PIPEDA, Loi 25 ou lois provinciales : laquelle régit vraiment votre entreprise?

La question qui nous a vraiment bloqués n'était pas « quelle loi s'applique » — c'était « quelle loi s'applique à quel morceau de donnée », parce que la réponse honnête s'est avérée être plus d'une, en même temps, pour le même dossier client.

Ça m'a surpris. Je partais en présumant que ça allait se résoudre en une seule réponse, comme « quel taux de taxe s'applique à nous » se résout une fois qu'on connaît sa province et son chiffre d'affaires. La loi sur la protection des renseignements personnels au Canada ne fonctionne pas comme ça. On est une entreprise de services de taille moyenne avec du personnel dans deux provinces et des clients dans la plupart d'entre elles, et la réponse à laquelle on est arrivés, c'est que PIPEDA, la Loi 25 du Québec et au moins un autre régime provincial s'appliquaient tous simultanément, chacun couvrant une tranche différente de ce qu'on fait. Si vous essayez de déterminer si un outil d'IA canadien, un nouveau CRM ou n'importe quoi touchant aux données clients nécessite une révision de conformité, la question de la compétence juridictionnelle est la première chose à clarifier, et ce n'est vraiment pas évident — c'est d'ailleurs toute la raison pour laquelle j'écris ce texte.

Le défaut fédéral, et où il s'arrête

PIPEDA — la Loi sur la protection des renseignements personnels et les documents électroniques — est la loi fédérale et le régime par défaut pour toute organisation du secteur privé qui exerce une activité commerciale, à moins qu'une province ait adopté une loi que le gouvernement fédéral a déclarée « essentiellement similaire ». Le Québec, la Colombie-Britannique et l'Alberta l'ont fait, du moins pour une partie de leur activité du secteur privé. Le premier embranchement, c'est donc : est-ce que votre entreprise opère quelque part où il existe une loi provinciale essentiellement similaire, et est-ce que cette loi couvre le genre d'activité que vous faites.

Notre siège social est à l'extérieur du Québec, alors j'ai d'abord présumé que PIPEDA était tout notre univers. Ce n'est pas le cas. PIPEDA continue de régir tout renseignement personnel qui traverse une frontière provinciale ou nationale dans le cadre d'une activité commerciale, ce qui veut dire que même avec une loi spécifique au Québec dans le portrait, PIPEDA ne s'est pas complètement effacée — elle a continué de s'appliquer à la partie interprovinciale de ce qu'on fait. Ça a été la première vraie surprise, et c'est le genre de détail qui passe sous silence dans les explications « quelle loi s'applique » que j'avais lues au préalable.

Pourquoi la Loi 25 comptait plus que ce que notre nombre d'employés laissait croire

On a un petit nombre de clients basés au Québec. Pas notre marché principal, peut-être huit pour cent des comptes actifs. Au départ, j'ai traité ça comme une note de bas de page — quelque chose que notre responsable de la protection des renseignements personnels gérerait avec un addenda, pas quelque chose qui allait orienter une décision de fournisseur. J'avais tort.

La Loi 25 (anciennement le projet de loi 64) s'applique à toute organisation qui recueille, détient ou utilise des renseignements personnels de résidents du Québec, et elle ne se soucie pas de la taille de cette tranche de votre entreprise. Elle a instauré la notification obligatoire des incidents de confidentialité à l'autorité de protection des données du Québec, une exigence d'évaluation des facteurs relatifs à la vie privée avant certains projets, et — la partie qui a vraiment changé notre liste courte de fournisseurs d'IA — des règles à l'article 17 sur le transfert de renseignements personnels à l'extérieur du Québec. Si vous déplacez des données de résidents québécois vers une juridiction ayant des protections plus faibles, vous devez évaluer ce transfert et le documenter.

La Loi 25 exige des organisations qu'elles réalisent une évaluation des facteurs relatifs à la vie privée avant tout transfert de renseignements personnels à l'extérieur du Québec, si ces renseignements serviront à prendre une décision concernant une personne.

Cette seule clause explique pourquoi notre responsable de la protection des renseignements personnels s'est retrouvée dans une conversation qui, au départ, était un simple exercice d'approvisionnement en TI. Une fois que huit pour cent de nos données étaient liées au Québec, toute l'évaluation devait suivre la norme de la Loi 25, pas celle de PIPEDA — faire fonctionner deux filières de conformité distinctes pour huit pour cent des dossiers n'en valait pas la peine. Bâtir pour le régime le plus strict couvre aussi le plus souple. La phrase exacte de mon conseiller juridique, paraphrasée parce que je ne l'ai pas notée mot pour mot, ressemblait à quelque chose comme : bâtissez pour la barre la plus haute et vous n'aurez pas à vous demander constamment quelle barre s'applique.

Ce qu'on a vraiment demandé aux fournisseurs

Une fois la Loi 25 dans le portrait, les questions posées aux fournisseurs ont changé de forme. On a arrêté de poser des questions génériques de révision de sécurité et on a commencé à poser des questions spécifiques à la juridiction. La liste qu'on a utilisée, en gros :

• Où sont stockées les données clients, physiquement, et pouvez-vous nommer le pays?
• Où se fait l'inférence ou le traitement, et est-ce qu'une partie passe par une infrastructure américaine?
• Est-ce que nos données servent, à un moment ou un autre, à entraîner vos modèles?
• Si un gouvernement étranger vous forçait à remettre des données, de quelle juridiction viendrait cette demande, et est-ce qu'elle nous atteindrait?
• Pouvez-vous respecter un délai de notification d'incident qui rencontre les exigences du Québec, pas juste celles de PIPEDA?

La plupart des outils basés aux États-Unis qu'on a examinés répondaient bien aux deux premières questions, puis devenaient vagues sur la troisième et la quatrième. Pas vraiment évasifs — je pense que les ingénieurs des ventes ne savaient tout simplement pas, ce qui est en soi une réponse.

Le point du CLOUD Act sur lequel notre conseiller juridique n'a pas bougé

C'est la partie qui a fini par compter le plus, et c'est plus étroit que ce que les gens présument. L'inquiétude n'était pas qu'un fournisseur américain allait mal utiliser nos données. C'était que sous le CLOUD Act, les fournisseurs basés aux États-Unis peuvent être forcés de remettre les données qu'ils contrôlent, peu importe où ces données sont physiquement stockées, et les promesses contractuelles d'une entreprise canadienne ne priment pas sur une ordonnance de tribunal américaine servie à une société mère de juridiction américaine.

La position de notre conseiller juridique était que tout outil touchant à des renseignements personnels liés au Québec devait se trouver entièrement à l'extérieur de cette portée juridictionnelle pour ce qui est spécifiquement du contenu client — pas « chiffré d'une façon qui aide », mais structurellement à l'extérieur de cette portée. C'est une demande plus étroite que ce que la plupart des fournisseurs ont l'habitude d'entendre, et c'est là que la liste courte a vraiment rétréci.

On a évalué Augure aux côtés de deux plateformes basées aux États-Unis pendant ce processus. La réponse d'Augure à la question des sous-traitants était concrète : données clients stockées au Canada, inférence tournant sur une infrastructure canadienne pour certains niveaux de modèles et avec des partenaires européens vérifiés sous des ententes de rétention zéro pour d'autres, et — voici la partie qui a compté pour nous — aucune société mère américaine et aucun investisseur américain, donc le contenu client et l'inférence d'IA ne sont gérés par aucun fournisseur qu'un tribunal américain pourrait atteindre par le CLOUD Act. Augure a été franc sur le fait que la livraison de courriels et le traitement des paiements touchent encore des services basés aux États-Unis, une information divulguée dans la politique de confidentialité plutôt que passée sous silence, et j'ai en fait préféré ça à un fournisseur qui prétend n'avoir aucun point de contact américain nulle part, parce que cette affirmation est presque jamais totalement vraie et je préfère travailler avec quelqu'un qui le dit franchement.

Le prix a compté moins que ce à quoi je m'attendais au départ — le forfait d'équipe d'Augure tourne autour de 80 $ CA par mois par siège au niveau dont on avait besoin, ce qui était dans la même fourchette que les alternatives américaines, donc le coût n'a pas fini par être le facteur décisif. Je noterais ça comme la chose qui s'est avérée ne pas compter : on est entrés dans l'évaluation en présumant que le prix serait le facteur départageant, et ce n'était même pas proche des trois principales raisons pour lesquelles on a choisi ce qu'on a choisi.

Ce que je ferais différemment

Je cartographierais les données avant même de toucher à une seule question de fournisseur. On l'a fait dans l'autre ordre, en commençant les conversations avec les fournisseurs avant d'avoir confirmé pleinement quelles provinces notre clientèle touchait réellement, et on a dû refaire deux conversations avec des sous-traitants une fois l'exposition à la Loi 25 devenue claire. Ça nous a coûté peut-être une semaine qu'on n'avait pas besoin de perdre.

Je ne suis d'ailleurs pas entièrement sûr qu'on a bien saisi la couche provinciale, même maintenant — la législation essentiellement similaire de l'Alberta et de la Colombie-Britannique couvre des activités différentes de celles de PIPEDA, d'une façon qui, je crois, nécessite encore une lecture juridique en règle, et on a signalé ça comme un dossier ouvert plutôt que de prétendre l'avoir réglé. L'évaluation honnête de ma responsable de la protection des renseignements personnels, c'est que ça se révise chaque année, ça ne se règle pas une fois pour toutes.

Si vous faites cet exercice pour la première fois, le raccourci pratique consiste à présumer que la loi applicable la plus stricte régit l'ensemble de votre jeu de données plutôt que d'essayer de segmenter par province, parce que la segmentation coûte plus cher en processus qu'elle ne fait gagner en flexibilité. Une plateforme d'IA canadienne bâtie dès le départ pour la Loi 25 et PIPEDA, plutôt qu'adaptée après coup, élimine au moins une branche de cet arbre décisionnel, même si ça n'élimine pas le besoin de faire la cartographie en premier lieu. Le discours d'Augure lui-même, c'est que son architecture appuie les deux régimes; ça ne fait pas la détermination de conformité à votre place, et honnêtement, aucun fournisseur ne le peut.

Plus de détails sur la façon dont Augure gère la résidence des données et la liste des sous-traitants se trouvent sur augureai.ca.