Trois régimes, une seule question : pouvez-vous prouver où vont vos données ?

Posez la question à votre comité de vérification : combien de tiers touchent nos données, sous-traitants compris — et comment le savons-nous ?

Dans la plupart des institutions, la réponse honnête est un registre de contrats tenu par l'approvisionnement, alimenté par des questionnaires que les fournisseurs remplissent eux-mêmes. C'est une déclaration. Ce n'est pas une preuve.

Trois régimes distincts convergent maintenant vers cette même question. Aucun ne demande si vous êtes « sécuritaires ». Tous les trois demandent si vous pouvez démontrer où vos données résident, par où elles circulent, et qui y touche.

Ce qui a changé, en clair

Loi 25, article 17 — en vigueur depuis le 22 septembre 2023

Avant de communiquer un renseignement personnel à l'extérieur du Québec, une entreprise doit réaliser une évaluation des facteurs relatifs à la vie privée (EFVP). L'évaluation tient compte de la sensibilité du renseignement, des finalités de son utilisation, des mesures de protection — y compris contractuelles — dont il bénéficierait, et du régime juridique applicable dans l'État de destination. Le renseignement ne peut être communiqué que si l'évaluation établit qu'il bénéficierait d'une protection adéquate, et la communication doit faire l'objet d'une entente écrite qui tient compte des conclusions de l'évaluation.

Le point de gouvernance est structurel : l'obligation se rattache à la communication, pas au fournisseur. On ne peut pas produire une EFVP pour un flux dont on ignore l'existence.

La Loi sur la protection des cybersystèmes essentiels — sanction royale le 15 juin 2026

Le projet de loi C-8 a reçu la sanction royale le 15 juin 2026 (L.C. 2026, ch. 9). Les modifications à la Loi sur les télécommunications sont en vigueur; la Loi sur la protection des cybersystèmes essentiels (LPCE), elle, entrera en vigueur à une date fixée par décret, et les catégories d'exploitants désignés restent à établir par règlement. ⚠️ Aucune date d'entrée en vigueur n'est annoncée à ce jour : la planification se fait sur la base du texte adopté, pas d'un échéancier confirmé.

L'annexe 1 couvre six services et systèmes essentiels, dont les services bancaires et les systèmes de compensation et de règlement. Pour un exploitant désigné, le texte adopté prévoit notamment :

• établir un programme de cybersécurité dans les 90 jours suivant sa désignation, programme qui doit recenser et gérer les risques organisationnels, y compris ceux liés à la chaîne d'approvisionnement et à l'utilisation de produits et services de tiers;
• atténuer ces risques de chaîne d'approvisionnement dès qu'ils sont recensés — une obligation continue, pas un exercice annuel;
• aviser le régulateur des changements importants, notamment quant à la propriété, au contrôle ou à l'utilisation de produits et services de tiers;
• déclarer les incidents au Centre de la sécurité des télécommunications dans un délai prescrit n'excédant pas 72 heures, et aviser immédiatement le régulateur sectoriel;
• conserver au Canada les registres des mesures prises;
• des sanctions administratives pécuniaires pouvant atteindre 15 M$ par violation pour une personne morale, chaque jour de non-conformité pouvant constituer une violation distincte.

Quatre-vingt-dix jours suffisent à rédiger un programme. Ils ne suffisent pas à découvrir un patrimoine numérique qu'on n'a jamais cartographié.

AMF et OSFI — le risque lié aux tiers se resserre

L'AMF a publié en mars 2026 une nouvelle Ligne directrice sur la gestion du risque lié aux tiers, qui prend effet le 1er avril 2027 et remplacera la ligne directrice sur l'impartition, abrogée à ce moment. Les ententes conclues à compter de cette date devront tenir compte de l'ensemble de ses attentes.

Au fédéral, la ligne directrice B-10 du BSIF fixe déjà le registre de référence : les institutions doivent tenir un inventaire des tiers ventilé par niveau de risque et de criticité, comprendre et surveiller les risques introduits par la sous-traitance, évaluer le risque de concentration sur plusieurs dimensions — géographie, fournisseur, sous-traitant — et, lorsque des dossiers sont tenus sous forme électronique, s'assurer qu'ils sont physiquement situés aux endroits prévus par les lois applicables, les exceptions exigeant un accès « immédiat, direct, complet et continu ».

Le dénominateur commun

Trois autorités, trois logiques, quatre artéfacts identiques :

1. La liste réelle des tiers — et de leurs sous-traitants.
2. L'emplacement du traitement et de l'entreposage, actif par actif, flux par flux.
3. Une preuve datée que vous le saviez au moment où la décision a été prise.
4. Un moyen de détecter le changement entre deux examens.

La souveraineté par affirmation n'est pas de la souveraineté. Ce qui est exigé, ce n'est pas une position — c'est une preuve, tenue à jour.

Là où l'inventaire décroche de la réalité

Le registre des tiers est construit à partir de ce qui a été contractualisé. Votre patrimoine externe, lui, est constitué de ce qui résout publiquement. Les deux ne coïncident jamais parfaitement.

Ce qui se trouve dans le second et non dans le premier, systématiquement :

• des sous-domaines qui pointent vers des services infonuagiques que la TI n'a jamais provisionnés;
• des certificats émis pour votre espace de noms par des fournisseurs dont personne ne détient le contrat;
• des domaines hérités d'une acquisition, toujours actifs, toujours associés à votre marque;
• des outils de marketing ou d'analytique qui traitent des renseignements personnels hors Québec, sans EFVP, parce qu'ils n'ont jamais transité par l'approvisionnement;
• un point de terminaison fournisseur dont le certificat expire dans onze jours.

Aucun de ces éléments n'apparaît dans un registre contractuel. Tous constituent une utilisation de votre espace de noms par un tiers. Et c'est précisément dans cet écart — entre l'obligation qui se rattache à la communication et le registre qui se rattache au contrat — que se pose la question du régulateur.

Cinq questions qu'un conseil peut poser dès maintenant

1. Combien de tiers touchent nos données, sous-traitants inclus, et d'où vient ce chiffre : d'un contrat, d'un questionnaire, ou d'une observation ?
2. Pour chaque flux de renseignements personnels vers l'extérieur du Québec, l'EFVP existe-t-elle, et de quand date-t-elle ?
3. Où nos registres sont-ils physiquement conservés — et pourrions-nous le démontrer ?
4. Si nous étions désignés demain sous la LPCE, dans combien de jours aurions-nous l'inventaire ? Le délai légal serait de 90.
5. Qu'est-ce qui a changé dans notre surface externe depuis le dernier examen — et qui l'a vu ?

Une institution qui répond « nous le vérifierons » aux cinq n'a pas un problème de conformité. Elle a un problème de découverte.

Commencer par la découverte, pas par le questionnaire

La preuve dont ces trois régimes ont besoin existe déjà, à l'extérieur de votre périmètre, et elle est publique aujourd'hui. Certificats, enregistrements DNS, actifs exposés, dépendances fournisseurs : le patrimoine se lit de l'extérieur, sans intégration et sans qu'un seul accès soit accordé.

C'est l'ordre des opérations que nous défendons chez Novarque : découverte externe d'abord, sans intégration, sur votre espace de noms réel. Puis un inventaire gouverné, une posture que le conseil peut lire — une note de A à F adossée à des constats vérifiables — et un jumeau numérique des dépendances qui montre le rayon d'impact avant que vous ne changiez quoi que ce soit. Ensuite seulement, les questionnaires : ils servent à qualifier ce que vous avez déjà observé, non à découvrir ce que vous ignorez.

L'échéancier, lui, est déjà écrit : l'article 17 s'applique depuis 2023, la ligne directrice de l'AMF prend effet le 1er avril 2027, et la LPCE attend un décret. Le travail de découverte, lui, ne dépend d'aucune de ces dates.

Demandez une découverte externe de votre espace de noms, sans intégration. Vous entrerez dans la conversation de risque en tenant déjà des constats sur votre propre patrimoine.

---

Sources primaires

• Projet de loi C-8 (45-1) — LEGISinfo, Parlement du Canada — sanction royale le 15 juin 2026, L.C. 2026, ch. 9
• Texte du projet de loi C-8 — troisième lecture — Loi sur la protection des cybersystèmes essentiels
• Ligne directrice B-10 — Gestion du risque lié aux tiers, BSIF
• Lignes directrices en matière d'intelligence artificielle et de gestion du risque lié aux tiers — AMF
• Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1, art. 17
• Commission d'accès à l'information — principaux changements de la Loi 25

Publié le 2026-08-10 · Revenir aux perspectives