Les mécanismes cryptographiques qui sécurisent aujourd’hui les transactions, les communications et les signatures numériques pourraient devenir vulnérables avec l’arrivée d’ordinateurs quantiques suffisamment puissants. Pour les entreprises, la question n’est plus seulement d’ordre technologique : elle touche aussi la gouvernance, les contrats, la protection des renseignements et la planification des migrations. Qu’est-ce que la cryptographie post-quantique? Pouvez-vous imaginer passer une semaine sans utiliser Internet pour transmettre de l’information sensible? Plus de transactions bancaires, plus de portail permettant de consulter des résultats médicaux, plus d’achats en ligne. Ces activités reposent notamment sur des mécanismes cryptographiques qui : protègent la confidentialité et l’intégrité de l’information; authentifient les personnes et les systèmes; et sécurisent les signatures numériques. Or, l’avènement d’ordinateurs quantiques suffisamment puissants pourrait compromettre certains de ces mécanismes et, par conséquent, une partie importante de la sécurité sur laquelle repose aujourd’hui notre environnement numérique. La cryptographie regroupe les techniques qui permettent de protéger la confidentialité et l’intégrité de l’information, d’authentifier les personnes et les systèmes, et de sécuriser les signatures numériques. Elle intervient notamment lorsqu’un navigateur affiche un cadenas, qu’une personne signe électroniquement un document ou qu’une entreprise transmet des données confidentielles. Certains de ces mécanismes reposent sur une paire de clés mathématiquement liées, soit une clé publique et une clé privée. Leur sécurité dépend de problèmes mathématiques que les ordinateurs actuels ne peuvent résoudre dans un délai raisonnable. Un ordinateur quantique suffisamment puissant pourrait toutefois résoudre beaucoup plus rapidement certains de ces problèmes. Des mécanismes largement utilisés, notamment le système RSA et la cryptographie sur courbes elliptiques, n’offriront plus de protection suffisante. Pourquoi la menace quantique existe-t-elle dès aujourd’hui? Pour le moment, il n’existe que des prototypes d’ordinateurs quantiques et il demeure difficile de prévoir exactement quand ils deviendront disponibles commercialement ou seront utilisés par certaines grandes entreprises et divers États. Le Centre canadien pour la cybersécurité estime néanmoins qu’un ordinateur quantique capable de représenter une menace pour les mécanismes actuels pourrait être disponible dès 2030, tout en reconnaissant l’incertitude entourant cet échéancier1. En août 2024, le National Institute of Standards and Technology des États-Unis a d’ailleurs publié trois premières normes conçues pour résister à cette menace2. Pour les organisations, la question n’est donc pas seulement de savoir quand cette menace se matérialisera, mais de déterminer ce qu’elles doivent faire aujourd’hui pour que leurs renseignements et leurs systèmes demeurent sécuritaires dans le futur. La cryptographie post-quantique désigne les méthodes conçues pour résister aux attaques provenant tant des ordinateurs actuels que de futurs ordinateurs quantiques. D’un point de vue mathématique, des algorithmes résistants existent, mais beaucoup de systèmes informatiques n’en font pas encore usage. Le risque de « récolter maintenant, déchiffrer plus tard » On peut résumer la menace la plus pressante par l’expression « récolter maintenant, déchiffrer plus tard ». Un acteur malveillant peut intercepter et conserver aujourd’hui des données chiffrées, puis tenter de les déchiffrer lorsqu’il disposera d’une capacité quantique suffisante. Le risque concerne donc en priorité les renseignements dont la valeur ou la sensibilité persiste pendant plusieurs années, par exemple les secrets commerciaux, les données financières, les renseignements stratégiques et certaines communications privilégiées3. L’urgence dépend de la situation technologique propre à chaque organisation. Il faut tenir compte de la durée pendant laquelle les renseignements doivent demeurer confidentiels et du temps nécessaire pour remplacer les mécanismes vulnérables. Selon les meilleures pratiques canadiennes en la matière, certains systèmes ont une durée de vie de 15 à 30 ans et une migration cryptographique peut elle-même prendre plusieurs années4. Une organisation peut donc prendre du retard avant même que l’ordinateur quantique menaçant ne soit sur le marché. Pourquoi les entreprises dépendent-elles de leurs fournisseurs pour la transition? La plupart des organisations ne développent pas elles-mêmes les solutions cryptographiques de remplacement. Elles dépendent plutôt de leurs fournisseurs de logiciels, de services infonuagiques, d’équipements, de certificats et de cybersécurité. Cette dépendance ne rend pas la préparation inutile, au contraire. Elle déplace plutôt l’intervention vers la gouvernance, l’approvisionnement et les contrats. En ce qui concerne les contrats, il est important dès maintenant d’évaluer l’effet de ces risques, notamment la répartition des responsabilités entre les parties contractantes. Idéalement, le contrat de service technologique devra préciser si les risques liés à l’usage de technologies inadéquates du point de vue de la sécurité quantique relèvent du fournisseur ou de son client. Un dialogue dans le cadre duquel les organisations clientes posent les bonnes questions et les fournisseurs technologiques divulguent les limites de leur technologie avec une certaine transparence s’avère donc nécessaire. Le gouvernement fédéral a amorcé sa transition vers la cryptographie post-quantique Le gouvernement fédéral ne traite plus la cryptographie post-quantique comme un simple sujet de recherche. En juin 2025, le Centre canadien pour la cybersécurité a publié une feuille de route pour la migration des systèmes non classifiés du gouvernement du Canada. Ce document prévoit notamment un plan ministériel initial et un premier rapport d’avancement à compter d’avril 2026, la migration des systèmes hautement prioritaires d’ici la fin de 2031 et celle des autres systèmes visés d’ici la fin de 20355. Un avis de mise en œuvre de la Politique sur la sécurité, entré en vigueur en octobre 2025, vise à renforcer ces exigences et impose aux institutions fédérales concernées de démontrer des progrès mesurables6. Si ces échéances ne s’appliquent pas directement aux entreprises privées, elles peuvent néanmoins avoir un effet indirect sur les fournisseurs du gouvernement fédéral. Depuis le 1er avril 2026, les contrats fédéraux visés comportant une composante numérique doivent notamment intégrer des clauses favorisant la cryptographie post-quantique et l’agilité cryptographique7. Ces mesures confirment qu’une migration ordonnée exige une gouvernance, un inventaire, une priorisation, une planification financière, des politiques d’approvisionnement et une coordination avec les fournisseurs. De plus, cette orientation dépasse désormais le seul gouvernement fédéral. En septembre 2026, le Canada s’est joint à un appel à l’action du Groupe de travail sur la cybersécurité du G7 invitant les organisations publiques et privées à amorcer une transition progressive fondée sur les risques. Des lignes directrices canadiennes recommandent également aux organisations de commencer leur préparation avant le déploiement de solutions à grande échelle8. Quels sont les enjeux juridiques pour les entreprises québécoises? Aucune loi québécoise n’impose expressément à l’ensemble des entreprises privées d’utiliser un algorithme post-quantique en particulier ou d’effectuer une migration selon l’échéancier fédéral. Le droit québécois formule plutôt des obligations fonctionnelles et technologiquement neutres, lesquelles exigent que l’efficacité des moyens employés soit appréciée dans leur contexte. Protection des renseignements personnels et mesures de sécurité raisonnables La Loi sur la protection des renseignements personnels dans le secteur privé oblige l’entreprise à prendre des mesures de sécurité raisonnables compte tenu, notamment, de la sensibilité, de la finalité, de la quantité, de la répartition et du support des renseignements. Elle exige également une évaluation des facteurs relatifs à la vie privée lors de certains projets d’acquisition, de développement ou de refonte des systèmes d’information ou de prestation électronique de service qui traitent des renseignements personnels9. Pour une organisation qui conserve des renseignements sensibles qui restent pertinents pendant plusieurs années (par exemple des coordonnées bancaires, des numéros d’assurance sociale), le risque quantique pourrait ainsi devenir un facteur pertinent dans l’évaluation du caractère raisonnable des mesures de sécurité actuelles. Intégrité des documents et confidentialité des transmissions La Loi concernant le cadre juridique des technologies de l’information va dans le même sens en exigeant notamment que l’intégrité d’un document soit maintenue pendant tout son cycle de vie. Par exemple, lorsque les renseignements contenus dans un document sont considérés comme confidentiels en vertu de la loi, l’article 34 exige qu’ils soient protégés par un moyen approprié au mode de transmission10. La documentation expliquant le mode de transmission et les mesures prises pour assurer la confidentialité doit également pouvoir être produite en preuve. Ces dispositions mettent l’accent sur les résultats à préserver, notamment l’intégrité des documents et la confidentialité des renseignements. Responsabilité civile et état des connaissances La doctrine québécoise souligne que l’efficacité technique des mesures employées peut devenir juridiquement pertinente11. Dans ce contexte, les publications officielles et les normes techniques, sans créer à elles seules une obligation civile, peuvent contribuer à documenter l’état des connaissances, la prévisibilité du risque et les pratiques reconnues12. La responsabilité d’une organisation quant aux obligations de protection des données doit être appréciée suivant les règles ordinaires de la responsabilité civile13. La question serait notamment de savoir si l’organisation a agi avec prudence et diligence, au moment pertinent, compte tenu : des connaissances alors disponibles; de la sensibilité des renseignements protégés; de la durée de vie de ses systèmes; et de l’accessibilité des solutions de remplacement. Il est possible que l’utilisation d’un mécanisme cryptographique susceptible de devenir vulnérable sous peu constituerait une faute à la lumière des connaissances actuelles. Produits connectés et attentes raisonnables en matière de sécurité Des considérations semblables pourraient s’appliquer aux fabricants, distributeurs et fournisseurs de produits connectés. Le Code civil du Québec tient notamment compte de la sécurité à laquelle une personne peut normalement s’attendre et de l’état des connaissances au moment où le bien a été fabriqué, distribué ou fourni. Dans ce contexte, la capacité raisonnablement attendue d’un produit à recevoir des mises à jour de sécurité pourrait faire partie des circonstances considérées dans l’appréciation d’un éventuel défaut de sécurité14. Comment les entreprises peuvent-elles se préparer dès maintenant? La préparation ne commande pas de remplacer immédiatement tous les mécanismes actuels. Elle vise plutôt à développer une agilité cryptographique, soit la capacité de repérer et de remplacer les mécanismes cryptographiques sans devoir reconstruire entièrement les systèmes qui les utilisent. Le Centre canadien pour la cybersécurité recommande notamment les mesures suivantes15 : Recenser les usages cryptographiques. L’inventaire devrait couvrir les systèmes internes et ceux destinés à la clientèle, les certificats, les mécanismes d’authentification, les signatures numériques, les équipements réseau et les services infonuagiques. Une attention particulière devrait être accordée aux systèmes plus anciens, personnalisés ou difficiles à mettre à jour. Établir les priorités. L’organisation devrait identifier les renseignements qui doivent demeurer confidentiels à long terme et les systèmes dont la modification ou le remplacement nécessitera plusieurs années. Interroger les fournisseurs. L’organisation devrait obtenir leur feuille de route post-quantique et déterminer si la transition pourra être effectuée au moyen d’une mise à jour ou si elle exigera l’acquisition de nouveaux produits. Les normes utilisées, les périodes de soutien et les conséquences sur l’interopérabilité devraient également être vérifiées. Adapter les contrats et l’approvisionnement. Les nouveaux contrats pourraient prévoir, selon le contexte, des exigences relatives aux mises à jour, aux avis de fin de soutien, à l’utilisation de mécanismes normalisés, à la coopération lors de la migration et à la répartition des coûts. Toutes les organisations ne présentent pas le même degré d’exposition. Une attention immédiate est toutefois requise lorsque l’entreprise conserve des renseignements sensibles pendant plusieurs années, exploite des systèmes difficiles à remplacer ou dépend de fournisseurs dont la stratégie de migration demeure inconnue. Les fournisseurs livreront vraisemblablement les solutions techniques, mais il appartient à chaque organisation de connaître ses besoins, de poser les bonnes questions et de préserver sa capacité de les adopter en temps utile. Points à retenir : La menace quantique est déjà présente, même si les ordinateurs quantiques capables de casser certains mécanismes cryptographiques ne sont pas encore largement disponibles. Le principal risque est celui de « récolter maintenant, déchiffrer plus tard » : des données chiffrées aujourd’hui peuvent être conservées et déchiffrées ultérieurement. Les organisations les plus exposées sont celles qui conservent des renseignements sensibles pendant plusieurs années, exploitent des systèmes difficiles à remplacer ou dépendent de fournisseurs dont la stratégie de migration est incertaine. Au Québec, il n’existe pas d’obligation générale imposant un algorithme post-quantique précis, mais les entreprises demeurent tenues d’adopter des mesures de sécurité raisonnables, appréciées selon le contexte et l’état des connaissances. La préparation passe d’abord par l’agilité cryptographique : inventorier les usages, prioriser les systèmes critiques, questionner les fournisseurs et adapter les contrats. CENTRE CANADIEN POUR LA CYBERSÉCURITÉ, Préparez votre organisation à la menace que pose l’informatique quantique pour la cryptographie (ITSAP.00.017), février 2025, en ligne : https://www.cyber.gc.ca/fr/orientation/preparez-votre-organisation-menace-pose-informatique-quantique-itsap-00017 NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, « NIST Releases First 3 Finalized Post-Quantum Encryption Standards », 13 août 2024, en ligne : https://www.nist.gov/news-events/news/2024/08/nist-releases-first-3-finalized-post-quantum-encryption-standards CENTRE CANADIEN POUR LA CYBERSÉCURITÉ, préc., note 1.  FORUM CANADIEN POUR LA RÉSILIENCE DES INFRASTRUCTURES NUMÉRIQUES et CANADIAN NATIONAL QUANTUM READINESS WORKING GROUP, Canadian National Quantum-Readiness Best Practices and Guidelines, version 04, 10 juillet 2024, p. 3-7, en ligne : https://ised-isde.canada.ca/site/spectrum-management-telecommunications/sites/default/files/documents/Quantum-Readiness%20Best%20Practices%20-%20v04%20-%2010%20July%202024.pdf. CENTRE CANADIEN POUR LA CYBERSÉCURITÉ, Feuille de route pour la migration vers la cryptographie post-quantique au sein du gouvernement du Canada (ITSM.40.001), 23 juin 2025, p. 13, en ligne : https://www.cyber.gc.ca/fr/orientation/feuille-route-migration-vers-cryptographie-post-quantique-sein-gouvernement-canada-itsm40001. SECRÉTARIAT DU CONSEIL DU TRÉSOR DU CANADA, La migration du gouvernement du Canada vers la cryptographie post-quantique : Avis de mise en œuvre de la Politique sur la sécurité, en vigueur depuis le 9 octobre 2025, en ligne : https://www.canada.ca/fr/gouvernement/systeme/gouvernement-numerique/politiques-normes/amops/migration-cryptographie-post-quantique-gouvernement-canada.html SECRÉTARIAT DU CONSEIL DU TRÉSOR DU CANADA, préc., note 6, art. 6.3.1. CENTRE CANADIEN POUR LA CYBERSÉCURITÉ, « Appel à l’action du Groupe de travail sur la cybersécurité du G7 concernant la préparation à l’ère post-quantique », 3 septembre 2026, en ligne : https://www.cyber.gc.ca/fr/nouvelles-evenements/appel-laction-groupe-travail-cybersecurite-g7-concernant-preparation-lere-post-quantique; FORUM CANADIEN POUR LA RÉSILIENCE DES INFRASTRUCTURES NUMÉRIQUES et CANADIAN NATIONAL QUANTUM READINESS WORKING GROUP, préc., note 4, sect. 3-5. Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ, c. P-39.1, art. 3.3 et 10. Loi concernant le cadre juridique des technologies de l’information, RLRQ, c. C-1.1, art. 6 et 34.  Éric LABBÉ, « L’efficacité technique comme critère juridique ou la manière dont les lois se technicisent », (2004) 9-2 Lex Electronica. Éric LABBÉ, « La multiplicité des normes encadrant le contrat électronique : l’influence de la technologie sur la production des normes », (2004) 9-2 Lex Electronica; Charles-Étienne DANIEL, « Coder son propre droit : quand la machine pousse l’humain à énoncer de nouvelles normes de gouvernance », dans Quand la société fait son droit : la gouvernance de proximité en action, 2026, EYB2026QSD19, p. 397-432. Code civil du Québec, RLRQ, c. CCQ-1991, art. 1457; Loi sur la protection des renseignements personnels dans le secteur privé, préc., note 9, art. 10. Code civil du Québec, préc., note 13, art. 1468, 1469 et 1473. CENTRE CANADIEN POUR LA CYBERSÉCURITÉ, préc., note 1; CENTRE CANADIEN POUR LA CYBERSÉCURITÉ, Conseils sur la mise en œuvre de l’agilité cryptographique (ITSAP.40.018), mai 2022, en ligne : https://www.cyber.gc.ca/fr/orientation/conseils-sur-la-mise-en-oeuvre-de-lagilite-cryptographique-itsap40018

Le projet de loi C-8 a reçu la sanction royale le 15 juin 2026et mérite une attention particulière. Il marque un changement de rythme en cybersécurité : il donne à l’État fédéral des moyens pour intervenir rapidement lorsqu’une menace est identifiée. De plus, il impose pour certains acteurs, une logique de conformité avec des attentes plus élevées et des sanctions réelles en cas de manquement. Le texte de loi s’articule autour de deux axes. D’une part, il muscle la Loi sur les télécommunications en habilitant le gouverneur en conseil et le ministre de l’Industrie à imposer des mesures concrètes par décret ou arrêté. D’autre part, il crée la Loi sur la protection des cybersystèmes essentiels (la « LPCSE »), visant des services et systèmes critiques. Par ces modifications législatives, la cybersécurité sort du sous-sol : elle devient un enjeu de gouvernance et de conformité. Avec l’adoption de cette loi, les choix technologiques, la gestion des fournisseurs et la réponse aux incidents de cybersécurité devront être plus robustes, mieux encadrés et dûment documentés. Nous sommes d’avis que les organisations qui se préparent maintenant (gouvernance, preuves, plans d’intervention) seront plus agiles et plus crédibles auprès de leurs clients et partenaires. Une distinction importante s’impose toutefois d’entrée de jeu : les modifications de la Loi sur les télécommunications prévues à la Partie 1 sont désormais en vigueur, tandis que l’entrée en vigueur de la LPCSE prévue à la Partie 2 dépendra d’un ou de plusieurs décrets. À ce jour, l’annexe 2 de la LPCSE, qui doit identifier les catégories d’exploitants désignés et leur organisme réglementaire correspondant, demeure vide. À retenir en un coup d’œil - Le projet de loi C-8 introduit : (i) un pouvoir d’ordonnance en télécommunications (décrets/arrêtés); (ii) un cadre de programme obligatoire pour certains cybersystèmes essentiels (LPCSE), sous réserve de son entrée en vigueur et des désignations à venir;  et (iii) une mise en application renforcée (renseignements, vérifications, SAP, infractions). Partie 1 de la loi — Télécommunications : la sécurité devient un levier d’action Le projet de loi C-8 inscrit explicitement la sécurité dans la politique canadienne de télécommunication en ajoutant l’objectif de « promouvoir la sécurité du système canadien de télécommunication ». Il fournit l’assise législative à des interventions désormais conçues pour être directes, rapides et exécutoires. Un élément important de la loi, à la fois pour son application et pour circonscrire la nature des menaces visées, est la précision selon laquelle « l’ingérence, la manipulation, la perturbation ou la dégradation » en ce qui concerne un système de télécommunication s’entend notamment d’actes de nature technique qui entravent le fonctionnement de ce système, mais ne vise pas les effets « de l’expression licite d’opinions, de la persuasion ou du débat politique ». Le texte ménage ainsi expressément un espace pour la liberté d’expression et le débat public licite. La Partie 1 de la loi comporte une mécanique d’application à deux niveaux : les décrets et les arrêtés ministériels (relevant du ministre de l’Industrie). Le décret Le gouverneur en conseil peut agir par décret s’il a des motifs raisonnables de croire que la mesure est nécessaire pour sécuriser le système face à une menace, et qu’elle est raisonnable eu égard à cette menace. Concrètement, le décret peut : interdire aux fournisseurs de services de télécommunication (« FST ») d’utiliser, dans leurs réseaux/installations (ou en lien avec ceux-ci), les produits et services fournis par une personne précisée; ordonner le retrait de produits fournis par une personne précisée. Le projet de loi C-8 impose une contrainte de proportionnalité : la portée et la teneur doivent être nécessaires et raisonnables eu égard à la gravité de la menace. Le décret prime sur des décisions/arrêtés/autorisations incompatibles, y compris sous la Loi sur la radiocommunication. D’autre part, l’État n’assume pas le coût économique : aucune indemnité n’est payable pour les pertes financières attribuables au décret. Il s’agit, en quelque sorte, de l’artillerie lourde de la loi. Le décret peut également comporter une interdiction de divulguer son existence ou tout ou partie de son contenu. Avant d’inclure une telle interdiction, le gouverneur en conseil doit notamment tenir compte de la mesure dans laquelle la divulgation pourrait compromettre l’objectif du décret, de la nécessité de cette interdiction compte tenu de la nature de la menace, de la possibilité d’en limiter la portée, de son effet sur la transparence et la responsabilisation du gouvernement du Canada, ainsi que des observations des FST touchés. Avant de prendre le décret, le gouverneur en conseil doit aussi considérer l’effet de la mesure sur les activités des FST visés, ses répercussions financières, son effet sur la fourniture des services de télécommunication au Canada — y compris sur la confidentialité et la sécurité des télécommunications — ainsi que ses répercussions potentielles sur la protection de la vie privée des Canadiens. L’arrêté Le ministre de l’Industrie peut imposer, par arrêté, des mesures très opérationnelles lorsqu’elles sont nécessaires et raisonnables eu égard à la menace. L’arrêté peut notamment : interdire l’utilisation de produits/services précis, ordonner des retraits, imposer des conditions d’utilisation et de fourniture de services; encadrer des ententes de service ou y mettre fin; exiger des processus d’examen des réseaux/installations et de projets d’approvisionnement; imposer des plans de sécurité, des évaluations de vulnérabilités et des mesures d’atténuation; imposer la mise en œuvre de normes; exiger un système d’appoint; interdire à des FST de fournir des services à une personne précisée; ordonner la suspension, pour une période donnée, de la fourniture de services à une personne précisée; interdire certaines mises à niveau; ordonner aux FST de faire ou de s’abstenir de faire toute chose précisée, sous réserve des limites prévues par la loi. Comme pour le décret, le ministre doit tenir compte des impacts opérationnels et financiers, de l’effet sur la fourniture des services, y compris sur la confidentialité et la sécurité des télécommunications, et des répercussions potentielles sur la vie privée des Canadiens. Le ministre ne peut ordonner ni l’interception d’une communication privée ou radiotéléphonique, ni le décodage d’une communication privée chiffrée. Enfin, l’arrêté est, lui aussi, assorti d’une règle d’absence d’indemnité. La loi prévoit aussi une limite particulière : la suspension de la fourniture de services à un individu ne peut être ordonnée que si l’arrêté est nécessaire pour sécuriser le système canadien de télécommunication face à une menace de nature technique précisée dans l’arrêté. Comme le décret, l’arrêté peut comporter une interdiction de divulgation. Avant d’inclure une telle interdiction, le ministre doit tenir compte de facteurs comparables, dont l’effet de la non-divulgation sur les principes de transparence et de responsabilisation du gouvernement du Canada. Particularités sur la publication des décrets et des arrêtés En principe, les décrets et arrêtés doivent être publiés dans la Gazette du Canada dans les 90 jours suivant leur prise, mais l’autorité peut ordonner l’absence de publication dans le texte même. De plus, l’inclusion par renvoi favorise l’intégration de documents techniques évolutifs. On peut donc s’attendre à l’adoption par un tel mécanisme de normes techniques internationales. Collecte de renseignements par le ministre Le projet de loi C-8 prévoit que le ministre peut exiger la communication de renseignements s’il a des motifs raisonnables de croire, d’une part, qu’il est raisonnable qu’ils soient fournis eu égard à la gravité de la menace et, d’autre part, qu’ils sont nécessaires. Toutefois un cadre de confidentialité est mis en place pour les informations transmises, notamment lorsqu’il s’agit de secrets industriels ou de renseignements financiers, commerciaux, scientifiques ou techniques. Les renseignements personnels et les renseignements dépersonnalisés sont aussi visés par des mesures de protection. Le texte prévoit aussi l’échange de renseignements entre diverses autorités fédérales, ainsi qu’avec les provinces, des États étrangers ou certaines organisations internationales dans le cadre d’accords écrits. Lorsqu’il s’agit de renseignements personnels ou dépersonnalisés, leur portée et leur teneur doivent être raisonnables eu égard à la gravité de la menace. La loi prévoit en outre leur retrait lorsqu’ils ne sont plus nécessaires. Il faut aussi noter que les renseignements personnels et les renseignements dépersonnalisés sont réputés être des renseignements confidentiels pour l’application de la Partie 1, même s’ils n’ont pas été expressément désignés comme tels. Partie 2 de la loi – Loi sur la protection des cybersystèmes essentiels (LPCSE) : Une précision est essentielle : cette partie de la loi n’entrera en vigueur qu’à la date ou aux dates fixées par décret. En outre, l’assujettissement effectif dépendra de futures désignations, puisque l’annexe 2 est actuellement vide. Le cadre est donc adopté, mais son déclenchement opérationnel reste à venir. Concepts clés : ce que la loi vise réellement La LPCSE vise des cybersystèmes essentiels au sens strict du texte, c’est-à-dire des cybersystèmes dont la compromission, en ce qui touche la confidentialité, l’intégrité ou la disponibilité, pourrait menacer la continuité ou la sécurité d’un service critique ou d’un système critique. La définition de « cybersystème » est volontairement large. En pratique, la loi ne se limite donc pas à un « réseau » au sens classique : elle peut englober des plateformes, environnements infonuagiques, systèmes de contrôle, services numériques, et actifs techniques interconnectés, dès lors que leur compromission pourrait affecter un service ou système critique. La version sanctionnée ajoute aussi une définition de la « vérification interne », soit un examen indépendant et objectif effectué conformément à des directives reconnues à l’échelle internationale sur les pratiques professionnelles en matière de vérification interne. Cela renforce l’idée que la conformité attendue dépasse la seule adoption de politiques internes et suppose, au besoin, des mécanismes structurés d’assurance. Désignations : comment une organisation devient assujettie L’exploitant « désigné » qui contrôle, exploite ou possède un cybersystème essentiel est tenu de se conformer aux dispositions de la LPCSE et de ses règlements concernant ce cybersystème. Sur quoi repose cette désignation? D’abord, les « services critiques » et « systèmes critiques » sont ceux énumérés à l’Annexe 1, soit : services de télécommunication, systèmes de pipelines et de lignes électriques interprovinciaux ou internationaux, systèmes d’énergie nucléaire, systèmes de transport relevant de la compétence législative du Parlement, systèmes bancaires, systèmes de compensations et de règlements. Par décret, on peut ajouter, modifier ou retrancher des éléments de cette annexe dans le champ de compétence visé par la loi. Ensuite, la loi prévoit une annexe actuellement vide, qui permet d’établir des catégories d’exploitants et l’organisme correspondants à ces services ou systèmes critiques. En pratique, l’assujettissement dépend à la fois du service/système critique visé (Annexe 1) et de la catégorie d’exploitant dans laquelle l’organisation est classée (Annexe 2). Programme de cybersécurité : l’obligation structurante Le cœur de la LPCSE est l’obligation de bâtir un programme de cybersécurité. Après sa désignation par une modification de l’Annexe 2, un exploitant doit établir, dans les 90 jours, un programme relatif à ses cybersystèmes essentiels. Ce programme doit inclure des mesures, conformément aux règlements, pour identifier et gérer les risques organisationnels (incluant la chaîne d’approvisionnement et l’utilisation de produits et services de tiers), protéger les cybersystèmes essentiels, détecter les incidents et minimiser leurs conséquences, ainsi que toute mesure prévue par règlement. Le programme n’est donc pas une simple politique : il doit couvrir l’ensemble du cycle de gestion du risque et se prêter à une lecture « de conformité ». Cela forcera les organismes et entreprises à réagir rapidement lors d’une telle désignation. La loi impose aussi une mécanique de supervision : dès que le programme est établi, l’exploitant doit en aviser par écrit l’organisme réglementaire compétent. La loi exige aussi la mise à jour périodique de tout tel programme. Enfin, des obligations de notification existent lorsque surviennent des changements structurants (propriété/contrôle, chaîne d’approvisionnement, utilisation de tiers, etc.). Cette cadence transforme la cybersécurité en obligation de gouvernance et de maintenance, pas en projet ponctuel. Chaîne d’approvisionnement et tiers : de l’évaluation à l’atténuation La LPCSE insiste explicitement sur la chaîne d’approvisionnement. Une fois les risques liés à la chaîne d’approvisionnement et aux tiers identifiés dans le programme (art. 9(1)a)), l’exploitant désigné est tenu de les atténuer (art. 15). Le verbe est important : il ne suffit pas de « constater » ou de « surveiller »; la loi impose une démarche active d’atténuation, qui devra être démontrable. Le Centre de la sécurité des télécommunications (le « CST ») peut élaborer des lignes directrices sur l’atténuation des risques associés aux chaînes d’approvisionnement et à l’utilisation de produits et services de tiers, en s’appuyant sur des cadres internationalement reconnus. Le régulateur compétent peut aussi transmettre au CST des renseignements, y compris confidentiels, concernant le programme ou les mesures prises, afin que le CST fournisse avis, conseils et services selon son mandat. Pour les organisations, cela annonce une convergence entre exigences réglementaires et attentes techniques : la gestion des fournisseurs, des accès, des mises à jour, des dépendances logicielles et des sous-traitants devient un volet « cœur » de la conformité. Signalement des incidents : une obligation de vitesse et de coordination La LPCSE crée une obligation de déclaration des incidents de cybersécurité au CST. Tout exploitant désigné doit déclarer, dans les délais réglementaires qui ne peuvent dépasser 72 heures, tout incident de cybersécurité concernant un de ses cybersystèmes essentiels. La définition d’« incident de cybersécurité » couvre un incident (acte, omission ou situation) qui nuit ou peut nuire à la continuité ou la sécurité d’un service/système critique, ou à la confidentialité, l’intégrité ou la disponibilité du cybersystème essentiel. Après la déclaration au CST, l’exploitant doit, sans délai, aviser l’organisme réglementaire compétent et lui remettre une copie du rapport d’incident. Le texte précise que ces obligations n’ont pas pour effet de diminuer les obligations issues de la Loi sur la protection des renseignements personnels et les documents électroniques. Directives de cybersécurité : l’outil d’intervention obligatoire La LPCSE prévoit un instrument particulièrement intrusif : les directives de cybersécurité. Par décret, on peut donner des directives enjoignant à un exploitant désigné (individuellement ou par catégorie) de se conformer à toute mesure prévue dans les directives afin de protéger un cybersystème essentiel, mais seulement s’il a des motifs raisonnables de croire que les directives sont nécessaires. Avant de prendre le décret, le gouvernement doit considérer les impacts opérationnels, la sécurité publique, la protection de la vie privée, les impacts financiers, ainsi que les impacts sur la fourniture des services/systèmes critiques. La portée et la teneur doivent être raisonnables eu égard à l’objectif de protection, et l’exploitant visé est tenu de s’y conformer. La loi prévoit aussi deux limites explicites : le gouverneur en conseil ne peut ordonner ni le décodage d’une communication privée chiffrée, ni l’interception d’une communication privée ou radiotéléphonique. Par ailleurs, un « garde-fou » lié à la connaissance est mis en place : un exploitant ne peut être reconnu coupable d’y avoir contrevenu sauf si la directive avait été portée à sa connaissance ou si des mesures raisonnables avaient été prises pour l’en informer. Mais il sera important pour un exploitant de ne pas ignorer les avis reçus, même si ceux-ci sont parfois d’apparence bénigne. L’exploitant visé ne pourra pas communiquer l’existence ou le contenu d’une directive sauf dans la mesure nécessaire pour s’y conformer. Cette contrainte a un effet pratique important : elle impose une gestion du « besoin de savoir » (need-to-know basis) interne et vis-à-vis des fournisseurs, sous-traitants, assureurs et autres partenaires. Renseignements : confidentialité, échanges et retrait des renseignements personnels La LPCSE met en place un régime complet d’échange de renseignements, notamment pour soutenir l’établissement et l’évolution des directives. Pour les fins liées à l’établissement, la modification ou la révocation d’une directive, certaines autorités peuvent recueillir et communiquer des renseignements, y compris confidentiels, entre elles. La loi encadre aussi la communication et l’utilisation des renseignements confidentiels et prévoit des exceptions, notamment lorsque la communication est légalement exigée ou nécessaire à la protection des services / systèmes / cybersystèmes essentiels. Une conformité « prouvable » La LPCSE impose une tenue de documents couvrant la mise en œuvre du programme, les incidents déclarés, les mesures d’atténuation relatives aux tiers, l’exécution des directives et toute autre question prévue par règlement. Ces documents doivent être conservés au Canada, selon les modalités prévues par règlement ou, à défaut, par l’organisme réglementaire compétent. Cette exigence est centrale : elle transforme la conformité en obligation de preuve. Le régime prévoit des pouvoirs étendus de vérification et d’exécution, exercés selon le secteur par différentes autorités (surintendant, ministre de l’Industrie via inspecteurs, Banque du Canada, Commission canadienne de sûreté nucléaire, Régie canadienne de l’énergie, ministre des Transports). Les dispositions d’accès aux lieux, d’examen de cybersystèmes, de reproduction et de saisie temporaire de documents/systèmes sont détaillées dans la LPCSE. Des mécanismes d’ordres de vérification interne et d’ordres de conformité existent selon les autorités. La loi interdit l’entrave et les renseignements faux ou trompeurs, ce qui renforce l’importance de la qualité des informations remises. La version sanctionnée ajoute aussi une protection expresse : la LPCSE n’a pas pour effet de porter atteinte au secret professionnel de l’avocat ou du notaire. Attentions aux sanctions! Il y a lieu de noter que des sanctions administratives substantielles sont prévues dans la loi, de même que des infractions pénales (y inclus l’emprisonnement). Les dirigeants et administrateurs peuvent être considérés comme coauteurs d’une violation ou d’une infraction, selon le cas. Les violations continues peuvent être comptées jour par jour. Pour la Partie 2 de la loi, les sanctions administratives peuvent atteindre 500 000 $ pour un individu, et 15 000 000 $ dans les autres cas. Certaines contraventions constituent en outre des infractions pénales punissables, dans certains cas, soit par procédure sommaire, soit par mise en accusation. Selon la nature du manquement et s’il s’agit d’un particulier, l’emprisonnement peut être possible. Comment nous pouvons vous accompagner dans la mise en œuvre du projet de loi C-8 Nous pouvons notamment vous assister à l’égard des éléments suivants : Positionnement réglementaire  Cartographier votre exposition (télécoms, services/systèmes critiques; désignation actuelle ou anticipée) et établir une feuille de route réaliste, priorisée par risques. Réponse aux mesures imposées  Accompagner la réception, l’analyse et l’exécution de décrets, arrêtés ou directives. Conformité  Bâtir ou consolider la gouvernance, la tenue de documents et les processus internes (demandes de renseignements, vérifications/inspections, traçabilité des décisions). Tiers et approvisionnement  revoir et négocier les contrats et exigences de sécurité (notification d’incident, coopération, audit, sous-traitance, correctifs, retrait/substitution) et documenter les mesures d’atténuation. Incidents et application Accompagner la réponse aux incidents (qualification, notifications, préservation des preuves) et gérer le risque de SAP et d’exposition pénale, y compris pour les dirigeants et administrateurs. Conclusion En pratique, les organisations potentiellement visées ont intérêt à se préparer dès maintenant, même si la Partie 2 de la loi n’est pas encore en vigueur. La portée concrète du régime dépendra de l’entrée en vigueur de la LPCSE, de l’adoption des règlements d’application et de l’ajout, à l’annexe 2, des catégories d’exploitants visés et de leur organisme réglementaire correspondant. D’ici là, les organisations qui structurent dès maintenant leur gouvernance, leur documentation et leur gestion des tiers seront mieux placées pour s’adapter rapidement lorsque les obligations sectorielles seront précisées.

L’intelligence artificielle (l’« IA ») n’est plus une promesse, mais une réalité d’affaires : elle est devenue un outil de gestion et de production au quotidien. Des solutions d’IA générative et d’analytique se sont imposées dans les entreprises pour rédiger, trier, décider, surveiller, évaluer…, et souvent, sans réflexion structurée préalable. Pour les employeurs, le défi est double : saisir rapidement les gains de productivité, tout en évitant que l’IA ne devienne une source de risque juridique, réputationnel ou opérationnel. Les cas d’usage se multiplient (assistance rédactionnelle, aide à la décision, analyse du rendement, surveillance numérique, prédiction d’incidents ou d’accidents) et, avec eux, les questions qui intéressent autant les dirigeants que les médias, notamment : qui doit être tenu responsable lorsque l’outil se trompe, quelles données sont utilisées, et jusqu’où peut-on aller dans le suivi des salariés? Bien encadrée, l’IA peut soutenir l’innovation, accélérer sa mise en œuvre, et contribuer au bien-être ainsi qu’à la santé et à la sécurité au travail. Au Québec, ces avantages prennent un relief particulier dans un contexte de vieillissement de la population, de rareté de la main-d’œuvre et de pression accrue sur la productivité, qui appelle des solutions favorisant la croissance et la compétitivité. L’intégration de systèmes d’IA en milieu de travail soulève des enjeux réels et multidimensionnels, notammen  : la protection des renseignements personnels et la confidentialité, la responsabilité et l’imputabilité en cas d’erreur ou de défaillance, ainsi que les impacts possibles sur la charge de travail et le climat de travail. Conscient des effets de la transformation numérique et de l’IA sur les milieux de travail, le ministre du Travail a lancé un processus consultatif afin d’évaluer si les lois et règlements actuels permettaient d’accompagner adéquatement ces évolutions. En octobre 2025, il a mandaté le Comité consultatif du travail et de la main-d’œuvre (le « CCTM ») pour poursuivre la réflexion afin de dégager une vision commune concernant : « Les mécanismes de concertation appropriés à la réalité du recours à l’IA dans les milieux de travail; Les principes éthiques, de gouvernance et de transparence dans la prise de décisions en matière de ressources humaines; La prévention des risques émergents en matière de santé et sécurité au travail. »1 Avis du CCTM : Recommandations L’Avis du CCTM concernant les enjeux entourant l’implantation et l’usage des systèmes d’intelligence artificielle en milieux de travail au Québec (l’« Avis du CCTM ») a été rendu public le 29 avril 2026. Les recommandations qu'il renferme quant à l’implantation et à l’usage des systèmes d’IA en milieu de travail au Québec incluent notamment : L’application du cadre juridique actuel en droit du travail et de l’emploi au Québec; La préservation du rôle essentiel et de la responsabilité du jugement humain dans les décisions automatisées; L’application des lois sur la protection des renseignements personnels2 lors de la conception, l’implantation et l’utilisation des systèmes d’IA, et la priorisation des approches limitant le recours à la surveillance électronique; La mise de l’avant d’un processus d’impact algorithmique, lequel devrait impliquer les employés, prenant en compte l’impact des décisions automatisées sur les droits fondamentaux et la vie privée; Le soutien de la formation continue et de la mobilité des personnes salariées par les entreprises; L’encadrement des algorithmes par de saines pratiques de gouvernance favorisant la transparence et l’explicabilité des décisions algorithmiques; L’importance d’accorder une vigilance particulière quant aux biais discriminatoires. Le CCTM adresse également des recommandations à la Commission d’accès à l’information, notamment afin que le guide de rédaction des politiques de confidentialité soit mis à jour pour y intégrer la divulgation de l’utilisation de l’IA et des technologies de surveillance, et pour inciter les employeurs à informer les personnes salariées de l’intention de recourir à une décision partiellement ou entièrement automatisée. Enfin, le CCTM recommande dans son Avis que le ministère du Travail produise, en collaboration avec le CCTM, un guide d’accompagnement visant à soutenir une implantation de l’IA responsable, conforme et socialement acceptable. Guide du ministre du Travail : 5 principes Dans la foulée de ces recommandations contenues dans l’Avis du CCTM, le ministre du Travail a rendu disponible un guide intitulé L’intelligence artificielle au travail : Guide d’accompagnement pour une intégration responsable (le « Guide ») le 12 juin dernier. Le Guide vise à favoriser une intégration de l’IA en milieu de travail qui est responsable, humaine et concertée. Il propose ainsi cinq (5) grands principes destinés à structurer la réflexion et à sensibiliser les organisations aux principaux enjeux, à savoir : Le respect des droits et libertés en milieu de travail; La protection de la vie privée et la gouvernance des données; La gouvernance, la participation et le dialogue social; La surveillance humaine et la transparence; Le développement durable et le bien-être. Pour chacun de ces principes, le Guide présente des exemples d’usages de l’IA en milieu de travail, met en lumière les avantages et défis associés, et propose des actions concrètes afin d’encadrer l’intégration et l’utilisation de l’IA de manière responsable. Le Guide se veut un outil pratique évolutif que les organisations et les acteurs du monde du travail sont invités à contextualiser et à adapter selon leur réalité. Vers une IA accessible et encadrée En somme, l’intégration de l’IA en milieu de travail offre des possibilités concrètes d’amélioration, tout en soulevant des enjeux importants qui requièrent un encadrement rigoureux. Dans cette perspective, le Guide vise non seulement à soutenir une adoption de l’IA respectueuse des droits, des personnes et des réalités du travail, mais aussi à outiller les différents acteurs afin de favoriser l’intégration et l’utilisation de l’IA dans les milieux de travail. Plusieurs beaux défis sont donc à prévoir dans les années à venir. Lavery compte plusieurs spécialistes bien outillés pour vous accompagner à y faire face. N’hésitez pas à contacter l’un d’entre eux. Comité consultatif du travail et de la main-d’œuvre, Avis du CCTM concernant les enjeux entourant l’implantation et l’usage des systèmes d’intelligence artificielle en milieux de travail au Québec, en ligne : https://cdn-contenu.quebec.ca/cdn-contenu/adm/min/travail/documents/CCTM/Avis_CCTM_Intelligence_Artificielle.pdf, 9 avril 2026, p. 6. Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1 ; Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels, RLRQ c. A-2.1.

Les projets biotechnologiques reposent sur des données génétiques et du matériel biologique sensibles Les entreprises innovantes évoluant dans les secteurs des sciences de la vie, de la recherche et des biotechnologies manipulent aujourd’hui des actifs parmi les plus sensibles sur le plan juridique : tissus humains, matériel biologique et données génétiques. Qu’il s’agisse d’ingénierie tissulaire, de biobanques ou de technologies d’analyse reposant sur l’intelligence artificielle, les modèles d’innovation se développent désormais autour de la circulation et de l’exploitation de données biologiques à forte valeur scientifique et commerciale. Pourtant, plusieurs organisations concentrent encore leurs efforts sur les dimensions scientifiques et opérationnelles de leurs projets, sans toujours mesurer pleinement les contraintes juridiques qui apparaissent dès qu’un projet implique de l’ADN ou du matériel biologique associé à une personne. Le risque d’un point de vue commercial est donc qu’une organisation, qu’elle soit une entreprise privée ou une institution publique, développe une technologie, mais soit incapable de l’exploiter commercialement, faute d’avoir les droits nécessaires à l’utilisation du matériel biologique et des renseignements impliqués. Au Canada, et plus particulièrement au Québec, les lois relatives à la protection des renseignements personnels et des renseignements de santé constituent désormais la pierre angulaire de ces projets1. Cette réalité dépasse largement les enjeux traditionnels de cybersécurité ou de confidentialité. Elle influence directement la manière dont le matériel biologique peut être : collecté; utilisé; transféré; conservé; transformé; et éventuellement valorisé dans un contexte commercial ou de recherche collaborative2. Pourquoi l’ADN et les tissus humains bénéficient d’une protection juridique particulière La sensibilité particulière de l’ADN et des données génétiques n’est d’ailleurs plus contestée. La jurisprudence canadienne reconnaît depuis longtemps le caractère hautement personnel et intime de ce type d’information3. La doctrine souligne également que les tissus humains et les données génétiques occupent une place particulière dans les projets de recherche et d’innovation en raison de leur potentiel d’identification, de leur valeur scientifique et des enjeux éthiques et commerciaux associés à leur utilisation4. Cette approche se reflète notamment dans la Loi sur les renseignements de santé et de services sociaux5, dont l’article 2 qualifie expressément de renseignement de santé toute information concernant « tout matériel prélevé sur [une] personne », incluant le matériel biologique. Les articles 5 et suivants de cette loi encadrent également les conditions dans lesquelles ces renseignements peuvent être utilisés, communiqués ou transférés dans un contexte de recherche ou de collaboration impliquant des tiers6. Ces obligations s’ajoutent à celles prévues par la Loi sur la protection des renseignements personnels dans le secteur privé7, qui impose notamment que les renseignements personnels soient recueillis pour des fins déterminées et légitimes, et que leur utilisation demeure compatible avec les objectifs ayant justifié leur collecte initiale8. Intelligence artificielle, données génétiques et risques de réidentification Dans un contexte biotechnologique, cette question devient particulièrement sensible lorsque des tissus humains ou des données génétiques initialement recueillis dans un cadre clinique ou scientifique sont ensuite réutilisés dans des projets technologiques ou d’intelligence artificielle. En effet, beaucoup de projets où l’intelligence artificielle est utilisée requièrent à la fois l’utilisation de matériel biologique et de l’ADN, mais aussi des données phénotypiques, des renseignements de santé, ainsi que des renseignements familiaux des patients dont provient le matériel biologique. On parle donc ici d’un risque de croisement de données qui est substantiel et qui doit être encadré en toute conscience des risques pour ces individus. Dans certains projets, il semble probable que la combinaison de l’ADN et de renseignements familiaux compromette non seulement la vie privée des individus desquels le matériel biologique a été prélevé, mais aussi de membres de leurs familles. Ce type d’enjeu a déjà été soulevé d’ailleurs dans le cadre de la génétique généalogique9. Consentement, renseignements de santé et usages secondaires : un enjeu souvent sous-estimé Un projet initialement conçu à des fins de recherche peut rapidement évoluer vers des usages secondaires dépassant le cadre initial envisagé. Pourtant, les mécanismes de consentement obtenus au départ ne couvrent pas nécessairement l’ensemble des usages futurs, notamment lorsque des données dérivées ou des résultats d’analyse sont intégrés à des plateformes technologiques ou utilisés dans le développement d’outils analytiques10. Contrats de recherche et transfert de matériel biologique : un outil essentiel de gouvernance Les contrats deviennent alors l’outil central de gouvernance. Dans ce contexte, les conventions de transfert de matériel biologique, les ententes de recherche collaborative et les clauses relatives aux données ne servent plus uniquement à encadrer la propriété intellectuelle ou la confidentialité commerciale. Elles permettent également de structurer les responsabilités liées à la circulation des échantillons biologiques, à la traçabilité des données, aux restrictions de réutilisation et aux obligations de dépersonnalisation11. Propriété intellectuelle, ADN et renseignements personnels : des droits complémentaires Cette interaction entre innovation biotechnologique, propriété intellectuelle et protection des renseignements personnels soulève des tensions juridiques complexes. Une base de données génétiques ou un modèle biologique dérivé peut représenter simultanément un actif commercial stratégique et un ensemble de renseignements personnels hautement sensibles. Or, les droits de propriété intellectuelle pouvant exister sur les résultats, les algorithmes ou les méthodes analytiques ne permettent pas d’écarter les obligations imposées par les lois québécoises relatives à la protection des renseignements personnels et des renseignements de santé12. Au contraire, pour pouvoir exploiter commercialement une technologie, il faut à la fois avoir les droits nécessaires sur la propriété intellectuelle, mais aussi ceux découlant du cadre juridique associé aux renseignements de santé et aux renseignements personnels. L’exploitation commerciale d’une technologie commence bien avant sa mise en marché Dans un contexte où les organisations cherchent de plus en plus à valoriser les données issues de la recherche scientifique, les enjeux liés à la gouvernance des tissus humains, de l’ADN et du matériel biologique ne devraient plus être abordés comme une considération accessoire traitée en fin de projet. Ils deviennent un élément central de la structuration juridique, opérationnelle et commerciale des projets biotechnologiques modernes et méritent donc qu’on s’y attarde en amont. À retenir 1. L'ADN est juridiquement un renseignement de santé  Au Québec, le matériel biologique et les données génétiques ne sont pas de simples outils de recherche. Selon la loi, ils sont qualifiés de « renseignements de santé » hautement sensibles. La collecte, l'utilisation et le transfert sont strictement encadrés, exigeant un consentement exprès et éclairé. 2. La propriété intellectuelle ne donne pas tous les droits Développer un algorithme d'IA performant ou un modèle biologique innovant ne permet pas de contourner les lois québécoises sur la protection de la vie privée. Pour commercialiser une technologie biotechnologique, il faut impérativement détenir les droits de propriété intellectuelle ET respecter le cadre juridique des données de santé utilisées. 3. Le piège de l’évolution des projets (usages secondaires) Un consentement obtenu au départ pour un projet de recherche clinique ne couvre généralement pas les usages futurs (comme l'intégration des données dans des plateformes d'IA). Sans une gouvernance contractuelle solide dès le départ (conventions de transfert, clauses de dépersonnalisation), l'organisation risque de ne jamais pouvoir exploiter commercialement sa technologie. Loi sur les renseignements de santé et de services sociaux, RLRQ c R-22.1, art 1, 2, 5, 44 à 49 et 77. Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c P-39.1, art 4, 5, 8, 12 et 14. R c. Dyment, [1988] 2 RCS 417; R c S.A.B., 2003 CSC 60. Marie Hirtle et Bartha Maria Knoppers, Le stockage des éléments du corps humain, les droits de propriété intellectuelle et les autres droits de propriété, Industrie Canada, 2014. Loi sur les renseignements de santé et de services sociaux, préc., note 1, art 2. Id., art 5, 44 à 49 et 77. Loi sur la protection des renseignements personnels dans le secteur privé, préc., note 2. Id., art 4, 5, 8, 12 et 14. Clausius, K., Kenny, E. & Crawford, M. J. (2023). BILL S-231: The Ethics of Familial and Genetic Genealogical Searching in Criminal Investigations. Canadian Journal of Bioethics / Revue canadienne de bioéthique, 6(3-4), 44–56.  Loi sur les renseignements de santé et de services sociaux, préc., note 1, art 44 à 49; Loi sur la protection des renseignements personnels dans le secteur privé, préc., note 2, art 12 et 14. Loi sur les renseignements de santé et de services sociaux, préc., note 1, art 48 et 49; Loi sur la protection des renseignements personnels dans le secteur privé, préc., note 2, art 18.3 et 23. Loi sur les renseignements de santé et de services sociaux, préc., note 1, art 5 et 49; Loi sur la protection des renseignements personnels dans le secteur privé, préc., note 2, art 12, 17 et 18.3.