Ce qu’un client découvre quand il fait relire le travail de son consultant en conformité, et ce qu’il peut faire ensuite.
La mise en situation
Le scénario qui suit est fictif. Il est composé à partir de situations qui reviennent assez souvent pour que personne dans le milieu ne s’en étonne. Les personnages — le Groupe des Pieds Nickelés, Lord Cornershop et Darth Conformix — reviendront dans nos prochains billets.
Le Groupe des Pieds Nickelés inc. est une PME manufacturière de la Rive-Sud, 140 employés, un site transactionnel, un CRM infonuagique hébergé en Virginie, et un projet d’horodateurs à empreinte digitale pour l’usine. En 2024, la direction mandate un consultant en conformité (appelons-le Darth Conformix) pour « rendre l’entreprise conforme ». Facture : 38 000 $. Livrables : une politique de confidentialité, un registre, une « analyse EFVP » de onze pages, une formation d’une heure et un « avis de conformité » signé.
Dix-huit mois plus tard, un ancien employé, Lord Cornershop, porte plainte à la Commission d’accès à l’information. L’entreprise appelle un avocat.
Ce qu’il y avait dans le dossier
L’avocat lit les livrables avant de lire la plainte. Cinq passages ressortent.
1. « Votre entreprise est assujettie à la LPRPDE. Nous avons donc aligné vos pratiques sur les dix principes de l’annexe 1. »
Faux, ou à tout le moins gravement incomplet. Le Québec fait l’objet d’un décret d’exclusion fédéral depuis 2003 : une organisation québécoise qui n’est pas une entreprise fédérale est soustraite à l’application de la LPRPDE pour la collecte, l’utilisation et la communication de renseignements personnels à l’intérieur de la province. La LPRPDE continue de s’appliquer aux entreprises de compétence fédérale et aux flux interprovinciaux et internationaux. Résultat pratique : le consultant a bâti tout le programme sur le mauvais texte, et a manqué les obligations proprement québécoises (EFVP, transferts hors Québec, transparence, biométrie).
2. « 212 dossiers touchés, ce n’est pas un risque de préjudice sérieux. Vous n’avez pas à aviser la Commission. »
C’est une interprétation de la notion de risque de préjudice sérieux prévue à la LPRPSP, appliquée aux faits précis d’un client, avec une recommandation d’abstention à la clé.
3. « Un consentement implicite via votre politique de confidentialité suffit pour les horodateurs biométriques. »
Faux sur deux plans. Le consentement à la biométrie doit être exprès, et la création d’une banque de caractéristiques ou de mesures biométriques doit être divulguée à la Commission au plus tard 60 jours avant sa mise en service.
4. « Les clauses contractuelles types de votre fournisseur américain règlent la question du transfert. »
Une clause contractuelle n’est pas une évaluation. La loi québécoise exige une évaluation des facteurs relatifs à la vie privée avant la communication à l’extérieur du Québec, et l’entente écrite vient après cette évaluation, pas à sa place.
5. L’« avis de conformité », une page, en-tête du consultant, qui se termine par : « à notre avis, l’entreprise satisfait aux exigences applicables ».
Le déclic
Le client s’attend à ce que son avocat parle de la plainte. L’avocat parle d’abord d’autre chose : la plupart de ces livrables ne sont pas des livrables de consultant. Ce sont des avis juridiques.
L’article 128(1)a) de la Loi sur le Barreau réserve à l’avocat en exercice (et, en parallèle, au notaire et au conseiller en loi) le fait de donner des consultations et avis d’ordre juridique pour le compte d’autrui. Ce qui compte est la nature de l’acte, pas le titre sur la carte professionnelle, pas le format du document, pas le libellé de la facture.
Dans Charlebois c. Barreau du Québec, 2012 QCCA 788, la Cour d’appel se rallie à une définition venue d’ailleurs. Elle reproduit, au paragraphe 29, un guide destiné au personnel des tribunaux du Texas : il y a avis juridique quand on interprète un aspect du droit ou d’une procédure, quand on recommande une conduite précise dans une affaire réelle ou potentielle, ou quand on applique le droit aux circonstances factuelles particulières d’une personne. La formule du guide : dire à quelqu’un quoi faire plutôt que comment le faire. La Cour s’en déclare « d’accord, en principe » (par. 30), tout en prévenant qu’« il demeure des cas limites dans lesquels il sera difficile de tirer la ligne ».
À l’inverse, la Cour rappelle, en citant Barreau de l’Abitibi-Témiscamingue c. Guindon, que le fait d’exposer les droits, obligations et recours prévus dans un texte de loi n’est pas nécessairement réservé, et que tout est affaire de circonstances (par. 28). Charlebois a d’ailleurs été acquitté : ses propos relevaient de l’information juridique générale. Un consultant peut expliquer ce que dit la loi. Il ne peut pas dire au client s’il y est conforme, s’il doit déclarer un incident, ou s’il peut s’en dispenser.
Testons les cinq passages. Assujettissement : interprétation. Incident : application du droit aux faits, plus une recommandation de conduite. Biométrie : interprétation d’une exigence de consentement. Transfert : interprétation d’une obligation d’évaluation. Avis de conformité : le mot « avis » est dans le titre.
Cinq sur cinq.
« D’accord. Alors je fais quoi ? »
C’est toujours la question suivante. Voici comment un avocat la découpe, dans l’ordre.
1. Corriger avant de réclamer
La priorité n’est pas le consultant, c’est la Commission. La réclamation contre le consultant se prescrit par trois ans (art. 2925 C.c.Q.) et ne bouge pas. La plainte, elle, avance. Refaire l’analyse d’assujettissement, documenter ce qui a été fait et quand, corriger la déclaration biométrique, mener la véritable EFVP sur le transfert : c’est ce travail qui influence l’issue. Et c’est aussi ce qui constitue la preuve du dommage, plus tard.
2. La nullité du contrat et le remboursement des honoraires
C’est le recours le moins connu et souvent le plus efficace.
Dans Fortin c. Chrétien, 2001 CSC 45, la Cour suprême juge que les dispositions de la Loi sur le Barreau sur l’exercice de la profession sont d’ordre public parce qu’elles visent la protection de l’intérêt général, et qu’un contrat conclu en contravention de ces dispositions est frappé de nullité absolue (art. 1411, 1416 et 1417 C.c.Q.). L’arrêt vise le sous-paragraphe 128(1)b), sur la rédaction d’actes de procédure ; son raisonnement, fondé sur le caractère d’ordre public des dispositions encadrant l’exercice de la profession, vaut tout autant pour le sous-paragraphe a).
Conséquences pratiques :
- La nullité ouvre la restitution des prestations (art. 1699 et suivants C.c.Q.). Le client demande le remboursement de ce qu’il a payé pour la portion réservée du mandat. À noter : le tribunal conserve un pouvoir d’appréciation et peut refuser ou modérer la restitution lorsqu’elle procurerait un avantage indu (art. 1699 al. 2 C.c.Q.).
- La nullité emporte aussi la clause limitative de responsabilité que le consultant avait glissée à l’article 9 de son contrat. Une clause d’un contrat nul ne survit pas au contrat. Et même dans un contrat valide, on ne peut pas exclure sa responsabilité pour faute lourde ou intentionnelle (art. 1474 C.c.Q.).
- En pratique, on segmente : la cartographie des flux, la configuration technique et la formation générique restent des services licites. C’est la portion « analyse, qualification, avis » qui tombe.
3. La responsabilité civile
Le prestataire de services doit agir au mieux des intérêts de son client, avec prudence et diligence, conformément aux usages et règles de son art (art. 2100 C.c.Q.), et il doit renseigner le client avant la conclusion du contrat sur la nature de la tâche (art. 2102 C.c.Q.). Se présenter comme capable de rendre une opinion de conformité alors qu’on n’a pas le droit de le faire coche les deux cases.
Si le contrat est annulé, la faute s’apprécie sur le terrain extracontractuel (art. 1457 C.c.Q.), sans le filet des clauses du contrat.
Le dommage réclamable, typiquement : le coût de refaire le travail, les honoraires professionnels engagés pour corriger, le coût des avis aux personnes concernées qui auraient dû être envoyés plus tôt, le temps de gestion documenté. Deux mises en garde honnêtes. D’abord, réclamer au consultant le montant d’une sanction administrative pécuniaire imposée à l’entreprise soulève une vraie difficulté d’ordre public et n’est pas acquis. Ensuite, le client a une obligation de minimiser son préjudice (art. 1479 C.c.Q.) : l’entreprise qui laisse traîner la correction affaiblit sa propre réclamation.
Sous 15 000 $, la division des petites créances est ouverte, sans avocat.
4. La dénonciation au Barreau
L’exercice illégal de la profession d’avocat est une infraction pénale. L’article 188 du Code des professions prévoit une amende d’au moins 2 500 $ et d’au plus 62 500 $ pour une personne physique, et d’au moins 5 000 $ et d’au plus 125 000 $ dans les autres cas, montants doublés en cas de récidive. S’ajoute, le cas échéant, l’usurpation de titre si le consultant s’est présenté comme juriste ou conseiller juridique.
Deux précisions, parce que les clients se méprennent souvent. Le Barreau n’est pas un mécanisme d’indemnisation : l’amende ne va pas au client. Et le consultant n’est membre d’aucun ordre professionnel, donc il n’y a pas de syndic, pas de conseil de discipline, pas de fonds d’indemnisation, pas d’assurance responsabilité obligatoire. Le seul recours patrimonial passe par les tribunaux civils.
5. Ce qu’aucun recours ne rattrape
Le rapport du consultant n’a jamais été couvert par le secret professionnel. L’EFVP bâclée, le courriel qui dit « on ne déclare pas », l’avis de conformité : tout cela est saisissable, communicable, et opposable à l’entreprise.
C’est, la plupart du temps, le coût le plus lourd du dossier, et le seul qui soit strictement irréversible. Refaire le travail sous mandat d’avocat protège le nouveau travail. Cela n’efface pas l’ancien.
Ce que ça ne règle pas : votre propre responsabilité
Aucun de ces recours ne déplace l’obligation de l’entreprise. La personne ayant la plus haute autorité veille à assurer le respect et la mise en œuvre de la loi et exerce la fonction de responsable de la protection des renseignements personnels, fonction qu’elle peut déléguer par écrit, en tout ou en partie, à toute personne (art. 3.1 LPRPSP). Déléguer la fonction ne délègue pas la responsabilité.
Devant la Commission, « mon consultant m’avait dit que » n’est pas un moyen de défense. C’est au mieux un élément de contexte. Les chiffres qui encadrent l’exercice, eux, ne sont pas symboliques : les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial, et les amendes pénales 25 millions ou 4 %, selon le montant le plus élevé. À cela s’ajoute l’article 93.1 LPRPSP, qui impose des dommages-intérêts punitifs d’au moins 1 000 $ lorsqu’une atteinte illicite intentionnelle ou résultant d’une faute lourde cause un préjudice, un plancher par personne qui change l’arithmétique d’une action collective.
Comment éviter le problème au prochain mandat
Ce texte n’est pas un plaidoyer contre les consultants en vie privée. Les bons sont indispensables, et il y a du travail qu’un cabinet d’avocats fait mal ou cher : cartographie des flux, durcissement technique, journalisation, rétention, gouvernance documentaire, formation, gestion de projet, audit de maturité contre un référentiel.
Trois réflexes suffisent à tenir la ligne.
- Segmenter le mandat. Le consultant décrit, mesure et met en œuvre. L’avocat qualifie et tranche. On l’écrit dans l’énoncé de travaux, avec la liste des questions qui remontent au conseiller juridique.
- Regarder la question, pas le titre du document. Si le livrable répond à « suis-je assujetti », « suis-je conforme », « dois-je déclarer » ou « ai-je le droit de », c’est un avis juridique, peu importe l’étiquette.
- Pour l’EFVP, scinder explicitement. L’analyse des risques et des mesures est technique. L’identification des obligations applicables et la conclusion de conformité ne le sont pas. Le plus simple reste de confier l’EFVP au consultant sous mandat d’un avocat : le travail est bien fait, et il est couvert.
Si un fournisseur vous a déjà remis un « avis de conformité » signé de sa main, vous avez maintenant deux dossiers ouverts. Commencez par le bon.
Sources
- Loi sur le Barreau, RLRQ c. B-1, art. 128(1)a) et art. 132 et suivants
- Code des professions, RLRQ c. C-26, art. 188
- Charlebois c. Barreau du Québec, 2012 QCCA 788, par. 23 à 31
- Fortin c. Chrétien, 2001 CSC 45, [2001] 2 R.C.S. 500
- Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1, art. 3.1, 3.3, 3.5 et suivants, 17, 93.1
- Loi concernant le cadre juridique des technologies de l’information, RLRQ c. C-1.1, art. 44 et 45
- Décret d’exclusion visant des organisations de la province de Québec, DORS/2003-374
- Code civil du Québec, art. 1411, 1416, 1417, 1457, 1474, 1479, 1699, 2100, 2102, 2925
Aucune décision publiée ne vise, à ce jour, spécifiquement un consultant en conformité Loi 25 pour exercice illégal de la profession d’avocat. L’analyse ci-dessus transpose le critère de Charlebois à ce contexte.
Ce texte est de l’information juridique générale et ne constitue pas un avis juridique. Il n’établit pas de relation avocat-client. Chaque situation appelle une analyse de ses faits propres.
