L INFONUNAGIQUE DANS LE CONTEXTE GOUVERNEMENTAL ASPECTS LÉGAUX

Transcription

1 L INFONUNAGIQUE DANS LE CONTEXTE GOUVERNEMENTAL ASPECTS LÉGAUX JOURNÉE DES ACQUISITIONS ET DES TIC 15 octobre 2014 M e Cynthia Morin Direction des affaires juridiques Centre de services partagés du Québec

2 Pourquoi un nuage? Pas qu une tendance une révolution Potentiel d objets connectés à Internet pour les dix prochaines années évalué à milliards de dollars Source Le Monde.fr

3 Objectifs de la présentation Acquisition Localisation des données Protection des renseignements personnels Sécurité de l information Propriété matérielle et intellectuelle Continuité des affaires Autres clauses à prévoir Exemple

4 Acquisition S informer sur les services déjà en place dans l administration publique Publier un avis d appel d intérêt Connaître le marché Identifier des prestataires de services potentiels et mesurer leur intérêt Aider à définir le besoin de l organisme de façon adéquate et rigoureuse Mieux définir certaines exigences qui seront présentes dans les documents d appel d offres Obtenir des éclaircissements ou compléments d'information sur des questions spécifiques Maîtriser les différents enjeux

5 Acquisition En fonction des données qui seront hébergées dans le nuage Renseignements accessibles ou données publiques Nuage public Renseignements confidentiels nécessitant des mesures de sécurité élevées Nuage privé

6 Acquisition Loi sur les contrats des organismes publics (LCOP) et ses règlements Contrats de services Mode d acquisition Appel d offres Invitation Gré à gré Contrat d adhésion Négociation

7 Acquisition étapes MODÈLES DE PRESTATION DE SERVICES CORRESPONDANT AU BESOIN SaaS PaaS IaaS DONNÉES CONFIDENTIELLES OU ACCESSIBLES Public CHOIX DU MODE DE DÉPLOIEMENT TYPE DE NUAGE Hybride Communautaire Privé MODE D ADJUDICATION POUR ACQUISITION DU SERVICE CONTRATS

8 Localisation des données Externalisation, division et fragmentation des données Sous-traitance Équivalence de protection des renseignements personnels communiqués à l'extérieur du Québec ou confiés à l'extérieur du Québec (art. 70.1) Respect des accords intergouvernementaux applicables Exceptions possibles «lorsque le respect des dispositions du présent chapitre qui concernent le caractère ouvert des appels d'offres réduirait la capacité d'une Partie à maintenir la sécurité ou l'ordre public, ou encore à protéger la vie ou la santé des humains, des animaux ou des végétaux; ( )» (article 506, 11, e) de l ACI) Préséance des lois Sites d intérêt Commissariat à la protection à la vie privée du Canada Commission nationale de l informatique et des libertés (CNIL) et sa carte interactive de niveau d équivalence Équivalent Adéquat avec conditions Autorité de contrôle Non adéquat

9 Localisation des données Centres de traitement de données dans 82 pays Source : 12 mars 2012

10 Protection des renseignements personnels Aux USA : le Patriot Act Lois canadiennes : Loi sur l entraide juridique en matière criminelle Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes Loi sur le ministère de l'immigration et de la Citoyenneté Loi sur le Service canadien du renseignement de sécurité Commissaire à l information et à la protection de la vie privée/ontario : «Whether you have the Patriot Act or not it doesn t matter. There will always be law enforcement methods and techniques that will access certain types of information here, there and everywhere.» Dr. Ann Cavoukian, Février 2011.

11 Sécurité de l information Loi concernant le cadre juridique des technologies de l'information : Disponibilité de l information L intégrité du document doit être maintenue au cours de son cycle de vie Confidentialité des renseignements personnels ou autrement confidentiels Modèles de services + modes de déploiement + ampleur des projets = Mesures de mitigation des risques uniques à chaque projet

12 Propriété matérielle et intellectuelle Évaluation des risques de clauses parfois abusives Les droits de propriété intellectuelle nécessaires à l utilisation du service sont détenus par le prestataire Cession ou licence de droits d auteur sur les travaux du prestataire et, le cas échéant, sur le matériel antérieur ou préexistant Respect des droits de la propriété intellectuelle dans des localisations diverses et parfois inconnues Détermination du titulaire des droits d auteur lorsqu il y a création de nouvelles œuvres dans le cadre des services infonuagiques

13 Continuité des affaires Relève et continuité des affaires Exiger une relève de la solution en cas de sinistre Prise de copies de sécurité des données Cessation ou suspension des activités du prestataire de services (ex. faillite, lock-out, fermeture) Exiger une copie de sécurité à jour, intègre et exploitable des données Prévoir la remise automatique des codes sources dès la fin des travaux, s il y a développement d un logiciel Conclure un contrat d entiercement (remise des codes chez un fiduciaire)

14 Autres clauses contractuelles à prévoir Niveaux de service et performance escomptés Sous-traitance Cession des droits et obligations du prestataire de services Audits de conformité Journalisation des opérations Pénalités Loi applicable et district judiciaire Résolution des différends Résiliation de contrat Fin du contrat Transition à la sortie

15 Un exemple concret Acquisition d une solution SaaS pour service de dotation en ligne (SAGIR3) Clause d hébergement des renseignements personnels Équivalence requise par l article 70.1 de Loi sur l accès Pénalités de l article de Loi sur l accès Conditions d admissibilité Avoir un établissement au Québec ou dans un des territoires visés par les accords intergouvernementaux applicables Fournir, s il y a lieu, la lettre d autorisation d hébergement hors Québec produite par le CSPQ Lettre d autorisation pour hébergement hors Québec

16 1.3 CLAUSE D HÉBERGEMENT «Les renseignements personnels recueillis dans le cadre de (inscrire le contexte du contrat) doivent être hébergés au Québec. En aucun temps ces renseignements ne pourront être transférés à l extérieur du Québec à moins que le (nom de l organisme) soit assuré qu ils bénéficient d une protection équivalant à celle prévue à la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels (chapitre A-2.1), ci-après, Loi sur l accès. Cette exigence inclut tout lieu d hébergement des renseignements personnels dont notamment les sites de relève et de copies de sauvegarde permettant de répondre aux exigences du présent appel d offres. Le fournisseur doit avoir préalablement obtenu l autorisation écrite du (nom de l organisme) pour que ce dernier lui confie la tâche de détenir des renseignements personnels, les utiliser ou les communiquer à l'extérieur du Québec. Pour que le (nom de l organisme) puisse fournir cette autorisation, le fournisseur doit soumettre au (nom de l organisme), pour examen, les lois, règlements, procédures, standards, directives, politiques ou documents de même nature, de la province ou du pays où le fournisseur détiendra les renseignements personnels, les utilisera ou les communiquera. Le fournisseur devra déposer les documents, pour examen, et faire une demande d autorisation auprès du représentant désigné du (nom de l organisme), au plus tard, dix (10) jours avant la date de clôture de l appel d offres. Si le (nom de l organisme) estime, après analyse des documents déposés par le fournisseur, que les renseignements personnels ne bénéficieront pas d'une protection équivalant à celle prévue à la Loi sur l accès, l autorisation du (nom de l organisme) de détenir, les utiliser ou communiquer des renseignements personnels à l extérieur du Québec ne pourra être accordée au fournisseur. De plus, lorsqu en cours de contrat, des modifications sont apportées aux lois, règlements, procédures, standards, directives, politiques ou documents de même nature, de la province ou du pays où le fournisseur détient les renseignements personnels, le fournisseur doit en aviser le (nom de l organisme) et lui fournir copie des documents modifiés. Si le (nom de l organisme) est d avis que les modifications apportées sont de nature à compromettre et ne plus assurer une protection équivalente à la Loi sur l accès, le (nom de l organisme) se réserve le droit de résilier le contrat selon les dispositions visées à (mettre l article du gabarit portant sur la résiliation). Si en cours de contrat, le fournisseur souhaite modifier le lieu d hébergement, il devra en obtenir l autorisation du (nom de l organisme) tel que stipulé aux paragraphes précédents.»

17 Lettre d autorisation Objet : Autorisation du CSPQ pour un site d hébergement Appel d offres numéro xxx Madame, Monsieur, Dans le cadre de l appel d offres portant le numéro : et, tel que demandé à la clause 1.3 des documents d appel d offres «CLAUSE D HÉBERGEMENT», vous nous avez soumis pour examen les lois et directives des pays où vous souhaitez détenir les renseignements personnels et ce, en vue de l obtention d une autorisation par le Centre de services partagés du Québec (CSPQ) pour un site d hébergement à l'extérieur du Québec. Suite à l analyse conjointe des documents que vous nous avez soumis pour l hébergement (nom du pays) et pour un site de relève en (nom du pays), le CSPQ et l Agence du Revenu du Québec en arrivent à la conclusion que la protection des renseignements personnels qui sera accordée dans les pays précités est équivalente à celle prévue à la Loi sur l accès aux documents des organismes publics et sur la protection des renseignements personnels (chapitre A-2.1) Dans l éventualité où vous seriez retenu à titre d adjudicataire du contrat à être signé, le CSPQ vous accorde l autorisation d héberger (nom du pays), de même qu en (nom du pays) pour le site de relève, les renseignements personnels qui seront détenus, utilisés ou communiqués pour le compte du CSPQ et de l ARQ. (formule de politesse)

18 Conclusion Identification des besoins bien planifiée Choix du mode de déploiement Définition des exigences de sécurité et de responsabilité Évaluation et choix du prestataire Parties prenantes impliquées Gages de succès

19 Questions? Merci de votre attention