Qui voit vos données de sinistres? Assureurs, fournisseurs d'IA et les petits caractères du Canada

La politique de confidentialité 2025 d'Intact Corporation financière énumère des sous-traitants répartis entre les États-Unis, l'Irlande et l'Inde pour l'analyse de sinistres et le stockage infonuagique. Celle de Desjardins aussi, même si sa liste penche davantage vers des fournisseurs québécois et canadiens. Tous les grands assureurs canadiens font aujourd'hui transiter une partie du traitement des sinistres, de la détection de fraude ou de la tarification par une infrastructure d'IA et d'infonuagique tierce. Dans la plupart des cas, les données traversent une frontière à laquelle le titulaire de police ne pense jamais. Que ce soit légal, et à quelles conditions, dépend de la LPRPDE, de la Loi 25 du Québec, et d'une mosaïque de divulgations propres à chaque assureur que presque personne ne lit.

Section 14

Les données de sinistres figurent parmi les renseignements personnels les plus riches qu'une personne confie à une organisation : dossiers médicaux, historique financier, détails sur la sécurité du domicile, comportement de conduite capté par des dispositifs télématiques. Les assureurs ont adopté les outils d'IA de façon agressive pour la détection de fraude, le triage des sinistres et l'évaluation du risque à la souscription.

Presque rien de tout cela ne se fait entièrement à l'interne. Co-operators, Aviva Canada et Manuvie divulguent toutes, dans des politiques de confidentialité publiées sur leurs propres sites web, que les renseignements personnels peuvent être traités par des fournisseurs de services situés hors du Canada, y compris aux États-Unis. Ces divulgations ont tendance à apparaître plusieurs paragraphes plus loin dans des documents que la plupart des clients n'ouvrent jamais. Le Commissariat à la protection de la vie privée du Canada a affirmé que les organisations demeurent responsables des renseignements personnels même après les avoir confiés à un tiers pour traitement. Autrement dit, c'est l'assureur, et non le fournisseur d'IA, qui est imputable si quelque chose tourne mal. C'est le principe de responsabilité qui traverse toute la LPRPDE, et c'est la raison pour laquelle les assureurs peuvent légalement envoyer des données à l'étranger : la loi le permet, à condition qu'une protection comparable soit garantie par contrat.

Que cette protection tienne la route en pratique, c'est une autre question. Les régulateurs ont commencé à la mettre à l'épreuve.

L'écart entre la divulgation et l'application est l'endroit où se loge la majeure partie du risque réel. La LPRPDE n'exige pas qu'un assureur avise le Commissariat à la protection de la vie privée avant de signer un nouveau contrat avec un fournisseur d'IA, et elle n'exige pas non plus de registre public des sous-traitants, contrairement à certains cadres proposés dans l'Union européenne. Un assureur peut ajouter un fournisseur d'analyse de sinistres, modifier ses flux de données, et mettre à jour une politique de confidentialité des mois plus tard sans préavis à qui que ce soit. Le principal levier dont disposent les titulaires de police et les régulateurs après coup, c'est la plainte. Le Commissariat enquête sur les plaintes et peut émettre des conclusions, mais son pouvoir d'ordonnance reste limité comparativement à celui de la CAI du Québec, qui a obtenu le pouvoir d'imposer des sanctions pécuniaires directement dans le cadre de la mise en œuvre de la Loi 25. Cette asymétrie fait que la même pratique d'un même fournisseur peut entraîner des conséquences pratiques différentes selon que le titulaire de police touché habite au Québec ou en Ontario — non pas parce que la loi traite les données différemment en principe, mais parce que le mécanisme d'application derrière elle, lui, diffère.

La Loi 25 change la donne au Québec

Pour les assureurs actifs au Québec, le calcul s'est compliqué à partir de septembre 2023, date d'entrée en vigueur des dispositions de la Loi 25 sur les transferts de données transfrontaliers. La loi exige une évaluation des facteurs relatifs à la vie privée avant tout transfert de renseignements personnels hors de la province, évaluation qui doit soupeser la sensibilité des données, les protections en vigueur à destination, et si cette juridiction offre une protection équivalente à celle du Québec. La Commission d'accès à l'information, le régulateur provincial, a publié des lignes directrices précisant que cette évaluation doit être documentée, et non simplement effectuée de manière informelle.

Pour l'assurance, cela compte parce que les données de sinistres sont sensibles presque par définition : renseignements médicaux, dossiers financiers, parfois antécédents criminels selon le type de police. Un assureur qui envoie ces données à un fournisseur d'analyse de sinistres basé aux États-Unis doit maintenant démontrer sa démarche. Plusieurs assureurs nationaux ont discrètement réécrit leurs contrats de fournisseurs depuis 2023 pour y ajouter des clauses de résidence des données ou des options de traitement canadien — non pas parce que la LPRPDE les y a forcés, mais parce que la Loi 25 l'a fait.

L'évaluation elle-même n'est pas un formulaire d'une page. En pratique, les assureurs qui s'y sont soumis décrivent un processus qui passe par les affaires juridiques, l'approvisionnement, et parfois un consultant externe en protection de la vie privée : cartographier quels champs de données le fournisseur touche réellement, confirmer si les propres sous-traitants du fournisseur introduisent une deuxième ou une troisième juridiction, vérifier quelle loi encadre les demandes d'accès gouvernementales dans le pays de destination, et documenter pourquoi le transfert demeure nécessaire malgré l'exposition. Rien de tout cela n'est gratuit. Les assureurs qui ont traversé cet exercice pour une relation existante avec un fournisseur américain la décrivent comme plus lente et plus coûteuse que d'évaluer un nouveau fournisseur à partir de zéro, parce que le contrat existant n'avait généralement pas été rédigé en tenant compte des exigences documentaires de la Loi 25 et doit être renégocié ou complété par une lettre d'entente. Ce coût explique en partie pourquoi la migration loin des plateformes américaines bien établies a été si lente — non pas parce que les assureurs contestent la loi, mais parce que défaire un contrat d'hyperscaleur vieux de cinq ans est une ligne budgétaire que personne ne veut assumer.

Un lecteur sceptique pourrait faire remarquer qu'une évaluation des facteurs relatifs à la vie privée, une fois complétée, n'arrête pas réellement le transfert — elle ne fait que documenter le raisonnement de l'assureur pour justifier d'aller de l'avant quand même. C'est exact. La Loi 25 ne confère pas à la CAI un pouvoir d'approbation préalable sur chaque transfert transfrontalier; l'évaluation constitue un dossier de diligence raisonnable, pas un permis. Sa valeur se révèle plus tard, en cas de violation ou de plainte, quand la CAI demande ce que l'assureur savait et ce qu'il a soupesé avant d'envoyer les données à l'étranger.

« Les organisations demeurent responsables des renseignements personnels dont elles ont la gestion, y compris les renseignements qui ont été transférés à un tiers pour traitement », a indiqué le Commissariat à la protection de la vie privée du Canada dans ses lignes directrices sur la responsabilité.

Une seule phrase, qui porte beaucoup de poids. C'est pourquoi les équipes d'approvisionnement des assureurs ont commencé à poser aux fournisseurs d'IA des questions pointues sur les listes de sous-traitants, la résidence des données et les délais de notification en cas d'incident — des questions qui, il y a cinq ans, figuraient rarement dans une évaluation de fournisseur.

L'IA canadienne s'invite dans la conversation sur l'approvisionnement

Un petit groupe de fournisseurs d'IA canadiens, mais en croissance, a visé directement cet écart. Une plateforme qui stocke les données et exécute l'inférence sur une infrastructure canadienne, sous juridiction canadienne, sans société mère américaine nulle part dans la chaîne de propriété, évite une bonne partie de l'évaluation transfrontalière exigée par la Loi 25. Il y a tout simplement moins de choses à évaluer.

Augure, un fournisseur d'IA basé à Toronto, en est un exemple. L'entreprise stocke les données de ses clients au Canada et exécute l'inférence sur une infrastructure canadienne, avec des partenaires européens vérifiés sous des ententes de non-rétention des données couvrant certains paliers de modèles et une capacité de basculement — jamais de fournisseurs américains pour l'inférence. Augure n'a ni société mère américaine ni investisseurs américains, selon l'entreprise, de sorte que les conversations et documents des clients ne sont pas traités par des fournisseurs assujettis au CLOUD Act américain. Cette distinction est plus étroite qu'elle n'y paraît. Elle s'applique spécifiquement au contenu des clients, et non à toutes les fonctions opérationnelles de l'entreprise — le traitement des paiements et l'acheminement des courriels passent encore par des réseaux basés aux États-Unis, un détail qu'Augure divulgue dans sa propre politique de confidentialité plutôt que de l'enfouir.

Pour l'équipe de conformité d'un assureur, cette portée plus restreinte aide quand même. Une évaluation des facteurs relatifs à la vie privée en vertu de la Loi 25 est plus simple à compléter, et sans doute moins exposée, lorsque le fournisseur d'IA qui traite les documents de sinistres fait passer l'inférence par le Canada et l'Europe plutôt que par une région infonuagique américaine. Cela n'élimine pas l'obligation d'évaluation. Aucune relation avec un fournisseur ne le fait. Mais cela change ce que l'évaluation doit soupeser.

Le marché dans son ensemble n'a pas encore rattrapé ce changement. La plupart des assureurs canadiens font encore transiter leurs charges de travail d'IA essentielles par des hyperscaleurs américains, souvent parce que ces plateformes ont été acquises des années avant l'existence de la Loi 25 et que la migration coûte cher. L'appétit pour des solutions de rechange canadiennes augmente dans les secteurs fortement exposés à la conformité, mais l'assurance — malgré le fait qu'elle traite certaines des données les plus sensibles de l'économie — a été plus lente à migrer que les banques ou les services juridiques. L'enfermement contractuel et l'inertie des processus d'approvisionnement sont les explications habituelles. Ni l'une ni l'autre n'explique entièrement l'écart.

Ce qu'exige réellement la LPRPDE

La LPRPDE n'interdit pas d'envoyer des renseignements personnels à des fournisseurs d'IA ou d'infonuagique hors du Canada. Elle exige que l'organisation divulgue, dans un langage raisonnablement clair, qu'un traitement transfrontalier peut avoir lieu, et qu'elle utilise des contrats ou d'autres moyens pour s'assurer que la partie réceptrice offre une protection comparable. La Loi fédérale sur la protection des renseignements personnels et les documents électroniques, administrée par le Commissariat à la protection de la vie privée, fonctionne selon ce modèle depuis son adoption en 2001. Le principe de responsabilité n'a pas beaucoup changé malgré deux décennies de bouleversements technologiques en toile de fond.

Ce qui a changé, c'est le volume et la sensibilité de ce qui est traité. Les données télématiques, la vérification biométrique des sinistres, la notation de fraude par IA entraînée sur des historiques de sinistres — rien de tout cela n'existait comme catégorie courante au moment où les principes de la LPRPDE ont été rédigés. La loi a été étirée pour couvrir ces réalités par le biais de lignes directrices et d'application plutôt que par une nouvelle législation. C'est en partie pourquoi les politiques de confidentialité des assureurs sont aussi denses.

Il y a une exception qui mérite d'être nommée, parce que la règle générale selon laquelle la LPRPDE permet le transfert ne tient pas pour toutes les catégories de données d'assurance. Certains régulateurs provinciaux de l'assurance ajoutent des restrictions supplémentaires par-dessus la loi fédérale sur la protection de la vie privée pour des lignes de produits précises — l'assurance automobile en particulier, où plusieurs provinces restreignent la façon dont les données de conduite et de télématique peuvent servir à la tarification, indépendamment de l'endroit où elles sont stockées. Un assureur peut être entièrement conforme à la LPRPDE en matière de divulgation transfrontalière et se heurter malgré tout à l'objection d'un régulateur provincial de l'assurance si le modèle de détection de fraude d'un fournisseur d'IA utilise des données télématiques à une fin que le cadre provincial de l'assurance automobile ne permet pas. Il s'agit alors d'un régulateur entièrement différent, qui évalue une question différente, et cela signifie que « la LPRPDE le permet » est nécessaire, mais pas suffisant, pour chaque secteur d'activité qu'un assureur exploite.

Un lecteur qui tente de déterminer si un assureur en particulier partage des données avec des fournisseurs d'IA n'a qu'une seule voie fiable : la propre politique de confidentialité de l'assureur, en particulier les sections sur les fournisseurs de services, les tiers et les transferts internationaux. Le Bureau d'assurance du Canada ne publie pas de divulgation normalisée pour l'ensemble de l'industrie, de sorte que le format et l'emplacement de cette information varient d'un site web d'assureur à l'autre.

Vérifier les divulgations d'un assureur concernant ses fournisseurs

La réponse pratique se trouve à trois endroits : la section sur les fournisseurs de services ou les sous-traitants dans la politique de confidentialité, tout formulaire de consentement signé à l'émission de la police, et, pour les résidents du Québec, la déclaration de conformité à la Loi 25 publiée par l'assureur, si elle existe.

• La section sur les fournisseurs de services ou les sous-traitants dans la politique de confidentialité
• Le formulaire de consentement signé au moment de l'émission de la police
• La déclaration de conformité à la Loi 25, pour les résidents du Québec, lorsqu'elle est publiée

Rien de tout cela n'est conçu pour être une lecture longue, et la plupart des assureurs ne facilitent pas l'accès à ces renseignements à partir de leur page d'accueil. Augure publie sa propre liste de sous-traitants et sa politique de confidentialité à augureai.ca, pour les lecteurs qui veulent voir à quoi ressemble ce type de divulgation lorsqu'un fournisseur est construit autour de la résidence canadienne des données plutôt qu'adapté après coup pour s'y conformer. Cela appuie le travail de conformité d'un assureur. Cela ne fait pas ce travail à sa place.