T-11.003 - Loi favorisant la transformation numérique de l’administration publique

À jour au 20 février 2024

Ce document a valeur officielle.

chapitre T-11.003

Loi favorisant la transformation numérique de l’administration publique

1. La présente loi a pour objet de favoriser la transformation numérique de l’administration publique en prévoyant des règles applicables dans le cadre de la réalisation de projets en ressources informationnelles d’intérêt gouvernemental. Elle favorise l’efficience et l’efficacité de l’administration gouvernementale et la mise en place d’outils nécessaires à la prestation de services publics optimaux.

Les pouvoirs conférés par la présente loi doivent être exercés de manière à respecter le droit à la vie privée et le principe de transparence ainsi qu’à promouvoir la confiance du public dans le développement de solutions technologiques de l’administration publique.

2019, c. 17, a. 1.

2. Dans la présente loi, un organisme public s’entend d’un organisme visé à l’article 2 de la Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement (chapitre G-1.03) et un projet en ressources informationnelles d’intérêt gouvernemental s’entend d’un projet en ressources informationnelles désigné d’intérêt gouvernemental par le gouvernement conformément au premier alinéa de l’article 16.3 de cette loi.

2019, c. 17, a. 2; 2021, c. 33, a. 40.

3. Un organisme public que peut désigner le gouvernement utilise et communique à toute personne ou à tout organisme les renseignements personnels qu’il détient dès lors que cette utilisation ou cette communication est nécessaire à la réalisation d’un projet en ressources informationnelles d’intérêt gouvernemental.

Le gouvernement peut également confier à un organisme public toute fonction ou toute responsabilité liée à la réalisation d’un tel projet et pourvoir à sa rémunération.

Un décret pris en application du présent article entre en vigueur le jour de sa publication à la Gazette officielle du Québec ou à une date ultérieure qui y est fixée.

Le présent article s’applique malgré toute disposition inconciliable d’une loi, dans la mesure où cette disposition est expressément mentionnée au décret pris en application du présent article.

2019, c. 17, a. 3.

4. Une personne ou un organisme à qui des renseignements personnels sont communiqués conformément au premier alinéa de l’article 3 ne peut les utiliser ou les communiquer que pour les fins de la réalisation du projet en ressources informationnelles d’intérêt gouvernemental pour lequel ils ont été obtenus et doit prendre les mesures de sécurité propres à assurer leur protection.

2019, c. 17, a. 4.

5. Tout organisme ou toute personne qui entend obtenir un mandat ou un contrat lié à la réalisation d’un projet en ressources informationnelles d’intérêt gouvernemental pour lequel l’utilisation et la communication de renseignements personnels prévues aux articles 3 et 4 s’appliquent doit se soumettre à un audit externe visant le respect des plus hautes normes et des meilleures pratiques en matière de sécurité de l’information et de protection de tels renseignements.

Le ministre peut prévoir les cas et les circonstances où le premier alinéa ne s’applique pas et rend publics les critères menant à sa décision.

2019, c. 17, a. 5; 2021, c. 33, a. 41.

6. Le gouvernement peut, pour l’application de l’article 3, édicter des règles particulières de protection des renseignements personnels.

Le gouvernement doit toutefois édicter de telles règles particulières lorsque, pour l’application de l’article 3, il existe un degré élevé d’attente raisonnable en matière de vie privée, sauf si une disposition d’une loi ou d’un règlement prévoit déjà une protection.

Les règles édictées conformément au deuxième alinéa sont publiées à la Gazette officielle du Québec dans les 15 jours de leur édiction.

2019, c. 17, a. 6.

7. Le gouvernement fixe la période au cours de laquelle un décret pris en application de l’article 3 a effet. Cette période ne peut excéder cinq ans, que le gouvernement peut prolonger d’au plus deux ans. Un tel décret cesse d’avoir effet à l’expiration de cette période ou, si elle est antérieure, à la date qui suit celle où toutes les étapes ou phases de réalisation du projet en ressources informationnelles d’intérêt gouvernemental pour lequel il a été pris sont complétées.

2019, c. 17, a. 7.

8. La Commission d’accès à l’information peut donner son avis sur un projet en ressources informationnelles d’intérêt gouvernemental, un projet de règlement ou un projet de décret qui implique l’utilisation ou la communication de renseignements personnels visées à l’article 3.

Elle peut également donner au gouvernement, pour l’application du deuxième alinéa de l’article 6, son avis sur la nature des renseignements personnels visés par un tel projet, à savoir s’il existe un degré élevé d’attente raisonnable en matière de vie privée.

2019, c. 17, a. 8.

9. L’organisme public responsable de la gestion d’un projet en ressources informationnelles d’intérêt gouvernemental visé par la présente loi doit, dès la conception d’un tel projet et lors de toute modification jusqu’à sa réalisation, procéder à une évaluation des facteurs relatifs à la vie privée selon les plus hauts standards du moment et conserver ces standards dans ses archives. Il doit également prendre les mesures appropriées afin d’assurer la protection des renseignements personnels à chaque étape ou phase de réalisation d’un tel projet.

Une copie de l’évaluation des facteurs relatifs à la vie privée est transmise, dans les 30 jours de sa confection, à la Commission d’accès à l’information, qui peut donner son avis, et diffusée sur le site Internet de l’organisme public responsable de la gestion d’un tel projet.

2019, c. 17, a. 9.

10. L’organisme public responsable de la gestion d’un projet en ressources informationnelles d’intérêt gouvernemental doit transmettre annuellement au ministre un rapport concernant l’utilisation et la communication de renseignements personnels visées à l’article 3. Il transmet en même temps une copie de ce rapport à la Commission d’accès à l’information. Il doit également transmettre au ministre, dans les plus brefs délais après la clôture d’un tel projet, un rapport final concernant une telle utilisation ou une telle communication. Ce dernier est déposé à l’Assemblée nationale dans les 30 jours suivant la date de sa réception ou, si elle ne siège pas, dans les 30 jours de la reprise de ses travaux.

Le ministre détermine par arrêté la forme et la teneur des rapports visés au premier alinéa. Il publie sur son site Internet les renseignements suivants concernant un tel projet:

1°  le nom du projet et celui de l’organisme public responsable de sa gestion;

2°  le nom des organismes publics désignés conformément au premier alinéa de l’article 3 et la nature des renseignements personnels en cause;

3°  le nom de l’organisme public à qui le gouvernement confie une fonction ou une responsabilité conformément au deuxième alinéa de l’article 3 et la nature de celle-ci;

4°  une attestation que l’ensemble des mesures appropriées ont été prises afin d’assurer la protection des renseignements personnels;

5°  un état de situation concernant de possibles modifications législatives visant la mise en oeuvre de la solution technologique visée par le projet.

Le gouvernement doit prévoir une période de consultation selon les critères qu’il définit, à la fin de la période prévue au premier alinéa, afin d’établir la nécessité d’une loi de mise en oeuvre et publie ses conclusions dans les 30 jours suivants.

2019, c. 17, a. 10; 2021, c. 33, a. 42.

11. Les pouvoirs conférés au gouvernement par l’article 3 ne peuvent être exercés après le 10 octobre 2029.

2019, c. 17, a. 11.

12. Le ministre de la Cybersécurité et du Numérique est responsable de l’application de la présente loi.

2019, c. 17, a. 12; 2021, c. 33, a. 43.

13. (Omis).

2019, c. 17, a. 13.