Après l'ex-ministre Gilles Bélanger, c'est au tour du sous-ministre à la Cybersécurité et au Numérique, Stéphane Le Bouyonnec, d'informer les Québécois de la vulnérabilité de leurs données en raison des lois américaines. Lors de l'étude des crédits de son ministère, le 27 mai, ses explications ont contredit les propos rassurants véhiculés par le gouvernement et par Santé Québec.

Les trois heures de commission parlementaire ont permis d'apprendre que les données sensibles des Québécois inscrits au Dossier santé numérique (DSN) ne migreront pas vers un nuage gouvernemental sécurisé avant 18 ou 24 mois.

En attendant, elles seront à la merci du CLOUD Act, une loi qui permet aux autorités des États-Unis d'obliger toute entreprise américaine (Microsoft, Amazon, Google, etc.) à leur remettre les données qu'elles détiennent, même si ces données sont hébergées sur des serveurs dans un autre pays.

La question du CLOUD Act est une préoccupation importante pour le gouvernement du Québec et pour de nombreux pays, a expliqué le sous-ministre Le Bouyonnec, qui a aussi le titre de dirigeant principal de l'information.

Ses propos font écho aux inquiétudes exprimées par son ancien ministre, Gilles Bélanger, en avril, avant le déploiement du DSN.

M. Bélanger avait déclaré que les données de santé hébergées par l'entreprise américaine Epic ne seraient « pas du tout en sécurité », en raison du CLOUD Act.

Quelques jours plus tard, il avait été écarté du conseil des ministres, ce qui l'avait conduit à quitter la Coalition avenir Québec (CAQ).

Gilles Bélanger, ex-ministre de la Cybersécurité et du Numérique, en avril 2026

Photo : Radio-Canada / Sylvain Roy Roussel

La loi québécoise ne suffirait pas

Stéphane Le Bouyonnec a expliqué que les données peuvent être obtenues sur demande d'une institution fédérale américaine, sans même passer par un juge, alors qu'initialement, on pensait que ce n'était que [par] les tribunaux.

Ces demandes [...] peuvent se faire sans que le pays ou la province ne soient avertis. Ce qui fait que notre loi 25 en matière de protection des renseignements personnels ne pourrait pas s'appliquer.

C'est une source de préoccupation pour l'ensemble des démocraties qui utilisent ces systèmes-là, a-t-il ajouté.

Sous l'impulsion de M. Le Bouyonnec et de l'ex-ministre Bélanger, le Québec a commencé une collaboration avec la France dans le but d'offrir aux fonctionnaires des outils de messagerie et de visioconférence qui ne sont pas des applications américaines, comme Teams ou WhatsApp.

Le sous-ministre pense qu'il faut surtout faire en sorte que les outils utilisés soient basés sur du logiciel libre qui permette de nous rendre moins dépendants de certains joueurs.

France-Élaine Duranceau a remplacé Gilles Bélanger comme ministre responsable de la Cybersécurité et du Numérique. (Photo d'archives)

Photo : Radio-Canada / Sylvain Roy Roussel

Retard du transfert des données vers le nuage souverain

M. Le Bouyonnec a expliqué que le gouvernement du Québec a développé une dépendance toxique envers certaines entreprises américaines, par exemple, la firme Broadcom, qui a augmenté ses coûts de licences de 300 à 400 %.

[Cet] impact budgétaire énorme fait en sorte qu'on a de la difficulté, après, de déplacer des charges d'un nuage à un autre ou de ramener ces charges-là à l'intérieur du nuage gouvernemental pour, par exemple, davantage protéger les données.

Le nuage gouvernemental permet le contrôle exclusif de l'État à des clés de chiffrement, rendant les données illisibles pour toute entité extérieure, même en cas de compromission des serveurs.

Le CLOUD Act est devenu préoccupant pour les gouvernements occidentaux depuis l'arrivée au pouvoir du président Donald Trump. (Photo d'archives)

Photo : Getty Images / Roberto Schmidt

Le Bouyonnec a peur d'un « kill switch » de Trump

Selon Stéphane Le Bouyonnec, les gouvernements au Canada et en Europe sont inquiets depuis l'événement à la Cour pénale internationale, lorsque la Maison-Blanche a coupé les communications Teams des juges et les cartes de crédit.

En août 2025, l'administration du président Donald Trump a imposé des sanctions à certains juges dont elle critiquait les décisions. Ces juges, dont une Canadienne, ont perdu l'accès à leurs cartes de crédit et à des plateformes américaines comme Amazon, Uber ou Expedia.

Ce n'est pas juste une question d'accès aux données, la préoccupation, c'est aussi la notion de kill switch, a expliqué Stéphane Le Bouyonnec.

Est-ce que le gouvernement américain peut faire en sorte que des systèmes critiques, [comme] nos systèmes de bureautique, [...] puissent être arrêtés? Cette préoccupation-là, elle est réelle.

La juge canadienne Kimberly Prost (en haut à droite) fait partie des juges sanctionnés qui ont perdu des accès à Teams, à leurs cartes de crédit et à plusieurs outils numériques. (Photo d'archives)

Photo : Associated Press / Peter Dejong

Des déclarations rassurantes, mais inexactes

En avril, après la sortie publique de Gilles Bélanger, Santé Québec avait fait le tour des médias (nouvelle fenêtre) pour rassurer les Québécois : Les données vont être hébergées au Canada et pas aux États-Unis, répétait la société d'État. C'est une priorité de nos équipes de s’assurer de la sécurité de ces données-là.

Or, les représentants du ministère de la Cybersécurité et du Numérique ont réitéré, lors de la commission parlementaire, que l'hébergement des données au Canada ne protège pas du tout contre le CLOUD Act.

Le député de Québec solidaire Haroun Bouazzi a aussi tourné en dérision la déclaration de Santé Québec selon laquelle le fournisseur américain Epic se serait engagé, oralement (nouvelle fenêtre) et dans une lettre, à refuser toute demande de Washington de fournir les données.

Est-ce qu'il y a quelqu'un, ici, qui pense que c'est une sécurité satisfaisante? a-t-il déclaré.

Est-ce que vous connaissez une multinationale américaine qui est entrée en désobéissance civile par rapport à une demande du gouvernement américain?

La ministre Duranceau a répondu que c'était une précaution qui a été prise pour mitiger le risque, le temps de passer à un nuage souverain.

La présidente et cheffe de la direction de Santé Québec, Geneviève Biron (droite), et la vice-présidente des technologies de l'information de Santé Québec, Erika Bially, en avril 2026.

Photo : Radio-Canada / Ivanoh Demers

Pas de risque zéro

Dans un courriel adressé à Radio-Canada, Santé Québec soutient que le DSN repose sur un encadrement juridique strict et des clauses contractuelles robustes.

La société d'État se rassure en faisant le constat que la compagnie américaine Epic n’est pas un fournisseur typiquement visé par le CLOUD Act et n’a jamais reçu de demande visant des données de clients hors des États‑Unis.

Santé Québec convient qu'il n’existe pas de risque zéro en matière de protection des données.

Les données de santé sont extrêmement sensibles, de l'aveu de la société d'État. L'ex-ministre de l'Économie Pierre Fitzgibbon les a déjà qualifiées de « mine d'or » pour les compagnies pharmaceutiques.

L'ancien ministre Gilles Bélanger pense, quant à lui, que ces données pourraient être utilisées par Washington comme moyen de pression dans le cadre de négociations commerciales.