Accord numérique Canada-UE : la Loi 25 tient toujours

Réunis à Montréal le 30 octobre 2026, le Canada et l’Union européenne ont annoncé la conclusion des négociations d’un accord sur le commerce numérique, qui doit faciliter les flux de données transfrontaliers. Conclu ne veut pourtant pas dire signé, encore moins en vigueur. Et même une fois en vigueur, cet accord ne dispenserait pas une entreprise québécoise de l’évaluation que la Loi 25 exige avant tout transfert de renseignements personnels hors du Québec.

Le sommet, présidé par le premier ministre Mark Carney, le président du Conseil européen António Costa et la présidente de la Commission européenne Ursula von der Leyen, a produit une déclaration commune ambitieuse, une « Alliance pour l’avenir ». Dans cette moisson d’annonces, les mots ont un poids juridique précis, et ils n’ont pas tous été repris avec exactitude.

Conclu, signé, en vigueur : trois étapes distinctes

La déclaration commune des dirigeants emploie une formule soigneusement pesée : les parties ont « conclu les négociations de fond » d’un accord sur le commerce numérique (traduction libre). La Commission européenne parle d’une conclusion politique qui marque la fin des négociations. Affaires mondiales Canada classe l’accord dans la catégorie « négociations conclues ». Aucune de ces sources officielles ne parle de signature.

Plusieurs étapes restent à franchir. Selon la Commission, le texte doit faire l’objet d’une révision juridique et d’une traduction dans toutes les langues officielles de l’Union. Il doit ensuite être soumis au Conseil et au Parlement européen avant la signature et la conclusion formelles, chaque partie suivant ses propres procédures. Le texte de l’accord n’était pas publié en date du 3 novembre 2026.

Une partie de la couverture médiatique a brouillé cette distinction. Un compte rendu de La Presse Canadienne, repris par plusieurs diffuseurs, évoquait des accords « signés » vendredi, dont l’accord numérique. Les textes officiels ne le confirment pas.

Étape	Statut au 3 novembre 2026	Effet juridique
Conclusion des négociations	Annoncée le 30 octobre 2026	Aucune obligation ; texte arrêté sur le fond
Révision juridique et traduction	À venir	Le libellé peut encore être ajusté
Signature	Non intervenue	Engagement politique des parties
Approbation et ratification	À venir (Conseil, Parlement européen, procédures canadiennes)	Condition de l’entrée en vigueur
Entrée en vigueur	Non intervenue	Obligations exécutoires entre les parties

L’accord sur l’IA date de décembre 2025

La même prudence s’impose pour l’intelligence artificielle. La déclaration du 30 octobre mentionne la signature de protocoles d’entente sur l’IA et sur l’identité numérique, mais dans une liste de réalisations accomplies « depuis notre dernier sommet en juin 2025 ». Selon Innovation, Sciences et Développement économique Canada, ces deux protocoles ont été signés le 8 décembre 2025, à Montréal, à l’issue de la première réunion du Conseil du partenariat numérique Canada-UE. Le ministre Evan Solomon et la vice-présidente exécutive de la Commission Henna Virkkunen y prévoyaient une collaboration sur les normes, la recherche et l’adoption de l’IA. Le communiqué de 2025 ne précise pas si ce protocole crée des obligations contraignantes. Un protocole d’entente de ce type exprime généralement une intention de coopérer, sans la portée d’un traité.

Ce que l’accord promet sur les données

Selon la déclaration commune, l’accord doit accroître la sécurité juridique et faciliter les flux de données transfrontaliers. La Commission décrit un cadre de flux de données de confiance visant à prévenir les restrictions injustifiées, ainsi que des règles sur les signatures électroniques, la protection des consommateurs en ligne et les messages commerciaux non sollicités.

Le mandat de négociation éclaire la portée réelle de ces engagements. Dans la recommandation du 10 septembre 2025, la Commission prévoyait de traiter les exigences injustifiées de localisation des données « sans négocier ni affecter » les règles européennes de protection des données personnelles (traduction libre). La protection de la vie privée figurait parmi les objectifs légitimes que l’accord ne doit pas empêcher de poursuivre. Du côté canadien, Affaires mondiales indique que l’accord préserve la capacité de réglementer, notamment en matière de vie privée.

Pourquoi la Loi 25 reste incontournable

Cette architecture laisse intact le régime québécois. L’article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé, modifié par la Loi 25 et en vigueur sous sa forme actuelle depuis le 22 septembre 2023, impose une obligation qui ne connaît pas d’exception par pays. Avant de communiquer un renseignement personnel à l’extérieur du Québec, l’entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée. Elle tient compte de la sensibilité du renseignement, de la finalité de son utilisation, des mesures de protection, y compris contractuelles, et du régime juridique de l’État destinataire.

La communication n’est permise que si l’évaluation démontre une protection adéquate. Elle doit faire l’objet d’une entente écrite qui reprend les résultats de l’évaluation. La règle vaut aussi lorsqu’une entreprise confie à un tiers à l’étranger la conservation ou le traitement de renseignements pour son compte, par exemple un hébergeur infonuagique en Europe.

Un accord commercial qui interdit les exigences de localisation injustifiées vise d’abord les États : il les empêche d’exiger que les données restent sur leur territoire. Il ne transforme pas un transfert en transfert présumé sûr. L’article 17 n’impose d’ailleurs pas de localiser les données au Québec ; il impose d’évaluer avant de transférer. Les deux régimes peuvent donc coexister, et rien dans les sources officielles consultées n’indique que l’accord prévoie une reconnaissance automatique de l’équivalence des protections.

Le droit européen fonctionne de la même façon. La décision d’adéquation que l’Union a accordée au Canada en 2001, et confirmée lors de son réexamen en 2024, permet aux données personnelles de circuler de l’Europe vers les organisations canadiennes assujetties à la loi fédérale, sans formalités supplémentaires. Elle ne règle pas l’autre sens, et elle ne dispense pas une entreprise québécoise de ses propres obligations.

Ce que les entreprises devraient retenir

Pour une PME québécoise qui vend en Europe ou y héberge ses données, l’annonce de Montréal ne change rien à court terme : l’accord n’est pas en vigueur, et ses engagements visent les États plutôt que les obligations des entreprises envers les personnes concernées. La Commission d’accès à l’information peut imposer une sanction administrative pécuniaire allant jusqu’à 10 millions de dollars ou 2 % du chiffre d’affaires mondial pour la communication de renseignements personnels contraire à la loi. Une évaluation documentée demeure la meilleure protection.

Un accord de confiance qui suppose des règles internes

La promesse du sommet de Montréal tient dans une formule : des données qui circulent librement, mais en confiance. La confiance, en droit québécois, a une forme précise : une évaluation écrite, une entente, une protection jugée adéquate. L’accord numérique pourra faciliter le commerce transatlantique ; il ne pourra pas remplacer ce raisonnement que la loi exige de chaque entreprise. Il faudra lire le texte, une fois publié, pour savoir si sa clause sur la vie privée confirme cette lecture ou la complique.

Note sur ce contenu. Cet article a été rédigé par un(e) journaliste IA du Juridhic. Il reflète ses recherches et son point de vue, sous la supervision et la responsabilité éditoriale de la rédaction humaine du Juridhic. Nous visons la plus grande rigueur, mais des erreurs peuvent subsister. Votre vigilance compte : signalez-nous toute correction à corrections-lejuridhic@protonmail.ch.