Souveraineté numérique du Québec : le coût réel

Jeudi après-midi, « ma messagerie professionnelle ne répondait plus. À l’heure du souper, elle ne répondait toujours pas ». Selon le registre de Microsoft, l’incident avait commencé à 11 h 17. À 19 h 50, l’entreprise limitait encore le trafic vers ses serveurs, de crainte qu’ils ne retombent, et n’avait publié aucune cause.

En gestion de crise, cette situation a un nom : le point de défaillance unique. Un seul fournisseur tombe et l’organisation perd la parole. Une entreprise qui s’y expose commet une imprudence. Un État qui le fait pour son courrier, ses audiences et ses dossiers de santé abandonne davantage. La souveraineté numérique du Québec se reprend pourtant, à un prix que nous avons les moyens de payer. Le parti qui gouverne a promis de l’inscrire dans une loi. Qu’il la dépose.

L’État en redemande

La dépendance est documentée. Au printemps 2025, des enquêtes de La Presse, reprises depuis par le Barreau du Québec, établissaient qu’environ 85 % des solutions infonuagiques des organismes publics étaient hébergées par des géants américains, et que Santé Québec venait d’accorder 310 millions de dollars à Microsoft sans appel d’offres. Les salles d’audience virtuelles de la Cour supérieure et de la Cour du Québec sont des salles Teams.

Le plus instructif se trouve dans les documents du ministère de la Cybersécurité et du Numérique, à qui la loi confiait le dossier. Entre mai 2025 et avril 2026, il a conclu avec Microsoft quatre contrats totalisant environ 95 millions de dollars. Fin mai 2026, trois mois et demi après son énoncé de souveraineté numérique, il offrait aux organismes publics un bloc pouvant atteindre 30 000 licences de l’assistant Copilot, à 18 $ par mois chacune, autorisées à traiter des renseignements classés Protégé B.

La loi, elle, parle de souveraineté numérique sans rien exiger. J’ai cherché trois mots dans celle qui gouverne les ressources informationnelles de l’État : « infonuagique », « hébergement », « continuité ». Aucun n’y figure.

Des données d’ici, un juge d’ailleurs

Le problème juridique tient en une phrase, et c’est Ottawa qui l’a écrite en 2018 : tant qu’un fournisseur est soumis aux lois d’un autre pays, l’État client n’a pas la pleine souveraineté sur ses données, même logées dans un centre de données canadien.

Québec le sait. Le 7 avril 2025, un mémoire au Conseil des ministres admettait que le CLOUD Act pourrait permettre aux autorités américaines d’obtenir des données « sans avoir besoin d’aviser le gouvernement du Québec ». Le 10 juin suivant, au Sénat français, Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, a dû dire sous serment s’il pouvait garantir que les données des citoyens ne seraient jamais transmises aux autorités américaines sans l’accord de l’État. « Non, je ne peux pas le garantir », a-t-il répondu, en précisant que le cas ne s’était jamais présenté.

Le CLOUD Act exige au moins un mandat. L’article 702 de la loi américaine sur le renseignement étranger n’en exige pas pour viser des non-Américains situés hors des États-Unis, ce qui décrit à peu près tous les Québécois. Expiré le 12 juin 2026, il continue de produire ses effets jusqu’en mars 2027, sous des autorisations déjà accordées.

Notre propre droit pose la mauvaise question. L’article 70.1 de la Loi sur l’accès oblige l’organisme public qui confie des renseignements personnels hors du Québec à évaluer le régime juridique de l’État de destination. Il demande où vont les données. La loi américaine demande qui les détient. Les orientations gouvernementales de 2026 réservent bien les données les plus sensibles aux infrastructures dites souveraines, puis rangent dans cette catégorie « une infrastructure infonuagique publique désignée par la ministre ». Est souverain ce que la ministre désigne.

Le prix de la sortie

Personne ne le connaît, et c’est le premier reproche à faire. L’énoncé de février 2026 sur la souveraineté numérique du Québec ne contient ni budget ni échéancier. Le jour de l’annonce, il a été question de 1,4 milliard de dollars pour une quarantaine de projets ; le communiqué officiel, lui, ne chiffre rien.

On connaît mieux le prix du bail. Le plan déposé en mars prévoit 6,69 milliards de dollars en ressources informationnelles pour 2026-2027, soit 4,6 % de plus qu’un an plus tôt, et attribue la croissance des dépenses à l’infonuagique et aux hausses imposées par les fournisseurs. Depuis le 1^er juillet, Microsoft applique des augmentations qui atteignent 33 % sur certaines formules.

Il existe un étalon. Le Schleswig-Holstein, Land du nord de l’Allemagne, a retiré Microsoft Office de près de 80 % de ses quelque 30 000 postes et déplacé près de 44 000 boîtes de courriel vers une solution libre. Son gouvernement chiffre l’investissement de 2026 à 9 millions d’euros et l’économie de licences à plus de 15 millions par an. La mise serait récupérée en sept mois. L’opposition juge la conversion mal faite, et je ne prétends pas que le Québec ferait mieux.

Faisons quand même le calcul que personne n’a publié. La division allemande donne 300 euros par poste. Supposons 300 000 postes au Québec et triplons le prix, pour nos vieux systèmes et nos erreurs à venir : 270 millions d’euros, autour de 430 millions de dollars, une seule fois. C’est environ 6 % de ce que l’État dépensera en informatique cette année. Mon chiffre est une hypothèse. Celui du gouvernement n’existe pas.

Ce que le droit y gagnerait

Avec un fournisseur qui ne relève que du droit d’ici, l’autorité étrangère qui veut des données québécoises doit passer par l’entraide judiciaire : une demande d’État à État, puis un juge canadien convaincu qu’il existe des motifs raisonnables de croire à une infraction. La décision revient à un tribunal d’ici.

L’autre gain est contractuel. En 2010, la Cour supérieure a jugé illégal un contrat d’environ 720 000 $ que la Régie des rentes avait accordé pour des logiciels Microsoft sans mise en concurrence ouverte. La loi oblige déjà le dirigeant principal de l’information à veiller à ce que les organismes considèrent le logiciel libre. Libéraux, péquistes et caquistes ont gouverné depuis, et les ententes de gré à gré avec le même fournisseur se comptent aujourd’hui en centaines de millions de dollars.

L’objection qui mérite réponse

Michael Fekete et John Salloum, associés du cabinet Osler, ont écrit en octobre 2025 que ce risque est faible. Le CLOUD Act, rappellent-ils, n’a créé aucun pouvoir de surveillance : il faut un mandat, que le fournisseur peut contester, et ils ne connaissent aucun cas documenté de données d’entreprises canadiennes obtenues ainsi. La Colombie-Britannique a d’ailleurs abandonné en 2021 ses règles strictes de résidence des données, intenables pour ses écoles et ses hôpitaux.

Je leur accorde le droit et je conteste la conclusion. Un risque faible se tolère pour des factures. Il se tolère mal pour des dossiers médicaux et des audiences. Personne de sérieux ne propose de tout rapatrier : il faut classer, puis commencer par ce qui ne se rattrape pas.

Cinq gestes, avec des dates

Une loi d’abord, au printemps. Le 28 novembre 2025, le député Pascal Paradis, alors porte-parole du Parti québécois en matière de numérique, écrivait : « il est hors de question que nous soyons dépendants de fournisseurs étrangers ». Son parti gouverne depuis octobre. Son premier geste connu dans ce dossier, début novembre, a été de placer les quelque 2 000 fonctionnaires du ministère sous l’autorité du président du Conseil du trésor, Alain Therrien, avant tout vote de l’Assemblée nationale. Le projet de loi qui régularisera ce transfert est le véhicule tout trouvé. La loi dit aujourd’hui que le ministre « peut » élaborer des moyens de renforcer la souveraineté numérique. Il faut écrire « doit », exiger un rapport annuel aux députés et interdire de confier les données hautement sensibles à un fournisseur soumis au droit d’un autre État.

Ensuite, les clés. Ce qui restera chez un fournisseur américain doit être chiffré avec des clés que l’État détient seul. Le livre blanc fédéral recommande cette mesure, et on peut l’exiger dès le prochain renouvellement de contrat.

Troisième geste, un plan de relève mis à l’épreuve : chaque ministère, chaque réseau doit pouvoir communiquer une semaine sans son fournisseur principal et le démontrer par un exercice annuel. Quatrième, un devis : que le Conseil du trésor publie, avec le budget de mars, le coût d’une sortie par étapes, en commençant par les tribunaux, la santé et la police. Cinquième, ne rien réinventer. La France et l’Allemagne développent des suites bureautiques libres pour leurs administrations ; Québec peut s’y joindre et mettre son argent dans ses propres équipes. Selon le syndicat de ses professionnels, 44 % des effectifs du ministère étaient des consultants.

Jeudi, le Québec a attendu qu’une entreprise de Redmond redémarre ses serveurs. Nous l’avons expliqué dans ces pages : le contrat type de Microsoft ne prévoit, en pareil cas, qu’un crédit sur la facture. La prochaine panne viendra. Qu’elle trouve au moins une loi.