Journal des débats (Hansard) of the Committee on Public Finance

(Neuf heures quarante-neuf minutes)

Le Président (M. Simard) : Bonjour à tous. Bon début de semaine. Je constate que nous avons quorum, conséquemment, nous pouvons entreprendre nos travaux. Et, comme vous le savez, la Commission des finances publiques est aujourd'hui réunie afin de procéder à l'étude détaillée du projet de loi n° 82, Loi concernant l'identité numérique nationale et modifiant d'autres dispositions.

Et au moment de suspendre nos travaux, la semaine dernière, jeudi, nous en étions rendus à l'étude de l'article... du sous-article 5.2 qui était contenu lui-même dans l'article 3. Et notre collègue de la Pinière avait, à ce moment-là, la parole. Un échange se faisait du reste avec le député d'Orford. Et donc, Mme, il vous reste six minutes pour vos interventions.

Mais, avant de poursuivre, il me faut poser la question fatidique suivante à notre secrétaire. Bonjour, M. le secrétaire, vous allez bien?

Le Secrétaire : Oui, merci.

Le Président (M. Simard) : Ce n'est pas ça, la question fatidique, c'est : Y a-t-il des remplacements ce matin?

• (9 h 50) •

Le Secrétaire : Oui, M. le Président. M. Allaire (Maskinongé) est remplacé par M. Lemay (Masson); M. Beauchemin (Marguerite-Bourgeoys) est remplacé par Mme Setlakwe (Mont-Royal—Outremont); M. Morin (Acadie); par Mme Caron (La Pinière); et Mme Zaga Mendez (Verdun) est remplacée par M. Zanetti (Jean-Lesage).

Le Président (M. Simard) : Alors, bienvenue à nos nouveaux collègues. Mme la députée de la Pinière, à vous la parole.

Mme Caron : Merci beaucoup, M. le Président. Alors, bonjour à tout le monde. Effectivement, donc, on était sur l'article 3 du projet de loi qui modifie la Loi sur le ministère de la Cybersécurité et du Numérique, l'article 5.2 sur le développement de réseaux... en fait, la vision globale du ministre des Infrastructures et des Services de télécommunications. Et puis on parlait des réseaux, on a parlé du kilométrage, on a parlé de fibres optiques, etc., mais...Et tout ça est venu quand j'avais posé la question à propos du risque, j'avais fait mention de certaines préoccupations du risque qui est le réseau utilisé par les cégeps, notamment, pour la recherche, la science, et tout ça. Et on avait... j'en avais déduit de nos discussions que le risque...

Mme Caron : ...n'était pas à RISQ, qu'on va continuer de... de permettre, le ministre va continuer de permettre à ce réseau de fonctionner comme il fonctionne maintenant. Est-ce qu'on a d'autres réseaux dans le... dans l'appareil public ou dans les ministères et organismes qui sont des réseaux de mutualisation, qui sont des réseaux incontournables qu'on devrait... dont on devrait s'assurer de maintenir le fonctionnement, puis que ce nouveau projet de loi là ne vienne pas mettre des bâtons dans les roues pour continuer l'exploitation de ces réseaux-là, puis le bon fonctionnement, là, qu'ils ont à l'heure actuelle. Alors, c'est une question que j'ai pour vous ce matin.

Le Président (M. Simard) : M. le député d'Orford.

M. Bélanger : C'est certain que la demande en termes de réseau va... va augmenter. Est-ce qu'il y a des réseaux existants? Oui, il y a d'autres réseaux existants, depuis des dizaines d'années qu'il y a des réseaux qui sont déployés. Est-ce que la cartographie de ces réseaux-là, elle est... elle est complète? Pas nécessairement. Il y a un inventaire à obtenir de ces réseaux-là. Est-ce qu'on a avantage à vouloir les utiliser, utiliser une technologie ou une fibre qui a été installée il y a 30, 40 ans? On est mieux d'en déployer de la nouvelle qui va avoir probablement une meilleure capacité pour passer la quantité de données qu'on a de besoin. Donc moi, je ne vois aucune... je n'ai aucune préoccupation à savoir, là, s'il y a des réseaux existants qu'on oublierait. On va être beaucoup plus à déployer des... de nouveaux réseaux et de nouveaux... de nouvelles lignes de transport, que ça soit à l'intérieur du... du territoire du Québec ou à envisager des communications avec... avec d'autres pays.

Mme Caron : Donc, ce que je comprends, c'est que l'aspect matériel du... du réseau, donc les... que ce soit de la fibre optique... Par exemple, vous avez dit : S'il y a un vieux réseau, de la vieille... bien, un réseau avec... qui utilise la vieille fibre optique, peut-être qu'on n'ira pas là, on va plutôt vous recommander une nouvelle fibre. Mais est-ce que, je dirais, les activités qui se font sur le... sur le réseau, est-ce qu'elles peuvent être soit... Est-ce qu'elles peuvent devoir changer de façon de faire ou est-ce qu'elles doivent ou est-ce... Peu importe le matériel, l'infrastructure physique sur laquelle fonctionne le réseau, est-ce que le réseau lui-même va pouvoir continuer? Parce que comme le RISQ nous semble être un réseau qui fonctionne très bien, donc on ne veut pas... on ne veut pas aller défaire quelque chose qui fonctionne bien pour le, je dirais, le bénéfice de l'ensemble pour que tout soit uniformisé. Alors, est-ce qu'il y a un... Est-ce que le fait de changer une infrastructure... Admettons, je ne connais pas l'âge du réseau, de l'infrastructure utilisée par le RISQ, mais si on... si le ministre déterminé que, bien, ça fait trop longtemps, on est mieux d'utiliser telle autre infrastructure, est-ce que ça va venir toucher l'utilisation, l'exploitation du réseau, là, par les utilisateurs, professeurs, chercheurs, etc.?

M. Bélanger : Les réseaux qui sont utilisés, je vous donnerais un exemple, c'est une infrastructure d'autoroute en divers pays. Donc, on peut décider de faire transiter de l'information par des... par des endroits spécifiques, des nœuds qui vont par la suite diriger l'information à travers un autre réseau. Et qu'est-ce qui peut se passer dans le futur? Bien, c'est si on a des données sensibles qu'on veut... qu'on veut exporter ou importer, on va peut-être avoir davantage à rajouter du réseau, donc des lignes de réseau peut-être plus dédiées entre l'Europe et le Québec, par exemple, parce qu'actuellement il n'y en... il n'y en a pas. C'est l'exemple que j'avais donné l'autre fois. Donc, ça va juste être une bonne nouvelle de rajouter de la redondance dans le réseau.

On a vu, ce matin, il y avait un article sur... justement sur Meta qui allait déployer ces quelques milliards de dollars de 50 000 kilomètres de réseau de fibre... de fibre optique. Je l'avais dit l'autre fois que les GAFAM, la tendance est qu'eux autres puissent gérer eux autres mêmes les informations qui transitent. Donc, je vous dirais que probablement que le ministre va avoir à regarder et développer une stratégie au niveau des infrastructures de connectivité qui vont sûrement plaire que ce soit aux universités ou aux cégeps, et qu'ils vont pouvoir l'utiliser.

Mme Caron : Là, on reste toujours sur l'infrastructure physique, mais est-ce que ça m'empêche... est-ce que ça va empêcher ceux qui utilisent le... le RISQ pour toutes sortes d'échanges de données, par exemple, scientifiques...

Mme Caron : ...est-ce que ça va empêcher ceux qui utilisent le... pour toutes sortes d'échanges de données, par exemple, scientifiques, ou est-ce que ça va... ça peut venir changer la façon dont ils vont utiliser leur réseau, de modifier l'infrastructure physique?

M. Bélanger : La réponse est non.

Mme Caron : Non, ça ne devrait pas. O.K. Puis, puisque vous amenez la question des GAFAM, comment on peut ou... comment on peut ou quelle est la vision ministérielle, dans le cadre de ce projet de loi là, pour éviter, justement, que les données, que ce soient les données personnelles, que soient les données des ministères et organismes, gouvernementales, ou même les données comme un réseau comme le... qu'on ne dépende pas des GAFAM, justement? Parce qu'en raison de la situation géopolitique, aujourd'hui, les GAFAM ou autres entreprises qui appartiennent à des intérêts hors Québec et hors Canada, ça nous inquiète un peu. Alors, quelle est la vision, actuellement?

M. Bélanger : La vision va être à être développée. Et ça bouge, ça bouge rapidement, puis ce n'est pas le Québec qui va la développer seul. Elle va se développer, que ce soit avec les Européens mais que ce soit aussi avec le Canada. Parce que ça reste... il y a quand même des champs de compétence de juridiction fédérale à ce niveau-là. Et puis s'il y a une décision qui est d'avoir un réseau qui est plus souverain, bien, ça va se faire en collaboration avec nos collègues d'Ottawa.

Mme Caron : Oui, ça, je comprends bien ça, qu'il faut travailler avec nos partenaires ailleurs au Canada, puis européens, parce qu'on va peut être vouloir aller plus vers là, mais il n'en demeure pas moins qu'il n'y a pas vraiment, dans le projet de loi, de balises qui nous disent que c'est là qu'il faut aller. C'est sûr que le travail d'établir tout ça peut être fait en collaboration... prendre des collaborations pour que les partenaires, peut-être, qu'on vise veuillent travailler avec nous, dans le même sens, mais on ne balise pas ça dans le projet de loi. Est-ce qu'on devrait le faire pour se protéger, pour protéger nos données?

M. Bélanger : Je ne m'avancerais pas, pour l'instant, je laisserais le ministre s'il veut répondre, mais je ne m'avancerais pas, on serait... on réagirait beaucoup trop rapidement. Je vais donner l'exemple de Star Link, qui était : Mais pourquoi vous utilisez encore Star Link? Bien, on a déployé des infrastructures de Star Link avec SpaceX, puis c'est les consommateurs qui peuvent décider, oui ou non, s'ils décident de continuer avec le service ou pas, ce n'est pas à l'État.

Et, si on regarde l'Ontario, l'Ontario sont revenus sur leur décision de résilier le contrat, ils disaient : Bon, bien, on va peut-être le garder. Ça fait que ça évolue très rapidement, vous savez, du côté du côté américain, c'est assez difficile à suivre, ça fait que je pense qu'on ne devrait pas adopter la même stratégie de réaction court terme pour des... afin de définir une vision au niveau de nos infrastructures de connectivité.

• (10 heures) •

Ce que j'avais dit, par contre, c'est qu'il faut avoir beaucoup plus de redondance. Donc, s'il y a une infrastructure, que ce soit de la fibre ou satellitaire et qu'on en perd l'utilisation, ça nous prend une infrastructure de redondance, exemple, terrestre, redondance à satellite, ou satellite, redondance à terrestre. Ça fait qu'à ce moment-là, si un opérateur décide de couper le lien de connectivité, on se retrouve avec une redondance. Donc, ça, c'est la stratégie qu'on va vouloir déployer. Et on l'a fait. Si on regarde un peu au niveau de la connectivité au Québec, on a déployé 70 000 kilomètres de fibre optique, on a une redondance qui est satellitaire. Vous allez dire : C'est Star Link. Oui, mais, je veux dire, il y a quand même une... Et on va... on a avantage à déployer encore plus de redondance. Et je vous dirais qu'une des priorités, bien, ce serait peut-être de regarder des liens avec l'Europe au niveau d'une infrastructure par câbles, par câbles de fibre optique. C'est peut-être dans les... mais, déjà là, je m'avance, je m'avance sur un projet précis, quand, dans le fond, moi je vais laisser le ministre compléter, puis ça va être à lui à développer la vision.

Le Président (M. Simard) : Alors, M. le ministre, à vous la parole pour compléter cette vision.

M. Caire : Non, bien, M. le Président, je fais miens les propos du député d'Orford. Écoutez, pour l'instant, ce qu'on souhaite, c'est que le ministère puisse assurer la cohésion sur le territoire québécois. Et, effectivement, au niveau de la connectivité, il faudra regarder avec nos partenaires, notamment le gouvernement fédéral, comment on...

M. Caire : ...on va assurer ça de cette souveraineté-là, mais il faut bien comprendre, là, que, sur l'utilisation des réseaux, on dépend un peu des Américains, si on parle des réseaux de connexion à proprement parler, parce que ça, je veux être bien clair, à l'intérieur du Québec, on ne dépend pas des Américains.

Mme Caron : Merci. Donc, alors, ce que je comprends, c'est que, oui, pour la connectivité, c'est... on est souverains, disons, de ce côté là. La redondance, comme le député d'Orford l'a dit, c'est important parce que, s'il y a un bris de connectivité, il faut qu'on continue de fonctionner. Alors, si on a la redondance, que ce soit satellitaire ou terrestre, on est capable de continuer, absolument. Mais ni le fait d'avoir la connectivité sur le territoire québécois ni le fait d'avoir une redondance dans les... satellitaire ou terrestre ne nous protège contre le fait que nos données peuvent être... sont susceptibles d'être consultées par le gouvernement américain si... en fonction de la loi sur l'infonuagique aux États-Unis qui oblige... peu importe où les données se trouvent sur le territoire, qui oblige les fournisseurs à donner les... donner au gouvernement, si le gouvernement l'exige, le gouvernement américain.

Alors, on a beau avoir, si je comprends bien, l'explication technique, on a beau avoir la connectivité en redondance au Québec, on a beau avoir la connectivité qui ne dépend pas des Américains sur le terrain, il n'en demeure pas moins que l'accès à nos données demeure possible en vertu de la loi américaine et que, jusqu'ici, ça ne causait pas un problème. Mais là, ça peut être très délicat, puis là on n'a pas de plan pour faire face à ça actuellement. Puis on ne veut pas... Puis c'est compréhensible parce que c'est un nouveau contexte, mais on n'a pas non plus l'intention d'avoir un plan, d'après les réponses que je comprends de ce matin, pour protéger nos données. On est sur... on est juste sur la connectivité puis la redondance. Mais l'accès à nos données, me semble-t-il, est un souci, là.

M. Caire : Bien, M. le Président, j'ai déjà répondu à ça, là, sur la politique, sur la politique du gouvernement, sur le stockage des données sensibles, des données stratégiques. J'ai expliqué ça aux collègues. Donc là, je ne comprends pas pourquoi on revient là-dessus au niveau de la connectivité. Mais je le dis, au niveau de la connectivité, nos réseaux sont nos réseaux, nos partenaires sont Québécois ou Canadiens et il n'y a pas d'impact au niveau de la souveraineté numérique, au niveau de nos réseaux.

Mme Caron : Bien, M. le Président, je comprends qu'il y a peut-être eu une réponse. Là, depuis la semaine dernière, on est davantage avec... Le député d'Orford nous explique... en tout cas, moi, me permet de comprendre mieux comment ça fonctionne physiquement et tout ça. Alors, j'aurais besoin d'avoir une réponse, même si c'est une répétition de ce que le ministre a déjà dit, là, parce que le ministre, en ce moment, il reste sur la connectivité des réseaux. Mais la question, c'est sur les données.

M. Bélanger : Bien, je vais utiliser un cas de figure. Admettons qu'on a des données sensibles de santé, qu'on désire les stocker dans un centre de données qui appartient à l'État, les Américains ne peuvent pas venir piger dans notre centre de données au niveau des données de la santé, elles sont à nous. C'est beaucoup plus sur des données qu'eux ont, sur des applications qu'ils ont. Si on les stocke chez nous, oui, ils peuvent, s'ils enquêtent, etc., tout ça, aller chercher ces données-là. Mais si nous, on définit qu'on a des données sensibles et qu'on désire les stocker pas sur Amazon Web ou sur Microsoft, mais dans un centre de données qui nous appartient, en aucune considération, puis le ministre pourrait me corriger, il y a un droit d'aller chercher ces données-là qu'on a jugées sensibles à nous et qui sont nos données.

Mme Caron : Effectivement. Mais ce que j'aimerais savoir, c'est : Est-ce que c'est quelque chose qu'on envisage de faire et qu'on va faire?

Le Président (M. Simard) : M. le ministre.

M. Caire : Bien, la question m'étonne parce que je l'ai dit, ça, je l'ai dit pendant les consultations particulières, je l'ai dit la semaine dernière, il y a un...

M. Caire : ...un service infonuagique gouvernemental privé qui existe et qui va servir à stocker les données sensibles puis les données stratégiques. J'ai tout dit ça, Mme la députée, là.

Mme Caron : O.K., bien, si je peux... je vous remercie, M. le ministre, de l'avoir... de l'avoir répété, parce que, quand on est dans des dossiers qui sont techniques comme ça, dans les consultations, on entend beaucoup de choses, on essaie de tout capter et de se remémorer de tout, mais ce n'est pas... ce n'est pas... ce n'est pas évident. Parlez-moi d'un sujet que je connais très, très bien. Je n'aurais peut-être pas besoin de reposer la question, mais dans ce cas-ci c'est important. Puis je pense qu'il y a des personnes qui nous écoutent, des concitoyens dans nos... dans nos comtés. Et je pense que les personnes qui nous écoutent, c'est parce qu'elles s'intéressent au sujet et ne sont peut-être pas des experts en la matière. Alors, c'est bon de... c'est en répétant qu'on apprend, c'est ce que les enseignants nous disent dans les classes. Alors, c'est important, je pense, de le redire. Alors, je vous remercie pour ça.

Donc, on comprend que l'aspect connectivité, ça irait, on a la redondance, en cas de rupture de connectivité, et que, sur un stockage qui appartient au gouvernement, on pourrait décider de mettre nos données là si on définit que les données sont sensibles. Je pense que c'est clair que les données sont sensibles. Et puis, pour ce qui est d'utiliser les fournisseurs d'infonuagique comme AWS qui appartient à Amazon, il n'y a pas à l'heure actuelle de plan pour en changer. On va... on va... on va attendre de voir venir et comment... comment les autres vont réagir. C'est un peu ce que je comprends, là.

M. Bélanger : On... Il y a une question contractuelle aussi qu'on doit suivre.

Mme Caron : Pour les contrats qui sont en vigueur, évidemment, et on ne peut pas nécessairement rompre un contrat... bien, on peut toujours résilier un contrat, mais il y a des... il y  a des coûts qui se rattachent à ça, puis il faut être capable de se... de se revirer de bord, comme on dit en bon Québécois, pour avoir le service d'un fournisseur local. Mais j'imagine qu'on connaît les dates de fin de ces contrats-là. Donc, avons-nous un plan pour migrer de ces fournisseurs-là à des fournisseurs québécois, qui ont peut-être été identifiés, ou il y a peut-être une liste à voir si les... si ces fournisseurs ont toutes les... la capacité nécessaire dont on a besoin pour stocker nos données localement? Et ça, ce n'est pas quelque chose qui est fait encore, mais est-ce que c'est envisagé ou on attend de voir venir les choses?

M. Bélanger : C'est du cas par cas. C'est évolutif selon le type de données qu'on a... qu'on a à stocker.

Mme Caron : Peu importe, donc, selon le type de données, peu importent les dates d'échéance des contrats.

M. Bélanger : Selon la situation qui va prévaloir à ce moment-là.

• (10 h 10) •

Mme Caron : Mais donc actuellement, on sait qu'on a des contrats avec AWS, et autres, qu'on ne peut pas nécessairement résilier sur le champ, parce qu'il faut s'organiser, mais on n'a pas de plan, dire : Bon, O.K., tel contrat vient à échéance en 2027, l'autre en 2030, l'autre peut-être en 2026? Alors, on commence à planifier déjà, peu importent les données qui sont là, mais pour ne pas... ne pas se mettre à risque avec des fournisseurs de... nuagiques américains, on n'a pas de plan pour ça?

M. Bélanger : Bien, avant de penser à faire un peu comme... je ne sais pas, comme l'Ontario en fait, avec la décision sur Starling, où ils ont changé trois fois de décision, là, moi, je veux dire, dans mon cas, si vous me demandez la question, là, je garderais la stratégie qui a été établie pour le moment, là, pas selon... changer selon les nouvelles qui ont eu lieu au cours des dernières semaines. Par contre, il faut être prêt, il faut... puis je reviens avec la redondance. C'est certain que de développer une vision sur comment on veut stocker nos données, comment on veut faire circuler nos données sur l'échelle de la planète, ça, ça va être une vision qui va être importante. Et puis, si on a l'infrastructure qui est à développer, qui est à mettre en place, qui est là et disponible, on va pouvoir réagir rapidement à toute situation qui pourrait engendrer des contraintes.

Mme Caron : Donc, on aura besoin de planifier ça. Merci beaucoup pour la réponse.

M. Bélanger : Merci.

Le Président (M. Simard) : Merci à vous, chers collègues. Alors, nous poursuivons toujours sur l'article 5.2. Et, Mme la députée de Mont-Royal, il vous reste 14 minutes, 22 secondes.

Mme Setlakwe : Merci beaucoup. Ma collègue a posé des bonnes questions...

Mme Setlakwe : ...des bonnes questions, on a un bon échange ce matin. J'aimerais poursuivre. Justement, il faut en parler, là, des contrats, des situations contractuelles actuelles et à venir. Puis je comprends très bien que tout ça est évolutif, c'est vrai, mais on doit... avant de développer une vision, il faut savoir ce à quoi on est tenu aujourd'hui.

Moi, j'aimerais revenir sur le décret... le décret 596-2020, donc un décret qui a été émis il y a cinq ans, en 2020, qui portait, là, pour ceux qui nous écoutent, sur le programme de consolidation des centres de traitement informatique et l'optimisation du traitement et du stockage, qui déterminait le caractère obligatoire des services prévus à ce nouveau projet en ressources informationnelles ainsi que l'autorisation du transfert de certains actifs informationnels au CSPQ, le Centre des services partagés du Québec.

M. le ministre, est-ce que vous pouvez nous réitérer quel était l'objet de ce décret et quelles économies ont été réalisées?

M. Caire : Là, on parle du décret de mai 2020?

Mme Setlakwe : Oui.

M. Caire : O.K. Bien, c'est la consolidation de nos centres de traitement. Je vais être honnête avec vous, Mme la députée, je ne vois pas le lien avec l'article, par contre, de vous faire le bilan d'un projet qui consiste à réduire le nombre de centres de traitement, ce qui était l'objectif... ce qui est l'objectif du décret et du programme, versus la capacité du ministère à développer son réseau, là, je ne vois pas le lien, M. le Président.

Mme Setlakwe : On ne parle pas de... On parle de stockage, on parle des réseaux actuels...

M. Caire : On parle de stockage dans des centres de traitement, là, ce qu'on...

Mme Setlakwe : On ne parle pas d'infonuagique dans ce décret-là?

M. Caire : Bien oui. On parle d'infonuagique, effectivement. Donc... Puis c'est pour ça que je disais à votre collègue que j'étais étonné de la question parce que ça m'a permis d'expliquer la mise en place du nuage privé. Comprenons-nous bien, puis je vais répéter ce que j'ai déjà dit, le nuage privé, c'est le nuage du gouvernement, pour et par le gouvernement, versus le nuage public, qui sont les différentes sociétés. Donc, l'idée, c'est qu'on avait 577 centres de traitement d'information au Québec, ce qui est beaucoup, beaucoup, beaucoup trop, opérés par le gouvernement du Québec. On veut ramener ça à quatre. Et donc ça veut dire que, pour les ministères et organismes, il y a un transfert des charges qui se font soit de leurs centres de traitement sur site, en français, c'est bien ça, c'est «on premise», sur site, vers le nuage gouvernemental ou vers le stockage sur site mais opéré par le gouvernement, parce qu'il y a des charges qui ne peuvent pas être transférées en infonuagique là.

Mme Setlakwe : Merci. J'aimerais quand même comprendre bien la portée de ce décret, qui est toujours en vigueur, si je comprends bien.

M. Caire : Oui.

Mme Setlakwe : Est-ce qu'en vertu de ce décret, donc, on a... Est-ce qu'il touchait des services de communication IP centralisés, des services de plateformes technologiques?

M. Caire : Pour le décret?

Mme Setlakwe : Oui...

M. Caire : Il faudrait que je le relise, là, mais, de mémoire, la communication IP, ce n'était pas l'objet du décret, c'était vraiment la conversion vers l'infonuagique, là, mais il faudrait que je le relise, là. Comme vous l'avez dit, là, on l'a adopté il y a cinq ans.

Mme Setlakwe : Mais je pense qu'il est assez large puis ça nous permettrait d'avoir un portrait assez complet et actuel des liens contractuels, là, qui...

M. Caire : C'est possible parce que...

Mme Setlakwe : ...qui rattachent le gouvernement du Québec.

M. Caire : ...il y a effectivement une volonté de transférer vers la communication IP.

Mme Setlakwe : Et qui a obtenu ce contrat?

M. Caire : Là, j'irai vous chercher l'information, là. L'élaboration des contrats, vous comprendrez que je ne me mets pas les mains là-dedans, là, mais essentiellement, pour le réseau, le RGT, on travaille avec Bell, on travaille avec Telus aussi, il me semble. Je vous dis ça de mémoire, là, je pourrai... je pourrais aller vous chercher l'information, oui. Parce que c'est... ce contrat-là, il est segmenté, là, on n'a pas qu'un seul partenaire.

Mme Setlakwe : Mais j'aimerais savoir... oui, je pense, ce serait intéressant pour les membres de la commission de savoir qui a obtenu les contrats. Est-ce qu'ils ont été octroyés de gré à gré?

M. Caire : Je vais toute vous donner cette information-là, Mme la députée.

Mme Setlakwe : Merci. Bien, justement, vous avez parlé du RGT. Puis, étant donné qu'on parle d'infrastructures puis de services de télécommunications, j'aimerais connaître l'état actuel des choses et ce vers quoi vous allez... vous visez de nous amener avec, justement, ces pouvoirs accrus en termes de centralisation que vous allez... que vous octroyez en vertu des articles... des nouveaux articles, là, 5.2 et 5.3. Dans votre mémoire qui a été soumis à vos collègues au Conseil des ministres en lien avec le projet de loi n° 82 qu'on étudie, vous parlez de l'état actuel, là, des différents services en matière de télécommunications, vous parlez de la responsabilité du réseau intégré...

Mme Setlakwe : ...et de télécommunications multimédias.

M. Caire : RITM, oui.

Mme Setlakwe : J'ai parlé de que ce réseau-là migre vers le RGT, le Réseau gouvernemental de télécommunications. Moi, j'aimerais qu'on ait un portrait de la situation actuelle, et quelles sont les lacunes qui vous poussent à demander plus de pouvoir et vouloir atteindre une centralisation accrue.

M. Caire : Bien, en fait, les pouvoirs que le MCN veut obtenir, c'est... dans le fond, c'est de façon, je dirais, générale là, la confirmation que c'est le rôle et la responsabilité du MCN de déployer un réseau de télécommunications pour le gouvernement, ce qui n'est pas le cas présentement. Dans l'évolution des choses, chaque ministère et organisme, dans le fond, avait la possibilité de le faire. Et comme ce n'étaient pas des projets en ressources informationnelles, ils n'avaient pas d'autorité à qui demander la permission et la validation de ça.   Donc, tout le monde pouvait développer son... son réseau un peu comme il le souhaitait.

Ce qui a été fait à l'époque par le gouvernement libéral, c'est de demander au CSPQ de mettre en place un réseau, qui a été le RITM, là, vous l'avez mentionné, pour... par ...pour le gouvernement du Québec. Ce qui a été fait à l'époque, c'est de donner le mandat de la gestion et de la sous-traitance du déploiement du réseau aux différentes compagnies de télécommunications.

Ce qu'on a fait avec le RGT, le Réseau gouvernemental de télécommunications, c'est dire : Bon, bien, le gouvernement du Québec est capable d'assumer la gestion de son propre réseau de télécommunications. Par contre, pour la mise en œuvre sur le terrain, oui, on va travailler avec des partenaires. Comme le disait mon collègue d'Orford, il y a des... des compagnies qui sont propriétaires de différents réseaux qu'on peut utiliser. Hydro-Québec en a, et on a parlé du RISQ, on a différents réseaux de télécoms, les universités.

Donc, ce qu'on souhaitait, c'est de fédérer ces réseaux-là sous une autorité, celle du MCN, pour s'assurer de la cohésion et de la cohérence du développement du réseau pour justement s'assurer qu'on optimise l'utilisation de ces réseaux-là. Au lieu de les dupliquer, on voit les mutualiser, on va les optimiser. Donc, l'idée, ce n'est pas d'empêcher, par exemple, le RISQ d'opérer. Au contraire, c'est de voir avec le RISQ comment on peut optimiser son utilisation. Même chose avec Hydro-Québec qui a son réseau de télécommunications. Même chose avec les universités qui peuvent avoir leur propre réseau de télécoms. Donc, tu sais, c'est de dire, faisons ça.

Ensuite, c'est de faire en sorte qu'un ministère, un organisme ne puisse pas développer justement, en parallèle, son propre réseau. Donc, pourquoi on veut l'article 3? Bien, c'est pour que... faire en sorte que ces ministères et organismes-là, qui vont vouloir avoir ces projets-là, viennent d'abord confirmer la pertinence avec le MCN qui, lui, va s'assurer, bien, un, est-ce qu'on peut mutualiser? Est-ce qu'il existe déjà un réseau là-dedans qui peut desservir? Est-ce que, ce réseau-là, il est à saturation?

Mon collègue d'Orford le disait, quelquefois il y a de la fibre noire qui est déroulée, bien, la fibre noire, c'est de la fibre qui n'est pas utilisée. Donc, est-ce qu'on pourrait commencer par utiliser la fibre noire, puis notamment Hydro-Québec en possède, avant de développer un autre réseau à grands frais? Est-ce qu'il est pertinent, dans les circonstances, bon, d'aller de l'avant avec ce projet-à? Puis, après ça, c'est les autorisations budgétaires au Conseil du trésor.

• (10 h 20) •

Donc, essentiellement, Mme la députée, c'est ça, le pouvoir qu'on demande aujourd'hui, c'est cette capacité-là d'avoir une vision gouvernementale, d'avoir quelqu'un quelque part qui a le tableau de bord puis qui dit : O.K. comment ça va se développer au Québec? Puis oh! non, on ne développe pas. Je vous ai donné un cas, la semaine dernière, de deux organismes, là, qui sollicitaient la même entreprise pour un même contrat, mais qui allaient signer deux contrats différents parce qu'ils ne se parlent pas. C'est ce genre de choses là qu'on ne veut plus entre autres.

Mme Setlakwe : La vision, je comprends très bien, mais il faut comprendre qui sont les acteurs actuels puis quels sont les les contrats en cours, les décrets qui sont... qui sont toujours actifs et pour lesquels il y a des sommes qui ont été investies par le gouvernement et qui reçoit ces sommes puis en vertu de quel genre de modalités, quel genre de... de contrats, etc. Donc, encore une fois, vous... vous ne savez pas, en vertu du décret, qui a reçu la plus grande part du... du marché ou la plus grande part de services.

M. Caire : Comme je vous dis, je... je ne me mêle pas de l'octroi des contrats, là, c'est... c'est les fonctionnaires.

Mme Setlakwe : Maintenant, je comprends bien, M. le ministre, que vous ne vous mêliez pas de l'octroi du contrat. Mais on parle, depuis des semaines, on en parle depuis des jours aussi même dans cette commission, à savoir, une fois que les contrats sont octroyés, vous n'êtes pas intéressé de savoir si c'est des compagnies locales ou des compagnies américaines qui les ont remportés.

M. Caire : Ah! bien, je vous l'ai dit, essentiellement... essentiellement, c'est Bell Telus qui ont... qui ont les contrats. Le centre d'opérations, c'est Bell qui a le contrat avec le mandat, comme je vous disais, de nous... de nous rendre les actifs parce que nous, on va... on va les opérer. À terme, là, c'est Bell qui a ça, puis on va se servir des réseaux de Bell, des réseaux de Telus...

M. Caire : ...à terme, là. C'est Bell qui a ça, on va se servir des réseaux de Bell, on va se servir des réseaux de Telus, on va signer des contrats avec Rogers, on va travailler avec les telcos. Puis mon collègue d'Orford le sait aussi, dans le déploiement de la fibre, on a fait affaire avec des entreprises plus locales. Des contrats avec des entreprises, Mme la députée, là, il y en a, il y en a quelques-uns, là, ça fait que, non, je ne les connais pas tous par cœur, là.

Mme Setlakwe : IBM et Microsoft ont remporté...

M. Caire : Sur la télécom?

Mme Setlakwe : Bien, généralement. En vertu du décret, je comprends qu'il y a les télécoms, mais il y a plus que ça, là, on parle de stockage, on parle de migrer, on parle d'héberger. Je pense que c'est important de savoir qui, actuellement, s'est vu octroyer des contrats lucratifs de la part du gouvernement du Québec.

M. Caire : Oui, oui, je comprends, mais, comme je vous dis, c'est au niveau des télécoms, parce que, pour le reste, on en discutera en étude de crédits, mais pour ce qui est de l'article 3, sur les télécoms, nos joueurs sont essentiellement les compagnies de télécommunications canadiennes et québécoises. Donc, vous avez Cogeco qui en a, si je ne me trompe pas, M. le député d'Orford, entre autres.

Mme Setlakwe : Il y a des services obligatoires qui doivent être utilisés en vertu de ce décret-là, n'est-ce pas? Et parmi ces services obligatoires que les organismes doivent utiliser et suivre, il y a les communications IP centralisées, il y a le réseau intégré de télécommunications multimédia RITM, le réseau gouvernemental de télécommunications RGT, plateforme de développement moderne, gestion et exploitation des plateformes technologiques, gestion des postes de travail et collaboration Teams. Là, je comprends que vous pensez que je vais un peu plus loin que l'article, mais on parle d'infrastructures de télécommunication, de connectivité. Pour moi, du travail à distance, permettre que les employés soient connectés à distance via une plateforme comme Teams, on est en plein dans le sujet, là.

M. Caire : Bien, c'est-à-dire qu'on est dans le sujet... on n'est pas dans le sujet de la télécom. Parce que, comme l'expliquait le député d'Orford, vous avez votre ordinateur, le traitement, les applications qui vont traiter l'information, c'est une chose, mais par quels moyens allez-vous permettre à deux ordinateurs, deux serveurs, deux nœuds, je vais dire, j'ai utilisé... parce que ça peut être des imprimantes, ça peut être, bon, différentes composantes sur un réseau, de quelle façon eux... et avec quoi ils vont traiter l'information, ça, c'est autre chose.

Si on parle de télécoms, à proprement parler, c'est la capacité que vous avez de véhiculer. C'est comme si je vous disais : Bien, je vais parler de l'autoroute, mais je vais parler aussi du garage où il y a les camions puis je vais parler aussi de la station-service, bon. Moi, je vous dis, pour l'instant, ce que le projet de loi nous demande de faire, c'est comment on va déployer notre réseau routier au Québec. Après ça, comment on va gérer les garages, les stations-service, les manufacturiers de pièces, ça ne relève pas du projet de loi, là. Ce qui ne veut pas dire, Mme la députée, que votre question n'est pas pertinente, là.

Mme Setlakwe : Non, je pense qu'elle est pertinente, puis je comprends que... Oui?

M. Caire : Elle est pertinente, puis je dis juste que nous aurons d'autres tribunes pour avoir ces discussions-là.

Mme Setlakwe : Bien, la question du courtier infonuagique va venir assez vite, effectivement, mais il n'en demeure pas moins que le décret dont je vous ai parlé, dont je vous parle ce matin est parapluie, il est large. Il y a beaucoup de contrats qui ont été octroyés. On parle des sommes importantes.

Si je vous demande quelles sont les trois premières compagnies à avoir reçu des contrats envers... relativement à cette obligation de migrer vers l'infonuagique, on parle de dépense d'autour de 170 millions. Quelles sont les deux premières entreprises à avoir reçu les contrats du gouvernement?

M. Caire : Pour l'infonuagique, je vous dirais Azure, AWS, très certainement. De mémoire, je pense que... viendrait au troisième rang, mais là je ne veux pas induire la commission en erreur, là.

Mme Setlakwe : Et quand vous dites Azure, c'est Microsoft, Azure.

M. Caire : Oui.

Mme Setlakwe : Puis, sur le 170 millions, moi ce que je vois, c'est près de 100 millions...

M. Caire : Mais le 170 millions, c'est juste AWS, nos contrats en infonuagique sont plus importants que ça. La question... cette question-là était posée sur combien on a de contrats avec AWS, et ça, c'est 170 millions.

Mme Setlakwe : Est-ce que... J'aimerais ça, revenir, donc, à des services qui ont été octroyés dans le passé, là, dans le cadre de ce décret? Je crois comprendre qu'IBM a été un soumissionnaire, le seul soumissionnaire. Estce qu'on lui a octroyé un contrat de gré à gré? Juste nous... élaborer un peu plus sur cette question-là, là?

M. Caire : …je m'excuse, Mme la députée, c'est parce que Nathalie me faisait... l'information sur les contrats qu'on pourra transmettre à la commission, si vous voulez.

Mme Setlakwe : Oui, absolument. Est-ce que vous voulez nous en faire part tout de suite, peut-être au micro?

M. Caire : Sur les contrats...

Mme Setlakwe : Sommairement, oui.

M. Caire : ...on a Bell, Telus, Ecotel...

Mme Setlakwe : Ça, c'est pour...

M. Caire : ...c'est sur les services... c'est les différents services.

Mme Setlakwe : Télécommunications.

M. Caire : Je peux... puis je peux laisser.. c'est plus ton rayon, ça.

Le Président (M. Simard) : ...M. le député d'Orford... on vous laisse... on vous laisse trouver la rangée également.

M. Bélanger : Oui, mais j'ai... mais je n'ai pas l'information quand même, là, mais je peux les lire... les consulter, là.

M. Caire : Parce que ça, c'est vraiment les contrats sur Internet, là.

M. Bélanger : Bon, il y avait Bell. O.K.. Eeyou, Eeyou Communications, ça, c'est au... ces communautés, Fibre Noir Inc., Télus, Ecotel, Fibre noir inc., Rogers, Telus, Bell, c'est... la plupart, ce sont des entreprises de télécommunication. Il y en a des plus petites. C'est toutes des... toutes des entreprises canadiennes ici.

M. Caire : Canadien, incluant québécois, là.

Mme Setlakwe : Oui, oui, ça, c'est au niveau des télécommunications.

M. Caire : Oui.

Mme Setlakwe : Est-ce que vous avez la liste des contrats qui ont été octroyés en... relativement à l'infonuagique et cette obligation de migrer vers l'infonuagique?

M. Caire : Mais, soit dit en passant, ces contrats-là sont publics, là.

Mme Setlakwe : Oui, je pense que c'est d'intérêt public dans le cadre de nos discussions, là, ici, en commission parlementaire.

M. Caire : Oui, oui, non, mais justement, ils sont... ils sont publics. Là, ce que je veux dire, c'est que, si vous souhaitez les avoirs à court terme, votre service de recherche peut facilement trouver ces contrats-là, ils sont... ils sont publics, là.

Mme Setlakwe : Qu'est-ce que fournit IBM? Là, c'est peut-être moi qui est toute perdue, là, dans ça, les télécommunications...

M. Caire : IBM va fournir des ordinateurs centraux. Donc, là, on n'est vraiment pas dans la télécommunication. Ça, c'est tous nos systèmes de missions, vieux systèmes de missions sur ordinateur central, là, ça fait qu'on n'est pas... on n'est pas dans la télécommunication de pointe, Mme la députée.

Mme Setlakwe : Est-ce que c'est une ressource informationnelle?

M. Caire : Oui.

Mme Setlakwe : Oui. O.K. Et est-ce qu'il y a plusieurs soumissionnaires qui est intéressé à avoir le contrat? Puis est-ce que le contrat IBM a été contrat IBM a été octroyé de gré à gré?

M. Caire : Oui, parce que...

Mme Setlakwe : Oui, pourquoi?

M. Caire : Bien, parce que des fournisseurs d'ordinateurs centraux, dans le monde, il y en a eu... en tout cas, à ma connaissance, il y a IBM qui en fait encore. Quand je vous dis que c'est des vieilles technologies, là, ce n'est pas... Puis on a peu... On a peu de ministères et organismes qui ont encore des systèmes sur des ordinateurs centraux, là. Ça fait qu'un appel d'offres ne nous amènerait pas vers une large compétition, là, il n'y a pas une large concurrence. Parce qu'à ma connaissance, à part IBM, là, puis je ne veux pas m'avancer, peut-être qu'il y en a d'autres, là, mais à ma connaissance, il y a à peu près juste IBM. Puis, après ça, bien, si vous changez de fournisseur, vous vous mettez des fois plus dans le trouble que d'autre chose. Ça vous coûte plus cher au final de transférer que de redonner le contrat.

• (10 h 30) •

Mme Setlakwe : Avez-vous une idée du... des sommes qui ont été dépensées en vertu ce contrat-là?

M. Caire : De mémoire, c'est 10 millions?

Mme Setlakwe : 10 millions.

Mme Setlakwe : Oui. Et, pour ce qui est de la... du caractère obligatoire, là, donc des services qui doivent... qui doivent être, qui doivent être prévus. Puis la question de... du transfert des données. Est-ce que... Est-ce qu'il y a une... Est-ce qu'il existe un genre de... une proposition ou un conseil? Est-ce que vous conseillez au MCN, aux organismes de migrer vers Microsoft?

M. Caire : Bien, en fait, le principe du courtier en infonuagique, c'est qu'une fois qu'une entreprise s'est qualifiée, le ministère ou l'organisme a le choix, en fonction des services qu'il désire avoir... il y a le choix du fournisseur, donc c'est les ministères et organismes qui... Le courtier en infonuagique a l'obligation ou, je dirais, la responsabilité de qualifier les entreprises en fonction de certaines... certaines normes. Le courtier en infonuagique va fournir le contrat type, donc les services juridiques ont écrit un contrat type parce qu'il y a certains... certaines clauses qui sont obligatoires dans les contrats en vertu de la loi 25. Mais après ça, c'est les ministères et organismes qui choisissent leur fournisseur.

Mme Setlakwe : O.K. Puis, dans les faits, les ministères et organismes choisissent qui en... dans la plupart des cas?

M. Caire : Azure, AWS, il y en a un peu avec Cofomo...

M. Caire : ...il y en a avec Micrologic. Je n'ai pas la liste exhaustive, là.

Mme Setlakwe : Puis dans... au niveau des... prenons... regardons ça un peu plus macro, là. Dans le plan de déploiement de cette migration, on est rendus où, on a priorisé quels secteurs?

M. Caire : On a priorisé l'administration publique. Je n'ai pas la mise à jour, là, d'où est-ce qu'on est rendus. Mais c'est une information que je pourrais vous avoir aux études de crédits, très certainement.

Mme Setlakwe : Est-ce qu'on a... c'est santé et éducation, par exemple?

M. Caire : Non. La priorité initiale, c'était l'administration publique. Après ça, à partir de 2020, les deux réseaux, oui, ont été intégrés au programme, ce qui fait qu'on a décalé les dates de livraison par rapport au projet initial.

Mme Setlakwe : O.K. Quelles sont ces dates de livraison prévues aujourd'hui?

M. Caire : Décembre 2025.

Mme Setlakwe : Décembre 2025, on aura migré à quel... dans quel département, quel secteur?

M. Caire : L'ensemble du gouvernement.

Mme Setlakwe : L'ensemble du gouvernement. O.K. Parce que le décret parlait d'étendre la portée du programme aux établissements du réseau de la santé et des services sociaux et à ceux du réseau de l'éducation et de l'enseignement supérieur qui étaient visés à l'annexe du décret. Est-ce que le décret a permis... Est-ce qu'on a une idée aujourd'hui des économies qui ont été générées en lien avec ce décret?

M. Caire : C'est une information que je pourrai vous avoir au moment de l'étude des crédits, très certainement.

Mme Setlakwe : Merci. Donc, moi, j'aimerais ça comprendre le catalogue, là, les entreprises qui se sont qualifiées dans le cadre d'un processus de qualification qui est mené par le MCN...

M. Caire : Oui.

Mme Setlakwe : Oui. Est-ce qu'il y a beaucoup de compagnies locales qui se sont qualifiées?

M. Caire : À ma connaissance, il y en a sept.

Mme Setlakwe : Ce sont lesquelles?

M. Caire : Bien, comme je vous l'ai dit, Mme la Présidente... M. le Président, compte tenu de la nature de la question, vous comprenez, là, que ce n'est pas une information que j'ai ici maintenant, mais c'est quelque chose que je vais vous avoir pour l'étude de crédits, sans problème, là.

Mme Setlakwe : L'étude des crédits, ça, ça va être fin avril, début mai. Mais, en tout cas, moi, je pense qu'on devrait sortir ces informations-là plus rapidement étant donné qu'on est en train de regarder un projet qui vise à déployer l'identité numérique, à aller plus loin dans le déploiement de l'identité numérique nationale. On parle de données des Québécois qui seront affectés évidemment par ce nouveau régime et qui seront hébergés. Moi, je pense, ce serait intéressant qu'on sache aujourd'hui quel est l'état de la situation, avec qui est-ce que le gouvernement fait affaire... Oui, parce qu'on va aller plus loin dans l'hébergement, dans le déplacement de ces données-là. Vous ne voyez pas la pertinence de se poser la question aujourd'hui.

M. Caire : Bien non, non, parce que ce que j'ai dit à votre collègue, c'est que les données sensibles et stratégiques seraient hébergées sur le nuage privé du gouvernement. Donc, à partir de là, quelles sont les compagnies qui se qualifient à l'infonuagique, comme, de toute façon, on n'a pas l'intention de leur donner des contrats d'hébergement sur ce type de données là, non, je n'en vois pas la pertinence, pour être très honnête avec vous. 

Mme Setlakwe : O.K. Donc, on n'ira pas dans l'infonuagique contrôlé par des sociétés étrangères. 

M. Caire : Mais ça, c'est ce que j'ai dit à votre collègue tout à l'heure. 

Mme Setlakwe : O.K. Puis, au niveau de la santé, au niveau de la santé, justement, c'est parce que vous parlez des données sensibles, il y a un contrat qui a été donné à Epic, une société américaine, pour le déploiement du dossier santé numérique.

M. Caire : Exact.

Mme Setlakwe : Est-ce qu'il y avait des compagnies québécoises qui avaient soumissionné ou...

M. Caire : Pas le... Je le divise en deux, Epic, quand on parle du système de gestion, à ma connaissance, non, il n'y avait pas de... il n'y avait pas de pendant québécois à ce système-là.

Mme Setlakwe : Mais est-ce qu'il y a des joueurs québécois qui pourraient jouer un rôle parce que... ou est-ce qu'Epic va... Comment ça fonctionne, quand Epic obtient ce contrat puis déploie sa plateforme, son système ici, au Québec, dans tous les établissements? Est-ce que, premièrement, nos établissements sont prêts? Quel est, comme, l'ensemble des contrats qui pourraient être octroyés dans le cadre de ce déploiement-là? Ou est-ce qu'Epic va choisir... Vous comprenez qu'est-ce que je veux dire? Est-ce qu'Epic va, avec son système...

M. Caire : Oui. Je vous avoue que je ne vois pas le lien avec l'article 3, mais je vais quand même vous répondre. Écoutez...

Mme Setlakwe : Bien, on peut revenir plus tard, on peut revenir plus tard, mais, moi, j'aimerais ça vous entendre.  De toute façon...

Mme Setlakwe : ...durant nos discussions.

M. Caire : Puis ce n'est pas de la mauvaise volonté, Mme la députée, c'est juste que, compte tenu que ce n'est pas nécessairement en lien avec l'article, vous comprendrez que moi, ce n'est pas des informations que j'ai fouillées puis que... Tu sais, en étude... ce que je vous dis, c'est qu'en étude de crédits, je vais m'attendre à ce genre de question là et je vais donc m'arranger pour avoir les réponses. Alors là, je ne m'attendais pas à ces questions ici. Donc, c'est pour ça que je n'ai pas les réponses à vos questions. Ce n'est pas de la mauvaise volonté, c'est juste qu'on n'est pas vraiment en lien avec le projet de loi, donc je n'ai pas les réponses complètes, je n'ai pas les réponses complètes.

Mme Setlakwe : Mais, tu sais, le projet de loi, au prochain article, parle des services du courtier infonuagique.

M. Caire : Oui.

Mme Setlakwe : Puis c'est un courtier qui donne des services à l'ensemble des organismes gouvernementaux. Je pense qu'on n'est pas loin du sujet, là, M. le ministre, en tout respect.

M. Caire : Bien non, mais sur le courtier, comme je vous ai dit, sur les entreprises qui se qualifient, ça, je peux vous avoir l'information, il n'y a pas de problème, mais, comme je vous disais... Puis, pour moi, c'est important, là, parce que je ne voudrais pas qu'on... puis je ne dis pas que c'est ce que vous faites, là, comprenez bien, je ne voudrais pas que les Québécois interprètent qu'on va donner leurs données de santé à des fournisseurs autres que le nuage du gouvernement du Québec, parce que ce n'est pas l'intention du gouvernement. L'intention du gouvernement, c'est de s'assurer que nos données sensibles et nos données stratégiques, donc les données qui sont essentielles aux opérations du gouvernement, soient gardées dans le nuage gouvernemental.

Mme Setlakwe : Puis le nuage gouvernemental, Microsoft, Azure, ils n'ont rien à voir avec ça.

M. Caire : C'est à dire que les équipements qu'on achète sont des équipements qu'on a achetés à AWS, mais de la façon que cet ordinateur là... Mais une fois qu'on l'a acheté, ce sont nos équipements que nous opérons nous-mêmes pour nous. C'est opéré par nous et pour nous. Mais, vous savez, en termes d'équipement, il n'y a pas beaucoup de fournisseurs québécois ni même canadiens. Si vous voulez acheter un serveur, bien, vous allez... oui, ça peut être un serveur Azure, ça peut être Sun qui fait des serveurs, ça peut être Dell qui fait des serveurs, mais, bon, vous allez acheter nécessairement des équipements de ces entreprises-là. Mais une fois qu'ils sont installés, c'est vous qui les opérez, là.

Mme Setlakwe : O.K. Donc là, moi, ce que ce que j'entends, c'est que nos données ne seront pas hébergées, ne seront pas sous le contrôle de sociétés étrangères.

M. Caire : Je veux préciser. Les données qui sont... selon la classification des données que nous avons établie, les données qui sont considérées comme protégées, par exemple, non. La réponse à votre question, c'est non, elles ne seront pas hébergées sur un serveur autre que le nuage du gouvernement du Québec ou des serveurs opérés par le gouvernement du Québec.

Mme Setlakwe : Donc, on a pleine souveraineté numérique sur nos données sensibles, M. le ministre?

• (10 h 40) •

M. Caire : Absolument. Et il n'y a aucune loi, aucune entente qui nous oblige à faire affaire avec des entreprises dans le sens où on a tout à fait le droit de créer notre nuage à nous et on a tout à fait le droit de décider quelles données nous allons conserver sur notre nuage et/ou nos serveurs. Parce que tout ne va pas... comme je vous ai dit, tout ne va pas en infonuagique, là, il y a des données pour toutes sortes de raisons, notamment technologiques, qu'on n'enverra pas en infonuagique, on va les conserver sur nos serveurs à nous. Donc, on va continuer à faire l'hébergement de nos données. Par contre, des données qui auraient moins de sensibilité, bien, à ce moment-là, il n'y a pas de problème à ce qu'elles soient envoyées via des contrats par les ministères et organismes à d'autres entreprises publiques.

Mme Setlakwe : O.K. Vous avez mentionné quelque chose d'intéressant, vous avez dit : Aucune loi ne nous oblige à faire affaire avec une compagnie X, Y, Z. Mais bien sûr que non! C'est sûr que ce n'est pas ça, l'enjeu.

M. Caire : Tout à fait.

Mme Setlakwe : Il n'y a pas une loi qui nous oblige à contracter avec une entreprise en particulier, mais il y a des lois qui existent, qui donnent des pouvoirs à des gouvernements étrangers, des lois qui sont en vigueur actuellement, pas très loin d'ici, chez nos voisins du sud, qui ont une portée extraterritoriale. Donc, si on a des liens...

M. Caire : ...

Mme Setlakwe : Non? Ces lois-là n'ont pas une portée extraterritoriale?

M. Caire : Bien, c'est-à-dire que l'application, dépendamment si la donnée est conservée aux États-Unis et/ou au Québec, l'application n'est pas exactement... n'a pas la même portée.

Mme Setlakwe : Est ce que... O.K. Mais cette loi... Donc, ce que vous dites, c'est que nos données sensibles... Donc, il faudrait les énumérer au micro, là, santé... quoi d'autre? C'est quoi, les données sensibles?

M. Caire : Bien non, mais je ne ferai pas l'exercice de... parce que c'est l'exercice qu'on fait présentement...

M. Caire : ...l'analyse de nos données passe par la classification qui a été faite par le gouvernement. Puis après ça, bien, c'est... ça, c'est une analyse qui se fait, là.

Mme Setlakwe : O.K. Je comprends.

M. Caire : Je ne vous donnerai pas une grande catégorie...

Mme Setlakwe : Non, mais la classification... Il faut que vous puissiez élaborer un peu, là. Il y a une classification qui existe, puis vous dites que vous êtes sensible à ça, puis, selon la classification, ce qui est plus sensible, on en garde le contrôle, puis ce qui l'est moins, on est plus...

M. Caire : On peut aller... oui.

Mme Setlakwe : ...on est plus lousse, on se permet de peut-être les... héberger ou faire transiter ces données-là à l'extérieur du Québec.

M. Caire : C'est-à-dire qu'on va aller... on va permettre aux ministères et organismes de signer des contrats avec des fournisseurs de services qui sont qualifiés... courtiers en infonuagique. Donc, potentiellement, ça peut être Microsoft, ça peut être AWS, ça peut être Micrologic, ça peut être Cofomo, ça peut être... Il y a plein de... plein de fournisseurs.

Mme Setlakwe : O.K. Puis donnez donc un exemple de ce type de données pour lesquelles on laisse la liberté aux ministères et organismes de faire affaire avec des compagnies qui sont dans le catalogue, incluant des compagnies américaines.

M. Caire : Je serais... Je serais... Je ne sais pas. Je vous dirais, le nombre de lampadaires que le gouvernement du Québec possède. Ce n'est pas... Ce n'est pas quelque chose qui est secret. Le nombre de haltes routières qu'il y a au Québec, ce n'est pas des données sensibles, ce n'est pas quelque chose qui est stratégique. Le nombre de kilomètres de routes déneigées par le ministère des Transports, ce n'est pas... ce n'est pas quelque chose qui a besoin d'être protégé absolument.

Donc, c'est même des données normalement que vous allez retrouver sur donneesquebec.ca, là, qui est le site de données ouvertes. Donc, ça veut dire que la planète entière peut avoir accès à ces informations-là, parce qu'avec... puis ils sont libres d'accès, libres de droits. Donc, il n'y a pas de... Donc, ce n'est pas des données qui sont protégées au sens de la classification gouvernementale. Par contre, des renseignements plus personnels, notamment sur votre santé, vos données fiscales par exemple, ça, c'est protégé.

Le Président (M. Simard) : M. le député d'Orford.

M. Bélanger : C'est certain que le projet de loi est pour être capable d'avoir une certaine gouvernance puis une certaine centralisation pour pas être en mode réactif. Vous avez pris l'exemple d'Epic qui va certainement devoir utiliser des données dans le cadre de son projet et... Mais éventuellement peut-être qu'avec ces données-là il faudra avoir une stratégie, une stratégie plus souveraine au niveau du stockage de ces données. Ça fait que ça revient au projet de loi où il y a des décisions qu'on doit prendre d'une façon plus centralisée pour s'assurer qu'il n'y a pas nécessairement des organismes, des ministères qui vont dans une direction où ça pourrait mettre à risque, que ce soit des données ou que ça pourrait être... je vais utiliser un exemple dans le privé, lorsqu'on... Si vous avez plusieurs filiales d'une entreprise, les décisions au niveau des systèmes d'entreprise, que ce soit SAP, JD Edwards, etc., doivent être pris d'une façon... avec une gouvernance et d'une façon plus centralisée pour s'assurer d'avoir un contrôle.

Ça fait que vous avez utilisé... Vous avez posé la question au niveau des données de la santé, c'est certain que, dans le cadre du projet d'Epic, il va y avoir utilisation de données qui peuvent être considérées sensibles. Ça, ce sera à nous, lorsque le projet sera rendu à un certain stade, de décider qu'est-ce qu'on va faire de ces données-là qui seront utilisées pour développer l'application.

Mme Setlakwe : Là, j'entends de notre collègue d'Orford et de la part du ministre, dans certains cas, on veut un pouvoir de gouvernance centralisé, pouvoir avoir une vue d'ensemble et ne pas faire en sorte qu'il y ait des ministères ou organismes, dans le choix de leurs fournisseurs, prennent des décisions qui pourraient mettre à risque nos données ou pourraient faire en sorte que nos données ne soient pas conservées localement et bien, bien protégées, alors que le ministre, lui, semblait dire : Ce sont les ministères et organismes qui font leur... qui prennent leurs propres décisions en fonction du... des entreprises qui sont qualifiées.

M. Caire : Ce n'est pas incompatible dans le sens où vous avez deux éléments différents dans votre question. Le premier élément, c'est : Où est-ce que je dois stocker la donnée? Ça, c'est une règle qui est établie par le MCN. Donc, les ministères et organismes sont tenus de faire... de suivre...

M. Caire : ...classification des données qui a été élaborée par le Chef gouvernemental de la sécurité de l'information. Donc, ils font cette analyse-là et, en fonction du degré de sensibilité, soit ils envoient ces données-là dans le nuage gouvernemental, parce que c'est la règle, soit ils peuvent en disposer en infonuagique publique. Alors, le choix qu'ils ont, c'est de décider qui est leur fournisseur d'infonuagique publique. Les ministères et organismes n'ont pas le choix du fournisseur privé. Ça, c'est le gouvernement. Et les ministères et organismes n'ont pas le choix d'envoyer les données qui seront considérées comme sensibles et stratégiques, selon la classification, ils n'ont pas le choix de les envoyer dans le nuage gouvernemental. Ce choix-là, ils ne l'ont pas.

Mme Setlakwe : O.K.Là, je comprends. Vous avez parlé de la santé et votre collègue d'Orford... notre collègue d'Orford a parlé parler d'Epic, tout ça est en train d'être mis en place actuellement. Donc, c'est le ministère de la Santé et des Services sociaux qui gère ce projet-là, actuellement, et qui va prendre ses propres décisions sur l'hébergement de nos données. Là, je pense qu'au niveau de la santé on s'entend que, dans la classification, c'est au haut de la liste des données sensibles. Vous êtes d'accord avec ça?

M. Caire : Bien, encore là, il faut faire attention, Mme la députée, vous avez raison, dans certains cas, mais il y a des données, comme l'adresse d'un hôpital, ce n'est pas de la donnée sensible. C'est de la donnée de santé, en théorie, mais ce n'est pas... ce n'est pas une donnée sensible.

Mme Setlakwe : Non, je comprends, mais là vous...

M. Caire : Ce n'est pas une donnée sensible. Non, mais vous comprenez ce que je veux dire?

Mme Setlakwe : Oui.

M. Caire : C'est ça, c'est qu'on ne peut pas... Il faut qu'on fasse une analyse exhaustive du... mais je comprends ce que vous voulez dire.

Mme Setlakwe : Mais oui, là.

M. Caire : Les données qui me concernent, qui concernent ma santé sont des données sensibles. Je suis d'accord avec vous. Mais les données de santé, le parapluie est plus large que ça, le nombre...

Mme Setlakwe : Oui, mais c'est tout l'objet du projet de loi qu'on étudié ensemble, le projet de loi n° 3 qui est en vigueur.

M. Caire : Oui, oui, tout à fait.

Mme Setlakwe : C'est de faire en sorte que nos établissements de santé puissent avoir accès à nos... qu'on n'ait pas besoin de tout raconter notre histoire à chaque fois qu'on va consulter un professionnel.

M. Caire : C'est ça. C'est ça.

Mme Setlakwe : Et là vous me dites : Donc, pour moi, les renseignements de santé, c'est tout ce qui est dans notre dossier de santé.

M. Caire : Oui.

Mme Setlakwe : On veut qu'il y ait une efficacité, que nos professionnels de la santé aient accès à tous les tests, les résultats, les labos, les différents médicaments qu'on prend, les interventions chirurgicales qu'on a subies, etc., pour ne pas qu'on traîne nos valises avec nous puis qu'on recommence toujours à raconter notre histoire, puis... Mais ces données-là, pour pouvoir être accessibles, vont être hébergées, puis c'est...

M. Caire : Oui.

Mme Setlakwe : Bon. Et là, en ce moment, je pense que les établissements, donc les organismes qui sont sous la gouverne du MSSS, ils sont en train de prendre des décisions puis de regarder leurs options. Tu sais, quand vous me dites : Les données de santé, ça inclut aussi des adresses des hôpitaux. Est-ce qu'on peut s'entendre que 95 % des données, ça va être des données sensibles, ça va être nos données...

M. Caire : Je suis d'accord, mais vous comprenez que...

Mme Setlakwe : Oubliez les adresses des hôpitaux, là, puis restons dans nos...

M. Caire : Puis je comprends.

Mme Setlakwe : ...le contenu de nos dossiers médicaux.

• (10 h 50) •

M. Caire : Je comprends le sens de votre question, mais comprenez aussi qu'on est... Nos propos sont enregistrés, donc moi, je ne veux pas me faire dire, à un moment donné : Ah! Bien, là, le ministre a dit les données de santé, ça serait hébergé sur le nuage gouvernemental, puis là, bien, ça, c'est une donnée de santé puis ce n'est pas hébergé sur le nuage gouvernemental, donc le ministre a menti.

Le ministre, il vous dit : On va faire une classification de la donnée, puis, en fonction de la classification, c'est ça qui va faire en sorte qu'on va envoyer la donnée sur le nuage privé ou sur le nuage... ou qu'on pourra l'envoyer sur le nuage public. On peut penser que la plupart de nos données de santé qui concernent les individus sont des données protégées en effet. Mais la donnée de santé, le chapeau est plus large. C'est juste dans ce sens-là, Mme la députée, que...

Mme Setlakwe : O.K. Mais je comprends. O.K. on s'entend.

M. Caire : Mais je comprends, je comprends, là.

Mme Setlakwe : Il y a des catégories de données avec une sensibilité qui varie.

M. Caire : C'est ça.

Mme Setlakwe : Tout à fait. Epic est en train de... de travailler, ils vont devoir s'assurer que leur système est compatible avec les systèmes dans les différents établissements qui ne sont pas au même niveau, etc. Il y a des choix de fournisseurs qui vont devoir être faits au niveau des... des établissements, des organismes. On s'entend là-dessus. Est-ce qu'il y a des... des entreprises québécoises qui vont pouvoir participer à ce projet-là? Est-ce qu'il y en a qui sont exclues?

M. Caire : Bien, je ne pense pas qu'il y ait des entreprises qui soient exclues, là. Mais, comme je vous dis, là, vous m'amenez au niveau de la gestion quand même assez pointue du projet de DSN, là, avec le système Epic. Donc, ça, je me... je me réserve la... la possibilité d'aller chercher plus d'informations pour mieux vous répondre.

Mme Setlakwe : Et j'aimerais ça, oui, oui.

M. Caire : Oui.

Mme Setlakwe : Je pense que ça pourrait être intéressant parce qu'on revient quand même à la base. On regarde actuellement qui a obtenu les contrats lucratifs du gouvernement, puis là on réalise qu'il y a des entreprises américaines, il y en a.

M. Caire : Oui, oui, mais ça, on...

Mme Setlakwe : Et là on va plus loin dans le déploiement de la transition numérique, on va plus loin dans l'identité numérique. Il va y avoir plus de données qui vont être centralisées, qui vont être hébergées, qui vont pouvoir...

Mme Setlakwe : ...dans l'identité numérique, il va y avoir plus de données qui vont être centralisées, qui vont être hébergées, qui vont pouvoir transiter. Puis, pour le bien, là, d'un appareil gouvernemental efficace, j'en conviens, mais dites-moi pas que je vous amène vers quelque chose de trop pointu quand c'est exactement ce vers quoi on s'en va, là, avec ces différents projets. Ça fait qu'il faut comprendre actuellement quel est le portrait de la situation. Quels sont les liens contractuels? Quelles sont les entreprises qui sont actives en ce moment?

M. Caire : Je ne nie pas ça, Mme la députée.

Mme Setlakwe : O.K. C'est là où...

M. Caire : Je dis juste que, compte tenu de l'objet de la commission ici, qui est d'étudier l'article 3, bien, l'article 3 n'est pas en lien avec l'ensemble des contrats de TI du gouvernement du Québec, là. On parle de donner au MCN la possibilité d'être le vaisseau amiral du déploiement d'un réseau de télécommunication. Donc, ça, ça n'a pas d'impact sur comment la Santé va gérer le déploiement du système Épique, là. C'est pour ça que le... Puis, comme je vous l'expliquais, ce n'est pas de la mauvaise volonté, mais j'irai... j'irai me faire une mise à jour puis je m'arrangerai aux études de crédits pour vous avoir des informations plus pointues.

Mme Setlakwe : Merci. Écoutez, vous avez dû voir comme moi, là, l'article qui est sorti, bien, c'est le 13 février : «Trump has free rein over Dutch Governement data», on comprend que le... que le gouvernement hollandais a... utilise, donc, les services des entreprises américaines, des géants du tech, là, Microsoft, Google, Amazon, pour son infrastructure digitale... numérique, c'est-à-dire. Et là on... dans leurs opérations de tous les jours, quotidiennement, donc, ils ont... Les municipalités hollandaises des Pays-Bas utilisent les produits Microsoft. Et puis là c'est l'inquiétude totale, à savoir des courriels à l'hébergement des données sensibles, ces entreprises-là, les entreprises des géants américains, via... par le biais de ces lois qui ont une portée extraterritoriale, sont sous surveillance américaine, là. Il y a vraiment une inquiétude. Et comment on peut rassurer les Québécois qui auraient lu cet article-là puis qui se disent : Est-ce qu'on a nous-mêmes cette même structure en place? Est-ce que le gouvernement a... Est-ce que le gouvernement américain a libre accès à nos données, M. le ministre?

M. Caire : Pas les données qui sont sur le nuage gouvernemental, d'aucune façon, d'aucune façon.

Mme Setlakwe : Je pense que c'est vraiment important qu'on comprenne, donc, cette classification.

M. Caire : Oui, j'en conviens.

Mme Setlakwe : Puis qu'on comprenne quelle part de nos données sont à l'extérieur de ce fameux nuage gouvernemental, pour lequel on a une pleine souveraineté.

M. Caire : Bien, je vous ai donné quelques exemples, là, d'informations qui pourraient être... qui pourraient être données en infonuagique publique. Vous comprendrez que je ne peux pas vous faire un inventaire exhaustif de l'ensemble des données qui se ramasseraient en infonuagique publique, mais ce que je veux dire, pour rassurer les Québécois, c'est que des données qui sont des données sensibles, des données qui sont stratégiques, ça s'en va dans le nuage gouvernemental québécois, qui est opéré par et pour le gouvernement du Québec, pour lesquelles aucune loi américaine ne peut s'appliquer, seules les lois canadienne et québécoise s'appliquent.

Mme Setlakwe : O.K. Donc, vous n'êtes aucunement inquiet que les nouveaux pouvoirs centralisateurs, qui sont octroyés à votre ministère, puissent faire en sorte qu'on dépende davantage des sociétés américaines.

M. Caire : Non, au contraire, au contraire, au contraire, parce qu'avec une vision d'ensemble on peut aussi mettre en place des politiques et notamment une politique de souveraineté numérique, et j'insiste sur le «numérique».

Mme Setlakwe : Merci. Donc là, on va... on va revenir à toutes ces discussions-là, on aura amplement de questions, là, par rapport aux courtiers infonuagiques.

M. Caire : As-tu un complément de réponse?

M. Bélanger : ...

La Présidente (Mme Mallette) : M. le député d'Orford.

M. Bélanger : Je pense que l'État va devoir gérer les informations qui sont sensibles, mais l'État ne pourra jamais gérer les informations sensibles que l'on va décider, en tant que citoyen, de fournir aux GAFAM. Si vous utilisez, vous achetez un téléphone iPhone, vous vous mettez... O.K., j'accepte parce que c'est tellement écrit petit, mais il y a des données, il y a des... Vos données personnelles deviennent sensibles à l'utilisation, que ce soit d'autres applications qui sont utilisées aussi, mais les applications ou les outils qui vont être utilisés par le gouvernement ou par des organismes, où il y a des données sensibles, on va se faire un devoir de s'assurer qu'elles sont hébergées dans un cloud souverain.

Mme Setlakwe : Merci.

La Présidente (Mme Mallette) : Est-ce qu'il y a d'autres échanges sur l'article 5.2?

Mme Setlakwe : Non, merci, Mme la Présidente, mais là je pense qu'on est sur l'article...

La Présidente (Mme Mallette) : L'article 3 qui introduit l'article 5.2.

Mme Setlakwe : ...l'article 3 généralement...

La Présidente (Mme Mallette) : ...qui introduit l'article 5.2.

Mme Setlakwe : ...généralement. Je pense qu'on a parlé amplement, là, de 5.2, de 5.3, donc les réseaux d'infrastructures de connectivité. Bien, en fait, généralement, là, sur l'article...

La Présidente (Mme Mallette) : ...lire l'article 5.3 avant d'avoir des discussions dessus.

Mme Setlakwe : Ah! bien sûr. C'est vrai, on ne l'avait même pas lu.

La Présidente (Mme Mallette) : M. le ministre, est-ce que vous pouvez nous faire la lecture de l'article 3 qui...

Des voix : ...

La Présidente (Mme Mallette) : Non. Exactement, donc on va faire la lecture de 5.3.

M. Caire : Je vais laisser mon collègue d'Orford, Mme la Présidente, faire ça.

La Présidente (Mme Mallette) : Notre collègue d'Orford va prendre la lecture de l'article 5.3 introduit par l'article 3 du projet de loi.

M. Bélanger : L'article 5.3. «Le ministre développe et exploite à des fins non commerciales un réseau d'infrastructures de connectivité en lien avec les services de télécommunication qu'il fournit. Le ministre dispose de tous les pouvoirs nécessaires lui permettant d'acquérir, d'offrir en location ou d'aliéner tout bien pour le développement et l'exploitation d'un tel réseau.

Toute personne désignée par le ministre peut accéder à toute heure raisonnable à tout immeuble pour y effectuer des inventaires, des levers, des examens, des analyses ou d'autres travaux préparatoires aux fins de développement et de l'exploitation de ce réseau, à charge de réparer tout préjudice qui pourrait être causé.

La responsabilité et les pouvoirs conférés au présent article doivent être exercés dans le respect des autorisations prévues aux règles prévues en vertu de l'article 16.2 de la Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des organismes... et des entreprises du gouvernement (chapitre J-1.03).

Pour l'application de la présente loi, on entend par «infrastructure de connectivité» toute infrastructure qui permet de communiquer à distance. Il peut s'agir d'une infrastructure qui utilise une transmission filaire ou non filaire de données, comme la fibre optique, les antennes, les tours de télécommunications, les satellites, les ordinateurs et les systèmes informatiques.»

L'article 3 du projet de loi vise à conférer au ministre de la Cybersécurité et du Numérique la responsabilité de développer et d'exploiter un réseau d'infrastructures de connectivité dans le contexte des services de télécommunications que ce dernier fournit.

Il propose également de donner au ministre tous les pouvoirs nécessaires, comme la possibilité d'acquérir, d'offrir en location ou d'aliéner tout bien pour le développement ou l'exploitation de ce réseau.

Le Président (M. Simard) : Très bien. Alors, nous pouvons entreprendre nos échanges. Mme la députée.

Mme Setlakwe : Merci. Bien, écoutez, je pense qu'on a besoin d'une explication sur la problématique actuelle. Est-ce qu'il y a... Puis je vois qu'on parle d'octroyer au ministre tous les pouvoirs nécessaires pour lui permettre d'acquérir, de louer, d'offrir en location ou d'aliéner tout bien pour le développement ou l'exploitation d'un tel réseau. Actuellement, quel est l'état de la situation? Est-ce qu'on est propriétaire? Est-ce qu'on loue? Qu'est-ce qui est la problématique, exactement?

• (11 heures) •

M. Bélanger : Bien, actuellement, il y a beaucoup d'infrastructures qui appartiennent à du privé. Il y a des infrastructures qui sont mal utilisées. Ce qu'on cherche, c'est une mutualisation au niveau des infrastructures, de façon à ce qu'elles soient mieux utilisées. Je peux donner un exemple. Hydro-Québec a un réseau d'infrastructures de connectivité pour la gestion de ses propres barrages. Ils ont une capacité excédentaire d'à peu près 8 %, entre 6% et 8 % de leur réseau. Ce serait peut-être intéressant de pouvoir avoir une entente, exemple, avec Hydro-Québec pour pouvoir utiliser cette capacité-là, excédentaire, au lieu d'investir puis de déployer de la fibre. Il peut y avoir... il peut y avoir un coût intéressant à ce niveau-là. Je prendrais...

Mme Setlakwe : Je m'excuse, je vous arrête. Actuellement, on n'a pas le pouvoir de le faire? Le gouvernement n'a pas le pouvoir de le faire, ça prend cet article-là?

M. Bélanger : Bien, le pouvoir, on ne l'a pas demandé, c'est quand même des données... il peut y avoir des... C'est de la gestion de barrage, on s'entend que c'est un câble de garde dans le haut... dans le haut des pylônes. Il y a une capacité excédentaire, ça fait qu'il faut s'entendre avec Hydro-Québec. Je n'entrerai pas dans le détail, mais est-ce que c'est un brin dédié de ce réseau-là, la capacité excédentaire, est-ce qu'elle est partout au niveau du réseau...  il y ait des discussions qui ont été entamées avec Hydro-Québec.

C'est un exemple, mais il y a aussi... au niveau d'infrastructures, il y a des infrastructures, des tours terrestres qui sont utilisées pour différentes applications. Il y en a un potentiel de mutualisation de certaines tours, de façon... au lieu d'en déployer des nouvelles, d'utiliser des tours existantes pour pouvoir envoyer un signal, un signal additionnel.

Vous avez des infrastructures municipales qui peuvent être intéressantes à utiliser. Puis j'en viens à l'accessibilité au niveau de ces infrastructures-là. C'est certain qu'il faut avoir certains...

M. Bélanger : ...des pouvoirs pour être capable de déployer des infrastructures afin de s'assurer d'avoir une connectivité adéquate.

Mme Setlakwe : Merci. Est-ce que le ministre veut ajouter... chose sur sa vision par rapport à 5.3 puis la problématique actuelle? On ne m'a pas répondu par rapport aux baux.

M. Caire : Bien non... Rapidement. C'est ce que je vous expliquais d'entrée de jeu, c'est être capable d'avoir une cohésion puis une cohérence dans non seulement l'utilisation des réseaux existants, mais dans comment on va améliorer le développement et le déploiement de ce réseau-là. Donc, c'est vraiment d'avoir un vaisseau amiral qui assure une cohérence puis une cohésion dans tout ça.

Mme Setlakwe : Quelle est la situation au niveau des baux qui sont en cours?

M. Caire : Oui. On a des baux de location au niveau des tours. On est, encore là, je vous le dis de mémoire, là, on est à 200, 250 baux de gestion. D'ailleurs, on pourra en reparler plus en détail un peu plus loin, parce que c'est un... une disposition de la loi de faire en sorte qu'on ne demande plus nécessairement l'autorisation au Conseil du trésor pour la signature et le renouvellement des baux. Parce que, quand la responsabilité est au CSPQ, comme c'est un organisme extrabudgétaire, il n'avait pas cette obligation-là de demander l'autorisation au Conseil du trésor. En devenant un ministère, il y avait cette obligation-là qui était... qui était rajoutée du simple fait du changement de statut.

Or, dans le projet de loi, on demande que le ministère de la Cybersécurité et du Numérique retrouve cette possibilité-là de gérer, de renouveler les baux sans nécessairement avoir l'approbation du Conseil du trésor, puisque certains baux, c'est des baux de 10 000 $, c'est des... Bon. Alors, voilà.

Mme Setlakwe : On comprend très bien, donc. Mais est-ce que l'intention, c'est d'en arriver à ne plus dépendre de ces baux puis d'en devenir propriétaires?

M. Caire : Non, pas nécessairement, parce qu'il faut comprendre, puis je vais confirmer avec le député d'Orford, mais une tour, c'est quoi, 2 millions, monsieur le député, que ça nous coûterait? 

M. Bélanger : 2 millions, à peu près, en capital, puis ça peut aller jusqu'à 50 000 $ par année, en frais d'opération.

M. Caire : Donc, de mutualiser avec des systèmes qui sont déjà existants, c'est beaucoup plus économique pour... puis on arrive au même résultat.

Mme Setlakwe : La question, au troisième alinéa, «de désigner une personne qui peut avoir accès à toute heure raisonnable à tout immeuble pour y effectuer des inventaires, levés, examens, analyses», etc., est-ce que ça, on s'est inspiré d'un pouvoir qui existe ou d'un libellé qui existe ailleurs dans le corpus législatif? Puis qu'est-ce qu'on a en tête exactement, si on prévoit ce pouvoir spécifique de désigner des personnes pour aller effectuer des inventaires, c'est que... sans ce libellé-là, le gouvernement ne pourrait pas avoir un inventaire complet?

M. Caire : M. le Président, avec votre consentement, Me Bacon.

Mme Bacon (Nathalie) : Alors, bonjour. Le troisième paragraphe, effectivement, c'est les libellés qui existent déjà dans les lois du Québec. Vous avez un semblable pouvoir pour le ministère des Transports dans les lois de transport. Et la dernière mouture qu'on voit, donc, cet alinéa-là, la dernière mouture revampée, si je peux dire, du libellé, est actuellement l'article 117 du PL 69, qui est en cours d'étude, là, par les parlementaires. Ça fait que c'est le pouvoir... C'est un pouvoir accessoire, notre pouvoir de développer un réseau, donc, on peut inspecter ou faire des travaux préparatoires.

Mme Setlakwe : Merci beaucoup, Me Bacon. Puis le quatrième alinéa: «Les responsabilités et les pouvoirs conférés au présent article peuvent être exercés dans le respect des autorisations prévues aux règles prises en vertu de l'article 16.2 de la LGGRI.» Pourquoi est-ce que c'était nécessaire de prévoir? Il me semble que c'est implicite qu'on doive respecter les règles.

Mme Bacon (Nathalie) : Vous avez tout à fait raison. Alors, ici, ce qu'on a voulu, c'est plutôt une disposition de nature académique ou éducative pour faire un renvoi finalement aux règles prises en vertu de 16.2. Ces règles-là, actuellement, elles sont existantes en vertu du décret 1159-2022. Et vous avez aussi un arrêté ministériel du ministre de la Cybersécurité et du Numérique, l'arrêté ministériel 2022-03. Donc, ce qu'on a voulu faire, c'est un rappel qu'il y a des règles existantes qui s'appliquent, qui sont à respecter.

Le Président (M. Simard) : Me Bacon, je m'excuse. Moi, je vous connais très bien, comme les membres de la commission, mais pour le public...

Le Président (M. Simard) : ...qui nous écoutent, auriez-vous l'amabilité, s'il vous plaît, de vous présenter?

Mme Bacon (Nathalie) : Oui, M. le Président. Nathalie Bacon, légiste pour le ministère de la Justice.

Le Président (M. Simard) : Merci. Alors, nous pouvons poursuivre nos échanges, je m'excuse, je l'avais oublié tellement vous faites maintenant partie de notre commission. Madame.

Mme Setlakwe : Merci, M. le Président. Donc, juste nous rappeler sommairement, ces règles, elles prévoient quoi précisément?

Mme Bacon (Nathalie) : Notamment, les règles prises par le décret de 2022, le 1159-2022, c'est principalement des autorisations, sauf pour le dossier d'opportunité, alors lorsqu'on est en planification d'un projet en ressources informationnelles ou une autorisation pour passer à la phase de réalisation du projet, donc en phase d'exécution. Et vous avez, à l'annexe de ce décret-là, différents montants, là, des seuils selon les seuils du projet en ressources informationnelles. À ce moment-là, c'est soit une autorisation du dirigeant de l'organisme, soit le Conseil du trésor ou soit le gouvernement.

Mme Setlakwe : Merci. Et puis cette définition à la fin, d'infrastructures de connectivité, cette définition-là n'existait pas auparavant.

Mme Bacon (Nathalie) : Non, c'est nouveau. L'idée, c'est que... Vous avez bien compris qu'au niveau technologique, l'évolution est très rapide. Donc, il fallait trouver une définition pour se comprendre, là, qu'entend-on par réseau de connectivité? Alors, vous avez l'objectif, donc l'objectif étant de pouvoir communiquer à distance. Puis le reste de l'alinéa, bien, ce sont des exemples. Ça fait que, là, vous savez, tout ce qui est filaire, non filaire, là, je le dis de mémoire, les tours, donc tout ce qui est finalement la quincaillerie... les outils, puis tout ce qui n'est pas compris puis qui pourrait être possible dans le futur dont on ne peut penser aujourd'hui, là.

Mme Setlakwe : Merci. Donc, c'est vraiment une définition qui est... c'est non limitatif quand on dit : Il peut s'agir de ce qui vient par la suite ou autre chose selon l'évolution de... selon l'évolution des choses qui, effectivement, est assez rapide.

Mme Bacon (Nathalie) : Tout à fait.

Mme Setlakwe : Mais on se rappelle que cette définition, qui est très large, elle se rapporte... elle se rattache au pouvoir du ministre de développer et d'exploiter à des fins non commerciales. Ce n'est pas une entreprise lucrative, là, mais c'est pour le bien de l'État, c'est dans ce sens là, un réseau d'infrastructures de connectivité en lien avec les services de télécommunication qu'il fournit. Mais encore une fois, je veux savoir, actuellement, je ne sais pas si le ministre veut ajouter des informations par rapport aux entreprises qui sont actuellement mises à service, des entreprises privées, dans le cadre de ce mandat.

M. Caire : Je ne suis pas sûr que je comprends qu'est-ce que vous voulez dire par «ajouter de l'information».

• (11 h 10) •

Mme Setlakwe : Bien oui, mais on parle ici d'un pouvoir qui est enchâssé dans votre... c'est dans votre loi constitutive qui prévoit que vous allez développer... vous avez le pouvoir de développer et exploiter un réseau d'infrastructures de connectivité — puis infrastructures de connectivité, c'est une définition qui est très large et évolutive — en lien avec les services de télécommunication qu'il fournit. Moi, je vous demande... Bien, je pense que tout ça n'est pas déployé à l'interne, vous devez avoir recours à des entreprises externes.

M. Caire : Oui, tout à fait. Oui.

Mme Setlakwe : Bien, c'était l'objet de ma question, à savoir quelles sont les entreprises qui sont... Quelle est la vision, là, pour peut-être élargir ou avec quelles entreprises croyez-vous que vous allez continuer à collaborer? Et qui sera mis à profit?

M. Caire : Avec... bien, avec les entreprises qui font, par exemple... qui offre des réseaux de téléphonie cellulaire, par exemple. Parce que, comme je vous disais, si ces entreprises-là développent des tours de communication, bien, pour nous, ça peut être avantageux de signer un bail d'utilisation parce qu'une tour n'est pas obligée d'être dédiée à un seul fournisseur de télécommunications, on peut installer notre matériel, nous, sur cette tour-là et l'utiliser. Donc, ça, c'est un exemple où on pourrait avoir des contrats à signer avec... ce qu'on fait déjà, d'ailleurs. Mais on pourrait à l'inverse, nous, dire : Bon, bien, il y a des secteurs pour lesquels il y a moins d'appétit pour les entreprises parce qu'il y a moins de densité, donc moins de possibilités de rentabiliser l'investissement. À ce moment-là, nous, on pourrait se concentrer sur ces secteurs-là parce que, comme la loi le dit, nous ne sommes pas une entreprise qui agit à des fins commerciales, mais on a une obligation de service sur...

M. Caire : ...l'ensemble du territoire québécois, notamment avec le réseau de RENIR, qui est le réseau de communication d'urgence. Là, vous comprendrez qu'il faut être capable de communiquer où est-ce... indépendamment d'où est-ce qu'on est sur le territoire québécois. Donc, c'est un peu ça, la vision, de dire : Bien, si on peut avoir des ententes avec l'entreprise privée qui développe son réseau, on utilise son réseau, ce qui fait qu'on n'a pas, nous, à faire les investissements sur les infrastructures, etc., les opérations, on peut être locataire. Par contre, bien, ça nous évite des coûts. Ces coûts-là, bien, ça nous permet d'avoir des budgets supplémentaires pour développer là où l'entreprise privée aura moins d'intérêt commercial à le faire.

Le Président (M. Simard) : Très bien. M. le député d'Orford.

M. Bélanger : Bien, avec l'évolution de la connectivité, on va avoir de plus en plus d'infrastructures. Je prendrais l'exemple au niveau de la mobilité. Pour couvrir tout le Québec, ça prend peut-être un millier de tours, et là on va arriver avec la 5G ou la 5G plus, et c'est des infrastructures qui... On va peut-être avoir besoin de 10 000 infrastructures, puis ça va être dans des centres urbains, où il y a beaucoup plus de densité, donc on va devoir avoir les capacités de déploiement ou d'accès. C'est souvent, là, en hauteur, au niveau des toits des immeubles. Donc, quand on parle d'accessibilité au niveau de ces infrastructures-là, c'est un exemple, ou ça peut être aussi passer... avoir accès pour passer la fibre, parce que les tours sont installées, mais ça prend un accès. C'est souvent tout relié par la fibre optique, ou il peut y avoir un lien satellitaire. Donc, c'est vraiment au niveau d'une...

Quand on avait fait le projet Opération haute vitesse, on l'a quand même fait assez rapidement, là, déployer 70 000 kilomètres de fibre, mais il faut penser qu'on a eu une grosse problématique d'accessibilité aux... à des infrastructures, des infrastructures de soutènement justement pour passer la fibre optique. Ça fait que, s'il y avait eu une plus grande facilité au niveau de ces infrastructures-là, si ces infrastructures-là avaient été plus mutualisées, on aurait pu déployer encore plus rapidement. C'était peut-être aussi une des raisons pourquoi ça a pris des décennies avant de déployer Internet justement en région, à cause de la complexité de ces accès-là.

Mme Setlakwe : Merci. Juste pour être claire, là, dans la mise à contribution des entreprises privées, le décret dont on parlait tout à l'heure - je pense qu'on pourra y revenir, là - le 596-2020, bien, premièrement, il va... est-ce qu'il a une date d'expiration? Est-ce qu'il est... il va être toujours en vigueur pour longtemps? Puis est-ce que les services dont on parle ici, à 5.3, ont un lien avec ce décret-là, ou pas du tout?

M. Caire : Non, pas du tout, parce que le décret dont vous avez parlé, c'est assurément sur la consolidation des centres de traitement, c'était sur le développement de la téléphonie IP, donc c'est de changer nos vieux téléphones pour des téléphones numériques. Mais non, ça, il n'y a pas de lien entre les deux.

Mme Setlakwe : C'est un autre décret qui s'applique, donc, de ce que je comprends de vos échanges avec la légiste? S'il y en a un autre, j'aimerais savoir, s'il vous plaît, de quoi il s'agit.

Mme Bacon (Nathalie) : Oui. M. le Président, c'est le décret 530-2021, que vous devez avoir, puisque tout à l'heure vous avez lu l'annexe, vous avez fait l'énonciation des services qui est en annexe de ce décret-là. Ça fait que c'est comme s'il y avait eu deux décrets qui se chevauchaient, là, dans votre énumération.

Mme Setlakwe : Effectivement, je viens de voir. Oui, j'ai les deux, j'ai le 530... 596-2020, qui ne s'applique pas ici, c'est 530-2021. Quel est l'objet déjà de ce décret?

Mme Bacon (Nathalie) : C'est un décret qui prévoit... qui est pris en vertu de l'article 22.1 de la LGGRI pour prévoir que les services énumérés en annexe sont obligatoires. Il y a une date maximale, qui est le 31 mars 2026, pour le branchement par les organismes publics.

Mme Setlakwe : O.K. Donc, ce... Et comment ça fonctionne, là, quand on... quand vous octroyez des contrats? Ce décret vous permet de faire quoi, exactement?

M. Caire : En fait...

Mme Setlakwe : M. le ministre, là, je comprends qu'il a des objectifs, mais ensuite il vous donne des pouvoirs. Ce serait intéressant qu'on comprenne les tenants et aboutissants de ce décret.

M. Caire : Le décret fait en sorte que les organismes publics devront utiliser le réseau gouvernemental de télécommunications dans leurs branchements — actuellement, on utilise le RITM, qui est un système qu'on veut décommissionner, évidemment, parce que c'est un vieux système qu'on remplace par RGT — et donc là, donne un délai maximum aux entreprises... aux ministères et organismes pour...

M. Caire : ...délai maximum aux entreprises... aux ministères et organismes pour transiter du RITM vers le RGT.

Mme Setlakwe : O.K., je comprends. Donc, oui, effectivement, c'est... on parle de... c'est l'objet de l'article qu'on étudie. Et puis est-ce qu'il y a des... est-ce que, dans le cadre de ces objectifs-là, il y a des entreprises privées qui sont mises à contribution?

M. Caire : Oui, oui. Comme je vous ai dit tantôt, le RGT, on le construit avec Bell, notamment. Il y a Telus aussi, là, qui a des contrats... qui a des contrats avec nous. On utilise... dans le fond, on utilise les réseaux existants, là, pour beaucoup, là. Donc, on va déployer, nous, notre fibre, dans certains cas, on va... on va utiliser de la fibre existante dans d'autres cas. Mais, oui, comme je vous expliquais, au niveau des tours de télécommunication notamment, oui, on a des ententes avec Bell, on a des ententes avec Telus. Je pense qu'on en a avec Rogers aussi, beaucoup moins, par contre, mais on en a. On va en avoir avec Cogeco, aussi, au niveau de la télécom.

Donc, il y a différentes entreprises, là. Quelquefois, ça va être des entreprises très locales avec qui on va avoir des ententes, là, mais ce n'est pas nécessairement tous des équipements qui nous appartiennent. Nous, je pense qu'on a 300 tours là, qui appartiennent au... qui appartiennent au ministère, qui sont opérées par nous, là, puis, sinon, le reste, c'est toutes des locations, d'où l'article de la loi, qui nous permet, là, de gérer ces contrats-là, puis de les renouveler, puis, éventuellement, d'en signer d'autres, dans la perspective, là, que je vous expliquais, Mme la députée, que, tu sais, si on développe notre propre réseau de tours — ici, on parle de tours, évidemment, là — à 2 millions de la tour, là, on n'y arrivera pas, là.

Mme Setlakwe : Non, je comprends. Et puis donc vous dites : On fait affaire avec telle, telle compagnie. Et les contrats sont octroyés de gré à gré ou c'est... à chaque fois, il y a des appels d'offres publics, ouverts?

M. Caire : Non, je vous dirais qu'il y a du contrat de gré à gré parce que, souvent, les secteurs sont... pourront être... sont... Par exemple, Rogers va avoir son réseau dans certains secteurs, Bell va être plus dans un autre secteur, plus fort dans un autre secteur. Pour le reste, là, je me garde peut-être une petite... je me garde une petite gêne là, parce que... Je pourrais aller vous chercher des précisions sur comment on octroie les contrats, parce qu'encore une fois vous comprendrez que ce n'est pas... ce n'est pas un processus dont je me mêle, là mais...

Mme Setlakwe : ...tout à fait... Je comprends que, dans l'octroi des contrats, le politique ne s'en mêle pas, là, ce n'est pas... Mais, après, il faut quand même s'assurer... avoir une vision, avoir une vue d'ensemble, puis s'assurer que...

M. Caire : Oui, oui, oui. Non, non, c'est pour ça que je vous dis, c'est une information que je vais aller vous chercher pour être... vous donner la réponse la plus précise possible.

Mme Setlakwe : On veut s'assurer qu'il y a une saine concurrence, toujours pour le bien des contribuables, puis...

M. Caire : Oui. Là-dessus, on est tout à fait d'accord. Tu as-tu un complément?

• (11 h 20) •

M. Bélanger : Bien, la mutualisation va aider à baisser les prix. Les territoires ont souvent été octroyés par enchères, donc on se retrouve, des fois, dans des... certains territoires, puis, plus vous êtes en région, plus il y a un fournisseur unique dans cette région-là. Dans les grands centres urbains, une tour à 2 millions est très rentable, mais à 100 kilomètres de Montréal, une tour à 2 millions n'est pas rentable. Ça fait qu'à ce moment-là peut-être qu'on... il va y avoir un équilibre si on mutualise quoi, puis on essaie d'optimiser. Puis là, après ça, vous avez toute la technicalité de cette fameuse infrastructure-là. Est-ce qu'elle peut être... est-ce qu'elle peut être louée? Est-ce qu'elle peut être partagée? Est-ce que le signal... C'est assez complexe, puis c'est quand même géré, là, par Ottawa ou le CRTC.

Ça fait que c'est pour ça que de disposer... d'être capables de déployer des infrastructures qu'on appelle neutres... La fibre, lorsqu'elle est neutre, elle est... elle peut être noire, mais une infrastructure comme une tour, il peut y avoir des avantages pour l'État, des avantages en termes de coûts, justement, pour la déployer puis l'opérer.

Mme Setlakwe : Vous n'avez pas nommé, tout à l'heure, Vidéotron, M. le ministre, mais j'imagine que Vidéotron fait partie du...

M. Caire : Oui, sûrement qu'ils sont... ils sont... oui, oui, sûrement qu'ils ont... ils ont une part de contrat aussi. Mais peut-être...

M. Bélanger : ...Vidéotron, Sogetel, Telus, Bell, puis il y a plusieurs petits joueurs. On peut peut-être en trouver une douzaine, certainement, là.

Mme Setlakwe : Il y a... c'est ça, il y a des entreprises qui sont... qui étaient préoccupées, là, de... par leur présence, là, dans... en tout cas, de leur mise à contribution, et ils proposaient même qu'on... qu'on vienne amender les premier et deuxième alinéas, là, pour prévoir que cette nouvelle mission va se faire...

Mme Setlakwe : ...de plusieurs partenaires en ressources informationnelles. Puis au deuxième alinéa, à la fin, quand on dit que le «ministre dispose de tous les pouvoirs nécessaires lui permettant d'acquérir, d'offrir en location ou d'aliéner tout bien pour le développement ou l'exploitation d'un tel réseau», on a même proposé d'ajouter «auprès de plusieurs fournisseurs». Comment vous les... est-ce que vous souhaitez faire ces amendements ou est-ce que votre... vous croyez que c'est plutôt implicite? Comment vous les rassurez qu'il y aura une saine concurrence?

M. Caire : Oui. Comme je l'expliquais la semaine dernière, là, on parle de la LCOP, la loi concernant... sur les contrats des organismes publics, qui nous oblige à favoriser la concurrence, là. Il y a quand même des règles très strictes à suivre, là, quand on est en appel d'offres, d'une part, et d'autre part, vous avez l'AMP qui va s'assurer de la conformité des processus. Et déjà je peux vous dire que, dans les processus d'octroi de contrats, il y a des plaintes qui sont déposées, il y a des jugements qui sont rendus par l'AMP sur la conformité. Dans certains cas, la conformité est avérée. Dans certains cas, il y a des modifications qui sont demandées à l'appel d'offres. Donc, cet aspect-là, pour s'assurer d'une saine concurrence, c'est bien couvert.

Non, je ne vois pas d'intérêt. Puis, pour avoir eu connaissance des demandes d'amendements, je vous dirais que ça va même en contradiction avec ce qu'on dit, parce qu'en soustrayant des... différents organismes, bien, on va à l'encontre de ce qu'on souhaite, c'est-à-dire d'avoir une entité centrale qui s'assure de la cohérence et de la cohésion du réseau. Puis c'est ça, l'objectif. Donc, si on soustrait, on recrée des silos, alors qu'on essaie de les... de les faire disparaître, ces silos-là. Donc, c'est contre-intuitif, là, par rapport à l'objectif du projet de loi.

Mme Setlakwe : Je comprends. Et puis peut-être une dernière question, en lien... en lien avec le... en lien avec notre entretien. Donc, le décret dont on a parlé, le 530-2021, ne vient pas... ne vient pas restreindre, là, les principes que vous venez d'énoncer, ça ne change pas les règles du jeu.

M. Caire : En aucun temps, un décret peut... peut changer la... peut changer une loi. Le décret est en conformité avec la loi. Donc, je ne peux pas... je ne peux pas aller... avec un décret, je ne peux pas aller à contre sens de ce que la loi me demande de faire. La loi sur la LCOP nous exige de favoriser la concurrence, ce que l'on fait. De toute façon, c'est dans notre intérêt aussi.

Mme Setlakwe : Puis, même dans le cadre d'un processus de gré à gré, vous suivez les règles, ça va de soi. O.K., merci. Moi, ça va à ce niveau-là. J'ai peut-être une dernière question, parce que, tout à l'heure, on a... Bien, on a parlé, depuis... en fait, depuis la semaine dernière, dans le cadre de l'étude de cet article, du satellite de Starlink, de... Est-ce qu'on doit comprendre qu'on... Quelle est la présence de cette entreprise-là qui, on comprend, est liée à Elon Musk?

M. Bélanger : Quelle est la présence de cette entreprise-là?

Mme Setlakwe : Oui, bien oui. Oui.

M. Bélanger : Bien, je vous dirais que c'est le joueur qui est le plus avancé en termes de connectivité satellitaire depuis des années. Le Québec, on a... on a utilisé cette technologie-là, mais par contre, le déploiement est déjà tout fait. Donc, sur les 4,3 millions de foyers qu'on a essayé de fibrer, il y en a qu'on a jugé que la fibre était beaucoup trop dispendieuse. Et, pour à peu près une dizaine... 10 000 foyers à peu près, ils vont utiliser, ça fait que c'est un faible pourcentage. Ils vont utiliser la technologie satellitaire de Starlink qui permet d'avoir de haut débit. Et on donne une compensation à peu près 40 $ par mois pour essayer d'avoir une certaine justice sociale en termes de frais de connectivité. Mais c'est le seul joueur, mais ça reste que c'est la décision du citoyen. Moi, je ne peux pas résilier de contrat ou dire : Renouvelez ou pas... c'est... le contrat est fait avec le citoyen. Donc, si le citoyen décide de vendre ce test-là ou de boycotter Starlink, il peut le faire.

À la différence, l'Ontario, le déploiement n'est pas fait. Ça fait qu'eux autres hésitaient : est-ce qu'on va... est-ce qu'on va faire le projet ou le déployer ou pas? Par contre, si j'avais une recommandation à faire ou qu'est-ce qu'on regarde, on regarde... il va y avoir 5 à 6 joueurs au niveau mondial, il va y avoir des OneWeb, Kuiper, il va y avoir toujours SpaceX et puis là ça va s'en venir sur le cellulaire et non le... et non uniquement le fixe, l'Internet fixe. C'est que le Canada avec le Québec doivent, parce qu'on a les compétences et on a les entreprises, regarder à être un de ces joueurs-là, peut-être le cinquième à l'échelle mondiale, mais d'être capable d'offrir une redondance plus souveraine. Starlink va toujours exister. Et vous allez avoir OneWeb qui va arriver bientôt. Vous allez avoir peut-être un de Telco qui va décider de faire une entente avec Starlink pour offrir une connectivité cellulaire...

M. Bélanger : ...directement au cellulaire partout au Canada. Ça va leur prendre l'aval d'Ottawa. Mais on a une réflexion à avoir sur le satellitaire, sur ces infrastructures-là, puis je parlais de MDA, je parlais de... mais même chose au niveau des câbles, des câbles optiques, où il n'y a pas de câble optique actuellement qui passe de l'Europe vers les États-Unis, en passant par le Québec. Donc, on n'a aucun lien direct par câble optique. Ça fait que c'était... Puis je pense qu'on est sur la bonne voie, le Québec est numéro un au Canada, en termes de connectivité, puis on est déjà en avance, on est déjà en discussion avec Ottawa sur des solutions plus souveraines.

Mme Setlakwe : Merci. Donc, vous avez dit que, pour le résidentiel, c'est vraiment marginal, c'est sur la marge, là, ce n'est pas...

M. Bélanger : C'est 10 000 foyers sur 4,3 millions de foyers. C'est marginal. C'est parce que c'est à peu près 20 000 $ le kilomètre, et puis, lorsqu'il faut brancher quelqu'un qui est à 17 kilomètres du village où il y a des communautés... ça fait que ça devient irréaliste. Ça représenterait... juste le 10 000, ça représentait, ça dépassait le milliard, en termes de... Puis là, si vous comparez ça avec le contrat de 100 millions qu'on a donné ou 100 quelques millions qu'on a donnés pour les 10 000, bien, je pense que la décision que le gouvernement a prise était la bonne. Et puis, aujourd'hui, ma réponse est : C'est aux citoyens de décider, mais le service est... le service est très bon, puis c'est à l'échelle mondiale.

Mme Setlakwe : Donc là, vous avez parlé de 100 millions. Ça implique quoi, exactement, en termes de fonds publics?

M. Bélanger : Bien, 100 millions, on s'est assuré d'avoir... C'est 130, à peu près 130 millions. On s'est assuré d'avoir la bande, parce que le satellitaire, comparativement à la fibre optique... vous ne pouvez pas mettre un millier de personnes en dessous d'un... c'est des satellites qui passent à sept kilomètres à la seconde, donc, mais la capacité d'être capable de gérer les communications n'est pas du tout comme la fibre optique. Donc, il fallait s'assurer d'avoir une bande passante avec SpaceX pour avoir assez de satellites dédiés pour le Québec, de façon à rencontrer notre engagement de connectivité de 2020-2022. Ça, il y avait un coût.

Par la suite, on a fait l'acquisition de kits, tout ce qui est soucoupe, tout ce qui est les équipements, tout ça, pour être capable d'en déployer jusqu'à 15 000. Jusqu'à date, on en a fait à peu près 10 000. Et là le 5000 qui reste, on peut soit demander un crédit ou de continuer à utiliser cet argent-là pour continuer à fournir le rabais de 40 $ par mois qui permet de... au lieu de payer 140 $, ça coûte 100 $ pour avoir une connectivité pour un citoyen qui serait obligé d'utiliser la technologie satellitaire, versus la fibre optique. C'est un principe d'équité, mais la décision n'est pas encore prise à ce niveau-là.

Mme Setlakwe : Qu'est-ce qu'on cherche à faire au niveau de nos palais de justice? Est-ce qu'il y a un appel d'offres qui est en cours?

• (11 h 30) •

M. Bélanger : Il y a un appel d'offres qui est en cours, mais Star Link est une des propositions qui vont être à être évaluées. Mais, comme je vous disais tantôt, il y a d'autres entreprises, comme... va certainement être dans le marché de l'Internet fixe d'ici, je dirais, trois ans. Donc, il va y avoir une solution et il va y avoir d'autres entreprises aussi. Ça fait que ce sera à juger lorsqu'on va établir les contrats, mais avant de tirer la conclusion qu'Elon Musk va décider, parce qu'on boycotte les Teslas où on ne se branche plus, qu'il va nous débrancher, je prendrais un certain recul, parce que ça reste la meilleure technologie pour l'instant. Mais il va y avoir une concurrence, comme je vous disais, il va y avoir probablement cinq à six joueurs à l'échelle mondiale. Il faut les lancer, les satellites, celui qui peut les lancer, bien, c'est souvent le même qui a Star Link, SpaceX.

Donc, ça évolue, ça évolue rapidement, mais je suis très confiant que, d'ici quelques années, on va avoir, au Canada et au Québec, une solution de redondance souveraine. Il va y avoir plusieurs choix. Des entreprises vont décider de faire affaire avec One Web, d'autres vont décider peut-être de faire affaire avec... Ce sera plus une décision d'entreprise et non une obligation, une obligation.

Mme Setlakwe : Est-ce que, M. le ministre, vous partagez la même opinion que votre collègue?

M. Caire : Oui, tout à fait.

Mme Setlakwe : Oui?

M. Caire : Parce que je pense qu'à court terme on ne veut pas faire mal à nos communautés. Je pense que vous allez être d'accord avec moi, Mme la députée, pour dire qu'aujourd'hui un service Internet digne de ce nom, c'est un service... j'oserais le qualifier quasiment d'essentiel, et donc, au vu et au su des chiffres dont on vous a parlé...

M. Caire : ...bien, c'est qu'à un moment donné les bonnes solutions se font de plus en plus rares, alors oui, on souhaite... on souhaite effectivement atteindre une souveraineté numérique, mais, dans certains cas, ce qui est prioritaire, c'est donner des services à nos citoyens.

Mme Setlakwe : Merci. Vous allez, je n'en doute pas, avoir ça sur votre radar, là, M. le ministre.

M. Caire : Non, tout à fait.

Mme Setlakwe : Je ne sais pas si ma collègue qui vient de revenir a des questions, mais nous on proposerait de suspendre juste quelques instants si vous le permettez. Bien là, on aurait... Toi, as-tu terminé?

Le Président (M. Simard) : Suspendre pour... pour...

Mme Setlakwe : Juste... juste... Non mais après, après cet article là, nous, on arrive à la fin de nos questions. À moins que ma collègue veuille se lancer tout de suite, mais on aimerait juste suspendre quelques instants avant de reprendre l'étude du prochain article. Mais on aurait, pour le moment, terminé.

Le Président (M. Simard) : Avant de procéder à la mise aux voix? Je ne comprends pas où vous voulez en venir, Mme.

Mme Setlakwe : Non, non, je suis désolée, on a... moi, j'avais terminé, je faisais juste demander si ma collègue voulait intervenir maintenant. 

Le Président (M. Simard) : Très bien.

Mme Setlakwe : Sinon, on aurait besoin de quelques instants.

Le Président (M. Simard) : Alors, Mme la députée de La Pinière.

Mme Caron : Oui, c'est ça. C'est parce qu'elle voulait juste me donner une chance de revenir et de voir où vous étiez rendus.

Le Président (M. Simard) : Ah! très bien.

Mme Caron : Parce que j'ai dû faire une intervention sur un autre projet de loi au salon rouge.

Le Président (M. Simard) : Ce n'est pas toujours évident, la vie parlementaire.

M. Caire : Une femme-orchestre multitâche. 

Mme Caron : Une femme orchestre, oui, on... disons qu'on développe...

Le Président (M. Simard) : Bien, oui.

Mme Caron : ...de l'agilité mentale et physique aussi.

Le Président (M. Simard) : Bien, oui. Je m'excuse, hein, chère collègue.

Mme Caron : Parce qu'on se promène d'en haut à en bas. Alors, c'est pour ça que ma collègue demandait ça juste pour que je puisse...

Le Président (M. Simard) : Voilà, c'est plus clair. Merci beaucoup.

Mme Caron : Oui, voilà.

Le Président (M. Simard) : Alors, on va suspendre quelques instants.

(Suspension de la séance à 11 h 33 )

(Reprise à 11 h 37)

Le Président (M. Simard) : Alors, chers collègues, nous sommes de retour et la parole appartient à notre collègue de La Pinière.

Mme Caron : M. le Président, je vais simplement confirmer que je n'ai pas d'autre question. Je pense que ma collègue a fait le tour, le tour de cet article-là. Alors, je n'aurai pas d'autre question pour l'instant.

Le Président (M. Simard) : Très bien. Donc, conséquemment, y aurai il d'autres interventions sur l'ensemble de l'article 3? Ceci étant dit, cet article est-il adopté?

Des voix : Adopté.

Le Président (M. Simard) : Adopté. Et nous passons à l'article suivant. M. le ministre, la parole vous appartient. L'article 4, bien entendu.

M. Caire : Oui, M. le Président. Donnez-moi trois petites secondes. Parfait. Donc, l'article 4 se lit comme suit :

«L'article 6 de cette loi est modifié :

1° dans le premier premier alinéa :

a) par l'insertion, après «infonuagique», de «et en technologies spécialisées»;

b) par l'insertion, après «infonuagiques», de «et en technologies spécialisées»;

2° par l'insertion, dans le deuxième alinéa et après «infonuagiques», de «et en technologies spécialisées»;

3° par l'ajout, à la fin, de l'alinéa suivant :

«Pour l'application du présent article, on entend par «technologies spécialisées» des biens ou des services technologiques relatifs :

1° aux progiciels de gestion intégrée;

2° à la cybersécurité;

3° aux fondations servant d'infrastructures technologiques;

4° aux systèmes patrimoniaux de la plateforme applicative sur ordinateur central.»

Donc, M. le Président, ce qu'on vient faire, c'est élargir la portée du travail du courtier en infonuagique qui serait maintenant le courtier en technologies spécialisées dans les quatre secteurs additionnels que nous aurions dans le dernier alinéa. Voilà.

Le Président (M. Simard) : Alors, les débats sont ouverts concernant l'article 4. Y aurait-il des interventions à ce stade-ci? Mme la députée de Mont-Royal—Outremont.

Mme Setlakwe : Oui, merci. On a... Donc, je pense qu'on aura beaucoup de discussions sur la question du courtier infonuagique. On s'entend, le ministre agit déjà à titre de courtier infonuagique. Pouvez-vous juste nous expliquer dans vos mots quel est le régime actuel, ce que vous faites actuellement, ce que vous avez accompli et ce que vous souhaitez ajouter à vos pouvoirs en vertu de cet article-là qui modifie un article déjà existant dans votre loi?

• (11 h 40) •

M. Caire : En fait, ça vient effectivement modifier la portée dans laquelle... à l'intérieur de laquelle le courtier qui... si le projet de loi est adopté, deviendrait courtier en infonuagique et en technologies spécialisées. Initialement, le courtier en infonuagique est un service qui existait qui permettait justement de préqualifier des entreprises en infonuagique, donc selon certains critères, et de permettre, après ça, aux ministères et organismes de venir se servir de ces différents services là, de signer des contrats avec des entreprises en fonction de leurs besoins. Donc, ça accélérait le processus de l'appel d'offres classique. Ça permettait quand même d'avoir des entreprises qui se qualifiaient, donc qui passaient à travers un processus qualitatif, et ça permettait, après ça, aux ministères et organismes de choisir le fournisseur en fonction de leurs besoins particuliers. Parce qu'on peut comprendre que, par exemple, le ministère de la Santé ou le réseau de la santé, les besoins ne seront pas les mêmes que le ministère du Tourisme, donc je pense qu'on peut comprendre ça, ou d'un organisme encore peut être plus petit, l'Office de protection du consommateur, par exemple, qui n'aura certainement pas les mêmes besoins que le réseau de la santé. Donc, ça permettait d'avoir une agilité, une souplesse.

Maintenant, ce qu'on vient faire... parce que je pense que ce service-là fonctionne bien, en fait, j'affirme que ce service-là fonctionne bien, pour différentes raisons, on se rend compte qu'il y a d'autres secteurs où cette façon là de travailler pourrait être bénéfique pour le gouvernement du Québec, cette agilité-là serait bénéfique pour le gouvernement du Québec. Et je ne vous cache pas, Mme la députée, que, dans notre volonté de souveraineté numérique, cet article-là pourrait y contribuer.

Mme Setlakwe : De quelle façon, M. le ministre?

M. Caire : Bien, parce que, dans certains cas, on pourrait...

M. Caire : ...on pourrait vouloir favoriser l'utilisation de technologies et de logiciels libres, par exemple. On pourrait dire... On pourrait dire : Bon, bien, voilà, on veut maintenant aller vers plus de logiciels libres, moins de logiciels propriétaires. Une fois que les entreprises sont qualifiées, une fois qu'elles... que l'entreprise fait affaire avec le courtier, bien, après ça, le choix des ministères et organismes, les choix du gouvernement sont en fonction de ses besoins, sont en fonction d'un facteur qualitatif. Donc, il y a une marge de manœuvre. Si vous allez dans un appel d'offres classique, vous avez les critères classiques, et là, oui, vous... il y a le facteur K qui permet de donner plus ou moins de prépondérance au facteur qualitatif, mais ça reste qu'après ça c'est le plus bas soumissionnaire conforme. Dans le cas qui nous préoccupe, une fois que l'entreprise est qualifiée au courtier en infonuagique, selon, effectivement, des critères de performance, de qualité, de sécurité, etc., bien, le ministère ou l'organisme qui choisit son service a une plus grande marge de manœuvre dans le choix... dans le choix du fournisseur de service.

Mme Setlakwe : Merci. Vous avez parlé de critères, donc performance, sécurité, qualité. À la lumière de la situation géopolitique et puis des agissements du gouvernement... du président Trump, des lois qui sont en vigueur aux États-Unis, qui ont une portée extraterritoriale, on en a parlé, le Cloud Act, le Patriot Act, est-ce que vous allez ajuster les critères?

M. Caire : On n'ajustera pas les critères de qualification parce que les critères doivent quand même répondre à certaines... doivent respecter nos ententes et... Alors, soyons très clairs. Je n'interdirais pas, par exemple, à une entreprise de se qualifier sur la base que c'est une entreprise américaine. Je ne ferais pas ça parce que je pense qu'on risquerait tous de se ramasser devant les tribunaux, ce qui n'est pas souhaitable.

Par contre, une fois que l'entreprise est qualifiée, au nom de la souveraineté numérique du Québec, on pourrait souhaiter, par exemple, de diminuer le recours à certaines entreprises pour s'assurer d'avoir une plus grande... plus de plateformes différentes ou, comme je le disais, on pourrait souhaiter, par exemple, utiliser plus de logiciels libres, plus d'applications qui sont basées sur des logiciels libres. Ça, on pourrait faire ça. On pourrait dire : Bien, moi, dans mon besoin, comme gouvernement... parce que, là, on n'est pas à disqualifier une entreprise, on en est à exprimer un besoin, moi, comme gouvernement, mon besoin, c'est d'aller plus vers le logiciel libre, ce que nous faisons, par exemple, avec le service d'authentification gouvernementale, ce que nous souhaitons faire avec la plateforme de développement moderne du gouvernement, qui va être basée beaucoup plus sur des logiciels libres, ce qui contribue... Alors... Et là vous comprendrez que ça, ça contribue à augmenter la souveraineté numérique du Québec.

Mme Setlakwe : Oui, mais vous ne voulez pas le faire au niveau du processus de qualification. Mais expliquez-nous la séquence, donc, une fois... O.K. Les entreprises sont qualifiées, puis vous dites : On ne va pas disqualifier d'entrée de jeu une entreprise américaine.

M. Caire : Parce qu'elle est américaine.

Mme Setlakwe : Exact.

M. Caire : On ne fera pas ça.

Mme Setlakwe : Mais, dans la suite de la séquence, donc, on a cette liste... Je ne sais pas il y en a combien, là, d'entreprises. Est-ce qu'on parle de dizaines, de...

M. Caire : Je l'ai, la liste, Mme la députée, là, je pourrai la déposer.

Mme Setlakwe : Mais vous avez... Juste nous donner une idée, là, un... une fourchette d'il y en a combien.

M. Caire : Ma collègue va... Ma collègue va...

Mme Setlakwe : On parle de cinq? On parle de 50? On parle de 100?

M. Caire : Non, non, non, on parle de quelques dizaines.

Mme Setlakwe : O.K. Mais, une fois, donc, qu'on a... On a cette liste d'entreprises qualifiées. Puis c'est une liste qui est évolutive? On...

M. Caire : Oui. Oui, parce que c'est des...

Mme Setlakwe : À quel moment...

M. Caire : ...c'est un processus continu.

Mme Setlakwe : Géré par la LCOP.

M. Caire : La qualification, c'est un processus continu géré par le courtier. Donc, il n'y a pas... il n'y a pas... Initialement, on faisait des périodes de telle date à telle date, les entreprises pouvaient déposer leur candidature pour se qualifier. Maintenant, c'est un processus qui est continu. Une entreprise qui atteint les standards requis pour certains services, dans ce cas-ci, évidemment, ça se limite à l'infonuagique, pourrait dire : Bon, bien, moi, je suis prêt maintenant, j'atteins telle norme ISO 9001 ou SOC de type 2 ou j'ai tel niveau de service et donc je voudrais me qualifier au courtier en infonuagique, peut le faire.

Mme Setlakwe : ...l'entreprise n'a pas à attendre une...

M. Caire : Non, une période de...

M. Caire : ...l'entreprise n'a plus à attendre une période de qualification. On le faisait, initialement, on ne le fait plus.

Mme Setlakwe : Ce changement-là, ça s'est fait de quelle façon?

M. Caire : Bien, c'est parce qu'on a eu beaucoup d'entreprises, puis notamment Micro Logic, tu sais, qui nous disaient, bon, bien... à la genèse du projet, qui disaient : Écoutez, nous on ne répond pas à toutes vos normes, mais on voudrait pouvoir être inscrits au courtier parce que la prochaine période de qualification, c'est l'an prochain, puis ils étaient très proches d'atteindre les normes prescrites, puis il disaient : Bien, pendant que nous, on va attendre la prochaine période, bien, tu sais, il y a des entreprises qui vont déjà être qualifiées, qui vont avoir l'opportunité de signer des contrats, ce que nous, on n'aura pas l'opportunité de faire.

Mme Setlakwe : Mais ce changement-là dans le régime, il s'est fait quand et de quelle façon?

M. Caire : Bien, c'est administratif, c'est purement administratif. Puis je vous dirais, depuis 2019, 2020, qu'on a dit : Bon, bien non, il faut avoir un processus continu. À l'époque, c'était ITQ qui gérait le courtier en infonuagique.

Des voix : ...

Le Président (M. Simard) : ...

M. Caire : Non, bien, c'était pour dire que le CSPQ avait commencé le travail, l'ITQ, puis par héritage, maintenant c'est le MCN.

Le Président (M. Simard) : Très bien.

Mme Setlakwe : Donc, on a combien, approximativement, d'entreprises qualifiées?

M. Caire : Il y a 17 entreprises qualifiées... infonuagique. Là-dessus, il y en a combien que c'est des entreprises canadiennes, québécoises? On va vous compter ça, Mme la députée.

Mme Setlakwe : Est-ce qu'on peut... est-ce que cette liste peut être déposée pour le bénéfice de la commission?

M. Caire : Oui, oui, oui. Je vous répondais, mais comme je vous dis, on va la déposer à la commission.

Mme Setlakwe : Merci. Et, sur les 17, il y en a combien qui sont des entreprises américaines?

M. Caire : On va vous compter ça, Mme la députée.

Mme Setlakwe : Est-ce que vous... Qu'est-ce que vous pensez de l'idée d'enchâsser dans votre loi... Parce qu'on est en train de rouvrir la loi constitutive, là, du MCN, on parle du mandat du courtier infonuagique, qui est d'ailleurs plus large, là, pour couvrir également les technologies spécialisées. C'est dans l'air du temps, là, on s'inquiète du contrôle que le gouvernement américain peut potentiellement avoir sur nos données.

Vous ne pensez pas qu'il serait opportun d'enchâsser dans la loi un principe selon lequel on va favoriser des entreprises ou on va chercher à exclure l'application de ces lois américaines? Donc, dans le choix des entreprises, privilégions celles pour lesquelles ce ne sont que nos lois qui s'appliquent.

M. Caire : Oui, il faudrait d'abord voir au niveau juridique, parce que ce qu'on a fait, en fait, Mme la députée, c'est qu'on a... D'abord, je réitère, nous, on a une politique à l'interne avec la classification des données, où, on sait, là... je vous l'ai dit, mais je vais le répéter, ma collègue de La Pinière a raison, il y a beaucoup de pédagogie dans la répétition. Donc, les données sensibles, les données stratégiques du gouvernement seront hébergées par le service d'infonuagique privé du gouvernement. Donc, ça, c'est la meilleure solution à tous égards.

• (11 h 50) •

Mme Setlakwe : Je m'excuse, je ne veux pas vous interrompre, mais ce principe, et vous l'exprimez de façon très ferme, là, depuis qu'on en parle puis... depuis tôt ce matin est prévu où? Il est prévu où, ce...

M. Caire : Il n'est pas législatif. Le principe, il est dans la capacité du MCN à prendre ce qu'on appelle des indications d'application. C'était dans la loi no 95, qui créait le... qui donnait le pouvoir au Dirigeant principal de l'information de prendre ce qu'on appelle des indications d'application. Donc, en bon français, c'est un ordre que le DPI, le dirigeant principal de l'information, donne à ses DI. Parce que chaque ministère a un DI, un dirigeant de l'information, qui relève opérationnellement du DPI. Donc, le DPI peut dire assez dire à ses DI : Bien, dans certaines circonstances, voici comment tu dois agir. Et le DI, lui, dans ses responsabilités légales prévues à la loi...  à la LGGRI, maintenant, là, amenées par la loi no 95, il a l'obligation de faire respecter ces directives-là qui lui sont données par le DPI. Donc ça, législativement, c'est comme ça que ça fonctionne. De façon...

Mme Setlakwe : Législativement, c'est comme ça que ça fonctionne?

M. Caire : Oui, c'est dans la... oui, c'était... ça a été introduit dans la loi no 95, les rôles... Bien, en fait, le DPI date d'avant ça, mais on a revu ses pouvoirs dans la loi no 95 puis on a revu les pouvoirs des DI dans la loi no 95. Et ça, ça fait partie des pouvoirs du DPI, de prendre ce qu'on appelle une indication d'application...

M. Caire : ...donc ça veut dire que tu dois appliquer telle ou telle directive. Et, suite à ça, le chef gouvernemental de la sécurité et de l'information, qui a été... aussi un poste aussi qui a été créé avec la loi 95, lui a mis en place une classification. C'est lui qui fait la classification, là, selon toutes sortes de critères internationaux, etc., de ce qui se fait ailleurs. Et là on a un modèle de classification de la donnée. Donc, cette donnée-là doit passer à travers ce prisme-là. On va lui donner une étiquette : Quel est son statut? Et une fois que son statut a été établi par cette classification-là, bien, soit les... ils ont l'obligation de... oui, bien, c'est ça, c'est ce que je dis, soit ils ont l'obligation de stocker la donnée dans le nuage gouvernemental, soit ils peuvent aller en infonuagique publique, mais ça... toute cette directive-là, ça a été pris par décret... arrêté ministériel? Arrêté ministériel, excusez.

Mme Setlakwe : Par arrêté ministériel.

M. Caire : Bien, en fait, l'utilisation de la classification, c'est par arrêté ministériel.

Mme Setlakwe : Mais vous vous n'êtes pas questionnés à savoir... Étant donné qu'on ouvre la loi, on change la loi, comment on se prémunit? Comment est-ce qu'on peut, nous, exprimer clairement, explicitement notre souhait d'avoir une souveraineté numérique? Je comprends la question de la classification, mais il n'en demeure pas moins qu'il y a certaines données... Parce que ça... On n'a toujours pas une clarté ici, là, à savoir qu'est-ce qui est sensible, qu'est-ce qui ne l'est pas. Comment est-ce qu'on peut afficher clairement notre vision? Vous êtes le ministre ultimement responsable, que nous, ce qu'on souhaite, c'est traiter avec des entreprises qui ne sont pas soumises à ces lois américaines qui ont une portée extraterritoriale.

M. Caire : En fait, c'est parce que, là, il y a différentes choses dont il faut tenir compte. Premièrement, on a une entente, donc nous sommes signataires, Entente Canada-États-Unis-Mexique, sur le libre marché à travers nos différents États. On a la loi sur les contrats des organismes publics, qu'on doit respecter aussi. Donc, pour nous, la meilleure façon de faire respecter la souveraineté numérique du Québec, c'était, en fait, de deux ordres. Comme je vous dis, il y a ça. Donc, nos données sensibles, comment on va les traiter très clairement. Et ensuite, je vous ai parlé au niveau du courtier en infonuagique, du contrat type qui inclut, dans le contrat, par obligation, dans le contrat type, là, inclut des clauses de respect des principes de la loi 25 sur la protection des renseignements personnels. Donc, ça, on le fait, mais on le fait de façon contractuelle. Donc, les obligations qui sont faites à ces entreprises-là sont d'ordre contractuel.

Mme Setlakwe : Oui. Vous vous souvenez, M. le ministre, on avait échangé dans le cadre d'une fuite de données. C'était justement la question de comment on lie les sous-contractants. Il y a peut-être... Il y a des... il y a des limites quand on y va de façon contractuelle, il me semble que c'est un établissement de santé à Laval.

M. Caire : Oui, oui, tout à fait.

Mme Setlakwe : ...dans le cadre d'un sondage à l'externe, avait fait en sorte que plusieurs dossiers médicaux, les données sensibles d'un certain nombre d'usagers de cet établissement de santé à Laval, c'était... Il y avait eu un bris... un bris de sécurité. Et, dans le fond, on se demande : Comment se fait-il que l'entreprise... que cette tierce partie-là n'était pas tenue de respecter nos lois sur la protection des renseignements personnels?

M. Caire : Parce que... puis c'est un bon exemple, parce que le contrat type dont je vous parle, évidemment, c'est un contrat type qui est utilisé par le courtier en infonuagique. Ceci étant, au niveau du centre d'acquisition gouvernementale, ils ont repris ces clauses-là dans certains cas. Là, je ne veux pas m'avancer trop, là, mais je pense qu'ils ont repris certaines... sinon les clauses prévues. Par contre, le contrat qui a été signé par le comité de patients de l'hôtel... de l'hôpital dont vous parlez, avec une firme de marketing, firme privée, ce contrat-là n'était pas un contrat type qui respectait les contrats que nous, on a au niveau de l'infonuagique ou au niveau du Centre d'acquisition gouvernementale. Donc, ce que le ministère de la Santé est à voir, c'est comment imposer ces clauses-là dans l'ensemble des contrats qui sont signés par ces sous-entités, notamment le comité... je ne sais pas si j'utilise le bon nom, là, le comité de patients ou en tout cas vous voyez ce que je veux dire, là, à une entité de services marketing. Donc, on...

M. Caire : ...on n'est pas dans un service infonuagique. On n'est pas... On ne passe pas par le courtier en infonuagique. Donc ça, c'est la réflexion que Santé est en train de faire pour s'assurer que ceux qui signent des contrats sont tenus d'avoir ces clauses-là dans les contrats qu'ils vont signer à l'avenir.

Mme Setlakwe : Là, je sais qu'on est dans une parenthèse, mais là ils n'ont pas terminé leur analyse.

M. Caire : Je peux vérifier, je peux vérifier, mais vous comprendrez que...

Mme Setlakwe : Oui, je pense que ce serait important.

M. Caire : ...c'est leur autorité de signer des contrats, ils le font de leur autorité. Nous, on n'est pas... Ils ne sont pas juridiquement tenus d'en référer au MCN. Que ce soit des contrats d'approvisionnement ou des contrats de services, ils sont autonomes dans la signature de leurs contrats. Mais je sais que mon collègue à la santé m'a dit qu'effectivement il voulait que ces clauses-là soient ajoutées à l'ensemble des contrats qui seront signés, à l'avenir, par les entités du réseau de la santé, quels qu'ils soient... quelles qu'elles soient, une entité. 

Mme Setlakwe : Est-ce que vous vous souvenez de la date de ce bris de confidentialité? Ça fait plusieurs mois, M. le ministre. 

M. Caire : Bien, on était... Là, il faudrait revoir le Journal des débats, parce que je me souviens...

Mme Setlakwe : Alors, je pense qu'on pourrait faire un Google très, très simplement, là. Moi, je...

M. Caire : ...que vous m'avez... vous m'avez interrogé là-dessus, là. Mais effectivement je pense qu'on pourrait... on pourrait retrouver ça. Il me semble, c'est l'année passée.

Une voix : ...

M. Caire : 2023, non, non, plus tard que ça, c'est après ça. Il me semble que c'est en 2024.  

Mme Setlakwe : On devrait prendre le temps de voir, ça s'est passé quand, parce que là ce que vous me dites, c'est : Oui, les ministères et organismes sont souverains dans la signature de leurs contrats...

M. Caire : Oui.

Mme Setlakwe : ...mais là c'est une faille qui avait été identifiée, c'est une fuite. Et puis...

M. Caire : Mais c'est clair que...

Mme Setlakwe : Ça s'est passé entre... en 2022, dans la deuxième partie de 2022, entre le 1er juillet et le 31 décembre. 

M. Caire : Mais le moment où ça a été de notoriété publique, c'est plus tard que ça.

Mme Setlakwe : Oui, je comprends, c'est sorti il y a un an, le 14 février.

M. Caire : Puis ça, ça va nous amener à un autre article de la Loi sur la divulgation obligatoire des incidents de sécurité.

Mme Setlakwe : O.K. Mais ça, vous l'avez... Merci. On a tous appris ça il y a un an, et c'est important de savoir qu'on puisse... qu'il y a quelqu'un qui est responsable de boucler la boucle puis de s'assurer que les tierces parties soient liées par ces clauses contractuelles.

M. Caire : Oui.

Mme Setlakwe : Mais ce que vous dites, là, c'est que c'est le MSSS qui est responsable de faire ça.

M. Caire : De faire de la signature de ces contrats, oui.

Mme Setlakwe : O.K. Mais qui est responsable de la sécurité de l'information ultimement?

M. Caire : Je suis tout à fait d'accord avec vous...

Mme Setlakwe : C'est qui?

M. Caire : Bien, au niveau de la sécurité de l'information, c'est le MCN pour le gouvernement. Mais là vous parlez d'une entité qui ne relève pas de nous, qui signe un contrat qui relève du ministère. Et voilà, je pense qu'on a une très belle discussion. Vous comprenez maintenant toute la complexité du travail, parce que le fait de dire que vous êtes responsable de la sécurité de l'information, et vous avez raison, mais ça ne nous donne pas nécessairement tous les leviers. Moi, demain matin, je ne peux pas imposer un modèle... je n'ai pas le pouvoir. Alors, si l'Assemblée nationale veut me donner ce pouvoir-là et si l'opposition officielle veut le suggérer, moi, je suis tout à fait, tout à fait ouvert à être celui qui a l'autorité pour imposer un modèle type, mais je n'ai pas ce pouvoir-là. Puis, juridiquement, je ne pense pas que je pourrais non plus le faire.

• (12 heures) •

Une voix : ...

M. Caire : Oui, la présidente du Conseil du trésor, pour la LCOP, puis encore, pour la LCOP.

Mme Setlakwe : Mais là on a des données de santé de 9000 usagers du CISSS de Laval, qui avaient été touchés, ça s'est passé en 2022, et ça a été rendu public il y a un an, en 2024. Il y en a peut-être d'autres incidents qui sont arrivés. Je ne veux pas faire peur, mais, potentiellement, il y en a peut-être...

M. Caire : Non, non, mais, Mme la députée, au contraire, vous êtes en train de plaider pour que nous adoptions l'article qui va rendre obligatoire la divulgation d'incidents de sécurité. Alors, moi, je vous écoute, et c'est de la musique à mes oreilles, ce que vous dites, mais vous comprenez pourquoi on veut une divulgation obligatoire.

Mme Setlakwe : Oui, je comprends, mais on est quand même en train de se dire tous ensemble qu'un incident qui est arrivé en 2022, qui a été mis en lumière en 2024, donc, il y a un an, on sait exactement ce qui s'est passé et on sait qu'on n'avait pas... Donc, ce sous-contractant-là n'était pas lié par, contractuellement, par les mesures de sécurité adéquates à prendre pour protéger les renseignements personnels, et vous ne pouvez pas nous dire, un an plus tard, si les rectificatifs ont été implantés.

M. Caire : C'est une excellente question à poser aux gens de la santé. Moi, je pense que c'est une excellente question.

Mme Setlakwe : Mais est-ce que vous, vous avez posé la question aux gens de la santé, M. le ministre?

M. Caire : Bien, Mme la députée, comme je vous dis...

M. Caire : ...quand bien même que moi, je dirais, je pense qu'on doit faire ça, ce n'est pas de mon ressort. Alors, si vous me dites que vous pensez que le ministère de la Cybersécurité devrait avoir l'autorité, bien là, on va avoir des discussions avec le Conseil du trésor, parce que le Conseil du trésor est celui qui a l'autorité pour les mesures à respecter dans les appels d'offres et dans l'octroi des contrats. L'autorité qui est responsable de l'application de la Loi sur les contrats des organismes publics, c'est le Conseil du trésor, et chaque ministère et organisme est responsable de l'application, c'est-à-dire de signer ses contrats. C'est comme ça que ça fonctionne.

Mme Setlakwe : Je comprends.

M. Caire : Donc, est-ce que... est-ce que ces mesures-là ont été mises en place? Encore une fois, Mme la députée, c'est une excellente question pour les études de crédits. Et ce que je peux vous dire, c'est que, sur l'article 4 qui nous préoccupe, les contrats types sont... ont été fait, et ces mesures-là sont en place dans les contrats types du courtier en infonuagique donc qui relève de ma responsabilité. Ça, c'est fait, pas de problème.

Mme Setlakwe : O.K. Vous, vous avez les contrats types, c'est votre responsabilité. Vous souhaitez avoir le pouvoir d'être informé des incidents de confidentialité, n'est-ce pas?

M. Caire : Oui.

Mme Setlakwe : Mais là, on en a un incident de confidentialité qui est connu puis, un an plus tard, je comprends, là, qu'il y a des... il y a des textes de loi qui devaient être adoptés, il y a des... il y a des modifications, il y a des bonifications de processus, mais il y a toute la question, là, pour M. Mme Tout-le-monde, de savoir qu'est-ce que le gouvernement a fait? Laissez tomber le MSSS, le CISSS de Laval, le comité de ci, le comité de ça, le gouvernement a fait quoi suite à cet incident, suite à la mise en lumière de cette situation-là pour s'assurer? Il y a une question de reddition de comptes.

M. Caire : Absolument.

Mme Setlakwe : Il y a une question de dire aux citoyens ce qui est arrivé, on l'a corrigé, ça n'arrivera plus. Puis là, on en discute en commission ce matin puis vous, vous n'êtes pas capable de répondre à savoir qu'est-ce qui a été fait.

M. Caire : Non, moi, je vous dis... moi, je vous dis : Le... le ministre responsable de l'application de la Loi sur les contrats des organismes publics, c'est le président du Conseil du trésor. Le ministre... l'organisme qui est responsable de la signature de ces contrats, c'est le ministère de la Santé et des Services sociaux. Donc, ce que je vous dis, c'est que, dans le cadre de l'adoption de cette loi-là, de l'article 4 de notre loi qui concerne le courtier en infonuagique, vous me dites : Est-ce qu'il y a des dispositions? Je vous dis : Oui, il y a des dispositions.

Mme Setlakwe : Mais là, le...

M. Caire : Mais alors là, moi, je... je veux dire, je ne peux pas faire une étude de crédits pour l'ensemble des ministères et organismes du gouvernement ici aujourd'hui. Bien, je vais aller chercher... Ce que je vous dis puis que je vous répète, je vais aller chercher l'information, puis je vais vous amener l'information. Mais vous comprendrez que, quand je me prépare pour l'adoption d'une loi, bien moi, j'ai des réponses à vos questions qui concernent la loi. Si vous avez des questions qui concernent la gestion du gouvernement, bien là, je n'aurai pas toutes les réponses, c'est sûr.

Mme Setlakwe : Non, mais dans le cadre de nos discussions, si on joue le... on joue le tape, là, prêtez-moi l'expression, des 10, 15 dernières minutes.

M. Caire : Oui.

Mme Setlakwe : On s'est rappelé, vous et moi, un incident qui a été...

M. Caire : Absolument.

Mme Setlakwe : ...rendu public l'an dernier, et moi, ce que j'entends, c'est que vous ne savez pas si la situation a été corrigée. Vous ne savez pas si le contrat type est signé maintenant. Dans le fond, il y a peut-être d'autres contrats qui ont été donnés à des firmes de sondage ou autre, le service service à la clientèle, essayer de savoir comment on peut améliorer le service. Il y en a peut-être d'autres contrats qui ont été octroyés, mais vous ne savez pas si les clauses qui protègent les renseignements personnels des usagers sont comprises dans les contrats en question.

M. Caire : Mais c'est parce que vous m'amenez sur la prérogative de collègues.

Mme Setlakwe : Mais oubliez les collègues, là.

M. Caire : Je ne répondrai pas.

Mme Setlakwe : Non?

M. Caire : Non, je n'oublierai pas les collègues parce que je ne répondrai pas à leur place.

Mme Setlakwe : O.K. Mais écoutez, allez-vous... pouvez-vous...

M. Caire : Je ne répondrai pas à leur place. Je vais... je vais... je vais laisser la présidente du Conseil du trésor répondre de ce qui relève d'elle puis je vais laisser mon collègue de la santé répondre de ce qui relève de lui. Moi, aujourd'hui, dans l'étude d'un projet de loi, ce qui est quand même le mandat que l'Assemblée nationale nous a donné, étudier le projet de loi n° 82, à l'article 4, vous me poser une question sur le courtier en infonuagique. Je vous réponds sur le courtier en infonuagique, puis je vous dis : Oui, ces... ces dispositions-là sont dans les contrats, ont été prévues dans les contrats.

Maintenant, si vous voulez questionner l'ensemble du gouvernement sur l'ensemble des contrats du gouvernement, moi, ce que je vous dis, c'est : Bien, posez les questions à mes collègues parce que ça relève de leur autorité. Je respecte leur autorité, donc je vais les laisser répondre à vos questions. C'est ça ma réponse.

Le Président (M. Simard) : Mme la députée de La Pinière.

Mme Caron : Merci, M. le Président. Il y a quelque chose que je ne comprends pas ici parce, la semaine dernière...

Mme Caron : ...M. le Président, il y a quelque chose que je ne comprends pas ici, parce que, la semaine dernière, la ministre nous a dit que ce projet de loi était transversal, que ça s'appliquait à l'ensemble des ministères et organismes. Donc, pour moi, un projet qui se veut transversal, on ne peut pas accepter qu'ensuite les choses fonctionnent en... bien oui, plus ou moins en vase clos. Chaque ministère et organisme est responsable de l'application de la loi qui s'applique, mais puisque le ministre de la Cybersécurité et du Numérique va avoir une grande responsabilité à la suite de l'adoption de ce projet de loi, s'il est adopté, pour ne rien présumer, il me semble que ça prend aussi de la part du ministre en question une vue transversale sur ce qui se passe dans l'appareil public, en lien avec tout ce qui est dans le projet de loi, que ce soit l'infonuagique, que ce soit la protection des données, et tout cela.

Alors, puisque, comme ma collègue parle d'un événement qui s'est passé l'année dernière, et dont elle a discuté déjà l'année dernière avec le ministre, il me semble que ce n'est pas... ce n'est pas... je cherche le mot juste, ce n'est pas saugrenu, disons, de penser que le ministre aurait une réponse à la question, bien, à savoir : Est-ce que ça a été corrigé? Est-ce que ça se continue? Est-ce qu'il y en a d'autres qui sont dans ce cas-là pour pouvoir émettre une directive? Puis là peut-être que c'est parce que les pouvoirs n'étaient pas encore là, parce que le projet de loi no 82 n'est pas adopté, mais puisqu'on veut que ce soit transversal, ce n'est pas juste, j'imagine, transversal dans les infrastructures, dans les services, mais dans le fait que chacun doit appliquer correctement la loi qui sera adoptée pour que le ministre puisse jouer à plein son rôle de s'assurer que les choses fonctionnent bien.

Alors, j'aurais peut-être besoin de précisions là-dessus. Je ne vois pas pourquoi ce ne serait pas possible de répondre et que ce serait des collègues différents qui devraient... qui devraient répondre, ou est-ce que ces collègues devraient faire, je ne sais pas, moi, je ne suis pas au Conseil des ministres... Est-ce que les collègues ou les ministères ne devraient pas, ou organismes qui sont concernés, ne devraient pas avoir une reddition de comptes au ministère de la Cybersécurité et du Numérique pour que le ministre soit capable d'avoir une vue d'ensemble de tout ce qui se passe et de s'assurer que les lois qui sont adoptées pour protéger les données, pour stocker les données, pour la connectivité des données, que ce soit... que ce soit bien respecté.

Le Président (M. Simard) : ...chère collègue. Me Bacon ou M. le ministre.

• (12 h 10) •

M. Caire : Oui. Non, non, c'est moi qui vais répondre, M. le Président, à la collègue. Bien, en fait, fort simple, parce que c'est vrai que le ministère a un mandat qui est transversal, du fait que ce sont des technologies numériques, du fait de la cybersécurité, très clairement. Ceci étant dit, il y a quand même des limites, là, dans le sens où je ne... le projet de loi n'a pas pour effet de me substituer à l'autorité de ma consœur ou Conseil du trésor. Ce n'est pas ça, l'effet du projet de loi, d'aucune façon. On élargit la portée du mandat du courtier en infonuagique, qui devient un courtier en infonuagique... qui deviendrait un courtier en infonuagique et en technologies spécialisées dans l'infonuagique et les quatre secteurs qu'on y ajouterait si le projet de loi est adopté, mais ça n'impacte pas le fait que la responsable de l'application de la Loi sur les contrats des organismes publics demeure la présidente du Conseil du trésor.

Et même chose pour l'octroi de contrats. Donc, ça ne change pas le fait que les ministères et organismes ont la capacité de signer des contrats, contrats de service ou contrats d'approvisionnement, dont ils ont besoin dans l'exécution de leurs missions. Donc, ce que ce que je dis à ma collègue de Mont-Royal-Outremont et ce que je vous dis aussi, Mme la députée de La Pinière, c'est que je je réponds du courtier en infonuagique, absolument, mais si... je veux dire, je ne veux pas me substituer à l'autorité de mes collègues dans ce qui relève de leur autorité, puis je pense que ça, c'est une simple question de respect envers les collègues, envers...

M. Caire : ...leur autorité. Et je suis convaincu qu'ils auront des réponses à vos questions, mais dans ce qui relève de leur autorité, comme moi je vais vous fournir, au meilleur de ma connaissance, les réponses sur ce qui relève de mon autorité. Et ce qui relève de mon autorité, c'est-à-dire le courtier en infonuagique, ces clauses-là ont été... ont été ajoutées à nos contrats.

Ce que je sais, c'est que le CAG... parce que, dans la discussion, je sais que le CAG avait déjà des clauses comme celles-là. Puis, après ça, bien, mon collègue, mon collègue du réseau de la santé a manifesté la volonté d'en inclure dans l'ensemble des contrats. Après ça, bien, je vais lui laisser... je vais laisser sa prérogative, qui est de répondre de ce qui a été fait, puis d'où est-ce qu'il en est rendu dans le processus. Je pense que c'est juste de respecter ses collègues que de faire ça, là.

Mme Caron : M. le Président, oui, je comprends tout à fait que le projet de loi ne vise pas à substituer le ministre de la Cybersécurité et du Numérique à la présidente du Conseil du trésor ou à ses collègues ministres des autres ministères, et, évidemment, ce n'est pas... il ne vise pas à prendre leur responsabilité, parce que chacun a sa responsabilité ministérielle qu'il doit respecter et a le contrôle de son ministère. Donc, ça, je suis parfaitement sur la même ligne que le ministre.

Mais là où j'ai la... où je dirais que je vois un... qu'on se décolle un peu de la transversalité de ce projet-là... Parce que, pour moi, et vous me corrigerez, on me corrigera si j'ai tort, pour moi, l'essence de ce projet de loi là, c'est aussi de de bien nous équiper en cybersécurité, de bien nous équiper pour l'identité numérique, pour les services. Là, on... le ministre va pouvoir imposer certains choix, préqualifier aussi — bon, ça, c'est correct — des fournisseurs aux ministères et organismes, leur offrir des services d'expertise. Tout ça, c'est parfait.

Mais je dirais... je vais utiliser une image... quand ça va mal? Par exemple, le problème qui est arrivé à Laval l'année dernière, au CISSS de Laval. Quand ça va mal, est-ce que ce n'est pas comme dans la transversalité, là, de s'assurer que de protéger nos données, et tout ça? Est-ce que ce n'est pas... ça ne devient pas une responsabilité du ministre de la Cybersécurité et du Numérique de s'assurer que les correctifs sont apportés? C'est sûr que ce n'est pas lui qui va les apporter, c'est sûr que c'est son collègue ministre responsable qui doit faire le travail, mais est-ce qu'il n'y a pas une... je dirais, comme une obligation de rendre compte de ce... de son collègue vers lui pour s'assurer que... pour assurer que ça fonctionne correctement, là, la protection de nos données, et tout ça?

C'est un peu comme la discussion qu'on a eue la semaine dernière, M. le Président, sur la gestion des accès, où je faisais ressortir ce que la Vérificatrice générale a mentionné dans un de ses rapports d'audit, puis elle nous disait : Ça ne fonctionne pas bien, la gestion des accès informatiques dans certains ministères et organismes. Par exemple, les mots de passe ne sont pas changés assez souvent, on ne met pas à jour assez rapidement quand une personne change de fonction ou n'est plus là, etc. Et la réponse que j'ai eue ressemble un petit peu à la réponse que ma collègue a aujourd'hui, c'est-à-dire : Bien, je ne suis pas... le ministre de la Cybersécurité et du Numérique n'est pas responsable d'aller gérer les accès dans les ministères et organismes. Je suis d'accord avec ça, mais est-ce qu'il n'y a pas une responsabilité de s'assurer que le travail qui est fait dans les ministères et organismes est fait correctement, pour respecter ce qu'on... là où on veut en venir avec le... avec ce projet de loi là, que nos données soient protégées, que tout ce qui est numérique, tout ce qui relève de la cybersécurité se fasse dans les règles de l'art, se fasse, le plus possible, au Québec, et soit sûr, et sécuritaire, et que les gens puissent avoir confiance, que les... la population, M. et Mme Tout-le-monde, dans mon comté, ou dans ma famille, ou parmi mes amis et les vôtres, soient rassurés que, bien oui, s'il y a un accroc quelque part dans la machine, il y a un ministère de la Cybersécurité et du Numérique qui s'assurera qu'avec son collègue concerné qu'on continue de... on répare, on fait les correctifs et on s'assure que les...

Mme Caron : ...les autres aussi n'auront pas le même pépin. Il me semble que dans un projet... de nature transversale comme ça, avec toutes les grandes responsabilités qui sont confiées au ministre de la Cybersécurité et du Numérique, que ça va de soi. Alors, c'est là où j'ai... j'ai une divergence d'opinions ou de vues avec le ministre, que ce soit sur la gestion, la bonne gestion des accès, ou la question du CISSS de Laval, qui est arrivée l'année passée, qu'on ne veut pas se voir... voir se reproduire ailleurs. Puis on veut mettre en place ce qu'il faut pour éviter que ça se produise ailleurs et que le ministre soit au courant de ça, même si ce n'est pas lui qui... dans l'application au jour le jour ou soit celui qui a les mains dans le moteur, pour utiliser une expression plus colorée.

M. Caire : Bien, rapidement, M. le Président, là, je comprends que ma collègue et moi, on n'a pas... ce n'est pas tant qu'on a une divergence d'opinions que le fait que... Écoutez, moi, j'agis en fonction des pouvoirs que la loi me donne, et c'est ce qu'on fait, et là, bien, c'est pour ça qu'on arrive avec un projet de loi dans lequel on ajoute certains pouvoirs additionnels, notamment celui de la divulgation obligatoire des incidents. Alors, oui, on... je pense qu'on n'est pas si loin que ça, la députée de La Pinière et moi. Donc, il y a des pouvoirs additionnels. On élargit le champ d'opération du courtier en infonuagique. Ma collègue comprendra que je ne peux pas appliquer le courtier en infonuagique à tout ce qui se fait en ressources informationnelles. Pas sûr que ma collègue du Conseil du trésor serait bien, bien, bien d'accord avec ça, et pour cause, et pour cause. Donc, dans des champs très spécifiques, on peut le faire, on le fait, mais, dans d'autres secteurs, c'est la LCOP qui va s'appliquer, c'est les règles de la LCOP. Et, comme je le dis, c'est une question de respect aussi envers les collègues. Les collègues ont des prérogatives, ils ont des pouvoirs, ils ont une autorité, ils agissent en conséquence, puis je respecte ça, comme ils respectent mes prérogatives.

Mme Caron : Merci.

Mme Setlakwe : Oui, bien, écoutez, je pense qu'on a fait le tour de la question, mais ultimement, vous dites : C'est le... vous venez de le dire, c'est de respecter vos collègues puis leurs champs d'activité. Je veux bien, là, mais la question dont on parle ici, c'est de respecter la confidentialité des renseignements de santé de milliers de Québécois qui ont fait l'objet d'une... malheureusement, d'une fuite, d'un incident de confidentialité. Je pense qu'on ne serait pas rendus où on est rendus si on avait entendu de votre part : Je suis au courant, je trouve ça épouvantable, je vais aller demander à mes collègues où c'en est rendu. On n'entend pas ça. On entend juste... vous rattacher à des mécanismes. Je veux que la loi me donne les pouvoirs, tout ça.

• (12 h 20) •  

Mais ultimement, le citoyen, on ne peut pas lui répondre ça. Le citoyen s'attend de la part de son gouvernement que ses renseignements de santé soient protégés, puis que surtout, quand il arrive un incident en particulier... Puis on a identifié le problème, on a identifié le fait que des firmes externes... Puis ça peut arriver, là, des incidents, des cyberattaques, ça arrive tous les jours, mais il faut s'assurer que, quand on traite de renseignements confidentiels puis qu'on les permet de transiter, de sortir du giron de l'établissement de santé, de s'en aller chez une firme externe... s'assurer que ces firmes-là, c'est assez simple, dans le fond, de s'assurer que ces firmes-là, contractuellement ou autrement, soient soumises aux meilleures normes de sécurité, soient soumises à nos lois. Ça fait un an qu'on le sait. Quand je vous demande : Qu'est-ce qui... qu'est-ce qui s'est passé? Vous dites : Je ne le sais pas, ce n'est pas ma responsabilité. Bien, on va... posons la question. Dans le fond, c'est la responsabilité du gouvernement. Je pense à la... pour les citoyens, ça prend une réponse.

M. Caire : Mais, d'abord, on met dans le projet de loi la divulgation obligatoire. Je pense que c'est un changement extrêmement significatif. Donc, ce n'est pas tout de dire : Je vais poser la question. Ce que je suis en train de vous dire, c'est qu'ils auront l'obligation légale de divulguer les incidents lorsqu'il... lorsqu'il y en aura. Et ça, c'est fondamental parce qu'au-delà de... Puis, sur les clauses contractuelles, je ne reviendrai pas sur ce que j'ai dit, mais, sur la divulgation et la capacité d'intervenir et d'agir rapidement, cette disposition-là, elle est névralgique, parce que, vous l'avez dit, si un événement...

M. Caire : ...qui se passe en 2022 finit par être connu un an et demi plus tard, le ministère ne peut pas réagir, le ministère n'est pas capable d'intervenir puis de s'assurer de mettre en place les mesures nécessaires. Donc, cette disposition-là, elle est névralgique, elle est... puis, au contraire, je vous dis : Oui, je pourrais... puis, effectivement, vous avez raison, je pourrais dire : Ah! bien, je vais aller poser la question à mes collègues. Vous pourriez le faire aussi, puis on a une période de questions cet après-midi. Je veux dire, vous pourriez effectivement vous lever puis poser la question à mon collègue et vous aurez votre réponse, mais vous comprenez...

Bon, maintenant, ce que je dis aux Québécois, c'est que je pense qu'on fait plus que ça. On veut s'assurer que des événements comme ça ne se reproduisent plus, notamment le délai entre l'événement et le fait aussi de notoriété publique qui est indécent. Et c'est de se donner des poids opérationnels. Puis ça, on le fait, on prend des mesures, on met en place des mesures avec évidemment l'assentiment de l'Assemblée nationale si telle est sa volonté. Bien, moi, je pense que c'est significatif, ce qu'on fait dans le projet de loi. Et c'est là où j'ai peut-être une divergence d'opinions avec mes collègues. Parce que, vous autres, vous dites : Bien, vous pourriez poser des questions. Oui, mais je pense que ce qui est plus important, c'est de poser des gestes qui sont très concrets, puis modifier la loi puis faire en sorte que des événements comme, ça ne se reproduise plus parce qu'on se dit : Ça n'a pas d'allure, puis il faut que la loi fasse en sorte qu'un incident comme celui-là soit divulgué le plus rapidement possible, bien, c'est ça qui est important. Parce que le temps de réaction, après ça, pour justement être capable de contrer les effets négatifs d'une fuite de données, il est important.

Mme Setlakwe : Oui, mais, M. le ministre, on parle de deux choses différentes. Effectivement, d'être avisé le plus rapidement possible, on ne peut pas être contre ça. C'est bien évident, il faut qu'il y ait des obligations légales d'en informer tout de suite la personne responsable. Mais une fois qu'un incident survient puis fait l'objet d'une revue de presse qui concerne... c'est des milliers d'usagers, des incidents comme ça, là, qui sont rendus publics, puis vous les avez sur votre bureau, là, vous savez que c'est arrivé. Puis, après ça, quand on vous repose une question, vous n'avez pas la réponse, à savoir : Est-ce que maintenant les contrats ont été changés? Est-ce que toutes les clauses sont incluses dans les contrats pour que ces contrats-là soient blindés, pour qu'on lise contractuellement les firmes externes? Vous n'aviez pas la réponse ce matin pour un événement important, c'est ça qui surprend, alors que vous êtes responsable de la sécurité de l'information. Et cet événement, il est connu. Il y a un journaliste qui en a fait un article de presse.

M. Caire : Oui, oui, mais... Et la discussion est intéressante, puis, bon, il reste quelques minutes, M. le Président, je vais les prendre, parce que la réaction du ministère de la Cybersécurité et du Numérique, c'est de dire : Qu'est-ce que je peux faire pour empêcher ça? Qu'est-ce que je peux faire à l'avenir pour faire en sorte que ça ne se reproduise plus? À l'analyse des faits, ce qu'on peut faire, c'est rendre la divulgation obligatoire pour permettre, par exemple, au Centre gouvernemental de cyberdéfense ou au Centre opérationnel de cyberdéfense du ministère concerné d'agir rapidement et d'éviter cette espèce de jeu de ping-pong de : Qui est responsable? C'est toi. Non, c'est moi. Non, c'est toi. Non, c'est lui. Non, c'est l'autre. Non, c'est ça. Puis là on va analyser le contrat, puis là les avocats vont rentrer là-dedans. Et je suis convaincu que ma collègue de Mont-Royal—Outremont sait de quoi je parle. Puis là on va essayer de chercher c'est qui, le responsable, puis on va aller voir : Il y a-tu une clause?

Moi, je dis, là, aux Québécois, là : Pendant que les avocats vont s'obstiner à savoir c'est qui le responsable, nous, ce qu'on veut, là, au-delà de la clause... puis je comprends, là, je comprends l'intervention de ma collègue, ce qu'on veut, là, c'est de connaître les faits, être capable d'envoyer notre équipe d'intervention ponctuelle, être capable de mitiger les dommages, voire les éviter si possible, être capable d'aviser les gens qui sont touchés, de leur offrir une protection, de poser des gestes concrets pour protéger les gens. Alors... puis je ne nie pas puis je ne dis pas qu'il ne faut pas qu'il y ait des dispositions contractuelles, il y en a dans nos contrats en infonuagique, on les a mises, ces clauses-là. Donc, je les considère comme importantes, je les considère comme importantes.

Ceci étant dit, ce que je dis à ma collègue, c'est que l'attribution et la signature des contrats ne relèvent pas de mon autorité. Par contre, la capacité d'agir... Parce que ma collègue dit : Oui, mais...

M. Caire : ...vous êtes responsable, ultimement, de la sécurité. Exact. Et c'est pour ça que je demande à l'Assemblée nationale de me donner les outils pour aller plus loin dans ma capacité à assumer cette responsabilité-là. Mais ces outils-là, en aucun temps, ne peuvent être de me substituer à la présidente du Conseil du trésor et/ou à mon... à mes collègues ministres qui sont responsables de la signature des contrats de leurs ministères et organismes. Puis là on pourrait avoir une longue discussion sur la responsabilité d'un ministre par rapport à un autre, puis ça va faire un beau débat à l'intérieur avec nos légistes : Qui peut contraindre? Quel ministre peut contraindre? Non, tu ne peux pas contraindre. Oui, tu peux contraindre... Regardez, moi, je dis : Ça, c'est un outil essentiel, c'est un outil essentiel pour permettre à nos équipes d'intervenir, de faire en sorte que, d'abord, on corrige les lacunes, d'une part, d'autre part, on mitige les effets négatifs d'une fuite comme celle-là et on est capables de protéger les citoyens en leur offrant des... différentes mesures de protection. Ça, c'est ce que le projet de loi fait, puis c'est ça, ma demande à l'Assemblée nationale.

Donc, après ça, on peut avoir des discussions avec mes collègues sur : Est-ce que je devrais... sur les contrats, les clauses de contrats, mais la vérité, là, c'est que je n'ai pas d'autorité là-dessus, légale, et ce n'est pas moi qui ai cette autorité-là. Nous, dans ce qui nous... ce qui relève de moi, le courtier en infonuagique, c'est fait, ces clauses-là sont là, puis je vous dirais même qu'on va assez loin dans ces différentes clauses là, dans ces différentes dispositions là, c'est fait. Puis, après ça, chaque ministère et organisme... Puis, au Conseil du trésor, je vous dis, c'est fait, parce que le Centre d'acquisitions gouvernementales a inclus ces dispositions-là. Et ce que je vous dis, pour le ministère de la Santé et des Services sociaux, c'est que le ministre de la Santé a manifesté son... sa volonté que ce soit fait. À partir de là, où est-ce qu'il en est rendu dans le déploiement de ça, je vous invite à lui poser la question parce que c'est sa prérogative.

Mme Setlakwe : ...incroyable, M. le Président. Je comprends les...

M. Caire : Bien, c'est une simple question de respect de collègues, Mme la députée, voyons donc.

Mme Setlakwe : Mais vous siégez ensemble, tous ensemble, au Conseil des ministres. Vous êtes en train de me dire qu'il y a une fuite de données de 9 000 usagers à Laval puis vous n'êtes pas capable de savoir de votre collègue à la Santé si dorénavant il s'assure d'avoir les bonnes clauses dans les contrats.

M. Caire : ...d'être capable ou non...

Le Président (M. Simard) : Très bien.

M. Caire : ...c'est une question que je n'aimerais pas qu'un collègue réponde sur des dispositions qui relèvent du ministère de la Cybersécurité et du Numérique. J'aimerais ça que le collègue, il me laisse répondre de ce qui relève de mon ministère.

Mme Setlakwe : Mais vous êtes...

M. Caire : Ne fais pas à autrui ce que tu ne veux pas qu'on te fasse à toi-même.

Le Président (M. Simard) : Très bien.

M. Caire : Voyons donc.

Le Président (M. Simard) : Alors, un après l'autre, s'il vous plaît. Il reste 30... 20 secondes à nos débats. Madame.

Mme Setlakwe : Ce que j'entends, c'est que vous êtes l'ultime responsable de la sécurité de l'information, et, quand il arrive un incident, vous n'êtes pas capable de savoir d'un collègue qui siège avec vous, ou de... même de deux collègues qui siègent avec vous au Conseil des ministres, s'il y a des mesures qui ont été prises...

Le Président (M. Simard) : Très bien.

Mme Setlakwe : ...pour s'assurer que ça ne se reproduise plus.

Le Président (M. Simard) : Très bien.

M. Caire : Ce n'est pas une question...

Le Président (M. Simard) : Alors, chers collègues, ceci étant dit, compte tenu de l'heure, nous allons suspendre nos travaux. Et n'allez pas trop loin parce qu'on se retrouve après les affaires courantes. Merci beaucoup. À plus tard.

(Suspension de la séance à 12 h 30)

(Reprise à 15 h 35)

Le Président (M. Simard) : Alors, chers amis, nous avons quorum. Conséquemment, nous pouvons reprendre nos travaux.

Au moment de suspendre cet avant-midi, nous en étions rendus à l'étude de l'article 4. Y aurait-il d'autres interventions sur cet article? Mme la députée de Mont-Royal—Outremont.

Mme Setlakwe : Oui, certainement, M. le Président. Donc, nous avons... À la fin de notre échange ce matin, nous étions... nous terminions, en fait, l'échange au sujet des mesures à mettre en place au niveau notamment du ministère de la Santé et des Services sociaux pour s'assurer que les contrats qui sont donnés à des firmes externes, notamment, contiennent toutes les dispositions assurant que... assurant le respect de la confidentialité des renseignements personnels des Québécois. On avait soulevé l'exemple précis de la fuite de données à Laval. Donc, nous, de notre côté, c'était complet. Je ne sais pas si le ministre voulait ajouter quelque chose, s'il a un élément de réponse qu'il aimerait rajouter.

M. Caire : Non, ça va.

Mme Setlakwe : Revenons à l'article 4 qui modifie l'article 6. Bon, on parle du courtier infonuagique et ses pouvoirs accrus. Il faut vraiment qu'on revienne sur la question de la souveraineté numérique, c'est important. Vous avez mentionné que, quand on a des données sensibles, qu'il y a une classification des données, le gouvernement s'assure que celles qui sont sensibles sont gardées sous contrôle local, ne sont pas données à des firmes externes pour être hébergées sur des clouds qui pourraient être soumis à des lois étrangères. J'aimerais ça qu'on élabore un peu plus sur cette question-là, puis de voir... En tout cas, nous, on aura un amendement éventuellement à proposer, à savoir comment enchâsser dans la loi... en tout cas, on aura un débat, cet objectif d'atteindre une souveraineté numérique.

Vous avez parlé du fait qu'il y a des mesures qui sont en place, il y a des discussions avec le fédéral, notamment, avec des partenaires, pour s'assurer qu'on ait cette souveraineté numérique puis...

Mme Setlakwe : ...et qu'il y a des situations, notamment comme celles qui ont... qu'on a pu observer au niveau des Pays-Bas... Vous avez lu l'article, j'imagine, qu'on a soulevé ce matin. Comment... Vous travaillez sur quoi, exactement, là, pour s'assurer que des situations comme celle qu'ont connue les... qu'a connue le gouvernement des Pays-Bas ne se... n'arrivent pas ici, finalement?

M. Caire : Oui. Là, comprenons que notre contexte est différent. Les Pays-Bas ne sont pas signataires de l'entente Canada-États-Unis-Mexique, évidemment. Donc, ça, ça crée quand même un environnement de libre marché auquel les Pays-Bas ne sont évidemment pas signataires, donc pas astreints. Maintenant, ce que nous avons fait... C'est ma collègue au Trésor qui a adopté des mesures d'achat local. D'ailleurs, on... Puis je vais... Encore là, je vais laisser ma collègue expliquer sa mesure, mais elle l'a dit en période de questions, déjà il y a des impacts, on voit des impacts positifs sur l'achat local.

Il y a des possibilités aussi, dans un appel d'offres, de mettre un certain pourcentage de contenu canadien. Ça, c'est déjà prévu, ça respecte les... ça respecte nos accords. Et je dirais que l'article 4 du projet de loi participe à ça aussi, comme je l'expliquais ce matin, parce que l'infonuagique nous donne une... c'est-à-dire le courtier, le principe du courtier nous donne une certaine souplesse quant au choix des fournisseurs de services.

Mme Setlakwe : O.K. Mais dans le choix, justement — vous dites que le choix aussi relève des organismes publics, qui peuvent choisir selon leurs besoins parmi les fournisseurs qui sont qualifiés — on peut prévoir un pourcentage de contenu canadien. Mais là, à la lumière de ce qui se passe avec les États-Unis, qui autrefois n'étaient... ce n'était pas un partenaire de... envers qui on se sentait menacé... Mais là, vous travaillez sur quoi dans les dernières semaines? Plus précisément, quelles mesures... pour assurer une protection accrue de nos données?

M. Caire : Je comprends la question. Mais, à ce moment-ci, ce n'est pas pertinent d'y répondre, parce que, comme l'a dit le premier ministre, on n'a pas l'intention de mettre nos cartes... de dévoiler notre jeu. Je pense que la collègue va comprendre ça.

Mais ce que je lui dis, là, c'est quand même important, c'est que le courtier nous donne une flexibilité dans le choix des fournisseurs qui est un élément dans l'atteinte de cet objectif-là. Il y en a d'autres, puis ma collègue me permettra d'être peut-être plus discret à ce moment-ci là-dessus.

Mme Setlakwe : Je comprends. Mais on peut quand même rassurer les Québécois, j'imagine. Là, est-ce que vous pouvez quand même les rassurer que vous êtes en train de revoir les stratégies?

M. Caire : Oh oui! tout à fait.

Mme Setlakwe : Oui.

M. Caire : Je veux... D'ailleurs, je l'ai dit publiquement, et c'est un mandat du premier ministre, on doit s'émanciper des technologies américaines. Ça ne veut pas dire qu'on ne fera plus affaire avec des Américains, comprenons-nous bien. Ça reste encore à ce jour... Malgré tout le brouhaha médiatique, là, dans les faits, ça reste un partenaire... en fait, ça reste notre plus gros partenaire économique. Donc, l'objectif n'est pas de ne plus faire affaire avec les Américains, puis là je le dis de façon très large, là. Il faut quand même comprendre que le Québec exporte pour 87 milliards aux États-Unis et importe pour 43 milliards. Je pense que c'est assez évident que le marché américain demeure un marché important, et donc, si nous, on se coupe... on coupe ce marché-là, on ne veut pas non... on ne veut pas les encourager à faire la même chose de façon drastique. Mais il y a une certaine autonomie, une certaine souveraineté numérique à aller chercher, et c'est très clair que c'est vers là qu'on s'en va.

• (15 h 40) •

Mme Setlakwe : M. le ministre, la question des ressources internes, de l'expertise interne, on en a... bien, en tout cas nous, on en a parlé de notre côté la semaine dernière dans le cadre des motions préliminaires. Est-ce que c'est un des éléments sur lesquels le gouvernement doit travailler, sur son expertise interne, justement, là, dans l'optique d'accroître la souveraineté numérique?

M. Caire : Bien...

Mme Setlakwe : Est-ce que ça, c'est une piste de solution?

M. Caire : Écoutez, je veux rassurer les Québécois, là, on a les ressources... on a des ressources internes de grande qualité. Maintenant, Mme la députée, si vous me demandez : Est-ce que j'en prendrais plus?, la réponse à ça, c'est oui, surtout dans certains champs d'expertise. Donc, on a les ressources pour faire les projets qui sont en cours. Mais je ne vous dirai pas n'importe quoi en vous disant que, si demain matin il pouvait y avoir plus de spécialistes dans certains domaines particuliers, je ne les prendrais pas. Non, je les prendrais. Mais il faut aussi... je vous dirais, il faut aussi composer avec le marché...

M. Caire : ...je les prendrais, mais il faut aussi, je vous dirais... il faut aussi composer avec le marché. De un, la disponibilité de ces ressources-là, notamment en cybersécurité, puis on le sait, c'est un phénomène mondial, là, ce n'est pas le gouvernement du Québec, là, le nombre de postes vacants en cybersécurité sur la planète, c'est... ou le nombre de postes disponibles, devrais-je dire, c'est plus exact, c'est extrêmement important. Donc, ce n'est pas le gouvernement du Québec, c'est tous les gouvernements, c'est toutes les entreprises privées qui sont en recherche. Donc, ça, il faut informer plus, mais dans une perspective de mettre en place une politique de souveraineté numérique plus agressive, on a les ressources qu'il faut.

Mme Setlakwe : Vous avez les ressources qu'il faut actuellement. C'est... Il y a quelques jours ou la semaine dernière, vous nous... en tout cas, nous, on vous demandait combien de nouvelles ressources ont été embauchées dans la dernière année, disons depuis le 1ᵉʳ avril, vous deviez peut-être chercher ce chiffre-là puis le fournir ultérieurement à la commission.

M. Caire : Ça me fera plaisir, ultérieurement, effectivement, de vous le fournir.

Mme Setlakwe : Merci. Mais donc vous dites qu'actuellement vous avez les ressources à l'interne suffisantes, ce n'est pas un enjeu, là, pour accroître notre souveraineté numérique, pour s'assurer...

M. Caire : Non.

Mme Setlakwe : Parce que sachant qu'on a... on aura, avec le déploiement de l'identité numérique nationale, un registre qui va centraliser les informations, un besoin accru, là, au niveau de l'hébergement, et on...

M. Caire : Oui, sauf qu'un besoin accru ne signifie pas de façon directement proportionnelle un nombre de ressources supplémentaires. Il faut comprendre qu'un centre de traitement de l'information, beaucoup de choses sont automatisées, donc ce n'est pas... ce n'est pas un secteur qui est très générateur d'emplois. Ce n'est pas parce que vous allez rajouter des... «casings», des serveurs puis du filage... de la virtualisation de machine ne va pas amener un besoin en ressources humaines directement proportionnel à l'augmentation de la capacité. Donc, ça, c'est important, là, et compte tenu que le nuage québécois du gouvernement du Québec est déjà en opération, on les a, les employés, on l'opère, le nuage, présentement.

Mme Setlakwe : Est-ce qu'actuellement il y a certaines de nos données qui sont exposées, qui sont à risque d'être surveillées, exposées à des risques d'ingérence, de surveillance par des gouvernements étrangers, notamment en vertu du Cloud Act américain?

M. Caire : Oui. Oui.

Mme Setlakwe : Ah oui? Dans quelle proportion?

M. Caire : Bien... ça fait partie des choses que je pourrais vous amener, encore une fois, en étude de crédits, là, mais on a...

Mme Setlakwe : ...

M. Caire : Bien, Mme la députée, je suis désolée, ce n'est pas... on parle du courtier en infonuagique, vous me demandez dans quelle proportion nos données sont sur des contrats. Moi, je vous réponds en toute bonne foi, mais mettons que je pourrais invoquer la pertinence, là, puis je ne le fais pas, parce que je veux qu'on ait un échange, mais je pourrais invoquer la pertinence.

Mme Setlakwe : Vous pensez que ma question n'est pas pertinente ou que... vous doutez...

M. Caire : Sur le courtier en infonuagique?

Mme Setlakwe : Oui.

M. Caire : Sur le courtier en infonuagique, combien de données, combien de contrats par rapport au fait que... Mais, à date, vous ne m'avez pas posé une question sur pourquoi progiciel, pourquoi cybersécurité, pourquoi fondation, pourquoi... On élargit ça.

Mme Setlakwe : On va y arriver.

M. Caire : Bien oui, mais c'est ça, mais c'est ça, l'objet de l'article.

Mme Setlakwe : On est sur la... oui, mais on est sur la...

M. Caire : Ce que vous me dites, c'est qu'on va y arriver, donc ce que vous me confirmez, c'est que vous ne m'avez pas interrogé sur le cœur de l'article jusqu'à date.

Mme Setlakwe : On va y arriver. C'est que, là, il y a quand même...

M. Caire : Ce qui veut dire que vous ne m'avez pas interrogé sur ce qui est l'objet de l'article, jusqu'à date, puis ça fait quand même, quoi, 30, 40 minutes qu'on en jase, là, comme il faut.

Mme Setlakwe : Bien, on parle de... on parle de protection de nos données, on parle de souveraineté numérique.

M. Caire : Oui, oui, mais ce n'est pas l'objet de l'article.

Mme Setlakwe : Bien, le courtier infonuagique, c'est pour fournir des services, notamment en infonuagique, aux organismes gouvernementaux.

M. Caire : Non. Le courtier... le courtier en infonuagique existe déjà, qu'on adopte le projet de loi ou non. Le courtier en infonuagique, il existe, là. Le projet de loi ne change rien à ça. Ce que le projet de loi fait, c'est élargir la portée de son travail.

Mme Setlakwe : Oui, oui. Non, non, non, mais... Tout à fait, mais on est directement sur le sujet quand on parle du mandat du courtier infonuagique. Il y a des services qui sont rendus aux organismes gouvernementaux.

M. Caire : Là, on discute de la situation par rapport à un projet de loi qui a été adopté en 2021, là, soyons clairs, là, la discussion que vous et moi...

Mme Setlakwe : Mais le monde a changé depuis ce temps-là. Le monde a changé, c'est...

M. Caire : Mais le projet de loi ne propose pas de modifier la situation du projet de loi no 95. Alors, ce dont on discute depuis ce matin, c'est d'un projet de loi qui a été adopté il y a bientôt...

M. Caire : ...quatre ans, là, alors oui, je peux évoquer la pertinence très certainement.

Mme Setlakwe : Vous... O.K. Là, la pertinence pour une députée de l'opposition de demander au ministre le Cybersécurité et du Numérique quelles sont ses stratégies vis-à-vis un gouvernement américain qui a adopté des lois telles que le Cloud Act et le Patriot Act, vous...

M. Caire : Non.

Mme Setlakwe : ...vous doutez de la pertinence de cette... de cette question-là...

M. Caire : Non.

Mme Setlakwe : ...sur les stratégies que sur lesquelles vous êtes en train de plancher pour...

M. Caire : Non, non, je doute... je doute de la pertinence d'un législateur qui ne m'a pas posé une seule question sur l'article dont on discute présentement. Vos questions sont tout à fait légitimes, ce n'est juste pas la bonne tribune. Vous ne vous êtes pas levée en Chambre une fois, vous n'avez pas demandé de débat de fin de séance, vous n'avez pas demandé d'interpellation, puis ça fait je ne sais pas combien de fois je vous dis : Bien, je vais vous fournir la réponse aux études de crédits parce que vos réponses...

La Présidente (Mme Mallette) : Je fais juste vous inviter à revenir sur le sujet de l'article.

M. Caire : Bien, j'aimerais ça, Mme la Présidente.

La Présidente (Mme Mallette) : Les échanges, ils allaient bien, on était en respect, on va juste revenir. Ça fait que, s'il vous plaît, peut-être poser des questions en lien avec le sujet de l'article 4 du projet de loi actuel, s'il vous plaît.

Mme Setlakwe : Est-ce que c'est important d'avoir le débat sur la question d'à qui on va confier nos données sensibles et personnelles puis de s'assurer que ces lois américaines qui ont une portée extraterritoriale.

M. Caire : Ce n'est pas pertinent. Je vous dis que ce n'est pas en lien avec la loi.

Mme Setlakwe : Mais nous, on aimerait... on a soumis au Greffier une proposition d'amendement. On serait très heureuses, ma collègue et moi, si on pouvait avoir une discussion et si la partie gouvernementale, à l'aide de vous légistes et toutes vos équipes, pouvait nous dire si c'était... si c'est un libellé auquel vous avez songé. On en a parlé ce matin justement d'enchâsser, dans la loi, cette...

M. Caire : Est-ce qu'il est sur le site du Greffier?

Mme Setlakwe : Oui.

Une voix : On va le déposer.

M. Caire : O.K. Parce que... ou je ne l'ai pas encore, mais...

La Présidente (Mme Mallette) : Un amendement à l'article 4?

Mme Setlakwe : Oui.

M. Caire : O.K. Oui, là, je l'ai, je l'ai, je l'ai. J'ai fait une petite... un rafraîchissement.

La Présidente (Mme Mallette) : On va suspendre quelques instants pour prendre connaissance de l'amendement. Merci.

(Suspension de la séance à 15 h 49)

(Reprise à 15 h 54)

La Présidente (Mme Mallette) : On reprend nos travaux. Je cède maintenant la parole à la députée de Royal-Outremont pour qu'elle puisse nous faire la lecture de la... sa proposition d'amendement à l'article 4.

Mme Setlakwe : Merci, Mme la Présidente. Donc, nous proposons de modifier l'article 4 du projet de loi par l'insertion, dans le premier alinéa, après le sous paragraphe b, du sous-paragraphe suivant : c) par l'insertion, à la fin de, «et ce, tout en s'assurant de confier les données sensibles et personnelles à des entreprises assujetties uniquement aux lois et à la réglementation québécoise et canadienne».

Donc, l'article 6, tel que modifié, se lirait comme suit : «Le ministre agit à titre de courtier infonuagique et en technologies spécialisées pour le compte des organismes publics, en rendant disponibles des offres infonuagiques et en technologies spécialisées par le... par type de biens ou par type de services. Et ce, tout en s'assurant de confier les données sensibles et personnelles et des entreprises assujetties uniquement aux lois et à la réglementation québécoise et canadienne.» Tout ça dans l'optique d'ajouter, d'enchâsser dans la loi cette orientation, cet objectif gouvernemental de garder nos données sensibles chez nous. M. le ministre, qu'est-ce que vous en pensez?

M. Caire : Bien, j'en pense que je ne pourrai pas donner mon accord à l'amendement, parce que, d'abord, je pense que ça ne passerait pas le test juridique. Je pense qu'au niveau juridique cet amendement-là ne passerait pas la rampe en vertu de nos lois et de nos accords. Donc, déjà là, ça pose un problème. Ensuite, bien, il y a, comme je le disais, au niveau de la loi sur les contrats des organismes publics, c'est cette loi-là qui crée le cadre contractuel. Et donc on n'ira pas modifier la LCOP sur un amendement. Alors que, comme j'expliquais à Mme la députée, les stratégies puis les outils, on les a. D'ailleurs, ce que je vous demande avec l'article 4, c'est d'élargir cet outil-là, mais il y a déjà des outils qui nous permettent de faire ça. Donc, je ne vois pas pourquoi on prendrait la chance, législativement, de se faire débouter, alors que, dans les faits, on n'a pas besoin de cette mesure-là pour atteindre l'objectif que nous vous... que vous nous demandez d'atteindre.

Mme Setlakwe : Mais est-ce que c'est votre... c'est un objectif que vous partagez, sur le fond? Oui.

M. Caire : Bien, je l'ai dit à de nombreuses reprises, Mme la députée. En fait, ce que je dis... Puis, quand on a fait la classification des données, c'était ça, l'objectif, c'est-à-dire... parce que vous m'avez demandé : Bien, on a-tu des données en... Il faut comprendre que l'infonuagique, là, ça fait... c'est avant même le gouvernement de la CAQ, on utilisait quand même des services infonuagiques, là. Donc, ça fait un certain temps. Puis je le dis dans une perspective de discussion, O.K., je veux être bien clair, là. Bien là, on voit qu'il y a une évolution. On le voit chez nos voisins du Sud, on le voit en Europe. Parce qu'en Europe aussi, là, il y a des... il y a des mesures législatives qui ont été prises qui sont quand même assez importantes, notamment sur la souveraineté numérique. Ici, au Québec, on a fait une avancée majeure avec la loi 25, vous vous en souviendrez, le reste du Canada aussi, là, est en mouvement. Donc, le contexte législatif change...

M. Caire : ...change, le contexte des accords internationaux se modifie. Donc, nous, les outils dont on a besoin pour atteindre cet objectif-là, on les a, on veut les élargir, on veut les bonifier, mais si on parle strictement de l'infonuagique, on les a déjà. Puis c'est pour ça, Mme la députée, que je vous disais — puis ce n'était pas par arrogance, là — que votre question ne touchait pas à la loi, parce que la situation de l'infonuagique, c'est une situation qui prévaut, législativement, depuis, même, avant 2018 et qui a été modifiée, législativement, en 2021, avec la loi 95, puis au niveau des renseignements personnels, ça a été modifié avec l'adoption de la loi 25. Donc, notre propre contexte a changé, là, et notre propre contexte fait en sorte qu'on s'est donné des outils qu'on n'avait pas. Donc là, je pense, puis Me Bacon pourra confirmer, ça ne passera pas le test.

Mme Setlakwe : ...bien, j'aimerais comprendre pourquoi ça ne passe pas le test, de un. Puis, de deux, juste...

M. Caire : Bien, je... ça, c'est le bout où je vais laisser Me Bacon vous expliquer, là.

Mme Setlakwe : Oui, parce qu'on a... vous avez dit qu'il y avait 17 entreprises qui étaient qualifiées.

M. Caire : Je... Correction, c'est 49 entreprises qualifiées ou courtiers en infonuagique, 26 qui sont des entreprises canadiennes.

Mme Setlakwe : Ah! ce n'est pas... O.K. Donc, c'est à peu près moitié-moitié, canadiens, américains.

M. Caire : C'est un petit peu plus que la moitié, oui, qui sont des entreprises canadiennes.

Mme Setlakwe : Donc, 26 entreprises canadiennes qualifiées, et donc 23, quand même, entreprises...

M. Caire : ...qui sont autres que canadiennes...

Mme Setlakwe : ...américaines, et autres.

M. Caire : ...parce que c'est 13 américaines, puis le reste, c'est...

Mme Setlakwe : 3 sociétés autres que canadiennes, dont 13 américaines.

M. Caire : Oui, américaines.

Mme Setlakwe : Et là on a convenu tout à l'heure... Je pense que votre réponse à ma question : Est-ce qu'il y a certaines de nos données qui sont... qui pourraient être visées par le Cloud Act?, la réponse, c'est oui.

M. Caire : Bon, alors, il y a des contrats en infonuagique et des transferts de charges qui ont été effectués avant le dépôt de la classification des données. Maintenant, ces données-là devront refaire le processus et être envoyées dans l'infonuagique gouvernementale.

Mme Setlakwe : Et est-ce que... c'est quoi, le plan d'action? Est-ce que... est-ce que vous avez comme un plan d'urgence pour migrer ces données-là rapidement vers des infrastructures locales souveraines?

M. Caire : Oui, mais c'est là... mais c'est là où j'aurai... Mme la députée, je peux vous proposer un briefing technique à huis clos, mais je ne discuterai pas publiquement de ces plans-là. Mais vous êtes une députée de l'Assemblée nationale. Ça me fera plaisir, si vous le souhaitez, de vous en dire un peu plus, mais dans un huis clos.

Mme Setlakwe : Oui, merci. Juste...

La Présidente (Mme Mallette) : ...avant de vous redonner la parole, je veux juste vous informer que l'information sur les ententes-cadres signées aux courtiers infonuagiques a été transmise par le ministre et distribuée dans le Greffier.

Mme Setlakwe : Merci.

M. Caire : Sweet de même.

Mme Setlakwe : Non, non, on comprend qu'il y a des ententes-cadres à respecter, mais on fait quoi devant le président américain, qui, lui, met de l'avant des lois à portée extraterritoriale, qui touchent nos données? Alors, vous répondez comment, au ministre? Là, nous, on propose, en toute bonne foi, de façon constructive, de mettre des principes dans la loi.

M. Caire : Je le comprends, mais ce que je vous dis, c'est que, pour... bon, puis je vais laisser Me Bacon compléter l'aspect juriste, mais ce n'est pas nécessaire. On est capables d'atteindre cet objectif-là, on veut et on va atteindre cet objectif-là sans se mettre à risque législativement.

• (16 heures) •

Mme Setlakwe : Mais j'aimerais comprendre le risque législatif. Merci. S'il vous plaît.

La Présidente (Mme Mallette) : Me Bacon, s'il vous plaît, est-ce que vous pouvez nous expliquer le risque législatif?

Mme Bacon (Nathalie) : Oui, Mme la Présidente. Je vais faire une première... si vous me permettez, une première parenthèse. Si vous allez à l'article 35 et 36 du projet de loi, on modifie le Règlement sur les contrats en technologies de l'information, qui est pris en vertu de la Loi sur les contrats des organismes publics. C'est ce qui nous autorise à avoir... dans le fond, c'est la... le pouvoir habilitant pour le courtier vient de cet article-là, 48, de ce règlement-là, qu'on appelle le RCTI. Ça fait qu'on vient faire les mêmes modifications qu'on vient faire à l'article 6 de la loi sur le ministère, on vient le faire à l'article 48 du RCTI. Alors là, on est en adéquation.

Et l'effet... vous avez vu, vous avez compris que l'effet des modifications, pour le courtier, c'est d'élargir sa portée. Si vous lisez 48 du règlement sur les contrats, on voit que le courtier a comme un passe-droit par rapport à la loi sur les contrats. C'est-à-dire qu'au lieu d'être obligé d'aller en appel d'offres il va en appel... ils appellent ça, excusez-moi...

M. Caire : L'appel d'intérêt.

Mme Bacon (Nathalie) : Oui, l'appel d'intérêt. Par un appel d'intérêt, donc...

Mme Bacon (Nathalie) : ...le courtier en appel d'intérêt, fait une entente-cadre et, par la suite, les organismes publics vont dans le catalogue, et le catalogue, si vous voulez, c'est comme un buffet de fournisseurs ou de prestataires de services, et là ils vont pouvoir conclure un contrat de gré à gré plutôt que d'aller en appel d'offres. Donc, déjà là, en permettant une extension de la portée du courtier, bien, on se donne encore plus de marge de manœuvre pour choisir de gré à gré un fournisseur de notre choix qui pourrait être un fournisseur québécois ou canadien. Première chose.

Deuxième chose, lorsque... vous savez qu'il y a des règles, tout le monde le sait, là, qu'on doit, au niveau légal, respecter les accords et ce à quoi on s'est engagé comme... avec nos partenaires, que ce soit l'ACEUM ou les autres accords. Vous avez eu une modification à laquelle que vous avez peut-être participé en 2022. C'est tout récent. Le projet de loi n° 12, qui est devenu le chapitre 18 de 2022, qui s'appelle Loi visant principalement à promouvoir l'achat québécois et responsable par les organismes publics. Là, par cette loi-là, ce projet de loi là qui a eu lieu en 2022, on est venu enchâsser une grande section dans la Loi sur les contrats pour, à certaines conditions et dans certains contextes, prévoir l'achat québécois et l'achat local. Donc, on est dans la même situation aujourd'hui avec votre amendement, c'est-à-dire que, si on veut fermer un marché, comme vous le proposez dans votre amendement, bien, on doit venir enchâsser dans la loi sur les contrats et non pas à l'article 6 de la loi sur le ministère, qui concerne spécifiquement le travail du courtier.

Mme Setlakwe : C'est intéressant. Là, on parle d'appels d'intérêt et de clauses de la LCOP qui concernent l'achat québécois.

Mme Bacon (Nathalie) : Oui.

Mme Setlakwe : Mais comment on va imbriquer tout ça pour atteindre l'objectif? Parce que moi, ce que j'entends, c'est qu'il y a un catalogue d'entreprises, c'est un appel d'intérêt. Et ensuite, les ministères et organismes peuvent choisir l'entreprise. Mais comment on va les contraindre à prendre en considération la souveraineté numérique?

M. Caire : Ça fera partie des discussions que nous pourrons avoir à huis clos.

Mme Setlakwe : Mais ce que j'entends, c'est que vous n'êtes pas contre le principe.

M. Caire : Non.

Mme Setlakwe : Dans le fond, on dit la même chose. On va trouver une autre façon d'y arriver.

M. Caire : Ce que je vous dis, c'est que ça, on s'embarque dans des mois de batailles juridiques alors qu'on a les outils pour le faire, avec le courtier notamment puis l'élargissement de son mandat par rapport à ce que Me Bacon vient de vous dire.

Mme Setlakwe : Est-ce que l'exemple d'Epic et du choix... il va y avoir des fournisseurs qui vont devoir être choisis par le MSSS?

M. Caire : Oui.

Mme Setlakwe : Comment on va...

M. Caire : Bien, dans le cas d'Epic, on s'entend que le contrat est déjà signé, là, on va respecter notre signature.

Mme Setlakwe : Oui, il est déjà signé, mais il va y avoir d'autres contrats. Je pense que, justement, il y avait des discussions entre certaines entreprises et le MSSS pour tout ce qui concerne... tout ce qui est accessoire. Parce qu'il va falloir que nos établissements puissent avoir des systèmes qui soient compatibles avec Epic.

M. Caire : Interopérables.

Mme Setlakwe : Interopérables.

M. Caire : Oui. Oui, ça, c'est sûr.

Mme Setlakwe : Puis on va devoir...

M. Caire : Oui, sinon on s'en va vers un DSQ, puis je sais que vous et moi sommes d'accord que ce n'est pas ce qu'on souhaite.

Mme Setlakwe : On s'entend là-dessus.

M. Caire : Je pense que oui. On s'entend sur plein d'affaires, Mme la députée.

Mme Setlakwe : Est-ce que donc le MSSS... comment vous allez arriver dans la séquence à ce que le MSSS soit sensibilisé à vos préoccupations et, dans son choix de fournisseur, prenne en compte ces objectifs?

M. Caire : Ça, c'est un paragraphe, hein, c'est ça? Paragraphe 1°, article 4, le dernier alinéa, paragraphe 1° : «progiciels de gestion intégrée». Epic est un progiciel de gestion intégrée.

Mme Setlakwe : Bien, c'était une de mes questions, moi, mais on va y arriver aux détails. Nous, on commence par les grands principes, puis on arrive aux fins détails après. Donc, Epic, c'est un progiciel de gestion intégrée.

M. Caire : Exact.

Mme Setlakwe : Donc, vous avez... dans votre mandat, vous agissez à titre de, une fois les modifications faites, courtier infonuagique et en technologies spécialisées...

M. Caire : C'est ça.

Mme Setlakwe : ...notamment au niveau des progiciels de gestion intégrée.

M. Caire : Voilà.

La Présidente (Mme Mallette) : Je suggérerais peut-être de mettre aux voix l'amendement, puis, après ça, de revenir à l'étude de l'article 4...

La Présidente (Mme Mallette) : ...est-ce qu'il y avait... pour l'amendement? La députée de La Pinière... Puis je veux juste aussi vous informer qu'il y a une nouvelle information qui a été transmise par le ministre. Là, elle vient de disparaître, l'information, c'était le nombre d'embauches, là, qui a été mis sur Greffier. Mme La Pinière... «Mme La Pinière», Mme la députée de La Pinière, pardon...

Mme Caron : Ça va, Mme la Présidente.

La Présidente (Mme Mallette) : Vous allez faire votre intervention sur l'amendement de l'article 4, s'il vous plaît.

Mme Caron : Oui, c'est ça. Alors donc, comme... si je comprends bien la chose, c'est que... bien, notre amendement, oui, je comprends notre amendement, qui souhaite mettre... s'assurer que les données sensibles et personnelles sont confiées uniquement à des entreprises qui sont assujetties aux lois puis à la réglementation québécoise et canadienne.

Quand je suis revenue de mon intervention sur un autre projet de loi, ce matin, je suis arrivée dans la discussion sur le courtier, et on... M. le ministre expliquait qu'il y avait des façons d'ajouter des... qu'il y avait des critères de classification des données et qu'on pouvait... ça pouvait diminuer le recours à des... à certaines entreprises après la qualification, mais que le ministre n'avait pas l'intention de mettre des critères, comme pour empêcher une entreprise américaine d'entrer... d'être disqualifié automatiquement.

Et là ce que je comprends de la discussion, quand on soumet cet amendement-là, c'est que, si on disqualifiait automatiquement une entreprise américaine par des critères, on pourrait contrevenir à des ententes commerciales et s'exposer...

M. Caire : ...parce qu'à mon avis cet amendement-là... puis je ne veux pas exercer une pratique frauduleuse du droit, comme disait mon ancien collègue de La Pinière, mais je vais le faire, à mon avis, cet amendement-là aurait pour effet d'éliminer spécifiquement des entreprises et donc de diminuer la concurrence, puis c'est là où je vous dis : Hum, pas convaincu, moi. En fait, je pense que ça ne passerait même pas au Conseil législatif du gouvernement du Québec.

Mme Caron : Et cela dit, Mme la Présidente, je comprends aussi dans les échanges qu'on a un autre moyen de le faire. On ne peut pas le faire directement, pour ne pas s'exposer à des poursuites, par exemple, de non-respect des accords, mais qu'on peut le faire d'une autre façon. Par exemple, j'imagine que, dans les entreprises qui sont préqualifiées, bien, on peut mettre une pondération de certains critères qui feraient qu'une entreprise québécoise, admettons, aurait une plus grande pondération sur le seul fait d'être québécoise et que ça, ce ne serait pas à la portée... c'est-à-dire que ce ne serait pas exposé aux poursuites en vertu d'accords commerciaux, par exemple.

Puis là je ne suis pas une... je n'exercerai pas, moi non plus, le droit sans avoir les compétences pour le faire, mais ce que je comprends, et on me corrigera si j'ai tort, mais je pense c'est important de comprendre ça pour pour la suite des choses, c'est que le fait de pondérer des critères ne viendra pas en... ne viendra pas en non-respect de la loi sur les contrats des organismes publics, ne viendrait pas non plus... ne nous exposerait pas non plus à des poursuites en vertu d'accords commerciaux. Donc, ce qu'on ne peut faire directement, dans ce cas-ci, on pourrait le faire indirectement. C'est ce que... c'est ce que je comprends.

• (16 h 10) •

M. Caire : Ça résume assez bien la situation. Comme disait Me Bacon, une fois qu'une entreprise a répondu aux critères d'entrée, après ça, les organismes décident avec qui ils font affaire, puis le contrat se signe de gré à gré, qu'ils signent bien avec qui ils veulent.

Mme Caron : Donc, c'est ça, les ministères et organismes signent avec qui ils veulent dans la liste qui... offerte par le courtier, disons, dans la liste préqualifiée par le courtier, et le courtier, avec, bon, des mesures de pondération, pourrait s'assurer que les entreprises sont plus désirables que d'autres, admettons, étant donné leur... la propriété de l'entreprise aussi, elle pourrait être soumise à des lois étrangères ou non.

Alors, ça, on comprend que ça se fait, et j'imagine que ça va un petit peu... Parce que, tout à l'heure, la question qui me venait à l'esprit durant l'échange, c'était : Qu'est-ce qui s'était passé entre la semaine passée et cette semaine? Parce que, la semaine passée, quand le ministre a été interrogé sur...

Mme Caron : ...les contrats avec un pays au sud de la frontière, disons, c'était que, déjà, on avait commencé à passer au peigne fin les contrats actifs avec Amazon, par exemple. Donc, si on le faisait là, je me disais : Pourquoi on ne le fait pas ici, dans ce projet de loi là? Pourquoi on ne donne pas... je ne sais pas si je peux utiliser l'expression donner des lois à ce projet... des dents à ce projet de loi pour permettre de... dorénavant de s'assurer d'avoir des fournisseurs qui sont canadiens ou québécois ou, disons, pas d'un pays qui pourrait... qui pourrait menacer nos données? Mais on ne peut pas... Ce que je comprends, c'est qu'on ne pourrait pas l'écrire directement dans la loi, il faut qu'on trouve un moyen détourné.

M. Caire : Un moyen détourné...

Mme Caron : Indirect.

M. Caire : ...le législateur ne ferait jamais ça. On a d'autres moyens.

Une voix : Modifier la LCOP.

M. Caire : Oui, mais non.

Mme Caron : Donc, on pourrait modifier la loi sur les contrats aux organismes publics.

Une voix : En contravention avec les accords.

M. Caire : C'est ça.

Mme Caron : Et... Alors, on se retrouve un petit peu à... Je comprends qu'il y aurait peut-être des informations qui seraient données aux parlementaires à huis clos, mais, pour l'instant, j'ai l'impression qu'on veut aller dans le même sens, on veut atteindre le même objectif, mais on ne peut pas l'écrire. Donc, on doit comprendre qu'il faut... il faut croire, avoir confiance que c'est ça qui va se faire, mais on n'est pas capable de l'écrire dans le projet de loi.

M. Caire : Ah! mais, Mme la députée, ce n'est même pas une question de confiance. Je le dis, je le répète, tous les contrats qu'on signe sont publics. Donc, vous êtes tout à fait en mesure de monitorer l'évolution des contrats à partir de ce jour, à qui ils se donnent, pour faire quoi. Alors, ça, c'est toute de l'information publique, donc vous n'avez pas besoin de nous faire confiance. En tout cas, pas sur... parce que vous aurez les outils pour... D'ailleurs, il y a eu quelques reportages dans les médias de journalistes qui ont fait cet exercice-là de faire le cumul des contrats, à qui ils avaient été donnés, pour combien. Alors, la beauté de la chose, c'est qu'au Québec c'est... tout ça est public.

Mme Caron : Absolument, Mme la Présidente, tous les contrats sont publics, et on peut les monitorer, mais ça... on peut monitorer, mais ça ne veut pas dire qu'on peut... On peut dire : Bien là, ce contrat-là est donné aux États-Unis, ce contrat-là est donné aussi aux États-Unis, ce contrat-là... tu sais, on peut... parce que la loi va le permettre. Donc, on ne peut pas...

M. Caire : ...ce que je veux dire, Mme la députée, c'est que le gouvernement devra répondre. Si, demain matin, on continue à donner encore tous les contrats, le gouvernement va en répondre, là.

Mme Caron : Donc, le gouvernement va en répondre, mais ce sera légal de donner des contrats aux entreprises autres.

M. Caire : C'est sûr. C'est sûr.

Mme Caron : Alors, on ne...

M. Caire : Mais, je vous rappelle, nous exportons pour 87 milliards, nous importons pour 43 milliards. Alors, il ne faut pas oublier que les États-Unis sont un partenaire très important pour notre économie, et avoir ce libre marché là puis avoir ce client-là très important à nos portes, il faut aussi mettre ça dans l'équation. Notre économie ne vit pas en autarcie.

Donc, je comprends ce que vous dites puis je pense que, dans des secteurs stratégiques, la souveraineté numérique, elle est souhaitable, mais, dans une perspective de développer l'économie québécoise, le partenaire américain est encore un partenaire très important avec qui on souhaite continuer à faire des affaires pour très longtemps, indépendamment de qui est à la présidence maintenant, ça, c'est temporaire, alors que, comme partenaire, les États-Unis, on peut penser sur de très nombreuses années. Donc, encore là, soyons prudents dans la façon dont on gère cette relation-là, qui historiquement est très positive pour le Canada, pour le Québec et pour les États-Unis. Alors là, il y a un élément perturbateur, on en est tous très conscients, qui nous force à remettre des choses en question, ça aussi, on en est très conscients. Mais, comme on dit, ne jetons pas le bébé avec l'eau du bain. Donc, soyons conscients de la situation. Prenons des mesures en conséquence. Mais ces accords-là de libre marché, ils sont très favorables pour le Québec.

Mme Caron : M. le Président, je suis absolument d'accord avec cette vision des... de la relation avec les États-Unis. Nos économies sont tellement intégrées depuis... depuis tellement longtemps. C'est la beauté de la... Ça a été jusqu'ici la...

Mme Caron : ...côté de la chose, je dirais, maintenant, c'est... c'est différent. Mais là, comme on étudie le projet de loi n° 82 concernant l'identité numérique nationale, je... je ne regarde pas nécessairement l'ensemble de nos échanges économiques et notre balance commerciale avec les États-Unis, mais la question stratégique de nos données sensibles, et c'est... c'est ça ici pour... Si... si on parle d'un contrat pour installer du matériel, et que ce soit donné une entreprise... confié à une entreprise américaine, c'est une chose. Quand on vient stocker nos... nos données, notamment nos... nos données sensibles, bien là, c'est là que c'est... c'est... on ne connaît pas... on ne connaît pas l'avenir puis on veut essayer de se.... de se protéger le plus possible parce qu'on sait que l'information dans... à notre époque, et ça va être encore plus vrai par la suite, l'information, les données, c'est le pouvoir.

M. Caire : ...

Mme Caron : Et on veut absolument les protéger. Alors, oui, c'est vrai qu'il y a un contexte économique, il faut respecter les accords et tout ça, mais ce qu'on essaie de faire par... par cet amendement, puis dans les nombreuses questions qu'on vous pose, parce qu'on veut s'assurer, comme les gens sont venus nous dire en commission parlementaire, que c'est... les données, c'est... c'est absolument précieux, puis on veut les on veut les protéger de toute ingérence, quelles qu'elles... quelles qu'elles soient, là.

M. Caire : On est d'accord.

Mme Caron : Merci.

Le Président (M. Simard) : D'autres commentaires sur l'amendement?

Mme Setlakwe : Oui.

Le Président (M. Simard) : Oui, Mme la députée de Mont-Royal—Outremont.

Mme Setlakwe : J'aimerais qu'on soit rassurés davantage, là, au niveau de... au niveau de la santé. Expliquez-nous aussi le phasage par rapport au... à la migration infonuagique. On a commencé par quoi? Est-ce qu'on a commencé par les ministères et ensuite on est allés vers l'éducation, puis on est rendus en santé ou je me trompe?

M. Caire : C'est à dire qu'on a commencé en 2019 avec des projets-pilotes. Là, je n'ai pas les six organismes en tête, là. Il y avait la Sûreté du Québec, notamment, qui était là-dedans qu'on a fait un projet-pilote pour valider le transfert des charges notamment, suite à quoi l'administration publique, de façon plus large, a fait la préparation parce que, bon, avant de faire une migration, là, vous comprenez qu'il y a des étapes de préparation, d'évaluation, fallait mettre en place évidemment le service infonuagique privé du gouvernement, ce qui a été fait, et là on a transféré les charges. Et à partir de 2020, donc mai 2020, on a demandé au réseau de l'éducation et au réseau de la santé de faire la même démarche jusqu'en 2025. Donc, chaque entité a la responsabilité de la gestion du projet de consolidation dans son organisation. Avant ça, c'était le MSSS qui le chapeautait. Maintenant, ça va être l'agence de Santé Québec.

Mme Setlakwe : O.K. Donc, est-ce qu'actuellement il y a des contrats? Où est-ce qu'ils en sont au niveau du MSSS, là, pour l'octroi des contrats? Il n'y avait pas des... il y a... Est-ce qu'il y a des contrats qui ont été octroyés récemment? Est-ce que... est-ce qu'on vise des contrats de type...

M. Caire : Bien, vous me parlez de...

Mme Setlakwe : ...libre marché ou est ce que... ou est-ce que... ou...

M. Caire : En infonuagique?

Mme Setlakwe : Oui.

M. Caire : O.K.

Mme Setlakwe : Oui. Est-ce que...

• (16 h 20) •

M. Caire : Alors, au niveau de du MSSS, on est plus dans l'évaluation puis la préparation des charges. Il y a des transferts de charges qui ont été effectués. Là, je n'ai pas... je n'ai pas le dernier chiffre de transferts de charges qui sont effectués. Puis, dans le cas de la santé, beaucoup des serveurs sont des technologies qui sont relativement désuètes, donc il n'y a pas de transfert direct en infonuagique, c'est impossible. Donc, on est sur site, on va transférer sur site, mais au MCN, aux services du MCN. Donc ça, ça n'ira pas en infonuagique. Donc là, vous allez avoir une disparité dans les... dans les proportions parce que beaucoup d'informations n'iront pas en infonuagique et vont rester sur site.

Mme Setlakwe : Est-ce qu'actuellement... Moi, je reviens sur la question, là, des contrats qui sont majoritairement octroyés à Microsoft? Est-ce que, selon vous, c'est un problème?

M. Caire : Oui, oui.

Mme Setlakwe : Puis comment on fait pour se... se distancer? Comment on fait pour réduire notre dépendance?

M. Caire : On s'en reparle.

Mme Setlakwe : O.K. Mais c'est... vous reconnaissez qu'on a une dépendance envers...

M. Caire : Oui, oui, oui, puis je... je... je considère qu'on a... on a... c'est quelque chose qui... qui doit attirer notre attention.

Mme Setlakwe : Il y a des contrats qui ont été octroyés de gré à gré à Microsoft?

M. Caire : Pour l'essentiel, c'est des contrats via le courtier en infonuagique...

M. Caire : ...pour l'essentiel, c'est des contrats via le courtier en infonuagique.

Mme Setlakwe : De gré à gré, donc on a choisi Microsoft.

M. Caire : Donc, bien, je n'aime pas... je n'aime pas... je n'aime pas l'idée du gré à gré, parce que le gré à gré, le processus de qualification, pour moi, fait office d'appel d'intérêts plus, on est entre l'appel d'intérêts normal puis l'appel d'offres conventionnel, parce qu'il y a quand même des critères pour se qualifier. Je prends l'exemple de Micrologic, qui, à la genèse du projet, ne rencontrait pas les critères, donc ne pouvait pas être inscrit au courtier en infonuagique, bien, ils ont travaillé fort, puis je salue ce qu'ils ont fait puis je salue leurs investissements. Parce qu'aujourd'hui c'est un... c'est une belle entreprise qui offre des services de très haut niveau, de très haute qualité, mais c'est ça, parce qu'ils devaient rencontrer ces critères-là. Donc, ce n'est pas un gré à gré conventionnel, donc, parce qu'il faut quand même être qualifié à l'intérieur du... dans le catalogue du courtier en infonuagique.

Mme Setlakwe : Puis là Micrologic est qualifiée?

M. Caire : Oui.

Mme Setlakwe : Depuis quand, déjà?

M. Caire : C'est une bonne question. Je ne saurais pas vous dire, mais ça... ça fait quelques années, là.

Mme Setlakwe : O.K. Et qu'en est-il de... Vous n'avez pas répondu la semaine dernière.

M. Caire : ...n'a jamais fait de démarches pour se qualifier. Donc, ils ne le sont pas parce qu'ils ne le souhaitent pas.

Mme Setlakwe : Est-ce que...

M. Caire : Bien, je ne sais pas pourquoi, mais...

Le Président (M. Simard) : Mais on est toujours ici sur l'amendement.

Mme Setlakwe : Absolument.

Le Président (M. Simard) : Très bien.

Mme Setlakwe : On essaie de voir, M. le Président, comment... comment on peut...

M. Caire : C'est selon votre évaluation, M. le Président.

Le Président (M. Simard) : S'il vous plaît, cher...

Mme Setlakwe : On essaie de voir comment réduire notre dépendance aux entreprises américaines et comment favoriser des contrats octroyés auprès d'entreprises locales, comment s'assurer qu'on garde un contrôle quasi absolu sur nos données, en tout cas certainement nos données sensibles.

M. Caire : Dans le cas de... je serais le premier heureux, mais probablement pas leur modèle d'affaires. Je ne sais pas. Honnêtement, je ne sais pas. Tout ce que je peux vous dire c'est, vérification faite... n'a jamais fait de démarches pour se qualifier au courtier en infonuagique.

Mme Setlakwe : Intéressant. Et puis vous ne souhaitiez pas... Vous ne jugiez pas opportun de les entendre en commission parlementaire?

M. Caire : Bien, compte tenu des circonstances, je me disais : O.K., mais, tu sais, à part leur demander pourquoi, puis ça, bien, ça leur appartient, là, moi...

Mme Setlakwe : O.K. Est-ce que les contrats actuels qui sont... pour lesquels nous sommes liés majoritairement à Microsoft, ont des... quelles sont les dates d'échéance? Est-ce que...

M. Caire : Ah! là, je ne les ai pas tous, vous comprendrez, parce qu'il y en a quand même quelques-uns, mais c'est des contrats de trois ans.

Mme Setlakwe : Est-ce qu'ils sont renouvelables? Est-ce qu'ils peuvent aller... est-ce qu'ils ont des options de renouvellement?

M. Caire : Oui, les contrats peuvent être renouvelés, mais peuvent ne pas être renouvelés aussi.

Mme Setlakwe : Mais est-ce que la technologie fait en sorte qu'on est... qu'on est lié, qu'on a... que, dans certains cas, on n'a pas le choix de renouveler?

M. Caire : C'est... bien non, on a toujours le choix, ça, soyons clairs. Si on décide de ne pas le renouveler, c'est une option très certainement, mais c'est sûr que Microsoft... bien, Azure puis AWS, c'est des technologies propriétaires, ça va demander des efforts pour sortir... pas juste les données, hein? Parce qu'il faut comprendre aussi, là, que, quand on parle d'infonuagique, là, on parle stockage, mais l'infonuagique, c'est plus que ça, là, c'est différents niveaux de services qui peuvent venir avec l'utilisation des services infonuages autres que le stockage. Donc, ça dépend toujours de quel niveau d'intégration on est à l'intérieur du produit en question. Si c'est du stockage bête et méchant, c'est relativement facile d'en sortir. Si on est dans des services d'infrastructure, c'est un peu plus compliqué, parce que nos applications sont faites pour être compatibles avec les infrastructures. Puis là, si on va dans un autre niveau, on est vraiment dans des services applicatifs, bien là, c'est des applications qui sont basées sur les infrastructures, qui sont basées sur le stockage. Sortir de là, ça commence à être plus compliqué, mais tout est une question d'effort qu'on est prêt à mettre pour sortir nos données, nos applications, notre besoin, c'est... tout est une question d'efforts.

Mme Setlakwe : Est-ce que vous allez investir les efforts nécessaires?

M. Caire : Oui. J'aime bien que vous rajoutiez «nécessaires», parce que, comme je l'ai dit à Mme la députée de La Pinière, on ne veut pas non plus dire : Bien, on ne fera plus rien... affaires avec des compagnies américaines, parce que, comprenez bien, là, puis je m'adresse aux Québécois, il y a des compagnies dont le siège social, oui, est aux États-Unis, mais le bureau d'affaires est à Montréal. Le bureau de direction est...

M. Caire : ...à Montréal, les services sont acquis au Québec, là. Je pense notamment à un investissement de 500 millions de Microsoft ici, à Québec. L'infrastructure, elle est à Québec, c'est des employés qui sont des Québécois. Alors, quand on met fin aux contrats, il faut mesurer l'impact de ce qu'on fait. Alors, est-ce qu'on va mettre à pied des Québécois, fermer des centres de traitement au Québec, fermer des bureaux qui sont au Québec, qui font travailler des Québécois qui paient des impôts au Québec? Alors, tu sais, c'est pour ça que je vous dis, là, des fois, ça paraît bien, puis c'est... oui, mais il faut mesurer l'impact de ce qu'on fait avant de le faire, là, parce qu'on ne veut pas punir les gens chez nous, là.

Mme Setlakwe : Je comprends. Bien, comment vous contrôlez, disons, des... Je pose la question, là : Est-ce qu'il y a des directives qui auraient pu être envoyées au niveau du MSSS ou d'autres ministères pour restreindre le choix d'entreprises à un nombre très limité?

M. Caire : Je pense qu'on aurait été limite si on avait fait ça. Vous voulez dire une directive formelle, là, dire : Vous ne traitez pas avec telle, ou telle, ou telle?

Mme Setlakwe : Oui.

M. Caire : Je veux juste être sûr que je comprends bien votre question.

Mme Setlakwe : Oui, oui, comme au niveau du ministère de la Santé, est-ce qu'il y aurait une directive qui aurait été envoyée pour restreindre les options à trois compagnies, par exemple?

M. Caire : Est-ce que... là, votre question, c'est est-ce que nous l'avons fait ou est-ce que nous aurions pu le faire?

Mme Setlakwe : Est-ce que ça a été fait?

M. Caire : Non, non, non. De la part du MCN?

Mme Setlakwe : Non, non, de la part du ministère de la Santé et des Services sociaux.

M. Caire : Sur l'appel d'offres?

Mme Setlakwe : Sur le choix, là, parmi les entreprises qualifiées.

M. Caire : Oui. Non, non, parce que le problème...

Mme Setlakwe : Il n'y a aucune porte fermée?

M. Caire : Non, parce que le problème qu'ils ont eu, c'est justement de ne pas avoir assez d'entreprises qui ont répondu à leurs besoins.

Mme Setlakwe : Je ne parle pas d'Epic, là, je parle des autres contrats en lien avec le stockage infonuagique.

M. Caire : Ah! là, O.K., désolé, là, c'est parce que je ne peux pas... Là, ne sachant pas de quel contrat on parle, ça devient difficile pour moi de vous répondre. Je pensais que vous parliez d'Epic.

Mme Setlakwe : Il n'y avait pas une date butoir pour que les établissements de santé choisissent leur espace infonuagique.

M. Caire : Bien, c'est le 31 décembre 2025.

Mme Setlakwe : C'est cette année, donc ils ont toute l'année. O.K., je croyais que c'était peut-être l'an dernier.

M. Caire : Non, non, non. Si vous regardez le décret dont vous m'avez parlé, là, la date butoir pour les deux réseaux, c'est décembre 2025.

Mme Setlakwe : O.K. Là, on est en février, donc...

M. Caire : C'est écrit en toutes lettres dans le décret, d'ailleurs.

Mme Setlakwe : Il n'y a pas une mise à jour à faire, actuellement, il y a des...

M. Caire : Ah oui, il y a toujours des mises à jour à faire.

Mme Setlakwe : Bien, on aimerait savoir, donc, c'est gros, là, le...

M. Caire : Bien, c'est pour ça que je vous disais, ça, je n'ai pas... je n'ai pas ces chiffres-là, je les aurai pour les études de crédits. Je sais que vous me trouvez plate, quand je dis ça, mais ça, c'est parce que, là, on est un peu loin de l'amendement.

• (16 h 30) •

Le Président (M. Simard) : ...

Mme Setlakwe : O.K. Je pense que ça fait le tour, honnêtement, pour l'amendement, je... Ce qu'on entend, c'est que ce n'est pas une opposition sur le principe ou sur le fond, c'est une question de...

M. Caire : Faisabilité.

Mme Setlakwe : Faisabilité, s'en remettre à des façons de faire qui vont nous permettre d'arriver au même objectif. Mais je vois beaucoup de... en tout cas, je vois, j'entends une intention, mais je ne vois pas une feuille de route claire et précise sur comment on va y arriver, à réduire cette dépendance. Là, je comprends qu'il y a des choses que vous aimeriez communiquer.

M. Caire : À une parlementaire qui...

Mme Setlakwe : Je comprends ça.

M. Caire : ...a le droit d'avoir cette information-là mais qui aura aussi l'obligation de la discrétion qui vient avec notre fonction de député.

Mme Setlakwe : Tout à fait.

M. Caire : D'autres commentaires sur l'amendement? Sans quoi nous allons procéder à la mise aux voix. Cet amendement est-il adopté? Rejeté.

Le Président (M. Simard) : Nous poursuivons donc l'étude de l'article 4. Y aurait-il d'autres remarques à cet égard?

Mme Setlakwe : M. le Président, revenons à l'article 3.

Le Président (M. Simard) : Je vous en prie, chère collègue.

Mme Setlakwe : Oui, oui, j'ai...

M. Caire : ...

Mme Setlakwe : Pardon?

M. Caire : ...qualifié au courtier en infonuagique en 2020, MicroLogic.

Mme Setlakwe : Ah! merci. Merci de la précision.

Le Président (M. Simard) : Alors, nous sommes toujours sur 4. Mme la députée, à vous la parole.

Mme Setlakwe : Oui, merci. Donc, pourquoi, M. le ministre, là, rappelez-nous, donc, l'importance d'élargir le mandat du courtier infonuagique pour inclure des technologies spécialisées, tel que défini...

Mme Setlakwe : ...on a compris que progiciel de gestion intégrée, c'était justement par exemple le système Epic, qui va être utilisé par le MSSS.

M. Caire : Oui, SAGIR.

Mme Setlakwe : SAGIR.

M. Caire : Qui est un progiciel, certains comme SAP, qui est un progiciel de gestion intégré aussi. Alors, il y en a toute une série qui sont généralement des progiciels qu'on va utiliser pour les fonctions de base d'un organisme. Donc, c'est vraiment... on est à la racine des opérations d'un ministère ou d'un organisme. Donc, on est... on est vraiment dans le très névralgique, si j'ose m'exprimer ainsi.

Cybersécurité, je pense, Mme la députée, que je n'ai pas besoin de vous convaincre à quel point ce secteur-là, il est névralgique et pour lequel une souveraineté numérique est plus que bienvenue. Après ça, les fondations, bien, c'est ça, là, on parle de notre secteur de l'infonuagique, par exemple, mais dans le stockage de données. Là, je vous parlais... il y a l'infonuagique, mais il y a sur site aussi. Vous m'avez parlé tout à l'heure de... bon, de... On utilisait des ordinateurs centraux. On est dans des opérations aussi très névralgiques, puis il y a... au niveau de la désuétude technologique, là, vous allez le voir un peu plus loin, les systèmes patrimoniaux, si on veut les faire migrer, bien, souvent, il faut qu'on ait une latitude dans le choix des technologies qu'on va utiliser par rapport à ce qui est existant. Donc, on est vraiment... dans ces quatre secteurs-là, on est vraiment dans des opérations très centrales du gouvernement du Québec.

C'est la raison pour laquelle... Parce qu'il faut comprendre, là, qu'au niveau de... au niveau, par exemple, du Conseil du trésor, il y a une volonté tout à fait compréhensible de faire respecter le processus des appels d'offres, la conformité aux appels d'offres. Puis, alors, on déroge de ça. On le fait pour des raisons de sécurité de nos opérations. On le fait pour des raisons de nécessité de moderniser nos systèmes. On le fait pour des raisons de souveraineté numérique, notamment dans les secteurs que... Alors, on a... on le circonscrit par rapport... En fait, pourquoi on ne va pas plus large que ça? Pour ces raisons-là, mais pourquoi on va là? Parce que ce sont des secteurs qui sont vraiment névralgiques pour les opérations du gouvernement et pour lesquels il faut avoir la souplesse dont je vous parlais tout à l'heure.

Mme Setlakwe : Merci. Êtes-vous capable de nous donner des exemples d'organismes que vous accompagnez? Ça, c'est un terme qu'on... qui est dans le libellé actuel, «le ministre élabore un catalogue destiné à répondre aux besoins de tels organismes», mais «il les accompagne en telle matière». Vous n'accompagnez pas tous les organismes et...

M. Caire : On va... on va accompagner les organismes qui vont avoir besoin. Je vous dirais, si vous regardez, là, nos... par exemple, l'agence du revenu, bien, c'est sûr que c'est un organisme indépendant, qui a son service TI, qui a son conseil d'administration, qui va... qui va prendre ses décisions, mais, si vous prenez, par exemple, le ministère de l'Environnement, qui est un ministère qui a des grands besoins au niveau de la transformation numérique puis qui pourrait aller chercher beaucoup d'efficience par rapport à ça, c'est un ministère qu'on va... qu'on va aider dans différents projets qu'ils ont, notamment l'infonuagique, mais d'autres projets aussi du ministère. Donc là, on va faire... cet accompagnement-là, on va leur donner.

Mme Setlakwe : O.K., donc, vous faites un plus grand accompagnement, si j'ai bien compris votre propos, auprès d'un ministère comme celui de l'Environnement, au moins auprès de l'agence du revenu.

M. Caire : Oui, parce qu'ils ont... Eux, ils ont... premièrement parce que c'est un organisme indépendant. Deuxièmement, parce qu'ils assurent eux-mêmes la gestion, même l'autorisation, là. La différence entre, par exemple, un projet à l'Agence du revenu ou un projet au ministère de... C'est que l'autorisation va venir du conseil d'administration. Dans le cas de l'Environnement, bien, l'autorisation vient du Conseil du trésor, mais sous recommandation du MCN.

Mme Setlakwe : Est-ce qu'il y a un lien à faire ici, M. le ministre, avec les projets prioritaires que vous avez mis de l'avant, qui sont suggérés au gouvernement?

M. Caire : Oui. Non, non. Je vous dirais que c'est vraiment... L'idée, c'est d'aller dans la direction dont on se parle, vous et moi, depuis tout à l'heure, là, de donner plus de souplesse au gouvernement pour s'assurer que ses secteurs... ses opérations névralgiques...

M. Caire : ...on a cette souplesse-là d'aller dans la direction souhaitée par vous et moi. Mais au niveau des projets prioritaires, c'est-à-dire que certains projets en cybersécurité pourraient être intégrés au portefeuille de projets prioritaires, ce qui fait que le ministère de la Cybersécurité et du Numérique aurait l'obligation d'en faire le suivi, de s'assurer du suivi du projet, mais pas nécessairement.

Mme Setlakwe : Est-ce que vous avez des exemples de projets pour lesquels vous faites des suivis?

M. Caire : Des projets prioritaires?

Mme Setlakwe : Oui.

M. Caire : Bien, le PCCTI, le Programme de consolidation des CTI, c'est un projet prioritaire. Le Service québécois d'identité numérique, c'est un projet prioritaire. Alors, Me Bacon me souffle à l'oreille que ces projets-là sont sur le site du ministère.

Mme Setlakwe : Merci. Je pense que c'est toujours utile de les rappeler.

M. Caire : Oui, oui, tout à fait.

Mme Setlakwe : Merci. Vous avez ajouté, au deuxième paragraphe du troisième alinéa : «Des technologies...» Je vais juste relire l'article, là. «Pour application du présent article, on entend par technologies spécialisées des biens ou des services technologiques relatifs à la cybersécurité.» Mais il me semblait qu'avec le projet loi n° 38, vous aviez tous les pouvoirs pour venir intervenir au niveau de la cybersécurité des organismes publics.

M. Caire : Mais on n'est pas... Là, on est...

Mme Setlakwe : Là, on est dans un catalogue.

M. Caire : ...on est dans l'acquisition, on n'est pas dans le... on n'est pas dans l'organisation du réseau. Là, c'est vraiment le courtier en infonuagique qui va pouvoir qualifier des entreprises, des fournisseurs de cybersécurité. Donc, on est... Là, on est dans le processus d'acquisition.

Mme Setlakwe : Et donc là on parle de fournisseur reconnu, encore une fois, qualifié.

M. Caire : C'est ça.

Mme Setlakwe : Donc, pas juste en infonuagique, en cybersécurité aussi.

M. Caire : Si le projet de loi est adopté, il va falloir effectivement définir pour ces différents secteurs là des critères de qualification.

Mme Setlakwe : O.K. Quelle est votre vision par rapport à ça? Là, on s'entend qu'actuellement, le catalogue, c'est que pour les services.

M. Caire : Oui.

Mme Setlakwe : Alors, c'est quoi votre vision par rapport à des services en cybersécurité qui pourraient être prévus dans ce catalogue et qui pourraient... Là, on comprend que l'objectif, c'est de permettre aux ministères et organismes d'avoir plus rapidement accès à des services ou d'aller...

M. Caire : Ou des produits.

Mme Setlakwe : ...des produits, d'aller signer des contrats avec des entreprises déjà préqualifiées.

M. Caire : C'est ça.

Mme Setlakwe : Vous ne voulez pas, en fait, que tout le monde s'en aille dans toutes sortes de directions à gauche, à droite, puis...

• (16 h 40) •

M. Caire : Bien, on veut éviter... là, je tourne ma langue sept fois dans ma bouche, là, mais on veut éviter des situations malheureuses où on acquiert des caméras vision pour ensuite, nous, être obligés de les interdire parce que ça pose un enjeu de sécurité d'installer ce matériel-là sur nos réseaux, si ce n'est pas dans un contexte très défini. Vous vous souvenez sans doute, Mme la députée, là, de l'enjeu avec l'antivirus Kaspersky. Pour des raisons... Bon, c'est un produit russe. Il y avait un enjeu de sécurité pour les systèmes d'information. Malheureusement, aujourd'hui, c'est très intégré. Donc, dans bien des cas, il faut attendre pour être capable de les remplacer par autre chose. Alors, l'idée, c'est d'être capable de dire : Bon, bien, les produits qui seront fournis au courtier en infonuagique et en technologies spécialisées, il y aura des critères pour lesquels on va s'assurer qu'ils ne représentent pas un enjeu de sécurité avant qu'on les acquière. Parce qu'après, c'est toujours plus difficile de s'en émanciper.

Mme Setlakwe : Et, au niveau de l'expertise, là, on comprend que les entreprises à être qualifiées, tout ça va se faire subséquemment après l'adoption du projet de loi. Et, bien, quelle est votre vision, là, votre échéancier puis quelles seront... Avez-vous une idée des critères? Moi, je suis curieuse de savoir... est-ce qu'on a une expertise ici, au Québec?

M. Caire : Oui. Bien, si je prends juste la cybersécurité, Mme la députée, peu de gens savent que le Québec, maintenant, participe à des exercices de simulation de cyberguerre avec l'OTAN, là, à deux reprises, en avril 2024 puis en décembre, qu'on est partenaire avec l'OTAN pour les formations. Les formateurs de l'OTAN sont venus ici en novembre, à Québec. On a des gens qui vont aller se former à Tallinn, qui est le cœur du centre...

M. Caire : ...de l'OTAN pour la cyberdéfense. Alors, on a des objectifs qui sont très, très ambitieux et on a des gens dont l'expertise est en croissance perpétuelle. Non, moi je suis très, très fier des équipes et, oui, je ne suis absolument pas gêné de regarder les Québécois dans les yeux puis de leur dire : Oui, oui, on a des équipes qui sont capables de jouer dans les grandes ligues, là.

Mme Caron : Si je peux me permettre, M. le Président, est-ce que ce sont des équipes de la fonction publique ou si ce sont des équipes du privé?

M. Caire : Que des gens à l'interne.

Mme Caron : Que des gens à l'interne

M. Caire : Que des gens à l'interne. Le Centre gouvernemental de cyberdéfense, ce ne sont que des employés du gouvernement du Québec.

Mme Caron : Et j'aimerais vous poser une question aussi, parce que... sur le service infonuagique privé du gouvernement dont vous avez parlé ce matin, est-ce que ça veut dire que tout ce service-là est un service interne où il n'y a pas de sous-traitance qui entre en ligne de compte, que ce sont des... tu sais, c'est une expertise interne à la fonction publique, soit au ministère de la Cybersécurité et du Numérique...

M. Caire : Non. Non, les... Alors, quand on a créé le nuage, oui, il y a eu des externes qui sont venus nous aider à le construire et le monter physiquement, mais l'opération... les opérations se font à l'interne.

Mme Caron : Et puis les... est-ce que les données de ce nuage privé gouvernemental sont à l'épreuve de toute ingérence étrangère?

M. Caire : Absolument. Absolument.

Mme Caron : Oui? Même s'il y a de l'externe qui a aidé à monter le tout?

M. Caire : La seule juridiction... Oui, parce que c'est les équipements, qu'on acquiert. Or, avec l'équipement ne vient pas une dépendance législative externe. Une fois qu'on a acheté le produit, il est à nous, on fait ce qu'on veut avec. Donc, ça, c'est une chose. Et donc il n'y a aucune loi extraterritoriale au Canada qui peut s'appliquer au nuage du gouvernement du Québec.

Mme Caron : Et puis vous avez dit que c'était pour les données sensibles, ce nuage-là. Est-ce qu'on a quelque part, dans la loi ou... peut-être que vous pouvez nous dire, la définition de «donnée sensible», qu'est-ce qu'on entend par «donnée sensible»?

M. Caire : Avec votre permission, Mme la députée, je pourrai vous transmettre tout le schème de classification des données, là, parce que c'est quand même quelque chose d'assez complexe, là. Je pourrai vous transmettre le document pour que vous en preniez connaissance, là, mais c'est parce qu'il y a beaucoup de nuances puis il y a beaucoup de... il y a différents niveaux, puis comment on évalue le préjudice s'il y a une fuite de données, puis, bon. C'est des critères qui sont reconnus, ceci étant dit, à l'international, on n'a pas inventé ça, mais c'est un processus qui est relativement complexe.

Mme Caron : D'Aaccord. C'est ça, parce que, pour M. et MmeTout-le-monde, on va penser à nos renseignements de santé, par exemple, aux données sur la santé, on va penser aux données fiscales, notre date de naissance, même, ou numéro d'assurance sociale ou... parce que... tout ce qui permet de nous identifier.

M. Caire : Peut-être un peu moins, parce que c'est généralement des informations qui sont rendues publiques assez facilement, comme l'adresse, le numéro de téléphone, c'est des données qui sont rendues publiques assez facilement puis c'est des données dont le préjudice, si elles sont diffusées... Par exemple, si, demain matin, votre numéro de téléphone que vous avez, votre personnel était connu, bien, le préjudice... ça peut être plate, mais ça ne met pas votre vie en jeu, vous voyez? Donc, ça va jusque là, l'évaluation du préjudice d'une fuite de données : est-ce que c'est une menace à la sécurité de l'État? Est-ce que c'est une menace à la vie des individus? Est-ce que c'est une menace à leur sécurité? Donc, c'est tous des niveaux de préjudice comme ça qu'il faut évaluer. Puis, à partir de là, bien là, on peut dire : Cette donnée-là, elle est protégée de telle façon, confidentielle ou classifiée. Alors, c'est assez... c'est très détaillé, là.

Mme Caron : Non, je comprends que c'est détaillé, c'est fait de manière rigoureuse, et tout ça, mais l'exemple que vous donnez me suscite une question. Par exemple, effectivement, si mon numéro de téléphone était connu publiquement, mon numéro de téléphone personnel ou mon adresse, je ne pense pas que ça mettrait ma vie en danger. Par contre, une femme qui serait victime de violence conjugale, elle, ça pourrait mettre sa vie en danger si on savait où elle était.

M. Caire : C'est pris en compte, c'est pris en compte. Mais c'est pour ça que je vous dis, dans son cas, dans le cas de cette femme-là, la réponse à : Est-ce que ça pourrait mettre sa vie en danger?, la réponse, c'est oui. Alors, on vient de changer de classification. C'est pour ça que je vous dis, là, il y a beaucoup de... c'est un processus qui est très rigoureux.

Mme Caron : Et est-ce que... parce qu'une personne, si on prend cet exemple là encore, donc la réponse que vous me donnez me rassure...

Mme Caron : ...mais à quel moment ou par quel mécanisme on peut... bien, je dis «vous», mais ce n'est pas vous personnellement, là, vous pouvez être informé de ça? Parce qu'une personne qui est en situation de violence conjugale, ce n'est peut-être pas rendu à un niveau où il va y avoir une alerte, ou... Est-ce qu'il y a un mécanisme qui existe? Est-ce que c'est connu dans la population?

M. Caire : Bien, c'est des révisions qui se font ponctuellement, oui.

Mme Caron : Mais comment... si c'est mon cas, comment je fais pour... qui j'avise pour que mes données soient... pour que mes données soient... mes nouvelles coordonnées, disons, soient protégées?

M. Caire : Alors, vous avez un responsable de la protection des renseignements personnels, qui est désigné dans chaque ministère et chaque organisme, dont c'est la fonction de s'assurer que la Loi sur la protection des renseignements personnels est appliquée, et la classification des données, vous comprendrez, tient compte, évidemment, de la Loi sur la protection des renseignements personnels.

Mme Caron : Donc, est-ce que ça veut dire que la personne qui est dans cette situation-là doit communiquer avec la SAAQ, avec la RAMQ, avec tous les...

M. Caire : Bon, alors là, vous amenez une excellente question, qui milite sur les sources officielles de données. Je pense que vous venez, Mme la députée, d'exposer, là, pourquoi il faut aller vers les sources officielles de données, parce qu'effectivement ces renseignements-là, se situant à peu près partout, ça devient difficile de dire : Bon, bien là, il faut que j'aille... C'est comme un changement d'adresse, là, il faut que j'aille là, là, là, puis ça n'en finit plus, pour dire : Bon, bien, ça, ça change de statut. Alors qu'en ayant une source officielle de données comme le MCN, sur les renseignements... les renseignements d'identification personnelle, en ayant une unité centrale, c'est plus facile de dire : O.K., là, je viens changer de catégorie, dans le cas de cette personne-là.

Mme Caron : Alors, est-ce que je comprends qu'une fois le projet de loi adopté et sa mise en œuvre complétée, que la personne qui serait dans une situation de danger, où ses données, ses nouvelles coordonnées, disons, doivent être protégées, cette personne, si elle utilise l'identité numérique nationale, pourrait, en vertu du principe d'autosouveraineté de ces données, où elle pourrait changer ses données, qu'elle pourrait communiquer les nouvelles données et communiquer sa situation, où, là, il y aurait un cadenas, disons-le comme ça, qui serait mis sur ces données pour les protéger davantage?

M. Caire : À l'adoption du projet de loi, c'est un peu rapide, là, parce qu'il faut comprendre que sur l'identité numérique nationale, c'est une chose, mais la source officielle de données qui... c'est deux projets qui sont complémentaires, mais c'est deux projets différents. Donc, faire en sorte d'éliminer, si vous voulez, toutes les bases de données qui contiennent des renseignements personnels sur les Québécois, c'est un travail à long terme, dont la finalité est prévue pour 2028. Ce que le projet de loi fait maintenant, c'est de consacrer le fait que le MCN, la source de données officielles du MCN sur les renseignements personnels des Québécois, les renseignements d'identité, devient obligatoire.

• (16 h 50) •

Donc, ce ménage-là, il se faisait, puis là on comprend que, d'ici 2028, ça va devenir la seule source de renseignements personnels, les autres devront être éliminées, puis ce qui va contribuer notamment à ce que vous venez de dire, à savoir... à avoir une gestion plus efficace au niveau de la sécurité des renseignements de nos concitoyens. Puis c'est pour ça que je dis, quand on disait, en commission parlementaire, en consultations particulières : Centraliser, ça représente un risque, au contraire. Avoir une banque de données unique élimine des risques, notamment celui qu'une information échappe à un organisme parce que lui, il n'aura pas été dans la liste des organismes à contacter, donc il n'aura pas eu vent de l'information en question, il n'y aura pas pris les mesures en conséquence, et là il y aura peut-être des conséquences importantes à cause de ça.

Mme Caron : Bien, effectivement, c'est un exemple qui milite, comme vous l'avez dit, en faveur de la centralisation à un endroit des données.

M. Caire : Je le crois.

Mme Caron : Et je me souviens aussi que, durant les consultations, un des experts disait : Bien, si on a toutes les données à la même place, ça devient comme la cible à attaquer pour tenter de faire une brèche, et puis d'aller chercher les données. Alors, est-ce que...

M. Caire : C'est vrai si vous parlez de toutes les données, mais l'idée de la source officielle de données, ce n'est pas que toutes les données soient à la même place...

M. Caire : ...donner les renseignements... seront à un endroit, on parlait de vos renseignements de santé. On aura une autre source de données officielle, qui est le dépôt de renseignements de santé, qui est arrivé avec le projet de loi 3, qui sera à un autre endroit. Maintenant dans l'architecture, ces deux sources de données là devront se parler, parce que, le dépôt de données de santé, il n'y aura pas de renseignements d'identité qui y seront inclus, mais dans le... dans la source officielle de données sur les renseignements d'identité, il n'y aura pas de renseignements sur votre santé qui seront inclus.    Donc, c'est ça, l'idée, c'est de segmenter et de séparer ces différentes sources de données là pour être sûr que tous les renseignements ne sont pas à la même place, mais pour s'assurer que, si on veut un type de renseignements particuliers, que ce soit en éducation, en santé, en finances, sur l'identité, bien, il y a une seule source qui va me donner cette information-là. Et là j'ai beaucoup plus de facilité à protéger cette source-là. J'ai moins de surface d'attaque, donc, j'augmente mon efficience, j'augmente l'intégrité de mes données et j'augmente la sécurité, ma capacité à les protéger.

Mme Caron : D'accord. Je vais vous demander encore, parce qu'il y a une nuance, là, importante, technique à bien saisir, parce qu'effectivement, dans tout ce qu'on a entendu dans les mémoires, il y avait centralisation. Puis je vous entendais dire parfois: Non, ce n'est pas centralisé, ou alors... Alors, si je comprends, ce que vous dites, c'est que, par exemple, les données de santé sont à un endroit, les données qui m'identifient sont à un autre endroit, les données, peut-être, en lien avec permis de conduire ou, bon, autres choses, sont ailleurs, données fiscales sont aillleurs. Mais toutes ces sources, est-ce qu'on peut dire ces sources officielles de données vont se parler dans un, disons, dans un contenant commun. Non.

M. Caire : Non. Ici, vous avez vos renseignements d'identité, votre nom, votre prénom, votre date de naissance, votre adresse, numéro de téléphone, etc. Ici, il y a un dossier académique - je ne sais pas à qui il appartient - qui dit que vous êtes... que l'individu a été à l'école X, a eu son diplôme y, a tatata, tatata. Je n'ai aucune idée de qui on parle. Puis ici vous dites: Bien, il y a quelqu'un qui a une radiographie du poumon, qui a donné telle chose, puis tatata, tatata, puis qui a consulté le médecin à telle date, telle date, mais je n'ai aucune idée c'est qui. Donc, l'idée c'est de relier ces trois sources-là par un identifiant qui va me permettre, quand je fais une requête, de dire: Bon, bien, voilà, madame la députée de La Pinière, je fais le lien avec, ici, a été à l'école tatata, mais ça, c'est à l'interne, c'est des numéros internes, ça ne sort jamais du système et c'est des numéros encryptés. C'est ce qu'on appelle votre identifiant unique dans notre système, ici. C'est comme ça qu'on fait le lien entre les différentes sources. Donc, si quelqu'un attaque cette source-là, il va avoir un dossier académique, bravo, mais il n'a aucune idée à qui ça appartient.

Même chose pour le dossier de santé. Il va savoir que quelqu'un a eu un bilan de santé en 2022, mais il ne sait pas c'est qui, puis là il ne sait pas... il n'a aucune idée. Il n'est pas capable de le rattacher à l'individu, parce que ça prend cet identifiant unique là qui va faire en sorte que, nous, à l'interne, on va être capable d'aller chercher ces informations-là. Vous excuserez la démonstration.

Mme Caron : Non, non, je trouve que c'est... je trouve que c'est bien. J'utilisais le mot «contenant», alors... 

M. Caire : Alors, c'est pour ça que je dis, ce n'est pas... 

Mme Caron : ...une tasse ou un verre, je vous ai inspiré...

M. Caire : Alors, vous savez, maintenant, vos renseignements santé sont dans une tasse de l'Assemblée nationale.

Mme Caron : Mais donc... Alors, les sources officielles de données sont séparées...

M. Caire : Oui.

Mme Caron : ...ne sont pas identifiées... Bien, en fait, personne ne peut les identifier à moins d'avoir l'identité numérique nationale qui va...

M. Caire : À moins d'avoir... bien, puis le numéro encrypté et votre numéro d'identité unique encrypté qui ne sortira jamais du système, c'est important, même vous, vous ne le connaissez pas.

Mme Caron : D'accord. Donc, quand je vais m'authentifier puis valider mon authentification...

M. Caire : C'est ça.

Mme Caron : ... là il aura accès... bien, l'organisme qui aura un service public à me rendre aura accès, admettons, à mon dossier santé parce que je suis là pour pouvoir obtenir un service de santé. Mais si c'est pour avoir un relevé de notes, admettons, de l'université, là ce sera...

M. Caire : C'est les accès... Et c'est pour ça, madame la députée, parce qu'on disait, puis ça été...

M. Caire : ...il est mentionné dans les commissions... Il faudrait que les renseignements d'identité ne servent qu'à m'identifier. Mais, si je fais ça, bien, tout mon système ne fonctionne plus, parce que le système est basé sur le fait que je veux séparer ces informations-là. Et, pour avoir accès, par exemple, vous, vous allez sur mon carnet santé, si je veux être capable d'afficher vos informations de santé sur le carnet santé, encore faut-il que je sache qui vous êtes. Donc, il y a une première phase où je vais vous identifier, vous authentifier, et ça, ça va me dire :  O.K. Mme la députée de La Pinière, avec vos informations, c'est vos... Mais, après ça, il faut que j'interroge le dépôt de santé pour dire : Bon, bien, Mme la députée de La Pinière voudrait avoir accès à ses renseignements de santé. Elle a la permission d'y avoir accès, bien évidemment.

Donc, là, je vais chercher, sur la base de ce numéro d'identité, là, je vais chercher l'information, et là je le télécharge... en tout cas. Bref, je vous le rends disponible sur votre... soit sur l'application mobile, soit sur la prestation électronique de services. Mais si je ne... mais si ça ne sert qu'aux seules fins de vous identifier, ça, ce n'est pas possible, je ne peux pas faire ça. Donc là, ça veut dire qu'il faut que le dépôt de santé conserve des renseignements de santé sur vous. Et là je brise mon objectif d'éliminer des surfaces d'attaque. Ça veut dire que je suis obligé de conserver des renseignements de santé partout, comme je le fais présentement avec l'IRIS, et ça, ça, c'est plusieurs banques qui conservent trop d'informations sur vous, avec le risque accru que, s'il y a une fuite, bien, on part avec le nom, le prénom, la date de naissance, le numéro de téléphone et tous les autres renseignements que la banque contient.

Puis c'est là où, en termes de sécurité, on n'est plus sécuritaire, puis c'est ça qu'on veut éliminer, puis on n'est pas conformes non plus sur l'intégrité. Parce que, si vous changez d'adresse, bien, ça veut dire qu'il faut que vous fassiez le tour de toutes les banques pour changer votre adresse. Puis s'il arrivait, et Dieu sait que je ne le souhaite pas, mais s'il arrivait un événement malheureux qui nécessitait un service particulier ou supplémentaire, qui nécessitait de changer le statut, encore là, puis, comme vous le disiez, il faudrait faire le tour de toutes les banques pour être capable de faire la mise à jour de ça, puis là on risque de l'échapper.

Mme Caron : Ça veut donc dire que chaque source officielle de données doit être interopérable, fonctionner avec le système d'identité numérique.

M. Caire : Oui, indépendante, mais interopérable sur la base d'un numéro confidentiel, ultrasecret, je dirais, là...

Mme Caron : Crypté.

M. Caire : ...crypté, bien sûr.

Mme Caron : Et, à ce moment-là... Et ensuite on va procéder à la, je dirais, à la purge des multiples sources de données, banques de données dans les ministères et organismes pour que...

M. Caire : Oui, oui. C'est ça qui nous amène en 2028.

Mme Caron : C'est ça, juste que... C'est l'échéancier qui est prévu, 2028.

• (17 heures) •

M. Caire : C'est ça. Parce qu'il faut comprendre aussi que ce n'est pas juste faire le ménage dans nos banques de données, il y a des applications qui sont connectées là-dessus. Alors, si j'enlève la banque, ou je la modifie, l'application ne fonctionne plus, là je suis en rupture de services, je ne peux pas faire ça. Donc, il faut que je roule en parallèle, mon ancien système de stockage puis que je mette en place le nouveau, puis qu'avec le temps les nouvelles applications tiennent compte du nouveau... de la nouvelle façon de travailler, mais que les anciens systèmes fonctionnent encore.

Mme Caron : Alors, quand on parle de l'application... d'anciennes applications puis de nouvelles, ça veut dire qu'il faudra créer de nouvelles applications...

M. Caire : Oui, mais ça, c'est inévitable, soit on fait une mise à jour, soit on fait une modernisation, une refonte, soit on change carrément, avec le temps, tous les systèmes sont appelés à être remplacés.

Mme Caron : Alors, est-ce que, dans le texte du projet de loi, quand on parle de progiciel de gestion intégré, est-ce que ces applications-là font partie des progiciels ou, sinon, les progiciels, c'est vraiment dans la gestion des...

M. Caire : Oui, oui. Bien, c'est... certains peuvent être des progiciels, SAGIR en est un. Donc, SAGIR, éventuellement, dans le remplacement vers une modernisation du système inévitable devra tenir compte du fait qu'on s'en va vers une nouvelle façon de gérer l'ensemble des données du gouvernement.

Mme Caron : Et est-ce que la mise à jour de toutes ces applications-là, c'est 2028 aussi, comme échéance? Non?

M. Caire : Non, non. Non. Ça, chaque ministère et organisme... Nous, c'est la mise en place de l'ensemble des sources officielles de données qui est 2028. Mais chaque ministère et organisme a un calendrier par rapport à ses applications. Donc, ça, c'est propre à chaque ministère de dire : Bon, bien, tel système, je dois le remplacer d'ici telle année.

Mme Caron : En fonction des...

M. Caire : Et là ça se...

M. Caire : ...en fonction de... du Service d'authentification gouvernementale si c'est nécessaire. Donc, ces nouveaux systèmes là devront nécessairement transiter par le Service d'authentification gouvernementale et, dans la mesure où les sources officielles de données sont complétées, la mise en place des sources officielles de données est complétée, devront aussi tenir compte du fait que c'est ça maintenant la nouvelle... la nouvelle réalité des applications, qui ont besoin, là, d'avoir accès à des données.

Mme Caron : Alors, est-ce que c'est juste de comprendre qu'une fois 2028 arrivée, avec les sources officielles de données bien en place... qu'en raison de contrats, peut-être, existants ou de façons de faire existantes, puisque chaque... chaque ministère et organisme aura ses propres échéanciers en fonction de sa situation... que ça se pourrait qu'en 2028, même si l'identité numérique nationale est en vigueur, entre en vigueur... que, pour ne pas avoir de rupture de service, il y ait quand même des applications dans certains ministères et organismes qui demeurent les vieilles applications parce qu'ils ne sont pas encore rendus?

M. Caire : Tout à fait.

Mme Caron : Et, pour que ces applications-là fonctionnent, est-ce que, c'est ça, les données qu'ils ont vont quand même devoir être... continuer d'exister dans le ministère ou l'organisme, le temps que...

M. Caire : Oui. Dans les banques déjà existantes, oui.

Mme Caron : C'est ça. Alors, la... cette... même si les sources officielles de données sont en vigueur et en... je dirais, exploitables en 2028, c'est possible qu'il y ait peut-être une, deux, trois, quatre années, selon les cas, de plus où les données vont quand même... il va quand même y avoir certaines données d'éparpillées dans les ministères et organismes.

M. Caire : Tout à fait.

Mme Caron : Et ça va... ça pourrait prendre... Est-ce que... Est-ce que c'est possible de savoir, à l'heure actuelle, en général... je ne demande pas de savoir pour chaque ministère et organisme, mais est-ce qu'on sait si ça peut aller à plus tard que 2030 ou 2031, 2032?

M. Caire : Je ne pourrais pas vous répondre, là. Je pense qu'on a... on a 10 700 applications visibles depuis... depuis Internet. À l'interne, des systèmes à l'interne, là, je... on est à faire l'inventaire, mais ça vous donne une idée, là, juste... c'est énorme, là, c'est énorme.

Mme Caron : Alors, il y en a qui pourront être peut-être mises à jour à temps pour 2028, mais d'autres plus tard, puis c'est... on n'est pas capable de dire en ce moment.

M. Caire : D'autres plus tard, mais ce qui est... ce qui est important, puis c'est là où le ministère de la Cybersécurité a... et du Numérique a un rôle important à jouer, c'est justement d'avoir cette possibilité-là, puis c'est ce qu'on fait avec le projet de loi, on rend... la source officielle de données sur les renseignements, on la rend obligatoire. Donc, indépendamment d'à quel moment les ministères vont remplacer les systèmes qui fonctionnent sur les anciennes banques, dans la mesure où les nouvelles existent, ils auront l'obligation de s'en servir. Ça fait que ça, ça nous dit que, bien, au moins, on sait qu'ils ne vont pas continuer à se servir de ces banques-là, qu'ils doivent le faire pour le temps de la transition, mais, une fois qu'ils seront arrivés à l'étape de cette transition-là, ils devront migrer vers la nouvelle structure.

Mme Caron : Donc, cette obligation est un incitatif à mettre à jour le plus tôt possible.

M. Caire : C'est une obligation légale, bien oui, bien oui.

Mme Caron : C'est ça. Mais est-ce qu'il y a... est-ce que... Vous avez parlé de transition. Est-ce qu'il y a une date limite à la transition?

M. Caire : Bien, on ne peut pas mettre de date limite dans la mesure où ça reviendrait à mettre une date limite sur l'utilisation des anciens systèmes. Ça, on ne peut pas faire ça.

Mme Caron : En raison du grand nombre d'applications.

M. Caire : En raison du très grand nombre, puis en raison de l'impact budgétaire, puis en raison des possibilités de rupture de service, en raison de... Alors, c'est ça, il faut être... il faut accepter que cette période de transition là peut s'étirer un peu dans le temps.

Mme Caron : Alors, merci pour... C'est éclairant, cet échange-là pour comprendre comment... comment ça va... ça va fonctionner. Est-ce qu'on... Dans l'article, donc, on dit : «Pour l'application du présent article, on entend par «technologies spécialisées» des biens ou des services technologiques relatifs aux progiciels de gestion intégrée». Donc, M. le ministre nous a dit tout à l'heure que Epic, par exemple, en était un exemple. Et est-ce qu'on peut considérer que les 10 000 quelques applications en sont aussi ou pas nécessairement? Pas tous?

M. Caire : Pas tous.

Mme Caron : O.K. Ça dit aussi «à la cybersécurité», donc les biens relatifs, technologiques, à la cybersécurité. Est-ce que la cybersécurité, ça comprend, bien, ce dont on a parlé ce matin par rapport à la divulgation d'incidents? Parce que je crois que le projet de loi, actuellement, va obliger tout ministère ou organisme à divulguer un incident qui arrive...

Mme Caron : ...est-ce que cette divulgation-là est faite au ministère de la Cybersécurité et du Numérique?

M. Caire : Bien, on en discutera à l'article 7 à ce moment-là, mais, sur le courtier, comme je disais à Mme la députée de Mont-Royal–Outremont, on est plus dans l'acquisition de biens et/ou de services.

Mme Caron : D'accord. Donc, ce sera... Ici, c'est... vous faites bien de le rappeler, donc, l'acquisition de biens ou services relative à la cybersécurité, à s'assurer que... la cybersécurité...

M. Caire : Oui, c'est ça. Par exemple, on va faire des tests d'intrusion pour vérifier la... En fait, on va faire des tests, on va faire du balayage. Donc, première... on fait un test. Est-ce que les systèmes qui sont visibles depuis l'extérieur des réseaux du gouvernement... est-ce que ces systèmes-là présentent des ouvertures, des portes? Bon. Oui, après ça, on va faire un test d'intrusion, par exemple. Donc, on a des systèmes qui disent : Bon, bien, je vais essayer, moi, de rentrer dans le système frauduleusement, je vais faire ce test-là. Si ça fonctionne, bien, après ça, on essaie de voir jusqu'à quel point je peux prendre le contrôle d'un système. Bon ça, ça prend... Il y a des outils qui permettent de faire ça.

Il y a des outils qui vont permettre de faire de la détection de comportement. Par exemple, vous vous rendez compte qu'il y a un trafic qui est inhabituel sur un système. Bien, il y a des outils qui vous disent : Woups! Attends un peu, là, il y a des... ou qui vous permettent de dire : Bien là, il me semble qu'il y a beaucoup d'adresses qui viennent de la Russie, là, qui sollicitent tel ou tel système. Bien, ça, c'est...

Alors, il y en a une panoplie d'outils. Comme si... on parlait tout à l'heure d'antivirus. Bon, c'est toutes d'outils applicatifs. Il peut y avoir des services aussi pour lesquels on va s'assurer qu'il y a des... une certaine conformité au niveau des caméras, caméras de surveillance, là, par exemple, Beaucoup de... beaucoup d'objets. Puis, si... je pense, il y a un groupe qui nous a parlé de ça, la sécurité des objets connectés. Donc, ça, c'est un élément sur lequel on va travailler beaucoup plus pour s'assurer que, dans nos réseaux, chacun des nœuds qui composent le réseau n'est pas une vulnérabilité, n'est pas une porte dérobée. Parce que, justement, maintenant, avec les objets connectés, je veux dire, un thermostat peut devenir une porte d'entrée pour hacker un système... une switch intelligente, excusez, le commutateur intelligent peut être une porte d'entrée, parce que, dans la conception, il y a une vulnérabilité. Parce que soit que le fabricant n'en est pas conscient, soit que le fabricant en est extrêmement conscient et volontairement fait ça. C'est vrai dans les applications aussi. Donc, ça, c'est une façon de dire : Bon, bien, un instant, là, on va s'assurer, là, qu'on... on fait ce qu'il faut pour assurer la pérennité puis la cybersécurité de nos systèmes.

Mme Caron : Alors, quand ici on parle de cybersécurité, puisque c'est dans le processus d'acquisition, ce sont tous ces outils-là qui permettent d'assurer la cybersécurité. Ça, c'est de ça dont on parle.

M. Caire : Oui.

Mme Caron : Au troisième point, «les fondations servant de... d'infrastructures terminologiques.

M. Caire : Technologiques, oui.

Mme Caron : Pardon, mon ancienne vie revient, en parlant de terminologie. Donc, les fondations servant d'infrastructures technologiques, qu'est-ce que c'est, des fondations qui servent d'infrastructures technologiques?

• (17 h 10) •

M. Caire : C'est tous les systèmes, par exemple, bureautiques qu'on va... qu'on va utiliser au sein du gouvernement du Québec. C'est... je parlais de la plateforme de développement moderne. Voyez ça comme une usine à fabriquer des applications. Donc, ça, ça prend toutes sortes d'outils qui permettent à nos développeurs de... de concevoir et de développer nos systèmes à l'interne, comme ça a été le cas avec le service d'authentification gouvernemental. Ça, ça permet, dans le fond, à l'ensemble des ministères et organismes de travailler dans le même environnement, dans le même contexte. Ça nous assure d'une part d'avoir la capacité de les soutenir, parce que nous aurons à l'interne une expertise pour bien comprendre ces outils-là puis être capable de soutenir nos développeurs dans les systèmes. Ça nous permet de s'assurer aussi de l'interopérabilité des systèmes que nous allons développer. Donc, si on travaille tous dans le même environnement de développement, on va développer de façon interopérable, ce qui est extrêmement important. Ça permet aussi la mutualisation, une plus grande mutualisation de nos outils. Donc, ça, c'est... je vous dirais, là, c'est quelques exemples de ce qu'on... de ce qu'on a comme fondation d'infrastructures technologiques.

Mme Caron : D'accord. Merci. Puis, au quatrième point, les systèmes patrimoniaux. On en a... on les a évoqués un petit peu tout à l'heure. Donc, c'est les systèmes qui existent déjà. Et est-ce que...

Mme Caron : ...le réseau RISQ dont on a parlé aussi est considéré comme un système patrimonial. Non?

M. Caire : Non, les systèmes patrimoniaux, c'est des applications qui roulent sur ordinateur central, donc c'est des technologies qui sont... qui sont désuètes, mais qui sont extrêmement robustes et très performantes. Souvent ça va pour faire du traitement en lots, du calcul, ça va... c'est... avec... sur ordinateur central, c'est extrêmement performant. Mais évidemment, comme ce n'est pas moderne, bien, tu sais, si vous voulez implémenter de l'intelligence artificielle, par exemple, ou des... ça ne sera pas possible parce que c'est des technologies qui sont incompatibles. Donc, il y a une volonté de migrer vers du plus moderne, mais comme je vous dis, ces systèmes-là sont très robustes, sont encore très performants dans des créneaux très spécifiques.

Mme Caron : Est-ce qu'on en a beaucoup qui vont être... être remplacés finalement?

M. Caire : Oui, quelques-uns, là. Je... je pourrai vous apporter le recensement de... de... mais on en a quelques-uns.

Mme Caron : Bien, merci. Je pense que ça fait le tour pour moi.

Le Président (M. Simard) : Très bien, merci. Mme la députée de Mont-Royal-Outremont.

Mme Setlakwe : Merci, M. le Président. Moi, j'aimerais qu'on revienne sur les contrats qui sont octroyés, bien, en vertu du... par le biais du courtier infonuagique puis aussi démêler ce qui est... ce qui est logé et stocké dans le nuage gouvernemental versus chez des fournisseurs externes.

Moi, je suis encore dans le décret dont je vous parlais ce matin, le 596- 2020. Un des attendus, en fait c'est le deuxième, parle de... de prendre appui en priorité sur les offres infonuagiques externes de traitement et de stockage qualifiées par le courtier en infonuagique ou, si cela n'est pas possible de l'avis du centre — le centre, c'est le Centre de services partagés du Québec — sur le nuage gouvernemental qu'il aura mis en place ou sur son service d'hébergement d'équipements informatiques déjà en place. Comment ça fonctionne? Comment est- ce qu'on réconcilie tout ça avec l'objectif d'avoir nos données sensibles sur le nuage gouvernemental?

M. Caire : Bien, en fait, c'est... puis... puis dites-vous que cette... cette... ça a été transféré au MCN. Donc, dans le fond, comment on le réconcilie? C'est dire que le MCN va donner son avis sur la... le transfert des charges. Et donc, comme je vous disais, on est dans l'application de la classification des données, et donc, comme vous venez de le dire, dans le décret, bien, on... le MCN va donner son avis en disant : Bien, nous, on pense que ça, ça s'en va dans le... dans l'infonuagique privée en fonction de la classification ou, si la classification nous amène vers une donnée ouverte, par exemple, parce qu'on a le donneesquebec.ca, là, qui est notre site de données ouvertes, bien, à ce moment-là, les charges pourraient être transférées ou pourraient être envoyées en données ouvertes ou sur un service infonuagique du ministère ou de l'organisme.

Mme Setlakwe : Écoutez, nous, on a des gens sur le terrain qui nous écoutent puis qui nous envoient des... des informations et qui nous demandent des précisions par rapport à, donc, des appels d'offres qui auraient été sur invitation, là, qui avaient été exécutés par des organismes. Là, on me donne un exemple, Héma-Québec, qui récemment, se serait fait dire d'annuler un appel d'offres alors qu'eux souhaitaient adhérer aux services de... là où le MCN aurait exigé qu'ils adhèrent aux services de téléphonie CIC du MCN. On en parlait, là, ici ce matin, et ça fait l'objet du... du décret. Alors, pourquoi ça posait problème qu'ils aillent avec... quel est... quel est l'avantage d'aller vers la téléphonie CIC? Ça, ce n'est pas une solution de téléphonie Microsoft?

M. Caire : Non, non, je ne pense pas que ce soit Microsoft.

Une voix : ...

M. Caire : Oui. Non, c'est la téléphonie IP, c'est de la téléphonie numérique. L'avantage, bien, en fait, il y en a plusieurs avantages, notamment, je vous dirais, le fait que votre ordinateur devient votre lieu de travail complet parce qu'au niveau des services électroniques au niveau des outils collaboratifs. Bon, on parle de Teams, mais il y en a d'autres...

M. Caire : ...au niveau des outils collaboratifs, bon, on parle de Teams, mais il y en a d'autres.

Au niveau de l'application, maintenant, il y a une possibilité que votre ordinateur puisse être le lieu où tous ces services-là seront disponibles. Au lieu de dire : Bien là, tu m'appelles, mais je n'étais pas à mon bureau ou je n'étais pas, bon... parce qu'on est sur des lignes fixes, donc la téléphonie IP nous donne une souplesse dans l'utilisation du service qui se combine maintenant, je vous dirais, de plus en plus, avec les outils collaboratifs comme Teams.

Des voix : ...

Mme Setlakwe : C'est en vertu de quel décret?

Une voix : ...

Mme Setlakwe : 2021, donc, là, ça... Mais ce n'est pas une solution de téléphonie Microsoft, alors comment est-ce qu'on s'assure d'être à l'abri du Patriot Act?

M. Caire : Parce qu'il n'y a pas de stockage de données sur un service téléphonique. Le service téléphonique ne stocke pas la donnée.

Mme Setlakwe : Mais quand on parle de Teams, vous avez parlé de Teams et le service de messagerie, donc, Microsoft Teams, tout le gouvernement utilise ce service. Les messages sur ce service sont entreposés où, sur quel nuage? Le nuage de Microsoft ou non?

M. Caire : Là, ça dépend de quoi vous parlez, parce qu'on... Vous parlez de l'application comme telle?

Mme Setlakwe : Bien oui, Teams, que tout le monde utilise.

M. Caire : Oui, oui.

Mme Setlakwe : Les messages sont entreposés où, sur le nuage de Microsoft ou ailleurs?

M. Caire : Bien, sur Azure, oui. Oui, oui, c'est sur des serveurs Azure.

Mme Setlakwe : Donc, Microsoft.

M. Caire : Oui.

Mme Setlakwe : Et donc on ne peut pas se... on ne peut pas écarter la loi, le Patriot Act, qui donne accès à ces informations-là pour des fins antiterroristes?

M. Caire : Bien, un instant, là. Comme je vous dis, si on ne parle pas de stockage de données, là, on parle d'utilisation d'un système collaboratif.

Mme Setlakwe : Non, mais les gens échangent entre eux, là, il y a des informations qui transitent. Qu'est-ce qu'on fait avec ces informations-là, pour les protéger de... si elles sont stockées sur les serveurs Microsoft, donc Azure?

M. Caire : Non, mais, si je partage un document, par exemple, ce document-là, il est sur mon poste à moi, là, il n'est pas stocké.

Mme Setlakwe : Alors, qu'est-ce qui est stocké, donc, Teams...

M. Caire : L'applicatif Teams.

Mme Setlakwe : O.K. Donc, il y a des... Tous les documents qui sont partagés via Teams ne se ramassent pas dans un service infonuagique de Microsoft.

M. Caire : Non. Bien non. Le document que je partage, c'est un document qui est sur mon poste de travail.

Mme Setlakwe : O.K. Puis des messages vocaux, des messages, courriels, etc., bien, les messages qu'on s'écrit sur Teams?

M. Caire : Vous voulez dire le chat?

Mme Setlakwe : Le chat.

M. Caire : Le chat, le chat.

Mme Setlakwe : Oui.

M. Caire : Oui. Le chat, oui.

Mme Setlakwe : O.K. Donc, les employés du gouvernement qui échangent tous... on échange tous ensemble, on l'utilise tous, Teams.

M. Caire : Oui.

Mme Setlakwe : O.K., on s'envoie des documents, ces documents-là restent sur les...

M. Caire : Vous les partagez, vous les envoyez. Ça, ça reste sur votre poste.

Mme Setlakwe : Mais tous les messages, que ce soit vocaux ou par écrit dans....

• (17 h 20) •

M. Caire : J'aurais tendance à vous dire : Oui, ça, ça doit être... Oui. Je peux vérifier pour être sûr de ma réponse, mais oui.

Mme Setlakwe : Et tout ça est stocké sur... Là, il y a des choses sensibles et importantes, là.

M. Caire : Bien, les technologies... oui, les technologies Microsoft, vous allez être sur des serveurs Azure.

Mme Setlakwe : Et donc exposés à ces lois qui ont une portée extraterritoriale, forcément.

Une voix : ...

M. Caire : Oui, oui, oui, mais... C'est ça.

Mme Setlakwe : J'aimerais entendre la précision.

M. Caire : Bien, c'est la situation existante là, effectivement.

Mme Setlakwe : Mais il faut la comprendre, la situation existante, je pense que c'est pertinent.

M. Caire : Oui, mais... non, mais c'est ça que je vous dis. Oui, oui, oui.

Mme Setlakwe : Et quelle est l'intention par rapport à... Est-ce qu'il y a une intention de migrer ça ailleurs?

M. Caire : Que j'ai exprimée très clairement ce matin et plus tard, oui. Est-ce qu'il y a une intention d'aller vers une plus grande souveraineté numérique? Puis je vous ai dit oui. Tout à l'heure, à votre amendement, je vous ai dit que je voulais aller là-dessus, mais l'utilisation de Teams à l'échelle gouvernementale, il faut comprendre que la décision s'est prise en 2020 et parce que Teams, à ce moment-là, offrait les plus grandes possibilités de sécurité que Zoom. Zoom, je vous signale, avait des serveurs qui utilisaient...

M. Caire : ...en Chine. Ça fait que, si vous avez peur du Patriot Act, que dire du gouvernement chinois?

Mme Setlakwe : Mais je comprends, mais attardons... attardons-nous...

M. Caire : Ah! non, mais comprenez-vous?

Mme Setlakwe : Oui, attardons-nous aux options qui s'offrent à nous aujourd'hui, là, puis parce qu'on continue... on continue d'en mettre beaucoup, là, dans ce...

M. Caire : Bien, les options d'outils... Oui, mais les outils de... je vous dirais, les outils collaboratifs, on va analyser la situation à l'aune de ce qui se passe maintenant. Mais ce que je vous dis, c'est que... puis ce que Me Bacon dit aussi, c'est qu'on parle de la situation qui prévaut en ce moment d'avant l'avènement du président Trump. Et cette situation-là, elle existe depuis longtemps, là. Alors, est-ce que... Puis c'est pour ça que la discussion qu'on a eue, c'est : Est-ce qu'on veut aller vers une plus grande souveraineté numérique? La réponse à cette question-là, c'est oui. Maintenant, il faut évaluer nos options. Quelles sont nos options? C'est quoi, les options d'outils collaboratifs sur le marché qui nous offrent des garanties de sécurité importantes?

Mme Setlakwe : C'est une excellente question que vous posez.

M. Caire : Oui, j'ai... et je... et je nous la pose à l'interne, parce que Zoom a fait des modifications sur son mode de fonctionnement, mais, à l'époque où la décision était prise, comme je vous dis, je veux dire, les serveurs Zoom étaient en Chine. C'est... je veux dire, c'est consciemment qu'on a dit non, on n'utilise pas Zoom au sein du gouvernement du Québec parce que le risque de sécurité était beaucoup plus grand qu'utiliser Teams.

Mme Setlakwe : Mais, au niveau de Teams, comment on fait pour départager, là, avec le système de classification? Comment on fait pour s'assurer que... Moi, je vois beaucoup de matériel stratégique, là, mais comment on fait pour s'assurer que ce qui est... qu'on veut garder strictement sur notre contrôle... comment on y arrive?

M. Caire : Le système de classification va s'appliquer à l'ensemble des données qui appartiennent au gouvernement du Québec, Mme la députée, c'est ça que je vous dis. Tantôt, vous me disiez : O.K., mais est-ce qu'on a des informations qui pourraient être... Oui, parce que, bien, je le présume, parce que le système de classification, on l'a adopté en novembre, la classification des données par arrêté ministériel, on l'a adoptée au mois de novembre.

Mme Setlakwe : En novembre 2024?

M. Caire : Oui. Alors, il va s'appliquer et on va l'appliquer, mais il y a du rétropédalage à faire, là.

Mme Setlakwe : Et ça a été adopté en novembre.

M. Caire : C'est-à-dire qui a été conçu avant, mais la... l'obligation de l'utiliser, par arrêté ministériel, c'est novembre 2024.

Mme Setlakwe : Donc, tout ce qui s'échange entre les fonctionnaires, les employés, les élus, via Teams, par le biais de la messagerie, c'est... On n'a pas le contrôle. On ne peut pas dire qu'on a le contrôle sur ces informations-là.

M. Caire : Je vais... je vais vérifier pour vous donner une réponse plus précise sur...

Le Président (M. Simard) : Et j'en profite pour vous informer que l'arrêté 2024-05 et le modèle de classification associé a été transmis par le ministre et distribué sur Greffier.

M. Caire : C'est fou, là, c'est fou, ça va vite, c'est incroyable.

Des voix : ...

M. Caire : Mais oui, oui. Oui, Mme la députée, c'est stocké sur les serveurs Azure de Microsoft, les... les «chats». Les documents, comme je vous dis, bien là, c'est sur mon poste. Moi, je les partage puis je vous... ça...

Mme Setlakwe : ...des services infomagiques au gouvernement du Québec, là, par notre... notre abonnement chez Microsoft. Donc, ce n'est pas juste une question de... Ce sont des contrats lucratifs pour lesquels les revenus ne reviennent pas à des entreprises québécoises, mais c'est aussi toute la question des données stratégiques.

M. Caire : Il faut faire attention, là, il faut faire attention. Parce que, comme je vous disais, ces grandes entreprises là ont des filiales canadiennes. Nous, on fait affaire avec Microsoft Canada. Je comprends que Microsoft, le siège social est aux États-Unis, là. Je n'essayerai pas de... mais, en même temps, tu sais, la conversation que nous avons, vous et moi, Mme la députée, là, il faut comprendre qu'il y a des Québécois qui nous écoutent puis qui nous écoutent attentivement parce que leur pain puis leur beurre dépend de leur emploi, puis leur emploi, c'est avec Microsoft Canada, là.

Mme Setlakwe : J'en suis consciente, mais, si on a des entreprises... on commence à se répéter, mais des entreprises québécoises qui peuvent offrir les services...

Mme Setlakwe : ...infonuagique et qui ne serait pas soumise à ces lois américaines qui peuvent causer... nous causer des ennuis. Pour les privilégier, c'était vraiment le sens de notre amendement, là, on s'entend, on ne reviendra pas là-dessus. Mais...

M. Caire : Oui, mais...

Mme Setlakwe : ...il y a vraiment urgence en la demeure.

M. Caire : ...si vous me permettez, je pense que... Puis la discussion, souvenez-vous de la discussion qu'on a eue avec M. Garneau de Micrologic, moi, je disais : La seule façon d'assurer la souveraineté numérique du gouvernement, c'est d'utiliser le nuage gouvernemental, il n'y en a pas d'autre. Parce que, demain matin, moi, je n'ai aucune garantie que Micrologic ne sera pas achetée par telle, ou telle, ou telle entreprise, ce avec quoi M. Garneau était d'accord.

Alors, pour moi, puis je fais attention à ce que je dis parce que je veux qu'on continue à faire affaire avec des services en infonuagique privés, j'aimerais effectivement qu'on ait plus d'affaires avec des entreprises québécoises. Mais, comprenons-nous bien, quand on parle de souveraineté numérique, la seule façon d'y arriver avec certitude, c'est le nuage privé...

Mme Setlakwe : On s'entend.

M. Caire : ...il n'y en a pas d'autres. Parce que, demain matin, n'importe quelle entreprise privée peut être achetée par n'importe quel autre joueur et changer de mains. Et ça, dans le domaine des technologies de l'information, c'est extrêmement courant. On signe un contrat avec une entreprise, une entreprise de chez nous, nanana, nanana, puis là le chiffre d'affaires augmente, pouf...

Mme Setlakwe : Il y a des... je comprends.

M. Caire : ...vendue à des Chinois, vendue à des Américains vendue à... Alors là, tu dis : Oui, attends un peu, là, ça vient de changer, ça vient de changer la perception, là. Puis je ne dis pas que c'est les intentions de M. Garneau, je pense que c'est un fier Québécois qui a envie de garder son entreprise ici. Mais, théoriquement, la seule façon d'obtenir la souveraineté numérique, c'est que nos données sensibles, nos données stratégiques restent dans le nuage gouvernemental québécois. La seule façon de les protéger de toute loi extraterritoriale, c'est d'aller dans le seul nuage, dont on est certain aujourd'hui, demain et dans plusieurs années, qu'il sera... qu'il ne sera soumis qu'aux seules lois canadiennes, puis ça, c'est le nuage du gouvernement.

Mme Setlakwe : Et si on a des contrats, parce qu'on en a, des contrats avec Micrologic et d'autres entreprises québécoises, canadiennes, est-ce qu'il y a des clauses de changement de contrôle dans ces contrats-là?

M. Caire : Non.

Mme Setlakwe : Pourquoi pas? Qui prévoient quelles lois s'appliquent, puis qu'en cas de changement, c'est toujours les lois du Québec qui s'appliquent.

M. Caire : Oui, bien, parce qu'honnêtement je ne sais pas dans quelle mesure je pourrais... Juridiquement, là, vous m'amenez sur un terrain où, moi, je ne suis pas confortable de vous répondre, Mme la députée. Est-ce que, juridiquement, on pourrait faire ça? Je ne sais pas. C'est certainement quelque chose qui pourrait être regardé. Mais, honnêtement, c'est vrai...

Mme Setlakwe : Oui, des clauses de changement de contrôle, j'aimerais ça entendre peut-être la légiste ou l'équipe, à savoir...

• (17 h 30) •

M. Caire : Mais, si vous me permettez, là, je pense qu'on s'éloigne vraiment beaucoup, beaucoup de l'article 4. Et je n'aurais pas de difficultés à avoir cette discussion-là... puis ça permettra à Me Bacon de faire des vérifications. Mais, honnêtement, je pense que les clauses de contrat...

Mme Setlakwe : Mais c'est vous qui l'avez évoqué.

M. Caire : Oui, oui. Non, mais c'est parce qu'on a une discussion qui est intéressante, mais, en même temps, avant de m'avancer dans... Parce que là on commence à parler de microgestion, là, avant de m'avancer là-dessus, je vous dirais, reportons cette discussion-là à un moment où on aura l'opportunité de faire les vérifications.

Mme Setlakwe : On me donne d'autres exemples. J'aimerais ça vous entendre. Les services d'édition offerts par Office 365 et SharePoint, largement utilisés dans les organismes publics, font en sorte que tous les documents privés, sensibles ou confidentiels sont hébergés directement dans le nuage de Microsoft. C'est exact?

M. Caire : C'est exact, sujet à des dispositions différentes, comme je vous disais.

Mme Setlakwe : Oui. Les outils de développement logiciel, comme Azure, DevOps, font en sorte que les logiciels développés au Québec par les organismes publics se retrouvent dans le nuage de Microsoft.

M. Caire : D'où l'idée d'aller vers la plateforme de développement moderne dont je vous parlais, qui est le paragraphe 3° qu'on veut insérer au niveau du courtier en infonuagique.

Mme Setlakwe : Oui. D'aller vers... Rappelez-moi comment vous l'avez appelé.

M. Caire : La plateforme de développement moderne qui sera entièrement contrôlée par le gouvernement du Québec et qui va être la solution à ce que vous venez de mentionner.

Mme Setlakwe : «Un abonnement aux services de téléphonie Microsoft qui fait en sorte que les données des clients qui adhèrent à ce service sont hébergées chez Microsoft - forcément. On peut retrouver des renseignements comme des informations sur les appels passés et...

Mme Setlakwe : ...reçus, y compris les numéros de téléphone, enregistrements de messages vocaux laissés par des appelants, une transcription des appels confidentiels entre hauts placés ou ministres de l'État. Je pense qu'il est urgent qu'on fasse un ménage là-dedans, là, puis qu'on...

M. Caire : On est d'accord.

Mme Setlakwe : Comment se fait-il qu'on ait attendu... Oui?

M. Caire : Alors, on est dans les services... dans les services d'infrastructure. Bien, écoutez, on est... on n'est pas... Il faut quand même admettre que la situation a changé, là.

Mme Setlakwe : Bien, oui puis non parce que le Patriot Act, il remonte à l'époque de Bush.

M. Caire : Oui. Mais, entre vous et moi, là, il n'y a pas de cas avérés d'utilisation du Patriot Act. Il n'y en a pas.

Mme Setlakwe : Mais en même temps, je pense que le risque, il n'est pas... il est plus ou moins mesurable, là. On est exposés, puis il y a... il y a une part d'inconnu dans tout ça.

M. Caire : Oui, bien, tu sais, déjà à l'époque, Microsoft disait : Si ça arrive, on va s'opposer puis on va se battre devant les tribunaux, là. Donc... Et le risque réputationnel, pour une organisation comme Microsoft, serait énorme, énorme, énorme. Donc, si vous voulez mon... mon humble avis puis je ne dis pas... je ne minimise pas le risque puis je ne dis pas... je ne reviens pas sur ce que j'ai dit, iIl faut aller vers une plus grande souveraineté numérique. Mais, en même temps il ne faut pas non plus... Je veux dire, à notre connaissance, il n'y a aucun cas avéré d'utilisation du Patriot Act depuis qu'il est en... depuis qu'il a été adopté, et du Cloud Act après.

Mme Setlakwe : Et puis l'arrêté ministériel donc, qui date de novembre et qui vient d'être versé dans le Greffier.

M. Caire : Oui. Ça a-tu été... Oui.

Mme Setlakwe : Oui, c'est ce qu'on a compris. Ça faisait combien de temps qu'il était sur la table à dessin?

M. Caire : Euh, 20... 2023, si ma... puis là, je vous réponds de mémoire, Mme la députée, là.

Mme Setlakwe : Puis est-ce que c'était le projet de loi n° 38 qui vous donnait les pouvoirs de l'adopter ou vous l'aviez avant?

M. Caire : Non, non, oui, oui. Oui, avec 95, effectivement, on l'avait en créant le Chef gouvernemental de la Sécurité de l'information et ces différentes prérogatives. Puis il y avait déjà eu une première mouture qui avait été faite effectivement au Conseil du trésor, qui a été revue. Après ça, en créant le chef gouvernemental de la sécurité de l'information, il y a une nouvelle mouture qui a été faite, là, qui s'adapte à une réalité changeante et différente.

Mme Setlakwe : Mais la classification, donc, des données, elle est...

M. Caire : Au départ, on avait une catégorisation, donc on faisait des catégories, c'était assez... c'était assez minimaliste, là. Et là on est... Là, on a travaillé sur un projet de classification de la donnée. Donc, c'est de la donnée classifiée qui nous amène vers un niveau de sécurité supérieur.

Mme Setlakwe : O.K. Et comment on fait le lien, donc, entre — et je pense que ça a été déjà répondu — entre les critères pour la qualification puis les critères qui sont utilisés par les ministères et organismes dans l'octroi des contrats pour respecter cet arrêté ministériel là?

M. Caire : Bien, en fait, c'est au niveau notamment de la protection des renseignements personnels. Donc là, il y a tous les éléments de la loi qui entrent en ligne de compte. Puis, au niveau des... des centres opérationnels, il y a... Pas au niveau des opérationnels, je suis désolé. On a le Gestionnaire de la donnée numérique gouvernementale qui est la grande responsable de la gestion de la donnée. Il y a des gestionnaires délégués dans chaque ministère et organisme. Ils ont eux le mandat de faire respecter les... de faire respecter les directives qui sont prises, notamment à l'arrêté ministériel en question. Donc, c'est vraiment des officiers qui sont dans chacun des ministères pour ça.

Mme Setlakwe : Avez-vous une précision qui vous est fournie par la... Me Bacon, ou non?

M. Caire : Bien, pas trop.

Mme Bacon (Nathalie) : La précision, c'est que, si on veut voir le lien, là, entre le modèle de classification, puis moi, je suis un organisme public, je consulte le catalogue du courtier. Mais j'ai aussi des obligations, 12.2 de la LGGRI, j'ai l'obligation, comme organisme public, d'assurer la sécurité des ressources informationnelles que je détiens et de l'information que je détiens. Ça, c'est 12.2 5.1 en vertu de la LGGRI. Puis je dois aussi respecter toutes les orientations, les stratégies, les politiques, les standards, les directives et toutes les règles qui peuvent être prises en vertu de la LGGRI, ce qu'est le modèle de classification. Vous avez le deuxième alinéa de 5.1 qui prévoit que le dirigeant d'un organisme doit s'assurer que ses employés respectent ça. Donc nécessairement, ça teinte les acquisitions, c'est-à-dire, si j'ai des obligations en sécurité, lorsque je vais procéder à des acquisitions, je vais m'assurer que je fais des acquisitions sécuritaires à peu près.

Mme Setlakwe : Merci, Me Bacon. Et donc, là, l'arrêté entre en vigueur...

M. Caire : Oui.

Mme Setlakwe : ...à la fin de l'année...

Mme Bacon (Nathalie) : ...à peu près.

M. Caire : C'est ça j'ai dit.

Mme Setlakwe : Merci, maître Bacon. Et donc là l'arrêté entre en vigueur à la fin de l'année. Le courtier infonuagique a déjà... est déjà actif, a déjà son catalogue, il y a déjà des contrats qui ont été octroyés. Mais là comment on fait l'arrimage à savoir ce qui n'est pas... Évidemment, il n'y a pas un effet rétroactif à l'arrêté ministériel. Ou est-ce qu'il y en a un? Comment on fait l'étude des contrats en cours puis de savoir...

M. Caire : Non. O.K. Sur le...

Mme Setlakwe : ...savoir qu'est-ce qui... qu'est-ce qui n'est pas conforme à l'arrêté?

M. Caire : Sur le... Sur les contrats qui sont existants, effectivement, il faut respecter le contrat, mais, comme je disais, les courtiers en... les contrats en infonuagique, pardon, on est sur des contrats de trois ans. Donc, une fois le contrat terminé, dans le renouvellement, là on peut faire appliquer l'arrêté ministériel et la classification des données.

Mme Setlakwe : O.K. Puis là, des contrats, il y en a combien? Juste pour avoir un ordre de grandeur.

M. Caire : Beaucoup.

Mme Setlakwe : Comme des centaines?

M. Caire : Oui, oui. Au total. Au total...

Une voix : ...

M. Caire : Hein?

Mme Setlakwe : Ce serait autour de 620, c'est ce qu'on me...

M. Caire : Oui, oui, oui. Ça, c'est un chiffre qui m'apparaît réaliste. Bien, ça dépend si vous ciblez une entreprise ou certains types de contrats, là, mais... Oui, oui.

Mme Setlakwe : O.K. Mais, justement, est-ce que, dans les contrats... Parce qu'on a compris qu'il y avait une cinquantaine d'entreprises qualifiées, moitié-moitié canadiennes...

M. Caire : Et autres.

Mme Setlakwe : ...étrangères. Bon, là on apprend qu'il y a autour de 630 contrats octroyés, mais est-ce qu'on a, donc, une répartition des contrats qui ont été octroyés à... localement, si on veut, versus à l'étranger?

M. Caire : Oui, on a la répartition. On va vous trouver ça, Mme la députée.

Mme Setlakwe : Vous allez pouvoir nous le fournir?

M. Caire : ...

Mme Setlakwe : Merci. Comme maintenant ou...

M. Caire : Bien, pas... On va...

Mme Setlakwe : Pour les fins de la discussion, je pense que c'est important.

M. Caire : On va...

Le Président (M. Simard) : On va suspendre momentanément.

(Suspension de la séance à 17 h 40)

(Reprise à 17 h 48)

Le Président (M. Simard) : Alors, chers collègues, nous reprenons nos travaux, et nous en étions bien sûr rendus à l'étude de l'article 4. Je vous rappelle que la députée de La Pinière dispose d'environ 20 minutes, tandis que sa collègue de Mont-Royal-Outremont dispose encore de 10 minutes, bien sûr sur l'article 4. Alors, chère collègue.

Mme Setlakwe : Merci, M. le Président. Donc, juste avant de suspendre, on discutait, suite à des questions que je posais, donc quelle était la répartition des contrats qui avaient été octroyés, en vertu de ce catalogue, là, d'offres infonuagiques, donc combien de contrats avaient été octroyés à des compagnies canadiennes versus des compagnies situées à l'extérieur du Canada, et la liste nous a été fournie. Donc, je comprends qu'elle a été déposée dans le Greffier. Est-ce que vous pouvez nous dire, M. le ministre, donc quelle proportion des... et la valeur des contrats octroyés à des sociétés américaines?

M. Caire : Bien là...

Une voix : ...

M. Caire : Oui, c'est ça, il faudrait faire le calcul. Mais vous avez la liste, là, Mme la députée, là.

Mme Setlakwe : Mais c'était ça, notre question, M. le ministre, en tout respect. Donc, est-ce que c'est une... Donc, le montant total de valeur de ces contrats octroyés par le biais du catalogue en infonuagique, c'est... quel est le montant total?

M. Caire : Au total, c'est 1 189 803 535,39 $.

Mme Setlakwe : Donc, 1,2 milliard?

M. Caire : Oui.

Mme Setlakwe : Et de ce 1... Ça, c'est depuis combien d'années? Depuis 2015, c'est-à-dire, ce que c'est... Non. C'est depuis quand? Non, c'est plus récent.

M. Caire : Non, non, non! Ça, c'est les contrats actifs. C'est les contrats actifs.

Mme Setlakwe : Contrats actifs. Non, non, je comprends. Et donc... Mais le côté infonuagique existe depuis quelle année?

M. Caire : Ça a été créé par le gouvernement libéral.

• (17 h 50) •

Mme Setlakwe : Donc, ça fait... C'est ça, ça fait longtemps.

M. Caire : Donc, c'est avant 2018.

Mme Setlakwe : Mais donc, les contrats actifs totalisent 1,2 milliard. Et, de ce 1,2 milliard, il y en a combien... combien sont octroyés à des sociétés américaines?

M. Caire : Bien, comme je vous dis, là, il faudrait que je fasse le calcul, là, on...

Mme Setlakwe : Bien, on peut peut-être en nommer quelques-unes. Moi, je vois...

M. Caire : Valeur des contrats à compagnies américaines, 919 millions.

Mme Setlakwe : 919 sur 1,2. Donc, c'est la très grande majorité.

M. Caire : Oui.

Mme Setlakwe : Et donc, à la lumière du fait que ça, c'est une très grande majorité... juste nous parler de la tendance récente puis de... Avez-vous... Est-ce que vous vous êtes fixé des cibles pour renverser la tendance, M. le ministre?

M. Caire : Fixé des cibles?

Mme Setlakwe : Oui.

M. Caire : Pas officiellement, non.

Mme Setlakwe : Oui, c'est autour de 80%. Mais vous êtes en train de passer les contrats au peigne fin, vous avez une intention de réduire la dépendance. Mais il n'y a pas de cibles...

M. Caire : Pas officiellement.

Mme Setlakwe : ...officielles à divulguer?

M. Caire : Pas officiellement.

Mme Setlakwe : Est-ce qu'il y a des entreprises qui actuellement, bien, tentent de se faire qualifier? Est-ce qu'il y a des nouvelles entreprises, là, qui... Vous dites que c'est un processus en continu. Est-ce qu'il y en a, des entreprises, qui...

M. Caire : C'est une bonne question. Honnêtement, il faudrait que je vérifie avec les responsables du courtier en infonuagique. Comme je vous dis, c'est un processus continu, là, ça fait que je ne suis pas... 

M. Caire : ...comme je vous ai dit, c'est un processus continu, là, ça fait que je ne suis pas... Bien, je vous dirais qu'à 49, d'après moi, il ne doit pas y en avoir beaucoup plus, là. Celles qui font du service infonuagique selon les critères du gouvernement, d'après moi, là... puis qui ont l'intention de le faire, là... mais je vérifierai.

Mme Setlakwe : Oui, s'il vous plaît. Là, je comprends qu'on va étendre les services pour comprendre également les technologies spécialisées. On en a parlé beaucoup. Ma collègue, elle avait des questions spécifiques. Ici, c'est une liste exhaustive ou est-ce que l'intention c'est de voir le concept de technologie spécialisée également être évolutif?

M. Caire : Bien, en fait, c'est une liste... Bien, en fait les deux. C'est une liste exhaustive, donc, suite à nos discussions avec le Conseil du trésor, on s'est entendus sur cette liste-là. Maintenant, est-ce que, dans le futur, avec l'application de la loi, avec le contexte aussi... est-ce que cette liste-là pourrait, dans un éventuel projet de loi, évoluer? Peut-être que oui. Là, je ne peux pas m'engager pour les prochains gouvernements, mais je peux vous dire que, pour ce qui est de mon intention, à moi, puis du travail qu'on a fait en collaboration avec le Conseil du trésor, oui, la liste est exhaustive.

Mme Setlakwe : Est-ce que vous savez si l'utilisation... j'ose le présumer, du courtier infonuagique permet de dégager des économies?

M. Caire : On a fait ce calcul-là. Je vous trouverai cette information-là, même assez rapidement, mais la réponse à votre question, c'est oui.

Mme Setlakwe : Merci. Et pour ce qui est du nuage gouvernemental, quelle est la vision? On dit qu'on a bien compris que la meilleure façon de se prémunir, la meilleure façon d'assurer une souveraineté, la meilleure façon de garder un contrôle, la meilleure façon de garantir que les données sont en sécurité, c'est d'avoir un nuage gouvernemental qui...  J'aimerais ça, entendre votre vision, là. Est-ce qu'il est en développement? Est-ce qu'il nécessite...

M. Caire : Non, non, il est en opération.

Mme Setlakwe : Oui, il est en opération, mais est-ce qu'il... Qu'est-ce que ça nécessite pour aller plus loin? Est-ce que ça nécessite des fonds? Est-ce que ça nécessite des emplois? On a parlé de tout ça, mais je pense que c'est important qu'on comprenne qu'on a 1,2 milliard de contrats actifs, avec une large dépendance vers des entreprises américaines, avec les conséquences qu'on a discutées. On souhaite aller davantage vers le nuage gouvernemental. Donc, il faut qu'il y ait un plan d'action, M. le ministre. Quel est-il?

M. Caire : Oui, tout à fait. Bien, c'est ce que je vous ai exposé. D'une part, classification des données, imposition de la classification des données par arrêté ministériel, redistribution des charges en fonction de la classification des données, diriger les données sensibles et stratégiques vers le nuage gouvernemental pour assurer... qui est... Comme je le disais, la seule façon d'assurer la souveraineté numérique du gouvernement du Québec, c'est l'utilisation de son nuage, du nuage... Le seul nuage qu'on contrôle totalement et pour lequel on sait qu'il ne sera jamais vendu à des intérêts étrangers, c'est le nuage du gouvernement du Québec. Donc, c'est ça, la vision.

Mme Setlakwe : Oui, je comprends, mais c'est tellement important et stratégique. Et je vous demande quelle est votre analyse, quel est votre plan, quel est le plan pour déployer, c'est quoi, les cibles? Il doit bien y avoir un plan d'action plus concret que de juste nous dire : C'est l'intention, puis c'est l'idéal.

M. Caire : Ça m'apparaît très, très, très concret, Mme la députée, là, entre vous et moi, là, dire : On a fait une classification de la donnée, on impose ce modèle-là par arrêté ministériel à l'ensemble des ministères et organismes soumis à la LGGRI. Et ce qu'on dit à nos ministères et organismes, c'est : En fonction de la classification de la donnée, vous allez envoyer vos informations sensibles et stratégiques dans le nuage gouvernemental. Honnêtement, là, je ne vois pas vraiment ce que je peux vous dire de plus que ça, là.

Mme Setlakwe : ...pouvez me dire de plus, c'est l'état de situation actuel. On comprend qu'il y a des contrats qui ont été octroyés. Les contrats sont principalement pour une durée de trois ans, mais sachant ça et sachant que, là, vous devez avoir...

Mme Setlakwe : ...une idée de combien de temps ça va prendre pour libérer ou migrer les données, selon la nouvelle classification, celles qui sont... elles sont... je vois qu'elles sont classées selon des critères de... très faible, faible, modéré, élevé. C'est ce genre d'information qu'on veut. On a quel pourcentage de données considérées modérées ou élevées?

M. Caire : Comment voulez-vous que je le sache avant qu'on ait fait la classification des données?

Mme Setlakwe : Donc, nos données... Oui, mais vous dites... bien, il me semble que nous vous avez dit précédemment que les données sensibles sont dans le nuage gouvernemental. Il y avait une catégorisation qui était faite précédemment.

M. Caire : Oui, ce que je vous dis...

Mme Setlakwe : On ne part pas de zéro, là. Moi, personnellement, je trouve qu'on est un peu dans le néant en ce moment. Donc, il faut... Ça prend des informations plus précises. Expliquez-nous votre arrêté ministériel, comment vous avez établi ces critères puis...

M. Caire : O.K., mais là on n'est pas dans l'article 4, M. le Président, là. En toute sincérité, je ne vois pas...

Mme Setlakwe : On n'est pas dans l'article 4.

M. Caire : Puis là on me demande d'expliquer un arrêté ministériel du mois de novembre, M. le Président, puis la classification des données. Là, je ne vois pas le lien avec l'article 4, là, je vous avoue.

Le Président (M. Simard) : Bien, en vertu de nos règlements...

M. Caire : Là, je vais invoquer la pertinence, M. le Président.

Le Président (M. Simard) : Oui, mais en vertu de nos règlements, rien ne vous oblige à répondre. Mais ceci étant dit, effectivement, nous sommes ici dans des considérations qui sont très pointues, très ciblées. Par ailleurs, l'article est très large, implique des dimensions, pour le moins, complexes, et notre jurisprudence, qui est très vieille en ce sens, tend à démontrer que l'opposition a une marge de manœuvre très large. Vous le savez, vous êtes un des plus... je ne veux pas dire un des plus vieux, mais du moins...

M. Caire : Il n'est pas nécessaire d'aller là.

Le Président (M. Simard) : Comment je pourrais aborder la chose? Un des...

M. Caire : Très expérimenté.

Le Président (M. Simard) : ...plus expérimentés, un des doyens de ce parlement. Et vous-même avez été longtemps dans l'opposition, donc vous savez qu'on a une marge de manœuvre. Maintenant, si vous ne voulez pas répondre, vous ne répondez pas. C'est votre prérogative.

M. Caire : Bien, M. le Président, c'est parce que je suis d'accord avec ce que vous dites que je réponds à ma collègue. Mais plus je fournis des informations, plus on s'en va vers la microgestion de la gestion de la donnée qui n'a pas de lien avec les quatre nouvelles fonctions du courtier en infonuagique. Là, on est vraiment dans comment on va faire appliquer l'arrêté ministériel de novembre en fonction de la classification des données, ce qui n'a rien à voir avec la gestion des progiciels, la cybersécurité, les fondations ou les systèmes patrimoniaux. Alors, puis plus je fournis de l'information à ma collègue, plus ma collègue me demande d'aller dans la microgestion puis plus on s'éloigne, à mon avis, de l'article 4 du projet de loi. C'est mon avis, M. le Président.

• (18 heures) •

Le Président (M. Simard) : Alors, on peut poursuivre. Peut-être...

Mme Setlakwe : ...droit de répondre?

Le Président (M. Simard) : Bien, c'est-à-dire qu'on est dans un dialogue qui porte sur l'article 4 et un des quatre sous... comment dire, sous-titre du chapitre 4. Donc, je vous invite à poursuivre là-dessus.

Mme Setlakwe : Oui, je vous entends, M. le Président. On parle du mandat du ministre qui agit à titre de courtier infonuagique. Et ce même ministre a émis un arrêté ministériel. Je ne parle pas d'un arrêté ministériel d'un autre ministère, c'est bien un arrêté ministériel qui émane de votre ministère, M. le ministre, oui, et il concerne une nouvelle classe, une nouvelle façon de classifier les données. C'est bien ça? Et les données en question, ce sont bien ces données-là qui sont hébergées en infonuagique. N'ai-je pas fait la démonstration de la pertinence de ma question?

M. Caire : Non, parce que ce dont nous discutons découle d'une loi qui a été adoptée en 2021 directement. Donc là, on est en train de refaire le débat d'une loi adoptée à l'unanimité par l'Assemblée nationale. Donc, si vous voulez savoir, comme l'a fait Mme la députée de La Pinière, bon, au niveau des progiciels, de la cybersécurité, des fondations... les nouvelles fonctionnalités du courtier, c'est avec plaisir que je vais en débattre, mais là vous me demandez de refaire un débat vieux de pratiquement quatre ans. Alors, non, vous n'avez pas fait la pertinence, Mme la députée.

Mme Setlakwe : On est en train de... à mon sens...

M. Caire : On est en train de faire des études de crédits, là.

Mme Setlakwe : On est en train de parler de quelque chose d'extrêmement stratégique. Et moi, de mémoire, on était tous assis ici dans cette salle, on a entendu différents groupes venir nous exposer...

Mme Setlakwe : ...des préoccupations, mettre de l'avant des enjeux en lien avec la pièce législative, et, moi, il me semble que j'ai beaucoup entendu parler d'infonuagique, d'hébergement des données.

M. Caire : Tout à fait, tout à fait. Puis j'ai entendu des syndicats venir nous dire que ça prenait une requalification au niveau des emplois, ce qui n'a pas rapport avec le projet de loi. J'ai entendu des syndicats venir nous parler de sous-traitance, de limiter la sous-traitance, ce qui n'a pas rapport avec le projet de loi. Donc, c'est... je comprends que les groupes qu'on a invités ont parlé de toutes sortes de sujets, puis c'était correct, puis il faut... il faut en discuter. Puis moi, je discute avec vous parce qu'effectivement, le président a raison, la présidence, historiquement, interprète la pertinence de façon très large. Mais là moi, je vous le dis, là, je suis dans des études de crédits. Je ne vous ai pas entendue poser une seule question sur les quatre nouvelles fonctionnalités prévues par la loi.

Mme Setlakwe : Pourtant, je vous ai demandé... je vous ai demandé de nous donner des exemples.

M. Caire : Non, vous avez dit : Ma collègue de La Pinière l'a abordé, puis vous êtes repartie sur la gestion des contrats.

Mme Setlakwe : Ah! peut-être, ma collègue est plus pertinente que moi.

M. Caire : Je ne l'aurais pas dit comme ça. Jamais je n'aurais osé, Mme la députée de Mont-Royal-Outremont, parce qu'effectivement on a des discussions très intéressantes, puis mon point n'est pas là. Mon point, c'est que ça... on parle de la situation actuelle, puis, dans les études de crédits ou si vous voulez une interpellation, ça me fera plaisir de répondre à toutes ces questions-là, qui seraient tout à fait pertinentes. Je ne dis pas que les questions ne sont pas pertinentes, je dis qu'elles ne sont pas en lien avec notre mandat d'adopter le projet de loi n° 82, c'est tout.

Mme Setlakwe : On parle du courtier infonuagique, on parle d'hébergement de nos données, on...

M. Caire : On parle de quatre nouvelles fonctionnalités. Ça me fera plaisir de répondre à toutes vos questions sur ces quatre nouvelles fonctionnalités là.

Mme Setlakwe : Je trouve ça vraiment étonnant étant donné tout le contexte, étant donné tout ce qu'on entend, étant donné ce que les experts nous ont rapporté, étant donné ce qui est mentionné dans les nombreux mémoires qui ont été déposés au Greffier, dont les parlementaires sont censés prendre en considération, les lire, les... et poser des questions en lien avec ces enjeux-là. Et puis moi, je pense, c'est tout à fait opportun pour un jeune ministère qui a une loi constitutive qu'on est en train de rouvrir ici, on est en train de faire des modifications... Le ministère existe depuis... Rappelez-nous, là, en janvier, c'était le deuxième ou le troisième?

M. Caire : 2022. Troisième.

Mme Setlakwe : Troisième anniversaire d'un ministère dans un domaine qui évolue extrêmement vite. On parle de... On parle de données sensibles qui ont reçu une nouvelle classification et on a aussi établi qu'il y avait une surdépendance à l'endroit de sociétés étrangères.

M. Caire : Je ne conteste pas ça.

Mme Setlakwe : On parle d'un catalogue. C'est des mots qui sont dans le projet de loi. Je veux bien que ces mots-là existaient déjà, mais moi, je pense, c'est tout à fait pertinent de bien saisir les mécanismes actuels, ce que ces mécanismes-là ont permis de créer comme dépendance. On a... On a réalisé qu'on avait une dépendance puis que, quand on... nos données sont hébergées à l'extérieur de notre juridiction, ça entraînait certains risques. Et on a entendu de votre part une intention ferme de réduire cette dépendance. L'outil qu'on regarde en ce moment, le courtier infonuagique, le catalogue qui est offert aux organismes gouvernementaux, va permettre de réduire cette dépendance... pourrait permettre de réduire cette dépendance. Elle a été clairement établie quand on a regardé la liste des contrats actifs. Alors, moi, je trouve ça vraiment étonnant qu'on me dise que mes questions... que vous doutez de la pertinence de mes questions. Je trouve ça renversant.

M. Caire : Je n'en doute pas. Je n'ai aucun doute qu'ils ne sont pas en lien avec le projet de loi.

Mme Setlakwe : Ah! vous allez encore plus loin. Vous n'avez aucun doute que mes questions n'ont aucun lien avec le projet de loi.

Le Président (M. Simard) : Mais, si on pouvait se recentrer, tout le monde, non pas sur le débat sur la pertinence de la pertinence, mais sur le texte en lui-même, j'en serais fort aise. Alors, veuillez poursuivre, Mme, il vous reste deux minutes 30 secondes.

Mme Setlakwe : Ma question, c'était bien, M. le Président, par rapport à l'arrêté ministériel, qui fait une nouvelle classification de nos données. On a donc jugé, au sein de votre ministère, que la catégorisation actuelle n'était pas... n'était pas idéale. Vous l'avez modifiée. Et maintenant les critères... Bien, en fait, c'est votre arrêté ministériel. J'aimerais ça que vous nous décriviez, s'il vous plaît, M. le ministre. Non? Refus de répondre?

Le Président (M. Simard) : Il vous reste 30 secondes, chère collègue, dans le cadre de votre intervention.

Mme Setlakwe : O.K. Bien, merci. Moi, j'ai sous les yeux, donc, des nouvelles façons de classifier les informations : très faible, faible, modérée, élevée, très élevée, et j'aimerais savoir, par rapport...

Mme Setlakwe : ...à nos données modérées, élevées ou très élevées, donc plus sensibles, là, c'est qu'une compromission pourrait causer un préjudice soit très élevé, élevé ou modéré. Quelle proportion est entre les mains de sociétés étrangères?

Le Président (M. Simard) : En conclusion, il vous reste 10 secondes, chère collègue.

Mme Setlakwe : Mais je ne peux pas conclure. M. le Président, je n'ai pas eu de réponse à ma question.

Le Président (M. Simard) : Très bien. Alors, à ce stade-ci, la parole appartient à la députée de La Pinière qui dispose d'environ 20 minutes.

Mme Caron : Merci, M. le Président. Alors, voyons voir si je serai pertinente ou impertinente. La question que j'ai, en fait, c'est que le ministre a affirmé que la seule façon d'assurer la souveraineté numérique de nos données, c'est d'avoir le contrôle sur... C'est-à-dire que tout est fait par le gouvernement, c'est... c'est privé le... Et là on me corrigera dans ma compréhension, si j'ai mal compris, mais le... ce que j'ai compris, c'est que les... nos sources officielles de données et notre nuage privé de données sensibles, tout est contrôlé par le gouvernement parce que c'est fait à l'interne. Est-ce que j'ai bien compris ça ou il y a... il y a des nuances que j'ai mal saisies?

M. Caire : Vous avez bien compris.

Mme Caron : J'ai bien compris ça. Merci. Alors, si la seule... bon, la seule façon d'assurer, donc, cette sécurité-là, c'est que ce soit fait à l'interne au gouvernement, sans sous-traitance ou autres entreprises qui sont... qui sont impliquées. Ma collègue a abordé la question des... de fournisseurs qui pouvaient être étrangers. Pourquoi ne pas favoriser des fournisseurs québécois? Bon, on a... on a dit qu'on... Il y aurait peut-être des moyens de le faire indirectement, par pondération de critères, et tout ça, mais on veut faire attention parce qu'on veut... on veut respecter les accords commerciaux et... Bon, c'est ça. Et aussi qu'on n'a pas de contrôle. C'est un point... c'est un point important aussi. On n'a pas de contrôle sur la propriété d'une entreprise québécoise qui pourrait être vendue à des intérêts étrangers.

• (18 h 10) •

Alors, ce que... la réflexion que j'avais, quand le ministre disait ça, c'est que, bien, est-ce qu'on n'est pas justement en train de militer en faveur d'avoir plus de maîtrise d'oeuvre à l'interne du gouvernement, plutôt que de dépendre d'entreprises externes, qu'elles soient des entreprises québécoises, canadiennes, européennes, chinoises, américaines, etc.? Est-ce que... si on veut vraiment assurer la sécurité des données, de l'infonuagique, de nos systèmes, finalement, des systèmes du gouvernement ou des ministères et organismes, est-ce que ça ne militerait pas... je comprends, pas demain matin, là, mais est-ce que ça ne militerait pas en faveur de miser sur des effectifs à l'interne? Puis, clairement dit, là, des salariés du gouvernement qui auraient les compétences, évidemment en programmation, en gestion de réseau, et tout ça.

M. Caire : Bien, sur les effectifs, on aura cette discussion-là sur une autre tribune, mais l'élargissement du rôle du courtier en infonuagique, ça va dans le sens... ça va un peu dans le sens de ce que vous dites.

Mme Caron : Alors, est-ce que cet élargissement par l'ajout, là, des amendements à la loi, c'est dans le projet de loi, on... Est-ce que je comprends qu'on s'attend à ce que ça crée plus de postes à l'interne du gouvernement pour pouvoir... pour pouvoir s'acquitter de ce mandat de courtier, qui va être élargi aux services des ministères et organismes?

M. Caire : Bien, si on prend l'exemple des fondations servant d'infrastructures technologiques, le fait de vouloir mettre en place par exemple une plateforme de développement moderne par le gouvernement pour le gouvernement, bien, c'est sûr que ça implique une expertise à l'interne, notamment au niveau de l'utilisation des logiciels libres. Parce que, dans le passé, on a hésité à s'en servir, parce que l'avantage d'utiliser les produits d'un éditeur logiciel, c'est qu'il y a un support qui vient avec, il y a une connaissance du logiciel, un soutien qui permet aux organismes d'avoir du dépannage, d'avoir du soutien, d'avoir une compréhension, selon le besoin, de l'utilisation des produits. Ce qu'on n'a pas avec...

M. Caire : ...ce qu'on n'a pas nécessairement. Je vais faire attention parce que, dans certains cas, oui, il y a du support qui vient avec des logiciels libres, mais on n'a pas nécessairement... avec le logiciel libre. Donc, c'est sûr qu'il faut développer une expertise à l'interne.

Quand on parle d'infrastructures, bien, par exemple, les chaînes de blocs, on sait... il y a un groupe qui est venu nous parler d'utilisation de chaînes de blocs. Bien, c'est sûr qu'il faut développer cette expertise-là à l'interne pour soutenir nos ministères et organismes lorsqu'ils utilisent ces infrastructures-là.

Mme Caron : Alors, est-ce que cette expertise-là, à l'interne, qui va être nécessaire, donc... j'imagine que ça va vouloir dire d'embaucher quelques ressources de plus...

M. Caire : Pas nécessairement.

Mme Caron : ...ou à moins qu'elles soient déjà présentes. Ce serait... ce serait une expertise...

M. Caire : De qualifier des ressources internes aussi, qui sont déjà à l'emploi du gouvernement, de les qualifier ou de les requalifier, dans certains cas. Quand on parle de systèmes patrimoniaux, bien, il y a des gens qui travaillent là-dessus. Si on se départit des systèmes patrimoniaux, on peut permettre à ces gens-là d'aller se requalifier dans d'autres créneaux qui sont plus porteurs.

Mme Caron : Par exemple, de bien maîtriser le code libre qu'on utiliserait pour une application...

M. Caire : Voilà. Par exemple.

Mme Caron : ...et d'être capable de participer, comme communauté utilisatrice du code libre, à la mise à jour de ce code-là et pouvoir le faire à l'interne.

M. Caire : Tout à fait. Exact.

Mme Caron : Et ça, sans vouloir embarquer dans la question... dans toute la question qui était amenée par les syndicats qui sont venus nous voir, est-ce que le fait de requalifier une personne qui est utilisatrice des systèmes patrimoniaux, à l'heure actuelle... est-ce que c'est quelque chose qui est faisable sans aller dans le carré de sable de votre collègue au Conseil du trésor, par exemple?

M. Caire : Oui, tout à fait. Écoutez, on a mis en place l'Académie de transformation numérique, en collaboration avec l'Université Laval, qui a comme objectif, entre autres, là, pas que, mais entre autres, de permettre le perfectionnement ou d'aller chercher des nouvelles compétences, là. C'est un des objectifs.

Mme Caron : Alors, c'est déjà quelque chose qui est en cours, qui existe, que les employés du gouvernement peuvent...

M. Caire : Tout fait. Surtout en technologies de l'information, là. Ça évolue tellement vite qu'on ne peut pas penser qu'on devient un expert puis qu'on va être un expert toute sa carrière dans un domaine précis, parce que ça évolue tellement vite qu'il faut aller chercher les mises à jour, même des nouvelles compétences, là. Donc, oui, ça, c'était déjà... c'était déjà en place.

Mme Caron : C'était déjà en place. D'accord. Alors, comme vous avez dit, cet article-là, ça porte sur l'acquisition, sur tout le processus d'acquisition, donc, des outils nécessaires, des progiciels, des systèmes de plateformes. Est-ce que... J'imagine que les ressources humaines, ce n'est pas...

M. Caire : Non.

Mme Caron : ...ça ne fait pas partie de l'acquisition, là, puis la requalification de ressources qui existent déjà au gouvernement, ça ne fait pas partie de ça.

M. Caire : Ça va avoir un impact, mais ce n'est pas l'objet de la loi. Mais c'est sûr, comme vous l'avez dit, vous avez raison, ça va avoir un impact.

Mme Caron : C'est ça. D'accord. Donc, en conclusion, pour ma part, je dirais qu'on reconnaît que c'est quand tout se fait à l'interne qu'on a la maîtrise d'oeuvre, qu'on peut vraiment garantir la sécurité de tout ça, mais qu'on n'en est pas rendu à mettre tout sous ce chapeau à l'interne, parce que, bon, oui, il y a des contrats à respecter et... Mais est-ce que c'est quelque chose, puis là je parle peut-être à moyen et très long terme, là, c'est difficile... je comprends que ça peut être difficile de donner une réponse claire là-dessus, mais est-ce que c'est quelque chose qui est même envisageable ou si on peut dire, bien, on essaie de le faire le plus possible, mais on n'y arrivera jamais ou, si oui, à plus long terme, on pourrait, idéalement, dans un idéal, tendre vers ça?

M. Caire : Difficile, très certainement, impensable, non. Je ne pense pas que ce soit impensable, mais certainement très difficile. Puis, dans certains cas, ce n'est pas non plus souhaitable, puis même le syndicat des professionnels était d'accord pour dire qu'il y a des expertises qu'on n'avait pas besoin de maintenir à l'interne, qu'on pouvait aller à l'externe puis que c'était tout à fait viable.

Mme Caron : Vous aviez fait... vous aviez donné l'exemple aussi d'expertises qui pouvaient être à l'externe, de... je dirais plutôt d'activités qui pourraient être à l'externe, comme installer... Bien, je pense que c'est peut-être vous, peut-être, le député d'Orford, d'installation de fibre optique, par exemple. Ce n'est pas... ça n'a pas nécessairement besoin, là, c'est le côté matériel de la chose, là.

M. Caire : Tout à fait. Je ne pense pas qu'il y ait de pertinence pour nous de développer une expertise à passer de la fibre optique. Il y a suffisamment de monde qui sont capables de le faire.

Mme Caron : Le nerf de la guerre, c'est plus dans la gestion...

M. Caire : La gestion, le contrôle...

Mme Caron : Gestion et...

Mme Caron : ...contrôle et qui...

M. Caire : Tout à fait.

Mme Caron : ...et sécurité de tout ça qui nous... qui nous importent, là...

M. Caire : Tout à fait.

Mme Caron :  ...et qui... et qui... Pour les personnes qui nous... qui nous écoutent aussi, c'est quelque chose qui est... C'est suivre l'actualité, c'est quelque chose qui... qui est important à suivre. Merci.

M. Caire : Merci.

Le Président (M. Simard) : Alors, y aurait-il d'autres commentaires sur l'article 4? Sans quoi, nous allons procéder à sa mise aux voix. L'article 4 est-il adopté?

Des voix : Adopté.

Le Président (M. Simard) : Adopté. Nous passons donc à l'étude de l'article 5. M. le ministre, voudriez-vous en faire lecture?

M. Caire :  Avec plaisir, M. le Président. Donc : L'article 7 de cette loi est modifié par :

1° le remplacement de «4 et 5.1» par «4, 5.1, 5.2 et 10.5»;

2° par le remplacement de «désignée par le gouvernement» par «qu'il désigne».

Donc, M. le Président le paragraphe1 de l'article 5 du projet de loi est modifié... est un article de modification de concordance avec les articles 3 et 6du projet de loi.

Le paragraphe 2° de l'article 5 du projet de loi confie au ministre le pouvoir de désigner toute personne ou toute entité autre qu'un organisme public à qui il peut fournir des services de ressources informationnelles pour rendre disponible cette offre du catalogue du courtier en infonuagique.

Le Président (M. Simard) : Merci. Y aurait-il des remarques? Mme la députée de Mont-Royal—Outremont.

Mme Setlakwe : Bien, je pense que c'est de la concordance, M. le Président. Juste pour nous expliquer pourquoi donc l'article 5.3 n'est pas... On a voulu... c'est-à-dire qu'on a inséré 5.2 et 5.3, dont on a discuté abondamment puis dans l'article... dans l'article... le nouvel article 7, on réfère à 4, 5.1, 5.2 mais pas 5.3. Juste c'est quoi, la raison?

M. Caire : Parce que l'obligation de service, c'est à 5.2. 5.3, c'est construire le réseau.

Mme Setlakwe : Puis, 10.5, ça, c'est un article qu'on va étudier plus loin.

M. Caire : Oui.

Une voix : ...

M. Caire : Oui, c'est ça. C'est le service d'identité.

Mme Setlakwe : Moi, je n'ai pas d'autre question, M. le Président.

Le Président (M. Simard) : Très bien. D'autres interventions sur cet article? Sans quoi, nous allons procéder à la mise aux voix. L'article 5 est-il adopté?

Des voix :  Adopté.

Le Président (M. Simard) : Adopté. Passons à la lecture de... du volumineux article 6.

M. Caire :  Oui. Alors, M. le Président, article 6 :

Cette loi est modifiée par l'insertion, après le chapitre un du suivant... Bougez pas, là, il faut que je retrouve mes... Il est où, lui? Câline de bine! Alors :

«Loi sur le ministère de la Cybersécurité et du Numérique.

«Chapitre I.1

«Identité numérique nationale.

«10.2. L'identité numérique nationale représente l'ensemble des moyens dont dispose l'État pour garantir à toute personne un accès sécurisé aux prestations électroniques de services gouvernementales et lui permettre d'avoir un niveau de confiance élevé lors des interactions avec les organismes publics.

«L'identité numérique nationale permet également à chaque personne qui utilise... qui l'utilise, pardon, de réaliser des interactions dans la collectivité, notamment à l'aide d'attestations numériques gouvernementales dont elle détient le contrôle à partir d'une application où ces attestations sont déposées de façon sécurisée.

«Au sens de la présente loi, on entend par "attestation numérique gouvernementale" un document technologique permettant d'établir l'authenticité ou la véracité d'une information ou d'un fait se rapportant à une personne.»

Le Président (M. Simard) :  Je vous arrête ici, M. le ministre, je suspends momentanément juste pour clarifier la procédure.

(Suspension de la séance à 18 h 21)

(Reprise à 18 h 23)

Le Président (M. Simard) : Alors, M. le ministre, on vient de convenir, donc, que vous alliez finir la lecture de l'article, bien qu'il soit en effet très long. À vous la parole.

M. Caire : Donc, 10.3. «10.3. L'utilisation de l'identité numérique nationale ne peut pas être imposée par un organisme public à une personne afin de fournir à cette dernière une prestation de service gouvernemental.

«10.4. Le ministre assume la responsabilité de la gouvernance et de la gestion centralisée de l'identité numérique nationale de manière à offrir une vision à portée gouvernementale en matière d'identité numérique, en adéquation avec la transformation numérique de l'administration publique et des initiatives de transformation numérique des organismes publics. À ces fins, il peut :

«1° définir, mettre en œuvre et appliquer un cadre de gouvernance des renseignements personnels dont la collecte, la communication et l'utilisation sont nécessaires pour l'identification et l'authentification des personnes;

«2° mettre en place des processus pour vérifier la cohérence et la qualité des renseignements.

Ne bougez pas.«10.5... J'étais-tu à 10.4, moi, là? Je suis mêlé dans mon propre article.

Une voix : ...

M. Caire : «10.5. Le ministre fournit aux organismes publics les services relatifs à l'identité numérique nationale qu'il détermine dans son offre de services en ressources informationnelles, conformément au troisième alinéa de l'article 4. Un organisme public est tenu de recourir aux services visés au premier alinéa aux conditions déterminées par le ministre. Le gouvernement peut toutefois soustraire un organisme public à cette obligation.

«10.6. Le ministre agit d'office comme source officielle de données numériques gouvernementales aux fins prévues au présent chapitre. Dans l'exercice de cette fonction, le ministre recueille, utilise ou communique des données numériques gouvernementales ou recueille auprès de toute personne des renseignements incluant des renseignements personnels lorsque cela est nécessaire.

Le gouvernement précise les organismes publics qui doivent recueillir ces données auprès du ministre agissant comme source officielle de données numériques gouvernementales et les utiliser ou qui doivent les communiquer à ces derniers. Il peut, à ces mêmes fins, confier à un organisme public toute fonction ou transférer une partie d'une fonction d'un organisme public à un autre.

L'article 12.16 à 12.19 de la Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement (chapitre G-1.03) s'applique au ministre agissant comme source officielle de données numériques gouvernementales, avec les adaptations nécessaires.

Au sens du présent chapitre, les données numériques gouvernementales sont :

1° le nom et la date et le lieu de naissance d'une personne physique, ainsi que le nom de ses parents;

2° le nom et les coordonnées d'une personne morale ou d'une société de personnes;

3° tout autre renseignement que détermine le gouvernement.

«10.7. Est institué le Registre de l'identité numérique nationale sous la responsabilité du ministre. Ce registre constitue un système de dépôt et de communication des données numériques gouvernementales. Ce registre doit notamment permettre :

1° la conservation sécuritaire pour le compte d'un organisme public de tout ou partie des données;

2° la communication entre organismes publics de ces données;

3° l'accès à ces données;

4° la traçabilité de tout accès au registre par une personne, que ce soit pour y déposer des données, les utiliser ou en recevoir communication;

5° toute autre fonctionnalité déterminée par règlement du ministre.

Le ministre ne peut utiliser ces données à des fins de profilage des personnes. Le profilage s'entend de la collecte et l'utilisation des renseignements personnels afin d'évaluer certaines caractéristiques d'une personne physique, notamment à des fins d'analyse ou de rendement au travail, de la situation économique, de la santé, des préférences personnelles, des...

M. Caire : ...des intérêts ou du comportement de cette personne.» On y arrive, M. le Président.

«10.8. Le gouvernement peut déterminer les objectifs et les cibles, que doivent respecter les organismes publics pour les besoins de l'identité numérique nationale, pouvant notamment concerner l'accès par les citoyens à des services simplifiés, intégrés et de qualité, le taux d'utilisation par les citoyens souhaités au regard des services relatifs à cette identité ou, dans leur généralité, les projets en ressources informationnelles qui s'y rattachent à celle-ci.

«Le gouvernement peut également déterminer les conditions et modalités d'une entente qu'un organisme public peut conclure dans le but de rendre interopérable l'identité numérique nationale avec des infrastructures et les systèmes de toute autre personne ou entité sur le plan local, régional, national ou international, dont la condition selon laquelle doit être conclu conjointement par l'organisme public et le ministre.»

«10.9. Le gouvernement peut, par règlement :

«1° déterminer les modalités concernant la tenue du registre de l'identité numérique nationale;.

«2° déterminer les normes de qualité des données numériques gouvernementales et, le cas échéant, des normes de protection particulières;

«3° préciser les données numériques gouvernementales ayant des caractéristiques biométriques ou contenant des mesures biométriques qui peuvent être utilisées, et ce, dans les cas et aux conditions qu'il détermine;

«4° prescrire toute autre mesure nécessaire à l'application du présent chapitre.».

«10.10. Le ministre peut, par règlement, prévoir des règles relatives à l'identification et à l'authentification des personnes.»

Alors, voilà, M. le Président, je pense que je viens de passer pas mal à travers.

Le Président (M. Simard) : Très bien. Alors, nous pourrions, tel que convenu préalablement, d'abord disposer de l'article... en fait, du sous-article 10.2. Auriez-vous un... comment dire, un argumentaire à nous partager?

M. Caire : Oui, M. le Président, oui, j'ai un commentaire. Absolument. L'article 10.2 proposé décrit l'identité numérique nationale comme étant un ensemble de moyens dont dispose l'État pour permettre à toute personne d'avoir un accès sécurisé aux prestations électroniques de services gouvernementales, de même que des interactions avec les organismes publics et dans la collectivité, notamment à l'aide d'attestations numériques gouvernementales.

Bon, donc, dans les faits, on vient cadrer ce que c'est l'identité numérique et on vient encadrer le fait qu'on pourra à l'avenir utiliser des attestations. C'est un petit peu ce que j'expliquais aux collègues. Par exemple, on a notre carte physique d'assurance maladie, mais il faudrait être capable d'utiliser une carte d'assurance maladie numérique, ou un permis de conduire numérique, ou toute autre attestation numérique que le gouvernement pourrait fournir. Donc, on vient encadrer légalement l'utilisation.

• (18 h 30) •

Le Président (M. Simard) : Très bien. Y aurait-il des commentaires sur 10.2?

Mme Setlakwe : Merci, M. le Président. Donc, qu'est-ce qu'on entend par ensemble des moyens?

M. Caire : Bien, c'est un peu ce qu'on fait... par exemple, j'utilise votre nom, votre prénom, le numéro d'assurance sociale, l'avis de cotisation. C'est des différents moyens dont on dispose puis qui nous permettent de vous identifier dans l'univers numérique.

Des voix : ...

M. Caire : ...peut-être préciser ça, Me Bacon, c'est une bonne...

Le Président (M. Simard) : Alors, on s'entend pour Me Bacon?

Mme Bacon (Nathalie) : Oui, M. le Président. Par ensemble de moyens, on réfère à tout ce qui est à notre portée pour pouvoir établir le régime de l'identité numérique nationale. Donc, on peut penser aux outils technologiques, alors aux infrastructures, à la technologie nécessaire, aux solutions technologiques, aux services relatifs à l'identité que vous avez à 10.5. Ensuite, le fait d'avoir la fonction de source, à l'article 10.6, oui, et le registre également de l'identité numérique, là, le fait d'avoir la constitution d'un registre. Donc, un ensemble de moyens que l'on retrouve énoncé au fur et à mesure des articles que nous avons au chapitre... au nouveau chapitre 1.1, qui est enchâssé à la Loi sur le ministère de la Cybersécurité.

Mme Setlakwe : Merci. Donc, ici, quand on parle d'identité numérique nationale, juste nous rappeler... Ce n'est pas... Moi, ce que j'ai compris, c'est que le prochain livrable, c'est le portefeuille numérique. Est-ce que le portefeuille numérique est compris dans l'identité numérique nationale?

M. Caire : Oui.

Mme Setlakwe : Comment vous allez... Vous avez choisi...

Mme Setlakwe : ...d'utiliser le mot «garantir», «garantir à toute personne un accès sécurisé aux services gouvernementaux».

M. Caire : Oui.

Mme Setlakwe : Juste nous décrire, là, pour le bien de ceux qui... je veux dire, pour le bénéfice de tous ceux qui nous écoutent, comment est-ce qu'on va garantir un accès sécurisé aux prestations gouvernementales?

M. Caire : Bien, c'est justement par l'ensemble des moyens qu'on va utiliser pour donner... pour permettre à quelqu'un de s'identifier, de s'authentifier de façon unique et sécuritaire. Et là, bien, c'est là où l'ensemble des discussions qu'on a eues précédemment vont trouver écho, notamment, sur le fait de créer un registre. Donc, ce registre-là me permet, moi, d'éliminer les autres éléments et donc de sécuriser ça, d'avoir une plus grande sécurité au niveau de vos renseignements d'identité, ça, c'est un moyen qui me permet de garantir. Ensuite, c'est un peu ce que je vous expliquais tout à l'heure sur les sources officielles de données, d'avoir, par exemple, un identifiant unique crypté, mais qui n'est utilisé que par l'ensemble du système à l'interne, contrairement, par exemple, à votre numéro d'assurance sociale qui, malheureusement, va circuler un peu partout puis qui fait que cette façon-là de... cet élément-là de votre identifié... de votre identité, pardon, peut être compromise... - peut être compromis - un élément, compromis - bien, c'est ça, en ayant un identifiant interne unique crypté.

Alors, c'est cet ensemble de moyens là qui fait en sorte qu'on peut garantir que l'identité numérique nationale va préserver l'identité des Québécois.

Mme Setlakwe : Merci. Quand on utilise un verbe aussi fort que de... c'est un emploi délibéré, «garantir un accès sécurisé», puis je pense que c'est le bon mot, mais, avec cette garantie, on doit avoir un ensemble de sanctions puis une façon de qui va surveiller et qui va appliquer les sanctions. J'imagine qu'on va y venir plus tard, mais je pense que c'est pertinent de répondre, dès maintenant, à la question.

M. Caire : Oui. Bien, en fait, sur la gestion du registre puis de la source officielle de données, c'est le MCN qui devient le responsable, le gestionnaire de l'identité numérique nationale. Donc, ces garanties-là doivent être mises en place, les moyens technologiques pour... bien, physiques et technologiques, parce qu'il y a des moyens physiques aussi, là, qui doivent être mis en place, c'est les moyens qui sont mis par le MCN.

Mme Setlakwe : Oui, mais ma question portait sur les sanctions. Donc, ce n'est pas le MCN qui va être juge et partie, là, ici.

M. Caire : Bien, c'est parce que là, je ne sais pas, vous parlez de sanction, honnêtement, je ne sais pas. Il n'y a pas de régime de sanctions prévu dans le projet de loi.

Mme Setlakwe : Alors, quel régime de sanctions va s'appliquer?

M. Caire : Le seul régime de sanctions qui existe au niveau de la protection des renseignements personnels, c'est celui qui est prévu par la loi 25.

Mme Setlakwe : Donc, c'est la CAI.

M. Caire : C'est la CAI.

Mme Setlakwe : C'était ça, ma question. On garantit un accès sécurisé. 

M. Caire : Non, non, mais c'est parce que là j'étais sur le projet loi, mais il n'y en a pas, de régime de sanctions, à proprement parler, inhérent au projet de loi n° 82, mais il y en a un avec la loi 25, puis c'est la CAI qui est... qui s'en assure. Donc, s'il y avait un incident de sécurité qui amène un incident au niveau de la protection des renseignements personnels, ça tombe sous le coup de la loi 25, puisque, comme vous le savez, la loi 25, elle est quasi constitutionnelle, donc, toute autre loi lui est soumise, puis c'est la CAI qui en assure l'application.

Mme Setlakwe : Vous vous souviendrez comme moi que, quand la CAI est venue ici, en consultations particulières, la présidente dont, malheureusement, j'oublie le nom, mais je me souviens...

M. Caire : Madame... Me Poitras, à l'époque.

Mme Setlakwe : Oui, mais la dame qui est venue, ce n'était pas Me Poitras.

M. Caire : Ce n'était pas la présidente.

Mme Setlakwe : C'est la présidente par intérim. 

M. Caire : Me Ayotte, Me Ayotte, c'était la VP, oui.

Mme Setlakwe : Ah! c'est Me Ayotte. Elle a demandé qu'on prévoie l'inspection et un pouvoir d'enquête pour tout le cadre de l'identité numérique. Elle, elle voyait un enjeu avec... Bien, c'est peut-être à la légiste qu'il faut poser la question, mais comment est-ce qu'on répond à la CAI? Là, je sais que je suis rendue...

M. Caire : Mais la CAI, déjà...

Mme Setlakwe : ...peut-être dans une étape subséquente, mais comment est-ce que la CAI maintient ce pouvoir d'enquête et de sanction quand la la vice-présidente, Me Ayotte, est venue nous dire qu'elle e doute de son pouvoir?

M. Caire : Il est prévu à la loi 25, ce pouvoir-là. La CAI a différents pouvoirs, des pouvoirs d'enquête, des pouvoirs d'audit. La CAI peut...

M. Caire : ...mon Dieu! comment on dit ça, Me Bacon, là, prendre...

Mme Bacon (Nathalie) : ...

M. Caire : ...des ordonnances. Merci. Donc, la CAI, à tout moment, peut s'assurer du respect de la loi 25. Et comme la LGRRI est soumise, comme je l'ai dit, là, est subordonnée à la loi 25, les pouvoirs d'enquête de la CAI s'appliquent. D'ailleurs, c'est un débat qu'on avait eu avec l'ancienne présidente Me Poitras, qui disait de la loi 95 que c'était un régime particulier. Ce que nous avons toujours nié, ce n'est pas un régime particulier. La LGRRI est totalement subordonnée à la loi 25 et les pouvoirs de la CAI sont pleinement opérants.

Mme Setlakwe : Merci. Bon, là, on dit qu'on va garantir à toute personne un accès sécurisé aux prestations électroniques de service gouvernemental. Qu'est-ce qu'on entend par «personne» ici? Est-ce qu'on se limite aux personnes physiques?

M. Caire : Non, personnes physiques et personnes morales.

Mme Setlakwe : Donc, donnez-nous donc un exemple d'une personne morale...

M. Caire : Une entreprise. Une entreprise... une entreprise à charte, une banque.

Mme Setlakwe : Oui, oui, mais donnez un exemple, je veux dire, d'un service qui est rendu par un organisme public à une entreprise qui aurait besoin de se faire identifier et que... donc l'attestation qui va être émise va servir de porte d'accès au service...

M. Caire : Oui, à l'Agence du revenu, par exemple, l'Agence du revenu, c'est... ou à l'AMF, il pourrait y avoir... il y a des services de prestations électroniques de services qui... Ah! il y en a d'ailleurs déjà au moment où on se parle, l'AMF. L'AMF, certaines prestations électroniques de services de l'AMF utilisent le service d'authentification gouvernemental.

Mme Setlakwe : Est-ce qu'il y a un plan de déploiement? Est-ce qu'on commence avec les personnes physiques, ensuite, on ouvre aux personnes morales, ou non?

M. Caire : Bien oui, parce que le service d'authentification gouvernemental, actuellement, c'est le service citoyen, au citoyen qui est disponible. Le service d'authentification gouvernemental pour les entreprises est en dossier... dossier d'opportunités... dossier d'affaires? Dossier d'affaires. Donc, ça, c'est un développement subséquent, mais qui fait partie des différents blocs, là du Service québécois d'identité numérique.

Mme Setlakwe : Là, le prochain livrable, c'est le portefeuille. Puis, de mémoire, c'est pour la fin de cette année, en 2025.

M. Caire : Oui, c'est ça.

Mme Setlakwe : Et puis à quel moment est-ce que vous estimez que vous allez pouvoir émettre les premières attestations numériques?

• (18 h 40) •

M. Caire : Bien, en fait, l'attestation d'identité sera... sera émise avec le portefeuille. Les autres attestations, on a des discussions avec la RAMQ et la SAAQ, là, parce que... et le directeur de l'état civil, parce qu'il faut comprendre que les émetteurs des attestations physiques seront les émetteurs des attestations numériques, évidemment, là, parce que c'est eux qui ont la responsabilité, là, de s'assurer de la validité du document.

Mme Setlakwe : O.K. Qu'en est-il de... quand on parle des personnes physiques, est-ce que c'est toute personne qui réside au Québec?

M. Caire : Oui, toute personne qui réside au Québec.

Mme Setlakwe : On ne se limite pas au citoyen, évidemment.

M. Caire : Pardon?

Mme Setlakwe : On ne se limite pas au citoyen.

M. Caire : Non. Non, non, c'est ça. Personnes physiques, personnes morales.

Mme Setlakwe : Non, mais je veux dire par citoyen, je veux dire, on... ça s'applique à des personnes qui sont ici en vertu d'un statut temporaire?

M. Caire : Oui, oui, ça peut aussi, effectivement. Je vous dirais que, dans certains cas, par exemple, les réfugiés, là, c'est plus compliqué, parce qu'on n'est pas en mesure de... de par rapport à leur situation, on n'est pas en mesure d'attester de leur identité. Donc là, ça, ça devient... Comme il n'y a pas d'identité physique démontrable, on ne peut pas créer une identité numérique, mais, dans la mesure où il y a une identité physique démontrable, on peut créer l'identité numérique. Puis on a des discussions aussi avec le gouvernement fédéral pour utiliser... d'autres... d'autres éléments pour identifier, authentifier les individus, puisque ce secteur-là, réunion familiale... réunification familiale et réfugiés, relève du gouvernement fédéral. Donc, nous, ça nous prend un tiers de confiance qui va attester de l'identité physique pour être capable de créer l'identité numérique.

Mme Setlakwe : Toujours dans le libellé du...

Mme Setlakwe : ...du premier alinéa, on parle de, donc, «un accès sécurisé aux prestations électroniques des services gouvernementales» et permettre... permettre à toute personne d'avoir «un niveau de confiance élevé». Pouvez-vous nous expliquer pourquoi vous avez choisi le... ce libellé, «un niveau de confiance élevé»?

M. Caire : Parce que, dans l'identité numérique, vous avez différents niveaux de confiance. Je vous parle souvent des comptes de niveau un, des comptes de niveau deux. Ça, c'est... c'est quantifié, ce sont les niveaux de confiance. Donc, par rapport aux niveaux de confiance, on peut permettre des accès à différentes prestations électroniques de services. Par exemple, un compte de niveau un actuellement, niveau de confiance un, va permettre, par exemple, à des mandataires de la SAAQ d'avoir accès à des services qui ne nécessitent pas un très haut niveau de confiance. Donc, on ne va pas faire de transaction, on ne va pas donner accès à des renseignements sensibles. Par contre, vous, comme citoyenne, si vous voulez avoir accès à votre dossier, à votre carnet santé, bien là, on va parler d'un niveau de confiance de niveau deux ou de niveau trois, peut-être même plus de niveau trois, mais actuellement, nous, ce qu'on offre, c'est un niveau deux, et c'est là où on va avoir des discussions sur la biométrie, parce que, si on veut aller jusqu'à un niveau trois, bien là, ça nous prend des... ça nous prend des indicateurs plus poussés pour être capables d'arriver à ce niveau-là d'élévation de la confiance. Puis après ça on parle de quatre et cinq, mais là on parle d'informations top secret, ou classifiées, ou, tu sais... Je vous dirais que, pour le gouvernement, là, ce qu'on... le... ce qu'on souhaite, c'est atteindre le niveau trois, qui nous donne un très haut niveau... ce qui est considéré comme un niveau de confiance très élevé, niveau trois, pour vous donner une indication. Donc, c'est... c'est ça qui est le... c'est ça qui est l'enjeu.

Mme Setlakwe : Mais là vous venez de dire que trois, c'est un niveau de confiance très élevé.

M. Caire : Oui.

Mme Setlakwe : Mais vous... dans le libellé, c'est le niveau de confiance élevé qui est indiqué.

Une voix : ...

M. Caire : Oui. Oui, oui. C'est ça, c'est...

Mme Setlakwe : Ces niveaux de confiance là, là, c'est... de 1 à 5, c'est prévu où?

M. Caire : C'est... C'est les normes...

Une voix : ...

M. Caire : Bien, le... en fait, nous, on a travaillé avec le... on a travaillé avec le gouvernement fédéral aussi, là. C'est des normes internationales. Puis notre registre des attributs d'identité gouvernemental se conforme à ce cadre-là.

Des voix : ...

Une voix : Oui, on est en phase avec les normes internationales.

M. Caire : Voilà.

Mme Setlakwe : O.K. Donc, tout le monde sait...

M. Caire : Mais c'est pour dire que ce n'est pas... ce n'est pas le Québec qui a, en autarcie, développé son cadre de confiance à lui, là.

Mme Setlakwe : Me Bacon disait que c'était donc prévu dans un arrêté ministériel.

M. Caire : Oui. Pour la création du registre d'identité... le registre des attributs d'identité gouvernemental, qui est le registre sur lequel nous, on se base pour le service d'authentification gouvernementale.

Une voix : ...

Mme Setlakwe : Ah! je voudrais, oui, le prendre en note, s'il vous plaît, si on peut le répéter, le numéro de l'arrêté.

Mme Bacon (Nathalie) : Oui. C'est l'arrêté 2024-03 du 6 juillet 2024.

Mme Setlakwe : Merci. Quand on dit qu'on va pouvoir interagir avec des organismes publics, donc ça exclut des entreprises privées? La question a été posée, et c'est prévu dans certains mémoires, là. Est-ce que... Quelle est votre intention? Est-ce qu'éventuellement les attestations pourraient servir à des entreprises privées qui ont besoin d'identifier des citoyens?

M. Caire : Oui, mais on va le voir plus loin. Mais l'idée de l'identité numérique nationale de base, c'est de permettre aux citoyens d'interagir avec le... avec le ou les gouvernements, donc gouvernement du Québec, gouvernement fédéral, éventuellement les municipalités. Mais, oui, vous allez voir plus loin, on... on va pouvoir utiliser ces services-là pour corporations et/ou entreprises privées. Il y a une possibilité de le faire.

Mme Setlakwe : C'est prévu à quel article qu'on...

M. Caire : Je l'ai lu tantôt, là... Vous permettrez de ne pas m'en souvenir par coeur, par coeur.

Une voix : C'est 10.8...

M. Caire : C'est 10.8?

Une voix : Oui.

M. Caire : Une chance tu es là. C'est 10.8, Mme la députée.

Une voix : ...

M. Caire : Merci. Puis on pourrait même éventuellement s'en...

M. Caire : ...avec... bien, comme je vous le disais, avec d'autres gouvernements à l'extérieur du Québec et/ou avec des entités internationales. Donc, la possibilité est là. Maintenant, on s'entend que la possibilité, mais l'idée de base, c'est de fournir au citoyen une identité numérique nationale pour interagir avec le gouvernement du Québec.

Mme Setlakwe : Mais, quand on utilise l'expression ou le terme «organisme public», ça inclut le fédéral aussi.

M. Caire : Oui. Bien oui.

Mme Setlakwe : Et les municipalités.

M. Caire : Les municipalités.

Mme Setlakwe : Donc, on doit comprendre qu'une entreprise pourrait utiliser ses attestations pour identifier ou authentifier une personne et/ou valider des informations à son égard.

M. Caire : Je m'excuse...

Mme Setlakwe : Je suis dans le mémoire de Desjardins, là, ce n'est rien de... ce n'est rien de privé, là, c'est... Ils se demandent justement si on doit comprendre qu'une entreprise va pouvoir utiliser les attestations pour identifier ou authentifier une personne.

M. Caire : Oui, oui.

Mme Setlakwe : Ils aimeraient avoir des précisions sur la valeur juridique de l'identité numérique et la portée de son utilisation.

M. Caire : Bien, c'est le cadre juridique, on est en train de le définir avec le présent projet de loi, là. C'est justement l'idée du projet de loi, c'est de définir un cadre juridique à l'intérieur duquel on va pouvoir utiliser les différentes attestations.

Mme Setlakwe : Donc, elle est vouée, cette identité numérique, à remplacer l'utilisation des identifiants gouvernementaux actuels, à des fins d'authentification ou d'identification.

M. Caire : Bien là, je vais apporter peut-être des nuances, parce que le service d'authentification gouvernemental vise à remplacer les nombreux services d'authentification dont je vous ai parlé. Si on parle des attestations numériques, à ce moment-là, à travers le portefeuille numérique, le projet de loi vise à permettre l'utilisation de ces attestations-là dans l'univers numérique, mais les attestations, les cartes physiques demeurent, là. Je veux dire, vous allez garder votre carte d'assurance maladie plastique ou votre permis de conduire plastique, si vous le souhaitez, mais si vous souhaitez utiliser les attestations numériques, à terme, alors on a un cadre qui nous permet l'utilisation de ce cadre juridique qui va nous donner la même validité à ces documents-là, dans l'univers numérique, qu'on a actuellement avec notre carte d'assurance maladie ou notre permis de conduire dans l'univers physique.

Mme Setlakwe : Et puis là ils demandent le niveau de sécurité de ces attestations. Bien là, ce que je comprends, c'est que c'est le niveau de sécurité deux.

M. Caire : Actuellement, on est au niveau deux avec le service d'authentification gouvernemental, mais avec l'adoption de la loi, on va pouvoir amener ça à un niveau trois, niveau trois, peut-être niveau quatre. Je vais vérifier avec mon chef gouvernemental de la sécurité de l'information, mais niveau trois, ça j'en suis sûr. Niveau quatre, peut-être.

Mme Setlakwe : Mais ça, c'est le niveau de confiance puis là on a mentionné que c'était élevé, puis élevé, c'est deux.

M. Caire : Oui, mais... Je comprends ce que vous voulez... Vas-y, Nathalie, dis-le, tu brûles d'envie d'y aller, là, je te sens, là.

Le Président (M. Simard) : Me Bacon.

• (18 h 50) •

Mme Bacon (Nathalie) : Oui, M. le Président, c'est qu'il y a deux contextes, si vous me permettez. Il y a le contexte des niveaux d'assurance d'identité que le ministre réfère, niveaux un, deux, trois, quatre. Et ça, c'est vraiment les avancées technologiques qui vont nous permettre d'avoir... alors, technologiquement, actuellement, deux, avec des mesures de mitigation selon les prestations électroniques de service, les PES, puis, éventuellement, dans un grand pas, un grand bond que la technologie va faire, ça va être un niveau trois, puis, éventuellement, un autre grand bond technologique, ça va être quatre. Mais, tu sais, c'est toujours dépendamment de la technologie.

Au niveau de l'article 10.2, lorsqu'on a dit «confiance élevée», c'est plus dans le contexte d'une confiance numérique, c'est-à-dire qu'on a un cadre juridique où qu'on... la loi prévoit, donne l'opportunité au citoyen de bénéficier de l'identité numérique gouvernementale. Et on veut justement le faire avec transparence et que le citoyen ait confiance en la technologie qui va lui être offerte, technologie qu'il va avoir le choix d'utiliser ou non, hein, ça, on vous l'a dit. Ça fait que c'est plutôt la confiance élevée dans les solutions technologiques de l'État, que l'État déploie, et dans les services que l'État déploie pour qu'il puisse utiliser... avoir son... finalement, le comparable à l'environnement physique dans un environnement numérique.

Mme Setlakwe : O.K., je comprends. Donc, quand on utilise l'expression «confiance élevée», c'est dans le sens usuel du terme.

Mme Bacon (Nathalie) : Oui.

Mme Setlakwe : Moi, pour l'instant, ça va. Je pense que ma collègue a des...

Le Président (M. Simard) : ...avec plaisir.

Mme Setlakwe : Des questions pertinentes sur l'alinéa 1°.

Le Président (M. Simard) : Mme la députée de La Pinière.

Mme Caron : Merci, M. le Président, donc. Alors là, on est sur 5.2. Justement, c'est... Merci à Me Bacon pour la précision, parce que ce que je lisais et je relisais le premier paragraphe, et c'est ce que je comprenais que c'était... que finalement que la population a un niveau de confiance élevé, donc assez élevé pour adhérer à l'identité numérique et non pas d'attribuer des niveaux de confiance, disons, plutôt... plutôt techniques.

M. Caire : Il faut... il faut aussi.

Mme Caron :  Ça aussi, ça existe. Oui.

M. Caire : Oui, oui, c'est ça, il faut aller vers ça, là. Comme disait Bacon, les deux sont intrinsèquement liés.

Mme Bacon (Nathalie) : Oui.

Mme Caron : D'accord, merci. Si je regarde le paragraphe suivant, on dit : «L'identité numérique nationale permet également à chaque personne qui l'utilise de réaliser des infractions dans la collectivité, notamment à l'aide d'attestations numériques gouvernementales dont elle détient le contrôle à partir d'une application où ses attestations sont déposées de façon sécurisée.».

Alors, ma première question est un petit peu en... qui découle un peu d'une réponse qui a été donnée à ma collègue députée de Mont-Royal—Outremont, c'est-à-dire que, quand on dit l'identité numérique nationale permet également à chaque personne qui l'utilise». Donc, est-ce qu'on comprend qu'ici c'est aussi chaque personne physique ou morale?

M. Caire : Là on parle de personnes physiques, des personnes qui vont avoir, par exemple, un permis de conduire. On comprend qu'un permis de conduire est donné à une personne physique et pas à une personne morale. Une carte d'assurance maladie, ça va être donné à une personne physique, pas à une personne morale. Donc, ce qu'on veut, c'est définir le cadre où justement ces attestations-là pourront être utilisées.

Mme Caron : O.K. Donc... Alors, ça veut dire que...

Mme Bacon (Nathalie) : Ça dépend du contexte

M. Caire : Oui, c'est ça. Donnes-tu un permis de conduire une entreprise? Je ne pense pas qu'on puisse émettre un certificat de naissance à une entreprise.

Mme Bacon (Nathalie) : Non. Mais si je suis dans un contexte d'entreprise, peut-être.

M. Caire : Oui. C'est parce que je ne vois pas.

Mme Bacon (Nathalie) : Il faudrait avoir une assurance.

M. Caire : Ouais, c'est ça, je ne vois pas de... Oui, je comprends ce que dit Me Bacon, mais, par exemple, à moins... tu sais, il n'y a pas de... tu sais, un certificat de mariage, c'est des personnes physiques, certificat de naissance, c'est des personnes physiques, permis de conduire, c'est des personnes physiques, carte d'assurance maladie, c'est des personnes physiques. Je ne sais pas. Au niveau corporatif, moi, je ne vois pas d'exemple.

Mme Bacon (Nathalie) : Si vous me permettez?

M. Caire : Ah! je permets, je permets, surtout à cette heure-là, là...

Mme Caron : On consent, on consent.

M. Caire : ...je le permets beaucoup. Bien, c'est le président qui consent, en fait ce n'est pas moi.

Mme Bacon (Nathalie) : Je préciserais...

Le Président (M. Simard) : Je vous en prie, Me Bacon.

Mme Bacon (Nathalie) : ...si vous me permettez, M. le Président, que le deuxième alinéa de 10.2, il n'est pas limitatif. Donc, ça pourrait être autant personne physique que morale, mais encore faut-il avoir des exemples. C'est sûr que les exemples les plus... ceux qui frappent plus notre imaginaire, qui sont plus pratiques maintenant, c'est de dire je... exemple un, je m'en vais au dépanneur. On me demande si j'ai 18 ans et plus. Je sors mon cellulaire et je vais dans mon portefeuille numérique et je certifie que j'ai 18 ans et plus, donc ça, c'est un exemple facile. Un exemple d'entreprise, là, je n'en ai pas.

M. Caire : Les lettres patentes, là.

Mme Bacon (Nathalie) : Donc, on est... on est comme dans un contexte d'usage, donc on dit interactions dans la collectivité, on fait référence beaucoup aux usages. Dans le cas d'une personne physique, on a des exemples qui viennent. Dans le cas d'une entreprise, j'essaie de voir, là.

M. Caire : Moi non plus.

Mme Bacon (Nathalie) : Il faudrait que j'y pense. Je suis sûre que je suis capable de trouver quelque chose.

Mme Caron : Mais j'aurais j'aurais peut être un exemple, encore faut-il que je comprenne bien ce que veut dire «réaliser des interactions dans la collectivité». Est-ce qu'une entreprise, par exemple, admettons une petite entreprise, un travailleur autonome, travailleur autonome qui a quand même un numéro d'entreprise, qui doit faire les... les remises de TVQ... TPS, TVQ. Est-ce que ça entrerait ici?

M. Caire : Non, parce que là, on parle d'une prestation électronique de service. Donc, il va se connecter au site de Revenu Québec, par exemple, puis là, c'est son SAG qu'il va utiliser. Ça pourrait être son SAG d'entreprise. Sa présence dans une entreprise, oui. Mais, quand on parle d'attestation numérique, on parle de vous allez... vous allez à l'hôpital, vous voulez recevoir des soins de santé, vous avez une attestation d'assurance maladie, bon, bien, ça, c'est des interactions dans la communauté, vous allez... Comme disait Me Bacon, vous allez à l'écocentre, vous avez à prouver que vous êtes résident, dans mon cas, du territoire de la ville de Québec.

Mme Bacon (Nathalie) : Un constructeur.

M. Caire : Hein?

Mme Bacon (Nathalie) : Un constructeur.

M. Caire : Comment ça?

Mme Bacon (Nathalie) : Un constructeur du secteur, donc c'est une entreprise.

M. Caire : Qui irait à l'écocentre.

Mme Bacon (Nathalie) : Oui.

M. Caire : Oui, mais non, il faut qu'il... Ah! son entreprise, oui, peut-être.

Mme Bacon (Nathalie) : Oui.

M. Caire : Peut-être que ça, ça pourrait être que l'entreprise est sise sur le territoire de la ville de Québec. Ah! bien, tabarouette, on en a trouvé un. C'est fort. Alors donc, c'est vraiment des attestations...

M. Caire : ...le Québec. Ah bien! Tabarouette, on en a trouvé un, c'est fort.

Alors donc, c'est vraiment des attestations qui permettent de recevoir un service comme l'assurance maladie, l'écocentre, prouver votre âge, à la SAQ, à la SQDC. Vous êtes intercepté par un policier, bien, vous avez votre permis de conduire, votre attestation de droit de conduite numérique. Donc, c'est de permettre une interaction dans... C'est vraiment dans des cas où on remplace la carte physique par une attestation numérique. Donc, si c'est une prestation électronique de service, là, c'est vraiment le service d'identification et d'authentification, donc là, c'est votre nom d'usager, votre mot de passe, la double authentification qui permet de vous identifier.

Mme Caron : Mais l'entrepreneur pourrait utiliser l'exemple... l'entrepreneur général dont le siège social...

M. Caire : Qui va à l'écocentre, qui... Oui.

Mme Caron : ...est à Brossard, admettons, dans le comté de La Pinière, dans le beau comté de La Pinière, alors, va à l'écocentre, doit prouver qu'il est de Brossard, comme un citoyen doit prouver, souvent, la... Je crois qu'autant le permis de conduire... je pense que, même, on exige une copie du compte de taxes, pour montrer qu'on est effectivement résident, pour utiliser le...

M. Caire : Oui, bien, c'est ça, c'est une preuve de résidence.

Mme Caron : C'est ça.

M. Caire : Mais, et là l'idée d'avoir un cadre juridique, c'est de dire : Bien, moi, si je vous donne une preuve de résidence numérique, bien, vous ne pouvez pas me demander mon compte de taxes. Parce qu'encore là, ce qui est extrêmement important... «dont elle détient le contrôle», ça, c'est important. Parce que, quand vous exhibez votre permis de conduire, par exemple, à l'écocentre, il faut comprendre que je donne un document à quelqu'un qui ne devrait pas y avoir accès. Un permis de conduire, vous montrez ça à un agent de la paix, point, alors qu'on s'en sert à satiété, dans toutes sortes de situations où, en théorie, on ne devrait pas le faire, mais comme c'est les seules pièces d'identité qu'on a, on n'a pas le choix.

Donc là, quand on dit qu'il a le contrôle, c'est important, parce que ce qu'il faut que le citoyen comprenne, c'est qu'il va pouvoir exhiber les informations qui sont strictement nécessaires à recevoir le service en question. Donc, si c'est une preuve d'âge, bien, c'est de montrer ma face, avec le fait que j'ai plus de 18 ans. Je n'ai pas besoin de montrer mon nom, mon prénom, mon adresse, ma date de naissance, mon numéro de permis de conduire. Ça, il n'y a aucune raison d'afficher ces informations-là.

Mme Caron : Alors, quand je lis l'alinéa en question : «L'identité numérique nationale permet également à chaque personne--donc on comprend que c'est physique ou morale--qui l'utilise de réaliser des interactions dans la collectivité, notamment à l'aide d'attestations numériques gouvernementales dont elle détient le contrôle à partir d'une application, alors, «elle», ça fait référence à chaque personne?

M. Caire : Oui.

• (19 heures) •

Mme Caron : O.K. Est-ce que ce ne serait pas utile, puisqu'on a eu la discussion puis on n'était pas sûr, de préciser que c'est à chaque personne physique ou morale qui l'utilise?

M. Caire : Non. Comme dit Me Bacon, la formulation n'est pas... n'étant pas limitative, on comprend que, dans la majorité des cas, ça va être une personne physique, mais on... ce n'est pas limitatif, donc, justement, ça fait en sorte que... Oui, c'est ça.

Mme Caron : Donc, alors, en droit, quand ce n'est pas limitatif, ça veut dire que ça permet de...

M. Caire : Ça permet différentes utilisations.

Mme Caron : D'accord. Des «interactions dans la collectivité», c'est quoi?

M. Caire : Bien, les services, comme je disais, les services que vous pouvez recevoir. Si vous avez, bon... Vous et moi, je pense que c'est moins problème, maintenant, mais, si vous voulez entrer dans un endroit réservé aux personnes majeures... On aimerait ça, se faire carter, mais ça n'arrive plus, malheureusement. Et donc vous voulez acheter des cigarettes, bon, la vente de cigarettes...

Mme Caron : Jamais de la vie.

M. Caire : Moi non plus. Je suis d'accord, mais disons pour des gens qui ont encore ce vilain défaut, bien, il faut prouver qu'on a 18 ans. Donc, dans certains cas, vous voulez acheter de l'alcool, il faut prouver que vous êtes majeur, vous voulez acheter du cannabis, il faut prouver que vous avez 21 ans ou plus. Vous voulez avoir accès à l'écocentre, il faut prouver que vous êtes résident du territoire où le service est donné, etc. Donc, c'est ça, des interactions dans la communauté.

Mme Caron : Donc, c'est des interactions qui sont autant publiques avec un organisme public qu'avec une entreprise privée, comme, par exemple, le dépanneur, qui est une entreprise privée.

M. Caire : Ça pourrait, oui.

Mme Caron : D'accord, alors, parce qu'à ce chapitre-là...

M. Caire : C'est pour ça qu'on dit «dans la communauté».

Mme Caron : Oui, collectivité.

M. Caire : Parce que, là, encore là, on a une définition large.

Mme Caron : Alors, dans... C'est parce que je me réfère... je nous...

Mme Caron : ...au mémoire de la Commission de l'éthique en science et en technologie, où, en référence exactement à l'article 10.2, on disait, bon, «le projet de loi prévoit que l'identité numérique permettra des interactions dans la collectivité, notamment à l'aide d'attestations numériques gouvernementales dont elle détient le contrôle, à partir d'une application où ces attestations sont déposées de façon sécurisée, et donc que les attestations concernées pourraient être mobilisées non seulement dans le cadre de services publics, mais lors de transactions privées». Et ce qu'on nous disait, c'était que «cet aspect du projet de loi soulevait des enjeux éthiques importants et mériterait davantage de balises et de précisions, par exemple, quels types d'utilisation sont envisagés par les interactions dans la collectivité».

«Le projet de loi prévoit qu'un organisme public ne pourra pas exiger le recours à l'identité numérique pour offrir des services à la population, mais ça ne semble pas être le cas pour le privé.»

Alors, est-ce que... c'est-à-dire est-ce que le dépanneur, par exemple, dont on parlait, qui est un... une entreprise privée, lui, pourrait exiger d'utiliser le service... pas le service gouvernemental, mais l'authentification?

Une voix : ...

M. Caire : Oui, c'est ça. À 10.8, je vous lis : «Le gouvernement peut également déterminer les conditions et modalités d'une entente qu'un organisme public peut conclure dans le but de rendre interopérable l'identité numérique nationale avec les infrastructures et les systèmes de toute autre personne ou entité sur le plan local, régional.» Donc, c'est là où on pourrait le faire par entente avec l'entreprise privée.

Mme Caron : Je m'excuse. Vous étiez où?

M. Caire : C'est 10.8, le deuxième paragraphe...

Une voix : ...

M. Caire : ...alinéa, c'est pareil, dans le fond. Ah! c'est vrai, il n'y a pas de chiffre. C'est un alinéa quand il n'y a pas de chiffre. Un jour, un jour, un jour, je vais finir par... Ça, c'est comme Louis-Hippolyte-La Fontaine. Je mélange toujours...

Le Président (M. Simard) : ...en équipe.

M. Caire : Oui. Donc, voilà...

Le Président (M. Simard) : Poursuivons.

Mme Caron : On est en dehors de l'article, M. le Président...

M. Caire : Je suis totalement, totalement non pertinent. Je suis totalement...

Mme Caron : ...parce qu'on est rendu à parler de Louis-Hippolyte-La Fontaine.

M. Caire : Mme la députée de La Pinière, merci de me rappeler à l'ordre. J'étais hors d'ordre, pas à peu près.

Mme Caron : Donc, on pourrait... on pourrait peut-être soumettre un amendement quand on sera rendu à 10.8.

M. Caire : Mais je vous dirais que, pour l'entreprise privée, à des fins... parce qu'il faut quand même comprendre, là, que les finalités sont quand même définies. Je ne verrais pour l'entreprise privée, dire : Bien, tu sais, si tu ne me montres pas ton attestation d'identité numérique, je ne te donne pas le service.

Mme Caron : Je comprends ce que vous voulez dire. Par exemple, une entreprise privée, qui veut vendre, ne va pas mettre des obstacles à la vente par exemple.

M. Caire : Voilà.

Mme Caron : Mais si je mets... Je prends un autre exemple, le premier qui me vient à l'esprit, d'une entreprise privée qui offre des services de radiologie, vers lequel des citoyens sont envoyés. Je prends un exemple, programme de mammographie pour les femmes à partir de 50 ans, qui peuvent aller passer une mammographie aux deux ans. Puis la plupart du temps, c'est dans un groupe, une entreprise privée que ça se fait, aux frais du gouvernement. La personne ne paie pas. Est-ce que cette entreprise privée là pourrait, par exemple, exiger que la personne s'authentifie pour avoir le service, alors qu'elle le donne?

L'entreprise privée donne le service au nom du gouvernement, payé par le gouvernement, mais, pour authentifier la personne, est-ce que... si on n'oblige pas les entreprises privées, si on ne leur donne pas la même obligation qu'aux entreprises publiques ou aux organismes publics et aux ministères de ne pas obliger l'authentification numérique, est-ce que ça pourrait causer une rupture d'un service public offert par l'entreprise privée?

M. Caire : Bien, comme je vous dis, si je me mets dans cette situation-là où je dirais, par exemple, à un client potentiel : Bien, je ne te donnerai pas le traitement ou le soin, à moins que tu utilises ton attestation numérique du gouvernement, la carte d'assurance maladie, je ne l'accepte plus, ça m'apparaît peu probable...

Mme Bacon (Nathalie) : Oui. M. le Président... peut-être préciser qu'on n'est pas dans ce niveau de détail là. Donc, on vient jeter les assises juridiques de l'identité numérique nationale. Le deuxième alinéa de l'article 10.2 fait plus référence à l'usage dans la société civile, dans la collectivité qui pourrait être fait. À 10.8, on vient donner des balises avec une entente possible avec toute personne ou entité pour peut-être qu'il y ait une interopérabilité...

M. Caire : C'est ça.

Mme Bacon (Nathalie) : ...mais on n'est pas en train de régimenter la société civile, là, c'est-à-dire de faire des règles ou des règlements qui ont force de loi puis d'imposer des règles à des entreprises privées dans le... on n'est pas là, mais un jour, peut-être. Parce que le premier objectif, c'est la confiance élevée et l'adhésion des citoyens. Ça fait que, si on voit que ça fait... que tout va bien, le SAG va bien, les services d'identité numérique vont bien, le portefeuille numérique devient garni avec plein d'attestations, tout le monde les veut, et, pour toutes sortes de raisons, on voit des comportements problématiques qui peuvent avoir rapport avec l'éthique, là, comme le rapport de la commission que vous avez soulevé, bien, à ce moment-là, on peut faire une intervention législative puis venir... Autrement dit, donc, on est dans la phase 1 de l'identité numérique, là, aujourd'hui.

M. Caire : Mais, encore une fois, une entreprise privée qui refuserait un client, je... Comme dit Me Bacon, il faudrait qu'on ait un cas d'espèce pour dire : Ah oui? O.K., parce que, tu sais, dans les faits, là, que ce soit la carte d'assurance maladie ou une attestation numérique, je veux dire, l'entreprise va être payée, là.

Mme Caron : Absolument, mais... c'est ça, pourquoi moi, je posais la question, c'est que oui, l'entreprise va être payée. Ça, on peut dire que c'est à son avantage d'accepter à la fois la carte de la RAMQ que d'accepter l'authentification par identité numérique. Mais si, justement, c'est plus facile d'utiliser l'authentification numérique parce qu'il y a un accès au dossier santé, bien là, peut-être qu'il y aurait... une pression y serait mise pour dire : Bien, tu sais, c'est ça qu'on veut, alors que, si c'est une personne qui n'a pas... qui n'utilise pas, par choix ou par... je dirais par dépit, et, quand je dis ça, «par dépit», je veux dire parce que la personne n'a pas d'appareil numérique, n'a pas le moyen de se payer un appareil numérique ou n'a pas... littératie numérique, bien, à ce moment-là, cette personne-là, elle n'aurait pas le service. Ça, c'est là mon... ma préoccupation puis que... Je comprends qu'on veut mettre des bases larges pour commencer, mais, s'il y a des...

M. Caire : Bien, je vous dirais qu'au...

Mme Caron : ...s'il y a des situations qu'on envisage qui pourraient être problématiques, on pourrait les empêcher.

• (19 h 10) •

M. Caire : Au départ, à mon avis, c'est plutôt l'inverse. Est-ce que les entreprises ou la communauté auront les infrastructures technologiques pour justement utiliser les attestations numériques? Parce qu'on sait qu'ils ont les infrastructures pour gérer les cartes physiques. Ça, c'est déjà en place puis c'est acquis. Maintenant, c'est la transition vers... Parce que ça va prendre quand même des infrastructures de leur part pour être capables d'utiliser les attestations numériques, sauf dans le simple cas d'une preuve d'âge ou d'une preuve de résidence. Mais, si on veut aller un peu plus loin puis... Parce qu'il faut qu'on... que nous, on puisse valider que ce qui est montré sur l'appareil est une attestation valide, et ça, ça prend une communication entre celui qui demande ou qui est en demande de l'identification et le tiers de confiance, qui est le ministère.

Donc, il faut qu'on puisse dire : Bon, bien oui, la pièce qui est exhibée sur le téléphone, elle est conforme, elle est valide et elle est authentique. Sinon, moi, je peux montrer n'importe quoi sur mon téléphone, là, je peux prendre une photo de ma carte d'assurance maladie puis me travailler quelque chose. Donc, s'il n'y a pas cette communication-là pour attester de la validité de la pièce...

Alors, c'est plus à ce niveau-là, Mme la députée, là, que je dis : Il va falloir qu'il y ait un changement sociétal puis qu'on mette en place ces infrastructures-là.

Mme Caron : Bien, de ce point de vue là, si on le voit comme : la difficulté, disons, ne viendrait pas du citoyen qui ne peut pas ou ne veut pas utiliser... mais viendrait peut-être plutôt de la capacité, disons, de... on va...

Mme Caron : ...ou ne veut pas l'utiliser, mais viendrait peut-être plutôt de la capacité, disons, de... on va dire du dépanneur, là, je vais utiliser cet exemple-là, de se doter de l'équipement nécessaire pour pouvoir avoir une interopérabilité, pour pouvoir lire la pièce numérique, disons. Ça veut dire que les personnes qui... Bien, tout à l'heure, vous l'avez dit, la carte d'assurance maladie puis le permis de conduire vont continuer d'exister. Ça veut dire qu'elles devront toujours exister ou, en tout cas, pendant longtemps encore.

M. Caire : Pour un certain temps, oui.

Mme Caron : Et ça veut aussi dire que le citoyen qui adhère vraiment à l'identité numérique nationale et qui veut s'en servir partout, qui veut garnir son portefeuille numérique va quand même... pourrait quand même devoir avoir son portefeuille ordinaire pour garder ses cartes pour certaines interactions dans la collectivité, pour utiliser les mots du projet de loi.

M. Caire : Absolument, absolument. C'est sûr qu'il y a une période de transition plus ou moins longue qui se profile à l'horizon. Puis, dans un premier temps, bien, que la société civile, même le gouvernement transite vers l'utilisation numérique puis des attestations numériques, c'est sûr qu'il y a une période de transition à prévoir.

Mme Caron : Tout à l'heure, j'ai... j'avais aussi une question, mais vous m'avez devancé dans l'une de vos réponses parce que vous avez parlé de la police. Ma question, c'était : Est-ce que la police aura accès à l'identité numérique? Puis dans l'une des réponses que vous avez données, effectivement, c'est oui?

M. Caire : Bien, c'est oui, parce que l'idée c'est d'être capable d'avoir des services qui sont numériques de bout en bout. Donc, par exemple, si vous vous faites intercepter malheureusement par la police, bien, qu'en ayant une attestation de droit de conduite, si les policiers ont les équipements nécessaires, bien là, l'interaction peut être facilitée, donc numérique de bout en bout...

Mme Caron : Et, dans ce cas-là, par exemple...

M. Caire : ...mais dans une... on se projette dans le futur, là.

Mme Caron : Oui, absolument. Mais dans ce cas-là, est-ce qu'on peut penser que le policier, bon, oui, il va pouvoir nous authentifier, nous identifier et nous authentifier, valider notre identité, dans un premier temps. Étant donné que son...

Le Président (M. Simard) : En conclusion.

Mme Caron : Bien, on continuera demain.

Le Président (M. Simard) : Je suis désolé de vous interrompre. Alors, ceci étant dit, compte tenu de l'heure, parce que nous terminons à 19 h 15, j'ajourne nos travaux sine die. À bientôt.

(Fin de la séance à 19 h 15)