Projet de loi 38 (43e législature) — Loi modifiant la Loi sur la gouvernance et la gestion des ressources informationnelles

Contexte

La Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement (RLRQ, chapitre G-1.03) encadre la planification, la gestion et la sécurité des ressources informationnelles de l’administration publique québécoise : systèmes informatiques, infrastructures technologiques, données et logiciels utilisés par les ministères, les organismes publics et certaines entreprises du gouvernement.

Le projet de loi no 38 s’inscrit dans la mise en place du ministère de la Cybersécurité et du Numérique, chargé de coordonner la transformation numérique de l’État et la protection de ses actifs informationnels. Le texte modifie à la fois la loi-cadre sur la gouvernance des ressources informationnelles et la Loi sur le ministère de la Cybersécurité et du Numérique, ainsi que d’autres dispositions législatives connexes.

Le projet a été présenté lors de la première session de la 43e législature de l’Assemblée nationale du Québec par Éric Caire, député de La Peltrie et membre de la Coalition avenir Québec, alors ministre de la Cybersécurité et du Numérique. Le même ministre avait également parrainé, au cours de cette session, le projet de loi no 3 sur les renseignements de santé et de services sociaux.

Cheminement parlementaire

Le projet de loi a franchi l’ensemble des étapes du processus législatif de l’Assemblée nationale en un peu plus d’un mois, entre sa présentation et sa sanction.

Au terme de la sanction, le texte est devenu le chapitre 28 des lois du Québec de 2023. Les débats de l’étape de la prise en considération du rapport de commission sont consignés au Journal des débats du 1er décembre 2023. La Commission d’accès à l’information du Québec a soumis un mémoire dans le cadre des consultations particulières.

Principales dispositions

La loi confie au ministère de la Cybersécurité et du Numérique un rôle de direction en matière de transformation numérique et de cybersécurité au sein de l’administration publique. Ses principales mesures sont les suivantes :

• Application des orientations gouvernementales : les organismes publics sont tenus d’appliquer les orientations et les normes établies par le gouvernement en matière de ressources informationnelles.
• Priorisation des projets : les organismes responsables de projets correspondant aux priorités gouvernementales doivent en prioriser la réalisation.
• Retrait de logiciels ou d’actifs : le ministre peut ordonner à un organisme public de retirer certains logiciels ou actifs informationnels susceptibles de porter atteinte à la sécurité de l’information.
• Assujettissement d’entreprises du gouvernement : un mécanisme permet au gouvernement d’assujettir des entreprises gouvernementales à la loi, sur recommandation conjointe des ministres concernés.

Ces mesures visent à harmoniser la gestion des ressources informationnelles de l’État et à renforcer la capacité gouvernementale de réagir aux menaces touchant la sécurité de l’information. Le ministère publie par ailleurs des mesures minimales de sécurité relatives aux données lors de l’utilisation de solutions technologiques par les organismes publics.

Renseignements personnels et sources officielles de données

La loi modifie les règles applicables aux renseignements personnels utilisés par un organisme désigné comme source officielle de données numériques gouvernementales. Ce mécanisme, prévu par la loi-cadre, permet de confier à un organisme public la responsabilité de détenir et de rendre disponibles certaines données de référence utilisées par l’ensemble de l’administration.

Dans son mémoire, la Commission d’accès à l’information du Québec a relevé un changement important : l’obligation, pour un tel organisme, de faire approuver par la Commission ses règles de gouvernance à l’égard des renseignements personnels est remplacée par une obligation de les lui transmettre. Le contrôle préalable exercé par l’organisme de surveillance cède ainsi la place à une obligation d’information.

Cette modification s’inscrit dans le cadre plus large de la protection des renseignements personnels au Québec, régi notamment par la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels, dont l’application relève de la Commission d’accès à l’information.

Entrée en vigueur

La loi est entrée en vigueur le 6 décembre 2023, date de sa sanction, à l’exception de certaines dispositions. L’entrée en vigueur de celles-ci, dont l’article 17, doit être fixée par le gouvernement.

Les modifications apportées à la Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement sont intégrées à la version consolidée de cette loi publiée sur LégisQuébec, qui conserve l’historique des versions successives, notamment celle à jour au 6 décembre 2023. Le texte sanctionné est publié en français et en anglais par Publications Québec dans le recueil des lois annuelles de 2023.