Isabelle DuboisLe cours de l'action Palantir (PLTR) se maintient autour de 128 dollars américains à la fin juillet 2026, les marchés retenant leur souffle avant la publication des résultats du deuxième trimestre prévue le 3 août. Mais au Canada, c'est un autre chiffre qui préoccupe les juristes spécialisés en droit des données : 46,8 millions de dollars. C'est le montant total du contrat secret que le gouvernement fédéral canadien a conclu avec la filiale canadienne de Palantir Technologies, selon une enquête de l'Investigative Journalism Foundation publiée en juillet 2026 — un accord si discret que le ministère de la Défense nationale a lui-même reconnu l'avoir « omis par inadvertance » dans les registres publics d'achats obligatoires. Pour les entrepreneurs, les PME et les prestataires de services qui interagissent quotidiennement avec des ministères fédéraux, cette révélation soulève une question directe : vos données professionnelles bénéficient-elles réellement de la protection prévue par la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) — et que se passe-t-il lorsque votre gouvernement confie vos informations à une société cotée en bourse à New York ?
Un partenariat militaire beaucoup plus profond que prévu
À l'origine, le gouvernement fédéral canadien a signé un premier contrat de 14,4 millions de dollars avec Palantir Canada en mars 2020, officiellement destiné à soutenir les opérations de recherche et de sauvetage de la Force aérienne royale canadienne. Six ans plus tard, ce montant a atteint 46,8 millions de dollars — plus du triple — sans jamais avoir été consigné dans les registres publics obligatoires. Le ministère de la Défense nationale a confirmé la situation à la suite des questions posées par l'Investigative Journalism Foundation, qualifiant l'omission d'erreur administrative.
La semaine dernière, le même ministère a annoncé un nouveau marché de 7,4 millions de dollars par an pour l'acquisition de deux licences logicielles supplémentaires de Palantir. Et selon des documents analysés par des enquêteurs indépendants, le logiciel serait capable d'agréger des publications de réseaux sociaux et d'analyser des photos à l'aide de la reconnaissance faciale — potentiellement sur des profils de civils canadiens.
Pour les investisseurs qui ont acheté des actions PLTR ces dernières semaines, cette actualité est perçue comme un signal positif : chaque nouveau contrat gouvernemental renforce la thèse de croissance de Palantir. Les analystes prévoient un chiffre d'affaires de 1,8 milliard de dollars américains pour le deuxième trimestre 2026, soit une croissance annuelle de 80 %, et un bénéfice par action de 0,35 dollar. Les options de marché tablent même sur un mouvement de plus ou moins 15 % du cours autour du 3 août. Mais pendant que les marchés calculent leurs rendements, les juristes canadiens soulèvent une autre équation : celle de la souveraineté des données.
Ce que la LPRPDE garantit — et ce qu'elle ne peut pas
La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) constitue le cadre de référence en matière de protection des données personnelles pour les entreprises privées au Canada. Elle impose le consentement éclairé des personnes concernées, encadre les transferts de données à des tiers, et oblige les organisations à maintenir une protection adéquate même lorsque le traitement est sous-traité à une entreprise externe.
Mais la structure juridique de Palantir crée une zone grise significative. Bien que l'entité contractante soit Palantir Canada, la société mère est américaine, cotée au NASDAQ, et soumise aux lois américaines — notamment le CLOUD Act de 2018, qui autorise les autorités fédérales américaines à exiger l'accès à des données gérées par des entreprises américaines, même si elles sont physiquement hébergées à l'étranger. Cette réalité juridique dépasse les frontières : une injonction émise par un tribunal américain peut forcer Palantir à communiquer des données stockées au Canada sans que le gouvernement canadien — ni les citoyens ou entreprises concernés — n'en soit préalablement informé.
La LPRPDE maintient formellement la responsabilité de l'organisation canadienne qui confie les données à un tiers : le ministère demeure responsable si Palantir ne protège pas adéquatement les renseignements. Mais pour une PME dont les informations se trouvent dans les systèmes d'un ministère, ce principe de responsabilité reste théorique. La chaîne de traçabilité entre « mes données transmises à un ministère » et « mes données analysées par un outil américain sous contrat secret » est difficilement reconstructible sans l'aide d'un avocat spécialisé.
Pour approfondir l'aspect législatif canadien sur la souveraineté des données, on peut consulter les travaux entourant le projet de loi C-22 sur la vie privée — une réforme qui pourrait renforcer les obligations des organisations traitant des données en partenariat avec des entités américaines.
Cas concret : une PME fournisseur de l'État face au risque de transfert transfrontalier
Prenons le cas d'une PME ontarienne de 12 employés, titulaire d'un contrat de 180 000 dollars avec Services publics et Approvisionnement Canada pour la fourniture de services de traduction. Dans le cadre de ce contrat, l'entreprise a transmis ses coordonnées bancaires, ses informations fiscales, les noms et numéros d'assurance sociale de ses dirigeants, ainsi que des documents internes liés à des appels d'offres.
Si les systèmes fédéraux auxquels ces données ont été soumises sont gérés — même partiellement — par un prestataire comme Palantir Canada, soumis à des obligations légales américaines, alors les scénarios suivants sont juridiquement possibles :
- Un tribunal fédéral américain émet une ordonnance en vertu du CLOUD Act : Palantir doit remettre les données dans un délai de 14 à 30 jours, sans notification préalable obligatoire à la PME canadienne concernée.
- Les données agrégées de plusieurs fournisseurs gouvernementaux sont utilisées pour entraîner des modèles d'analyse prédictive, enrichissant les capacités commerciales de Palantir — sans consentement explicite des fournisseurs originaux, puisque c'est le ministère, et non la PME, qui a signé le contrat de sous-traitance.
- La PME, confrontée à une fuite de données, tente d'obtenir réparation sous la LPRPDE : les amendes prévues atteignent 100 000 dollars par infraction, mais les recours contre un sous-traitant étranger impliquant des procédures judiciaires américaines peuvent facilement dépasser 50 000 à 80 000 dollars en frais juridiques — souvent plus que la valeur des dommages subis.
Ce n'est pas un scénario hypothétique : selon le Commissariat à la protection de la vie privée du Canada, les organisations doivent évaluer de manière proactive les risques liés aux transferts transfrontaliers, même lorsque ces transferts sont réalisés via un intermédiaire gouvernemental. Cette obligation de diligence s'applique à toute PME qui confie, même indirectement, des données personnelles à une chaîne de traitement incluant des entités étrangères.
Ce que votre entreprise devrait faire dès maintenant
La convergence entre le buzz boursier autour de PLTR et les révélations sur les contrats canadiens secrets crée une fenêtre d'attention importante pour les dirigeants d'entreprise. Voici les démarches concrètes à envisager :
Cartographier vos flux de données avec les ministères fédéraux. Identifiez quelles informations vous transmettez, à quels ministères, et sous quelles conditions contractuelles. Les contrats fédéraux canadiens contiennent généralement des clauses de traitement des données, mais leur portée — et leur compatibilité avec la LPRPDE — varie considérablement d'un appel d'offres à l'autre.
Demander une clause de souveraineté des données. Lors de tout renouvellement ou nouvelle soumission, négociez l'inclusion d'une clause interdisant expressément le transfert de vos données hors du Canada sans consentement préalable et écrit, avec un droit de notification en cas d'injonction judiciaire étrangère.
Vérifier la stratégie IT de votre propre organisation. Si vous utilisez vous-même des outils d'intelligence artificielle américains — plateformes d'analyse, CRM cloud, outils de productivité — vous pourriez vous trouver dans une situation similaire à celle que vous craignez de la part de l'État. Pour comprendre comment les entreprises canadiennes adaptent leur stratégie IT face aux outils IA comme Palantir, les analyses sur l'expansion de Palantir auprès des entreprises canadiennes en 2026 offrent un éclairage utile.
Consulter un avocat spécialisé en droit des données. La législation canadienne évolue rapidement — le projet de loi C-22 est en cours d'examen et pourrait modifier significativement les obligations des organisations travaillant avec des partenaires américains. Un juriste peut réaliser une revue de vos contrats actuels et identifier les clauses à renégocier avant qu'un incident ne survienne.
Avis légal : cet article fournit de l'information générale sur la législation canadienne en matière de protection des données et ne constitue pas un avis juridique. Pour toute situation spécifique, consultez un avocat qualifié en droit canadien de la protection des renseignements personnels.
