalités convenues dans le but d'atténuer les risques identifiés. Par ailleurs, nul doute que l'obligation des entreprises du secteur privé d'informer les personnes auprès desquelles des renseignements personnels sont recueillis de la possibilité qu'ils soient communiqués à l'extérieur du Québec va accroître les demandes des clients et des consommateurs concernant leurs données, auxquelles il faudra répondre de manière précise et intelligible^[11].

Le portrait des échanges commerciaux pour le Québec

Une part importante des biens et services produits au Québec sont exportés^[12]. À titre d'exemple, le montant total des produits fabriqués au Québec s'élève à 688 G$ et se répartit comme suit : 99 G$ sont exportés sur les marchés internationaux, 67 G$ sont exportés vers les autres provinces et 522 G$ sont consommés au Québec. Du montant total des besoins en produits du Québec, soit 705 G$, une tranche de 121 G$ est importée des marchés internationaux et une autre de 63 G$, d'autres provinces, dont 42 G$ de l'Ontario.

L'entrée en vigueur récente de l'ACEUM^[13], l'Accord Canada – États-Unis – Mexique, le 1^er juillet 2020, a souligné l'importance continue des relations commerciales et de la libéralisation du commerce dans le contexte nord-américain.

En 2019, 71,2 % des exportations québécoises sont allées aux États-Unis^[14].

Dans ce contexte commercial, comme Fasken l'a déjà écrit^[15], il est préoccupant que :

[TRADUCTION] […] le projet de loi [soit] muet sur la question de savoir si une province doit être considérée comme un « État » au sens de la loi, laissant ouverte la possibilité que les transferts entre provinces soient touchés. Et qu'en est-il des renseignements personnels qui sont acheminés aux États-Unis? Ou à un État américain en particulier? À l'heure actuelle, ni les États-Unis ni aucun de leurs États ne respectent la norme de l'UE en matière de protection des données, ce qui laisse entendre qu'ils ne seraient pas non plus à la hauteur des normes proposées par le Québec.

Il faudra des ressources considérables pour analyser les territoires étrangers afin de déterminer s'ils disposent de mesures adéquates en ce qui a trait à la protection de la vie privée. L'UE dispose d'une vaste bureaucratie qualifiée qui a passé des années à analyser l'équivalence de pays allant du Canada au Japon. Il est difficile de voir comment une fonction publique provinciale pourrait disposer des moyens administratifs nécessaires à une telle tâche. »

En outre, l'UE et ses nombreux organes administratifs discutent depuis environ 25 ans de l'équivalence avec des pays du monde entier. Aujourd'hui encore, la Cour de justice de l'Union européenne est saisie de questions essentielles. Une grande partie du débat porte sur la manière d'évaluer les pays, notamment les États-Unis, dont les cadres de réglementation ne reflètent pas ceux de l'UE.

Conclusion

Les nouvelles exigences donneront lieu à des complications qui risquent d'être sans fin. Les autres provinces canadiennes ou le secteur sous réglementation fédérale devront-ils investir beaucoup de temps et d'efforts pour être reconnus comme équivalents au Québec? Les autres lois canadiennes devront-elles être modifiées pour refléter celles du Québec?

Les prochaines études en  commission à l'Assemblée nationale seront l'occasion de discuter des conséquences pratiques en Amérique du Nord d'une adhésion aussi étroite aux modèles de l'Union européenne.

[1] Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels, chapitre A-2.1 http://legisquebec.gouv.qc.ca/fr/ShowDoc/cs/A-2.1.

[2] Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1 http://legisquebec.gouv.qc.ca/fr/showdoc/cs/P-39.1.

[3] Projet de loi n^o 64, Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, 1^re session, 42^e législature, Québec, 12 juin 2020, (présentation) (le « Projet de loi 64 ») http://m.assnat.qc.ca/fr/travaux-parlementaires/projets-loi/projet-loi-64-42-1.html.

[4] Projet de loi 64, article 27.

[5] Ibid.

[6] Chapitre M-25.1.1.

[7] Chapitre S-2.2.

[8] Projet de loi 64, article 99.

[9] Projet de loi 64, article 103.

[10] Projet de loi 64, articles 27 et 103.

[11] Projet de loi 64, article 102.

[12] Voir les Flux commerciaux interprovinciaux de Statistique Canada.

[13] Voir l'Accord Canada-États-Unis-Mexique.

[14] Voir le Commerce international des marchandises du Québec de l'Institut de la statistique du Québec.

[15] Jennifer Stoddart, « Jennifer Stoddart : Quebec takes the lead in privacy law but overreaches, Financial Post, 15 juillet 2020.