À la lecture de l’article publié aujourd’hui par TVA Nouvelles, une question s’est immédiatement imposée à moi. Non pas parce que Desjardins hébergera désormais des données aux États-Unis. Mais parce que cette décision soulève un débat qui concerne toutes les organisations québécoises assujetties à la Loi 25.
Selon TVA Nouvelles, les données des quelque quatre millions de comptes de cartes de crédit Desjardins seront désormais hébergées aux États-Unis, dans le cadre d’une migration vers la plateforme technologique de Fiserv. Pour justifier cette décision, Desjardins affirme qu’aucune solution canadienne ne répondait à ses besoins et précise avoir appliqué le processus prévu lorsqu’un traitement de renseignements personnels est effectué à l’extérieur du Canada.
Soyons clairs.
La Loi 25 n’interdit pas à une organisation québécoise d’héberger des renseignements personnels aux États-Unis.
Contrairement à ce que plusieurs croient encore, ce n’est pas le lieu d’hébergement qui détermine à lui seul la conformité. La loi exige plutôt qu’une organisation réalise une Évaluation des facteurs relatifs à la vie privée (EFVP) avant de transférer des renseignements personnels à l’extérieur du Québec, qu’elle analyse les risques, qu’elle s’assure que les renseignements bénéficieront d’une protection adéquate et qu’elle mette en place les mesures contractuelles et organisationnelles appropriées.
Autrement dit, un transfert international peut être parfaitement conforme.
Je n’ai d’ailleurs aucune raison de croire que Desjardins n’a pas respecté ces obligations. Bien au contraire. Une institution financière de cette importance connaît ses responsabilités et dispose des ressources nécessaires pour mener ce type d’analyse.
Mais cette réponse, aussi importante soit-elle, ne répond pas à la véritable question.
Car l’EFVP n’est pas qu’un exercice administratif.
Son objectif est précisément d’évaluer les risques, de comparer les scénarios possibles et de déterminer si la décision retenue est la plus appropriée dans les circonstances.
C’est ici que ma réflexion commence.
Desjardins affirme qu’aucune solution canadienne ne répondait à ses besoins.
Très bien.
Mais quels étaient exactement ces besoins?
Quelles solutions ont été analysées?
Quels fournisseurs canadiens ont été évalués?
Quels critères ont conduit à les écarter?
Quels risques supplémentaires liés à une juridiction étrangère ont été identifiés?
Et surtout…
Quels avantages étaient suffisamment importants pour justifier que les renseignements financiers de millions de Québécois soient désormais hébergés aux États-Unis?
Ce sont des questions parfaitement légitimes.
Depuis l’entrée en vigueur de la Loi 25, je rencontre des centaines de dirigeants d’entreprises, d’organismes et d’institutions. Tous entendent le même message.
Faites une EFVP.
Documentez votre réflexion.
Évaluez les risques.
Justifiez vos décisions.
Démontrez votre diligence.
Aujourd’hui, il me semble tout à fait normal que les citoyens puissent adresser exactement les mêmes questions à l’une des plus importantes institutions financières du Québec.
D’autant plus que Desjardins porte encore le poids d’un événement qui a profondément marqué la confiance du public : la fuite de renseignements personnels de 2019.
Justement parce que cette confiance a été ébranlée, chaque décision touchant l’hébergement de renseignements personnels revêt désormais une portée qui dépasse largement la simple conformité juridique.
Il est également important de distinguer deux notions que l’on confond trop souvent.
Être conforme à la Loi 25 ne signifie pas automatiquement avoir fait le meilleur choix stratégique.
Une décision peut être parfaitement légale.
Elle peut satisfaire à toutes les exigences réglementaires.
Et malgré tout, susciter des interrogations légitimes sur le plan de la souveraineté numérique, de la confiance des citoyens ou de la gestion des risques à long terme.
Le débat ne devrait donc pas opposer les tenants du « tout au Québec » à ceux du « cloud mondial ».
Le véritable débat est ailleurs.
Lorsqu’une organisation conclut qu’il n’existe aucune solution canadienne répondant à ses besoins, sur quelles bases repose cette conclusion?
Voilà la question.
Et si cette conclusion résulte effectivement d’une EFVP rigoureuse, complète et documentée, pourquoi ne pas en publier les grandes lignes?
Je ne parle évidemment pas de rendre publics des renseignements confidentiels, des secrets commerciaux ou des informations pouvant compromettre la sécurité des systèmes.
Je parle d’expliquer la démarche.
Quels critères ont été retenus?
Quelles catégories de risques ont été évaluées?
Quels éléments ont fait pencher la balance?
Cette transparence permettrait non seulement de rassurer les membres, mais également d’offrir un exemple concret à toutes les organisations québécoises qui doivent elles aussi réaliser des EFVP dans le cadre de leurs propres projets.
Parce qu’au fond, c’est exactement ce que la Loi 25 cherche à instaurer.
Une culture de réflexion.
Une culture de justification.
Une culture de responsabilité.
Je ne remets pas en doute le professionnalisme des équipes de Desjardins.
Je ne prétends pas que la décision est mauvaise.
Je pose simplement la question que plusieurs Québécois risquent maintenant de se poser.
L’EFVP de Desjardins a-t-elle réellement démontré qu’aucune solution canadienne ne permettait d’offrir un niveau de protection équivalent?
Si la réponse est oui, alors cette analyse pourrait devenir l’un des plus beaux exemples de transparence en matière de protection des renseignements personnels.
Parce qu’en 2026, la conformité constitue le minimum attendu.
La confiance, elle, se mérite.