La souveraineté numérique n’est qu’un slogan si nos données sont aux mains d’entités soumises à des gouvernants imprévisibles ou qui ont des valeurs incompatibles avec les nôtres. En mars dernier, la journaliste Alexandra Fortin, de Radio-Canada, expliquait que le système retenu pour déployer le Dossier santé numérique (DSN) avait été conçu pour le système de santé américain, très différent du modèle québécois. Ce système reconnaît les centres hospitaliers, mais pas d’emblée les établissements comme les CHSLD, les CLSC, les centres jeunesse, les centres de périnatalité ou encore les centres de toxicomanie. Pas étonnant que des gens travaillant dans le réseau de la santé et qui ont le droit d’en parler librement expriment des doutes à l’égard de ce choix des autorités québécoises.

La naïveté des décideurs à l’égard des risques auxquels sont exposées les données de santé des Québécois a quelque chose d’encore plus préoccupant. Lorsque le journaliste Hugo Joncas les a interrogés sur les risques de confier l’hébergement de ces données à une entreprise soumise aux lois américaines, les responsables de Santé Québec ont expliqué que les firmes états-uniennes refuseraient les demandes d’accès des autorités américaines. Elles les transmettraient au client québécois qui, lui, irait discuter avec le gouvernement américain. Mais les autorités québécoises n’ont convenu d’aucune obligation à ce sujet dans les contrats.

On a également fait grand état du fait que les données seraient physiquement situées au Canada et qu’elles seraient chiffrées. Il est pourtant bien connu que le chiffrement et le seul fait de loger physiquement les données sur des serveurs situés sur le territoire canadien ne sont pas suffisants pour écarter le risque que l’entreprise soumise aux lois américaines se voie ordonner par les autorités de donner accès aux données.

Les dispositions du CLOUD (Clarifying Lawful Overseas Use of Data) Act sont à la source des préoccupations de ceux qui, depuis longtemps, mettent en garde les autorités canadiennes et québécoises, qui ne semblent pas voir de problème à faire appel à des firmes américaines pour héberger les données des citoyens et des gouvernements. Le CLOUD Act a été mis en place en 2018. Il vise à clarifier l’étendue du droit des autorités américaines à accéder à des données stockées hors des États-Unis, mais sur des installations qui sont sous le contrôle d’entreprises américaines.

Une disposition de cette loi prévoit que toute entreprise constituée en société aux États-Unis, ainsi que les sociétés contrôlées par elle, a l’obligation de communiquer aux autorités américaines, à leur demande, les données placées sous son contrôle sans égard au lieu où ces données se trouvent stockées. En clair, lorsque les autorités américaines demandent d’accéder à des données sous la garde d’entreprises soumises aux lois américaines, ces dernières doivent obtempérer et, le cas échéant, livrer les clés de déchiffrement des données, peu importe le lieu où elles sont géographiquement situées.

Il importe de souligner que le CLOUD Act conditionne l’accès par les autorités américaines à plusieurs types de données à un ordre donné par un juge. Les entreprises américaines qui se font réclamer des fichiers entreposés sur leurs serveurs ont la possibilité de contester le bien-fondé de telles demandes devant les tribunaux. Mais ces protections valent dans un contexte où les autorités respectent les lois et les décisions judiciaires. Malheureusement, le gouvernement américain actuel n’a pas de crédibilité quant au respect des lois et des accords internationaux. Dans un tel contexte, il est irresponsable de tolérer que nos données soient entreposées dans des installations à la merci des décisions d’un dirigeant qui se vante de ne respecter que les règles qui correspondent à sa seule moralité.

Les autorités américaines ont déjà été considérées comme fiables quant au respect des lois et de l’État de droit. À cette époque, il pouvait être raisonnable de tenir pour acquis que de confier des données sensibles à une firme soumise aux lois américaines représentait un risque adéquatement balisé. Mais la situation a changé.

Le gouvernement fédéral américain est désormais imprévisible et peu soucieux d’assurer le respect des droits fondamentaux et des règles de droit. Cela décuple les risques auxquels sont soumises les ressources numériques que le gouvernement du Québec et d’autres entités décident de confier à des firmes américaines. Pour cette raison, on se serait attendu à ce que ce risque accru soit pris en considération et fasse l’objet de mesures et de précautions conséquentes. Il aurait été approprié d’exiger que l’hébergement des données soit confié à des entreprises qui ne sont pas sujettes à la juridiction de l’État américain.

Il faut donc s’inquiéter de la légèreté avec laquelle les autorités de Santé Québec évaluent les risques auxquels sont exposées les données confiées à une entreprise soumise aux lois américaines. Bien sûr, le réalisme impose de reconnaître qu’on ne pourra changer du jour au lendemain des réflexes installés depuis des décennies et qui tenaient pour acquis que les firmes américaines étaient régies par des autorités publiques fiables. Mais il urge de donner priorité à des mesures robustes pour assurer que les données des Québécois ne puissent être exposées à de tels risques. À ce jour, nous n’avons eu droit qu’à de vagues assurances selon lesquelles l’entreprise ferait son gros possible pour refuser l’accès aux données si les autorités américaines en faisaient la demande.

La naïveté qui tient lieu de politique à l’égard des données doit être remplacée par une vraie politique de souveraineté numérique. Hélas, l’éjection récente du Conseil des ministres d’un ministre ayant entrepris de prioriser la mise en œuvre d’une politique de souveraineté numérique n’a rien de rassurant pour ceux qui se préoccupent de la sécurité des données sensibles des Québécois.