Le 5 octobre prochain auront lieu les élections provinciales au Québec. En vue de cette journée de scrutin, un rappel des obligations de l’employeur prévues par la Loi électorale1 s’avère de mise. 1. Période pour aller voter Le jour des élections, un employeur doit s’assurer que ses employés habiles à voter disposent d’une période de quatre (4) heures consécutives pour aller voter pendant les heures d’ouverture des bureaux de scrutin, soit entre 9 h 30 et 20 h2. Cette période ne comprend pas le temps normalement accordé pour les repas3. Au sens de la Loi électorale, un employé possède la qualité d’électeur s’il a 18 ans, est de citoyenneté canadienne, est domicilié au Québec depuis six (6) mois, n’est pas visé par une incapacité de voter résultant d’un jugement de tutelle et n’est pas autrement privé de ses droits électoraux en vertu de certaines lois4. Si les heures de travail d’un employé ne lui permettent pas de disposer de cette période de quatre (4) heures, son employeur doit lui accorder le congé requis. La détermination du moment de la journée où ce congé est accordé relève de la prérogative de l’employeur5. En vertu de son droit de gérance, l’employeur peut ainsi modifier l’horaire de travail d’un employé afin qu’il dispose du temps requis pour aller voter. Toutefois, la Loi électorale prévoit qu’aucune déduction sur le salaire de l’employé ne pourra être effectuée. De plus, l’employeur ne peut imposer aucune sanction à cet employé par suite de son absence du travail durant ce congé6. Ajoutons que le droit de gérance ne permet pas à un employeur de contraindre un employé à voter par anticipation. À l’inverse, si le quart de travail d’un employé se termine avant 16 h ou débute après 13 h 30, ce dernier dispose déjà de la période minimale requise pour aller voter et l’employeur n’a donc aucune obligation additionnelle envers cet employé. Notons finalement qu’un employé peut renoncer explicitement, même de manière partielle, à sa période de congé pour exercer son droit de vote7. 2. Personnel électoral Si un employé fait partie du personnel électoral et demande par écrit un congé à son employeur pour lui permettre d’exercer ses fonctions, la Loi électorale oblige l’employeur à faire droit à une telle demande. Ce congé est sans rémunération8. 3. Sanctions La Loi électorale prévoit qu’un employé qui croit avoir été victime d’une violation de son droit de bénéficier de quatre heures pour voter peut déposer une plainte auprès de la Commission des normes, de l’équité, de la santé et de la sécurité du travail, de la même façon qu’un salarié qui croit avoir été victime d’une pratique interdite en vertu de la Loi sur les normes du travail9pourrait le faire10. La Loi électorale prévoit également des sanctions pénales en cas de contravention. À titre d’exemple, l’employeur qui ne permet pas à un employé de disposer de quatre heures consécutives pour voter s’expose à une amende de 5 000 à 30 000 $ pour une première infraction, et de 20 000 à 60 000 $ en cas de récidive dans les dix ans11. Les mêmes sanctions s’appliquent à l’employeur qui ne permet pas à un employé membre du personnel électoral de s’absenter du travail pour l’exercice de ses fonctions. Elles visent également l’employeur qui « se sert de son autorité ou de son influence pour inciter un employé à refuser d’être membre du personnel électoral ou à abandonner cette charge après l’avoir acceptée12 ». Loi électorale, RLRQ, c. E-3.3 (la « Loi »). Id., art. 333 et 335 al. 1. Id., art. 335 al. 1. Id., art. 1. Id., art. 335 al. 2. Id., art. 335 al. 3. https://www.electionsquebec.qc.ca/comprendre/comprendre-le-vote/quatre-heures-pour-voter/ Loi électorale, art. 144. Loi sur les normes du travail, RLRQ, c. N-1.1. Loi électorale, art. 335 al. 4. Id., art. 556. Id.

Depuis le 1er septembre 2026, l’exécution forcée déjudiciarisée (EFD) permet, dans certains cas, de recouvrer une créance monétaire au Québec sans obtenir d’abord un jugement sur le fond et ce en présence d’un acte  notarié en minute contenant une clause à cet effet et que l’obligation visée soit déterminée ou déterminable, exigible et non exclue par la loi ou le règlement. Qu’est-ce que l’exécution forcée déjudiciarisée (EFD) ? L’exécution forcée déjudiciarisée (EFD) est un mécanisme qui vise à faciliter le recouvrement de certaines créances en permettant, en présence d’un acte notarié, de passer à l’exécution de certaines obligations monétaires prévues, sans devoir obtenir au préalable un jugement sur le fond. Ce nouveau mécanisme, en vigueur depuis le 1er septembre 2026, favorise l’accès à la justice et permet la réduction des délais et des coûts associés à une telle procédure. L’EFD n’est pas automatique, elle doit être prévue spécifiquement dans un acte notarié et doit viser une obligation monétaire claire, liquide et exigible. Le fondement de l’EFD : l’acte notarié en minute L’accès à cette procédure repose sur l’insertion, dans un acte notarié en minute, d’une clause conforme aux exigences du Règlement sur l’exécution forcée (R.E.F.) prévoyant les modalités d’accès à l’EFD. Le rôle du notaire est déterminant, non seulement comme rédacteur, mais aussi comme officier public tenu à un devoir de conseil impartial et personnalisé, garant du consentement libre et éclairé des parties. Dans cette optique, il convient d’éviter l’insertion automatique d’une clause de soumission par simple usage de gabarits non adaptables : la clause doit refléter un choix éclairé, expliqué et assumé par les parties. La collaboration entre le notaire et les différents professionnels impliqués est donc déterminante compte tenu de la nécessité de discuter avec les parties de la pertinence d’inclure une telle clause. En effet, cette stipulation doit être faite d’un commun accord entre les parties, d’où l’importance de bien comprendre l’application d’un tel mécanisme et d’adapter les conseils prodigués à la nature de l’engagement. Une vigilance accrue s’impose lorsque les obligations sont synallagmatiques (les parties pouvant tour à tour être créancières et débitrices), ou lorsque la mécanique contractuelle peut conduire à la monétisation d’une obligation initialement en nature, ce qui peut accroître l’incertitude et favoriser la contestation. De façon générale, la prudence s’impose aussi lorsque les obligations sont futures, conditionnelles, complexes ou sujettes à interprétation. Quant aux exigences, la clause prévoyant les modalités d’accès à l’EFD doit, en premier lieu, se trouver dans le corps même de l’acte notarié en minute (et non dans une annexe ou une clause externe). Ensuite, les obligations monétaires visées doivent être déterminées ou déterminables. Le professionnel doit également s’assurer que l’obligation monétaire n’appartient pas à une catégorie exclue par la loi ou par le R.E.F. Les catégories exclues comprennent notamment, selon le cas : les obligations non monétaires; certaines obligations garanties par hypothèque, celles soumises à un autre mode d’exécution; les situations touchant la protection du consommateur; les obligations soumises à l’arbitrage; certaines obligations impliquant l’État; et d’autres.   Les parties peuvent par ailleurs exclure contractuellement certaines obligations monétaires, à condition que ces exclusions soient formulées de manière claire. Comment fonctionne la procédure d’EFD? À partir du moment où les parties ont consenti à inclure une clause d’accès à l’EFD, le choix de recourir à l’EFD appartient au créancier, le débiteur ne pouvant pas s’y opposer (art. 3 R.E.F.). Le créancier peut également privilégier un autre moyen d’exécution prévu à l’acte. Toutefois, si l’acte notarié impose la médiation pour régler un différend, le créancier doit d’abord s’y conformer avant d’utiliser l’EFD. Les trois options du débiteur dans le délai de 30 jours Par la suite, un ordre de paiement est préparé par le créancier conformément au contenu obligatoire prévu au R.E.F. L’ordre de paiement et les documents afférents sont ensuite signifiés au débiteur, ce qui formalise le défaut et enclenche le délai de rigueur de 30 jours accordé au débiteur pour remédier au défaut. Avant l’expiration de ce délai, trois options s’offrent au débiteur : Il peut payer intégralement la créance réclamée, ce qui aura pour effet de mettre fin à l’EFD. Il peut prendre une entente de paiement, avec ou sans l’aide de l’huissier, suspendant ainsi l’EFD, avec reprise possible en cas de défaut. Il peut contester l’ordre de paiement devant le tribunal compétent, ce qui a également pour effet de suspendre l’EFD. La contestation doit cependant être notifiée au créancier et à l’huissier, et les pièces doivent être déposées dans les dix jours suivant la contestation. Que se passe-t-il en l’absence de paiement, d’entente ou de contestation? En l’absence de paiement intégral, et à défaut d’entente ou de contestation, l’huissier pourra, à l’expiration du délai, procéder à l’exécution de l’ordre de paiement qui, dans ces circonstances, acquiert la force exécutoire d’un jugement (art. 9 R.E.F.) et bénéficie des mêmes avantages que celui-ci. Les effets associés à l’EFD sont importants. L’ordre de paiement non contesté entraîne une prescription équivalente à celle d’un jugement, soit dix ans, permet l’inscription d’une hypothèque légale et les saisies qui en découlent, tout en conservant son rang dans la collocation des créanciers. Le créancier demeure toutefois un créancier ordinaire et est soumis, pour la distribution, aux règles de rang applicables. Avantages et limites de l’EFD pour le créancier et le débiteur Pour le créancier, l’EFD peut offrir une prévisibilité accrue lorsque la dette est claire, un accès rapide à l’exécution, sans passage automatique devant le tribunal, et une réduction significative des coûts de recouvrement. Le mécanisme est aussi avantageux en raison des effets attachés à l’ordre de paiement non contesté. L’EFD comporte toutefois certaines limites. Rappelons que le mécanisme est strictement réservé aux obligations monétaires. En présence d’une contestation, il peut être suspendu ou ralenti, la judiciarisation devenant alors une issue possible. Du côté du débiteur, l’EFD comporte des éléments de protection intéressants. Le débiteur bénéficie, au moment de la signature de l’acte, d’un accompagnement du notaire visant à assurer que son consentement soit libre et éclairé. Le mécanisme peut éviter une procédure judiciaire immédiate et permet au débiteur de contester l’ordre de paiement dans le délai de 30 jours qui lui est octroyé. Conclusion L’EFD est un outil accessible par le biais de l’acte notarié en minute et constitue une démarche efficace, rapide et économique qui a le potentiel d’éviter le recours au tribunal si les conditions requises sont rencontrées. Ainsi, cette nouvelle mesure repose sur la présence d’un acte notarié en minute conforme et d’obligations monétaires déterminées ou déterminables non exclues, ainsi que sur le respect rigoureux des formalités entourant l’ordre de paiement. À une époque où il est souhaitable que des solutions soient développées pour faciliter un meilleur accès à la justice, cette alternative pourrait avoir un impact favorable sur le désengorgement du système judiciaire. Il sera intéressant de suivre avec attention l’application et l’utilisation future de l’EFD, en se rappelant que tout commence par un acte notarié en minute. Quoi retenir 1. L’EFD ne s’applique pas à toutes les créances. L’accès à cette procédure repose sur l’insertion dans un acte notarié en minute, une clause conforme aux exigences du Règlement sur l’exécution forcée (R.E.F.), prévoyant les modalités d’accès à l’EFD. 2. Le mécanisme permet au créancier d’agir sans jugement préalable sur le fond. Après signification d’un ordre de paiement, le débiteur dispose de 30 jours pour payer, conclure une entente ou contester. 3. Un ordre de paiement non contesté peut produire des effets comparables à ceux d’un jugement. Il peut notamment devenir exécutoire, entraîner une prescription de 10 ans et permettre certaines mesures de recouvrement, sous réserve des règles applicables.

Le projet de loi C-8 a reçu la sanction royale le 15 juin 2026et mérite une attention particulière. Il marque un changement de rythme en cybersécurité : il donne à l’État fédéral des moyens pour intervenir rapidement lorsqu’une menace est identifiée. De plus, il impose pour certains acteurs, une logique de conformité avec des attentes plus élevées et des sanctions réelles en cas de manquement. Le texte de loi s’articule autour de deux axes. D’une part, il muscle la Loi sur les télécommunications en habilitant le gouverneur en conseil et le ministre de l’Industrie à imposer des mesures concrètes par décret ou arrêté. D’autre part, il crée la Loi sur la protection des cybersystèmes essentiels (la « LPCSE »), visant des services et systèmes critiques. Par ces modifications législatives, la cybersécurité sort du sous-sol : elle devient un enjeu de gouvernance et de conformité. Avec l’adoption de cette loi, les choix technologiques, la gestion des fournisseurs et la réponse aux incidents de cybersécurité devront être plus robustes, mieux encadrés et dûment documentés. Nous sommes d’avis que les organisations qui se préparent maintenant (gouvernance, preuves, plans d’intervention) seront plus agiles et plus crédibles auprès de leurs clients et partenaires. Une distinction importante s’impose toutefois d’entrée de jeu : les modifications de la Loi sur les télécommunications prévues à la Partie 1 sont désormais en vigueur, tandis que l’entrée en vigueur de la LPCSE prévue à la Partie 2 dépendra d’un ou de plusieurs décrets. À ce jour, l’annexe 2 de la LPCSE, qui doit identifier les catégories d’exploitants désignés et leur organisme réglementaire correspondant, demeure vide. À retenir en un coup d’œil - Le projet de loi C-8 introduit : (i) un pouvoir d’ordonnance en télécommunications (décrets/arrêtés); (ii) un cadre de programme obligatoire pour certains cybersystèmes essentiels (LPCSE), sous réserve de son entrée en vigueur et des désignations à venir;  et (iii) une mise en application renforcée (renseignements, vérifications, SAP, infractions). Partie 1 de la loi — Télécommunications : la sécurité devient un levier d’action Le projet de loi C-8 inscrit explicitement la sécurité dans la politique canadienne de télécommunication en ajoutant l’objectif de « promouvoir la sécurité du système canadien de télécommunication ». Il fournit l’assise législative à des interventions désormais conçues pour être directes, rapides et exécutoires. Un élément important de la loi, à la fois pour son application et pour circonscrire la nature des menaces visées, est la précision selon laquelle « l’ingérence, la manipulation, la perturbation ou la dégradation » en ce qui concerne un système de télécommunication s’entend notamment d’actes de nature technique qui entravent le fonctionnement de ce système, mais ne vise pas les effets « de l’expression licite d’opinions, de la persuasion ou du débat politique ». Le texte ménage ainsi expressément un espace pour la liberté d’expression et le débat public licite. La Partie 1 de la loi comporte une mécanique d’application à deux niveaux : les décrets et les arrêtés ministériels (relevant du ministre de l’Industrie). Le décret Le gouverneur en conseil peut agir par décret s’il a des motifs raisonnables de croire que la mesure est nécessaire pour sécuriser le système face à une menace, et qu’elle est raisonnable eu égard à cette menace. Concrètement, le décret peut : interdire aux fournisseurs de services de télécommunication (« FST ») d’utiliser, dans leurs réseaux/installations (ou en lien avec ceux-ci), les produits et services fournis par une personne précisée; ordonner le retrait de produits fournis par une personne précisée. Le projet de loi C-8 impose une contrainte de proportionnalité : la portée et la teneur doivent être nécessaires et raisonnables eu égard à la gravité de la menace. Le décret prime sur des décisions/arrêtés/autorisations incompatibles, y compris sous la Loi sur la radiocommunication. D’autre part, l’État n’assume pas le coût économique : aucune indemnité n’est payable pour les pertes financières attribuables au décret. Il s’agit, en quelque sorte, de l’artillerie lourde de la loi. Le décret peut également comporter une interdiction de divulguer son existence ou tout ou partie de son contenu. Avant d’inclure une telle interdiction, le gouverneur en conseil doit notamment tenir compte de la mesure dans laquelle la divulgation pourrait compromettre l’objectif du décret, de la nécessité de cette interdiction compte tenu de la nature de la menace, de la possibilité d’en limiter la portée, de son effet sur la transparence et la responsabilisation du gouvernement du Canada, ainsi que des observations des FST touchés. Avant de prendre le décret, le gouverneur en conseil doit aussi considérer l’effet de la mesure sur les activités des FST visés, ses répercussions financières, son effet sur la fourniture des services de télécommunication au Canada — y compris sur la confidentialité et la sécurité des télécommunications — ainsi que ses répercussions potentielles sur la protection de la vie privée des Canadiens. L’arrêté Le ministre de l’Industrie peut imposer, par arrêté, des mesures très opérationnelles lorsqu’elles sont nécessaires et raisonnables eu égard à la menace. L’arrêté peut notamment : interdire l’utilisation de produits/services précis, ordonner des retraits, imposer des conditions d’utilisation et de fourniture de services; encadrer des ententes de service ou y mettre fin; exiger des processus d’examen des réseaux/installations et de projets d’approvisionnement; imposer des plans de sécurité, des évaluations de vulnérabilités et des mesures d’atténuation; imposer la mise en œuvre de normes; exiger un système d’appoint; interdire à des FST de fournir des services à une personne précisée; ordonner la suspension, pour une période donnée, de la fourniture de services à une personne précisée; interdire certaines mises à niveau; ordonner aux FST de faire ou de s’abstenir de faire toute chose précisée, sous réserve des limites prévues par la loi. Comme pour le décret, le ministre doit tenir compte des impacts opérationnels et financiers, de l’effet sur la fourniture des services, y compris sur la confidentialité et la sécurité des télécommunications, et des répercussions potentielles sur la vie privée des Canadiens. Le ministre ne peut ordonner ni l’interception d’une communication privée ou radiotéléphonique, ni le décodage d’une communication privée chiffrée. Enfin, l’arrêté est, lui aussi, assorti d’une règle d’absence d’indemnité. La loi prévoit aussi une limite particulière : la suspension de la fourniture de services à un individu ne peut être ordonnée que si l’arrêté est nécessaire pour sécuriser le système canadien de télécommunication face à une menace de nature technique précisée dans l’arrêté. Comme le décret, l’arrêté peut comporter une interdiction de divulgation. Avant d’inclure une telle interdiction, le ministre doit tenir compte de facteurs comparables, dont l’effet de la non-divulgation sur les principes de transparence et de responsabilisation du gouvernement du Canada. Particularités sur la publication des décrets et des arrêtés En principe, les décrets et arrêtés doivent être publiés dans la Gazette du Canada dans les 90 jours suivant leur prise, mais l’autorité peut ordonner l’absence de publication dans le texte même. De plus, l’inclusion par renvoi favorise l’intégration de documents techniques évolutifs. On peut donc s’attendre à l’adoption par un tel mécanisme de normes techniques internationales. Collecte de renseignements par le ministre Le projet de loi C-8 prévoit que le ministre peut exiger la communication de renseignements s’il a des motifs raisonnables de croire, d’une part, qu’il est raisonnable qu’ils soient fournis eu égard à la gravité de la menace et, d’autre part, qu’ils sont nécessaires. Toutefois un cadre de confidentialité est mis en place pour les informations transmises, notamment lorsqu’il s’agit de secrets industriels ou de renseignements financiers, commerciaux, scientifiques ou techniques. Les renseignements personnels et les renseignements dépersonnalisés sont aussi visés par des mesures de protection. Le texte prévoit aussi l’échange de renseignements entre diverses autorités fédérales, ainsi qu’avec les provinces, des États étrangers ou certaines organisations internationales dans le cadre d’accords écrits. Lorsqu’il s’agit de renseignements personnels ou dépersonnalisés, leur portée et leur teneur doivent être raisonnables eu égard à la gravité de la menace. La loi prévoit en outre leur retrait lorsqu’ils ne sont plus nécessaires. Il faut aussi noter que les renseignements personnels et les renseignements dépersonnalisés sont réputés être des renseignements confidentiels pour l’application de la Partie 1, même s’ils n’ont pas été expressément désignés comme tels. Partie 2 de la loi – Loi sur la protection des cybersystèmes essentiels (LPCSE) : Une précision est essentielle : cette partie de la loi n’entrera en vigueur qu’à la date ou aux dates fixées par décret. En outre, l’assujettissement effectif dépendra de futures désignations, puisque l’annexe 2 est actuellement vide. Le cadre est donc adopté, mais son déclenchement opérationnel reste à venir. Concepts clés : ce que la loi vise réellement La LPCSE vise des cybersystèmes essentiels au sens strict du texte, c’est-à-dire des cybersystèmes dont la compromission, en ce qui touche la confidentialité, l’intégrité ou la disponibilité, pourrait menacer la continuité ou la sécurité d’un service critique ou d’un système critique. La définition de « cybersystème » est volontairement large. En pratique, la loi ne se limite donc pas à un « réseau » au sens classique : elle peut englober des plateformes, environnements infonuagiques, systèmes de contrôle, services numériques, et actifs techniques interconnectés, dès lors que leur compromission pourrait affecter un service ou système critique. La version sanctionnée ajoute aussi une définition de la « vérification interne », soit un examen indépendant et objectif effectué conformément à des directives reconnues à l’échelle internationale sur les pratiques professionnelles en matière de vérification interne. Cela renforce l’idée que la conformité attendue dépasse la seule adoption de politiques internes et suppose, au besoin, des mécanismes structurés d’assurance. Désignations : comment une organisation devient assujettie L’exploitant « désigné » qui contrôle, exploite ou possède un cybersystème essentiel est tenu de se conformer aux dispositions de la LPCSE et de ses règlements concernant ce cybersystème. Sur quoi repose cette désignation? D’abord, les « services critiques » et « systèmes critiques » sont ceux énumérés à l’Annexe 1, soit : services de télécommunication, systèmes de pipelines et de lignes électriques interprovinciaux ou internationaux, systèmes d’énergie nucléaire, systèmes de transport relevant de la compétence législative du Parlement, systèmes bancaires, systèmes de compensations et de règlements. Par décret, on peut ajouter, modifier ou retrancher des éléments de cette annexe dans le champ de compétence visé par la loi. Ensuite, la loi prévoit une annexe actuellement vide, qui permet d’établir des catégories d’exploitants et l’organisme correspondants à ces services ou systèmes critiques. En pratique, l’assujettissement dépend à la fois du service/système critique visé (Annexe 1) et de la catégorie d’exploitant dans laquelle l’organisation est classée (Annexe 2). Programme de cybersécurité : l’obligation structurante Le cœur de la LPCSE est l’obligation de bâtir un programme de cybersécurité. Après sa désignation par une modification de l’Annexe 2, un exploitant doit établir, dans les 90 jours, un programme relatif à ses cybersystèmes essentiels. Ce programme doit inclure des mesures, conformément aux règlements, pour identifier et gérer les risques organisationnels (incluant la chaîne d’approvisionnement et l’utilisation de produits et services de tiers), protéger les cybersystèmes essentiels, détecter les incidents et minimiser leurs conséquences, ainsi que toute mesure prévue par règlement. Le programme n’est donc pas une simple politique : il doit couvrir l’ensemble du cycle de gestion du risque et se prêter à une lecture « de conformité ». Cela forcera les organismes et entreprises à réagir rapidement lors d’une telle désignation. La loi impose aussi une mécanique de supervision : dès que le programme est établi, l’exploitant doit en aviser par écrit l’organisme réglementaire compétent. La loi exige aussi la mise à jour périodique de tout tel programme. Enfin, des obligations de notification existent lorsque surviennent des changements structurants (propriété/contrôle, chaîne d’approvisionnement, utilisation de tiers, etc.). Cette cadence transforme la cybersécurité en obligation de gouvernance et de maintenance, pas en projet ponctuel. Chaîne d’approvisionnement et tiers : de l’évaluation à l’atténuation La LPCSE insiste explicitement sur la chaîne d’approvisionnement. Une fois les risques liés à la chaîne d’approvisionnement et aux tiers identifiés dans le programme (art. 9(1)a)), l’exploitant désigné est tenu de les atténuer (art. 15). Le verbe est important : il ne suffit pas de « constater » ou de « surveiller »; la loi impose une démarche active d’atténuation, qui devra être démontrable. Le Centre de la sécurité des télécommunications (le « CST ») peut élaborer des lignes directrices sur l’atténuation des risques associés aux chaînes d’approvisionnement et à l’utilisation de produits et services de tiers, en s’appuyant sur des cadres internationalement reconnus. Le régulateur compétent peut aussi transmettre au CST des renseignements, y compris confidentiels, concernant le programme ou les mesures prises, afin que le CST fournisse avis, conseils et services selon son mandat. Pour les organisations, cela annonce une convergence entre exigences réglementaires et attentes techniques : la gestion des fournisseurs, des accès, des mises à jour, des dépendances logicielles et des sous-traitants devient un volet « cœur » de la conformité. Signalement des incidents : une obligation de vitesse et de coordination La LPCSE crée une obligation de déclaration des incidents de cybersécurité au CST. Tout exploitant désigné doit déclarer, dans les délais réglementaires qui ne peuvent dépasser 72 heures, tout incident de cybersécurité concernant un de ses cybersystèmes essentiels. La définition d’« incident de cybersécurité » couvre un incident (acte, omission ou situation) qui nuit ou peut nuire à la continuité ou la sécurité d’un service/système critique, ou à la confidentialité, l’intégrité ou la disponibilité du cybersystème essentiel. Après la déclaration au CST, l’exploitant doit, sans délai, aviser l’organisme réglementaire compétent et lui remettre une copie du rapport d’incident. Le texte précise que ces obligations n’ont pas pour effet de diminuer les obligations issues de la Loi sur la protection des renseignements personnels et les documents électroniques. Directives de cybersécurité : l’outil d’intervention obligatoire La LPCSE prévoit un instrument particulièrement intrusif : les directives de cybersécurité. Par décret, on peut donner des directives enjoignant à un exploitant désigné (individuellement ou par catégorie) de se conformer à toute mesure prévue dans les directives afin de protéger un cybersystème essentiel, mais seulement s’il a des motifs raisonnables de croire que les directives sont nécessaires. Avant de prendre le décret, le gouvernement doit considérer les impacts opérationnels, la sécurité publique, la protection de la vie privée, les impacts financiers, ainsi que les impacts sur la fourniture des services/systèmes critiques. La portée et la teneur doivent être raisonnables eu égard à l’objectif de protection, et l’exploitant visé est tenu de s’y conformer. La loi prévoit aussi deux limites explicites : le gouverneur en conseil ne peut ordonner ni le décodage d’une communication privée chiffrée, ni l’interception d’une communication privée ou radiotéléphonique. Par ailleurs, un « garde-fou » lié à la connaissance est mis en place : un exploitant ne peut être reconnu coupable d’y avoir contrevenu sauf si la directive avait été portée à sa connaissance ou si des mesures raisonnables avaient été prises pour l’en informer. Mais il sera important pour un exploitant de ne pas ignorer les avis reçus, même si ceux-ci sont parfois d’apparence bénigne. L’exploitant visé ne pourra pas communiquer l’existence ou le contenu d’une directive sauf dans la mesure nécessaire pour s’y conformer. Cette contrainte a un effet pratique important : elle impose une gestion du « besoin de savoir » (need-to-know basis) interne et vis-à-vis des fournisseurs, sous-traitants, assureurs et autres partenaires. Renseignements : confidentialité, échanges et retrait des renseignements personnels La LPCSE met en place un régime complet d’échange de renseignements, notamment pour soutenir l’établissement et l’évolution des directives. Pour les fins liées à l’établissement, la modification ou la révocation d’une directive, certaines autorités peuvent recueillir et communiquer des renseignements, y compris confidentiels, entre elles. La loi encadre aussi la communication et l’utilisation des renseignements confidentiels et prévoit des exceptions, notamment lorsque la communication est légalement exigée ou nécessaire à la protection des services / systèmes / cybersystèmes essentiels. Une conformité « prouvable » La LPCSE impose une tenue de documents couvrant la mise en œuvre du programme, les incidents déclarés, les mesures d’atténuation relatives aux tiers, l’exécution des directives et toute autre question prévue par règlement. Ces documents doivent être conservés au Canada, selon les modalités prévues par règlement ou, à défaut, par l’organisme réglementaire compétent. Cette exigence est centrale : elle transforme la conformité en obligation de preuve. Le régime prévoit des pouvoirs étendus de vérification et d’exécution, exercés selon le secteur par différentes autorités (surintendant, ministre de l’Industrie via inspecteurs, Banque du Canada, Commission canadienne de sûreté nucléaire, Régie canadienne de l’énergie, ministre des Transports). Les dispositions d’accès aux lieux, d’examen de cybersystèmes, de reproduction et de saisie temporaire de documents/systèmes sont détaillées dans la LPCSE. Des mécanismes d’ordres de vérification interne et d’ordres de conformité existent selon les autorités. La loi interdit l’entrave et les renseignements faux ou trompeurs, ce qui renforce l’importance de la qualité des informations remises. La version sanctionnée ajoute aussi une protection expresse : la LPCSE n’a pas pour effet de porter atteinte au secret professionnel de l’avocat ou du notaire. Attentions aux sanctions! Il y a lieu de noter que des sanctions administratives substantielles sont prévues dans la loi, de même que des infractions pénales (y inclus l’emprisonnement). Les dirigeants et administrateurs peuvent être considérés comme coauteurs d’une violation ou d’une infraction, selon le cas. Les violations continues peuvent être comptées jour par jour. Pour la Partie 2 de la loi, les sanctions administratives peuvent atteindre 500 000 $ pour un individu, et 15 000 000 $ dans les autres cas. Certaines contraventions constituent en outre des infractions pénales punissables, dans certains cas, soit par procédure sommaire, soit par mise en accusation. Selon la nature du manquement et s’il s’agit d’un particulier, l’emprisonnement peut être possible. Comment nous pouvons vous accompagner dans la mise en œuvre du projet de loi C-8 Nous pouvons notamment vous assister à l’égard des éléments suivants : Positionnement réglementaire  Cartographier votre exposition (télécoms, services/systèmes critiques; désignation actuelle ou anticipée) et établir une feuille de route réaliste, priorisée par risques. Réponse aux mesures imposées  Accompagner la réception, l’analyse et l’exécution de décrets, arrêtés ou directives. Conformité  Bâtir ou consolider la gouvernance, la tenue de documents et les processus internes (demandes de renseignements, vérifications/inspections, traçabilité des décisions). Tiers et approvisionnement  revoir et négocier les contrats et exigences de sécurité (notification d’incident, coopération, audit, sous-traitance, correctifs, retrait/substitution) et documenter les mesures d’atténuation. Incidents et application Accompagner la réponse aux incidents (qualification, notifications, préservation des preuves) et gérer le risque de SAP et d’exposition pénale, y compris pour les dirigeants et administrateurs. Conclusion En pratique, les organisations potentiellement visées ont intérêt à se préparer dès maintenant, même si la Partie 2 de la loi n’est pas encore en vigueur. La portée concrète du régime dépendra de l’entrée en vigueur de la LPCSE, de l’adoption des règlements d’application et de l’ajout, à l’annexe 2, des catégories d’exploitants visés et de leur organisme réglementaire correspondant. D’ici là, les organisations qui structurent dès maintenant leur gouvernance, leur documentation et leur gestion des tiers seront mieux placées pour s’adapter rapidement lorsque les obligations sectorielles seront précisées.