Continuité des services numériques : le vide légal

Jeudi 12 novembre, vers midi, une partie du réseau scolaire québécois est devenue injoignable par écrit. Au Centre de services scolaire de Kamouraska–Rivière-du-Loup, le personnel a perdu l’accès à ses courriels et à son intranet. À Drummondville, le Centre de services scolaire des Chênes a renvoyé les parents vers une application mobile et vers le téléphone. Selon La Presse, d’autres centres, du Témiscamingue à la Montérégie, ont signalé la même chose sur les réseaux sociaux. À l’origine, des serveurs d’Exchange Online, la messagerie de Microsoft 365, qui avaient cessé de répondre.

Au plus fort de la panne, le site Downdetector comptait plus de 131 000 signalements, rapporte TechRadar. À 18 h 05, Microsoft disait remettre des serveurs en service, sans annoncer la fin de l’incident.

Je laisse aux ingénieurs le soin d’expliquer la panne. Ce qui m’occupe est ce qu’elle révèle du droit. Au Québec, la loi encadre de près ce que l’école fait de vos renseignements. Elle ne dit à peu près rien de sa capacité de vous répondre. La continuité des services numériques d’un organisme public ne figure dans aucun texte contraignant que j’aie pu lire, et je crois qu’il faut l’y inscrire.

Ce que la loi exige, et ce qu’elle tait

Commençons par le mécanisme. Les centres de services scolaires sont des organismes publics au sens de la Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement : le paragraphe 4° de son article 2 les nomme. L’article 12.2 les oblige à assurer la sécurité de leurs ressources informationnelles et de l’information qu’ils détiennent, puis à corriger les effets d’une atteinte ou à en réduire le risque. La loi crée aussi un chef gouvernemental de la sécurité de l’information et exige des plans de transformation numérique.

Dans sa version à jour au 15 octobre 2026, ce texte ne parle ni d’infonuagique, ni de continuité des services, ni de dépendance à un fournisseur. Il protège l’information. Il ne garantit pas que le service qui la transporte fonctionne.

L’énoncé gouvernemental d’orientations en infonuagique et en hébergement, mis à jour le 18 juin 2026, comble une partie du vide, sur papier. Il pose un principe de résilience : des solutions conçues pour résister aux pannes. Il range la dépendance à un fournisseur et la continuité des services parmi les risques à analyser avant de choisir une solution. Analyser un risque n’est pas le couvrir. La page de l’énoncé ne mentionne pas la réversibilité, et aucune exigence précise n’y est formulée sur la dépendance. Un énoncé d’orientations ne se plaide pas comme une loi.

Le parent, lui, a des délais

De l’autre côté du guichet, les droits sont écrits au présent de l’indicatif. L’article 1 de la Loi sur l’instruction publique reconnaît à toute personne le droit aux services éducatifs. La Loi sur le protecteur national de l’élève minute la suite : une plainte qui n’est pas traitée dans les 10 jours ouvrables peut être portée au responsable du traitement des plaintes du centre (article 24), qui doit donner son avis écrit dans les 15 jours ouvrables (article 25), faute de quoi le protecteur régional peut être saisi (article 27).

Une panne de quelques heures ne fait pas dérailler ces délais. Elle montre autre chose : l’obligation pèse sur l’école, et la garantie technique ne pèse sur personne. Le contrat type de Microsoft pour ses services en ligne promet une disponibilité mensuelle de 99,9 % et, sous ce seuil, des crédits sur la facture, présentés comme le seul recours du client. Le centre de services scolaire obtiendra peut-être un crédit. Le parent qui attendait une réponse écrite n’est pas partie au contrat, et celui-ci ne lui donne rien.

Un seul fournisseur, et plus de ministère

La dépendance n’a rien d’accidentel. Le ministère de la Cybersécurité et du Numérique inclut la suite Microsoft 365, la messagerie et Teams dans le service de base qu’il fournit aux organisations publiques. Son sous-ministre agit comme dirigeant principal de l’information de l’État, selon la page gouvernementale consacrée à cette fonction.

Or, le 2 novembre, le gouvernement a placé les quelque 2 000 employés de ce ministère sous la responsabilité du président du Conseil du trésor, sans l’aval de l’Assemblée nationale, en reconnaissant que les changements de structure exigeront une modification législative. Je ne juge pas l’opportunité du geste : le numérique relevait du Conseil du trésor avant 2022, et le ministère, en quatre ans d’existence, n’a pas davantage écrit l’obligation qui manque. Je constate seulement qu’entre l’ancien organigramme et la loi à venir, la question « qui répond de la continuité ? » n’a pas de réponse dans les textes.

Ottawa n’y pourvoira pas. La Loi sur la protection des cybersystèmes essentiels, sanctionnée le 15 juin 2026, vise six secteurs de compétence fédérale, des télécommunications aux banques, et sa partie 2 n’est pas en vigueur. L’école relève de Québec. Si l’obligation doit exister, c’est à l’Assemblée nationale de l’écrire.

L’objection qui mérite une réponse

On me dira que l’infonuagique d’un géant reste plus fiable, plus sûre et moins chère que le serveur logé dans le placard d’un centre administratif. Je ne le conteste pas, et je ne propose à personne de quitter Microsoft. On ajoutera que le réseau public a tenu là où il le fallait : à Santé Québec Mauricie-et-Centre-du-Québec, une conseillère en communication a indiqué à L’Express de Drummondville que la panne ne touchait ni le Dossier santé numérique ni les systèmes de soins.

Ces deux faits vont dans mon sens. Les systèmes cloisonnés ont résisté. Le centre de services scolaire des Chênes avait un second canal, l’application Clic école, et s’en est servi. Là où un plan B existait, le service a continué. Ce plan relève aujourd’hui de la prévoyance de chaque direction, pas d’une règle. La Ville de Matane, elle, a dû annoncer qu’elle ne pouvait plus recevoir de courriels et demander aux citoyens d’appeler.

Trois lignes à ajouter à la loi

La correction tient en peu de mots. Tout organisme public devrait tenir un plan de relève de ses communications avec les citoyens, documenté et mis à l’essai chaque année. Ce plan devrait prévoir un canal de secours qui ne dépend pas du fournisseur principal. Et chaque interruption notable devrait figurer au rapport annuel, avec sa durée.

Le véhicule existe déjà : pour régulariser le transfert du ministère, le gouvernement devra rouvrir ces lois. Il pourra y inscrire la continuité des services numériques, ou se contenter d’y déplacer des cases. Un organigramme n’a jamais répondu à un parent. Lequel des deux projets de loi sera déposé ?

Note sur ce contenu. Cette chronique a été rédigée par un(e) chroniqueur·euse IA du Juridhic. Elle reflète ses recherches et son point de vue, sous la supervision et la responsabilité éditoriale de la rédaction humaine du Juridhic. Nous visons la plus grande rigueur, mais des erreurs peuvent subsister. Votre vigilance compte : signalez-nous toute correction à corrections-lejuridhic@protonmail.ch.