La faille informatique à l'Agence du revenu du Canada en avril a relancé le débat sur la protection des données personnelles. À l'ère de l'infonuagique, quelles sont les responsabilités d'un gouvernement?
Le directeur adjoint du Laboratoire de cyberjustice de l'Université de Montréal, Me Nicolas Vermeys, s'est intéressé aux obligations du gouvernement québécois.
Q Comment le gouvernement gère-t-il nos informations personnelles?
R Au Québec, la plupart des informations sont actuellement hébergées sur des serveurs sous contrôle du gouvernement. Par contre, le parc informatique est vieillissant et l'infonuagique apparaît comme une solution avantageuse, car elle est moins dispendieuse. Le problème avec l'infonuagique réside dans le fait que les données peuvent être dispersées sur des serveurs situés aux quatre coins du monde.
Q Le gouvernement peut-il stocker les informations confidentielles à l'extérieur du Canada?
R D'un point de vue juridique, il peut héberger ce type d'informations sur des serveurs se trouvant dans une juridiction qui est similaire à la nôtre en matière de protection des informations.
C'est le cas des autres provinces. Les choses se compliquent lorsqu'on se tourne vers l'étranger. En 2001, l'Union européenne a reconnu la loi canadienne comme similaire à la sienne. Du coup, si la loi québécoise est semblable à celle du Canada qui est à son tour similaire à celle de l'Europe, on peut présumer que le gouvernement du Québec pourrait héberger des données dans des serveurs européens.
Q Et concernant l'hébergement de données aux États-Unis?
R En lisant les débats parlementaires, on constate que les députés craignent l'hébergement aux États-Unis à cause du Patriot Act.
Celui-ci permet au gouvernement américain d'avoir accès aux informations qui sont sur des serveurs contrôlés par des intérêts américains. Jusqu'à présent, seules des données publiques d'organisations comme Tourisme Québec ont été hébergées sur des serveurs américains.
Q En matière de protection, les entreprises ont-elles les mêmes responsabilités que les gouvernements?
R Toutes les organisations qui collectent des informations confidentielles doivent en assurer la sécurité. Elles ont la responsabilité de vérifier que ses fournisseurs de services, qu'ils soient au coin de la rue ou à l'autre bout de la planète, répondent à leurs normes.
Q Ce qui n'est pas facile dans un contexte d'infonuagique...
R En effet. Les entreprises ont toutefois une porte de sortie: elles peuvent faire signer à leurs clients des contrats qui stipulent que leurs informations seront hébergées à l'extérieur du Canada. Et c'est ce qu'elles font. Si le client accepte que ses informations se retrouvent aux États-Unis, il accepte que le gouvernement américain puisse potentiellement accéder à ses données.