Mise à jour du 24 avril 2026. Le MSSS a publié aujourd’hui une nouvelle version de la grille de vérification : 382 critères répartis en 7 familles, dont une toute nouvelle famille consacrée à l’intelligence artificielle. Ce guide a été révisé en conséquence. La version originale, publiée en décembre 2025, décrivait la grille alors en vigueur et ses 254 critères en six volets. Les détails de la nouvelle grille sont dans notre brève sur la nouvelle grille TGV du 24 avril 2026.
En bref : La certification TGV est le processus par lequel le Bureau de certification de Santé Québec certifie qu’un produit ou service technologique destiné au réseau de la santé respecte sa grille de critères de sécurité et de protection des renseignements personnels. Le fournisseur démontre cette conformité une seule fois : la certification vaut ensuite pour l’ensemble du réseau.
Si vous dirigez une entreprise en santé numérique et qu’un appel d’offres vous a mis ces trois lettres sous les yeux pour la première fois, ce guide est écrit pour vous. Pas pour votre équipe technique, pour vous.
Dans cet article
Pourquoi la certification TGV existe-t-elle ?
Le réseau de la santé du Québec achète des technologies qui touchent des renseignements parmi les plus sensibles qui existent : des dossiers de patients. Avant la TGV, chaque établissement évaluait les fournisseurs à sa façon, avec les moyens qu’il avait.
La TGV centralise cette évaluation. Le fournisseur démontre une fois sa conformité, la certification vaut ensuite pour l’ensemble du réseau. C’est exigeant pour l’éditeur, mais c’est aussi une forme d’efficacité : sans elle, vous referiez la démonstration établissement par établissement.
Le cadre est décrit dans l’orientation officielle du MSSS sur la certification TGV (publication 24-715-38W), le document de référence que nous citons tout au long de ce guide.
Qui doit obtenir la certification TGV ?
Les fournisseurs de produits et de services technologiques destinés au réseau de la santé et des services sociaux du Québec doivent obtenir la certification TGV. Concrètement : si votre logiciel, votre plateforme ou votre service infonuagique doit être acheté, déployé ou utilisé par un établissement du réseau, la question de la certification va se poser, le plus souvent dès l’appel d’offres.
Deux précisions qui surprennent souvent les dirigeants.
La certification vise un produit, pas une entreprise. Votre organisation n’est pas « certifiée TGV » : c’est votre produit qui l’est, dans une version donnée. Si vous avez trois produits, chacun suit sa propre démarche.
La certification vise une version. Une évolution majeure de votre produit peut exiger une nouvelle démarche. Si votre cycle de développement livre des versions majeures rapprochées, c’est un élément à planifier dès le départ, pas à découvrir en cours de route.
Que contient la grille de vérification ?
La grille est la liste des critères contre lesquels votre produit est vérifié. À la publication originale de ce guide, en décembre 2025, la grille en vigueur comptait 254 critères, répartis en six volets. Depuis le 24 avril 2026, la grille v2026-04-24 en compte 382 critères, répartis en 7 familles :
| Famille | Nombre de critères |
|---|---|
| Sécurité | 112 |
| Protection des renseignements personnels | 108 |
| Intelligence artificielle | 69 |
| Interopérabilité | 58 |
| Technique | 26 |
| Performance | 7 |
| Gouvernance | 2 |
Quelques repères pour lire ce tableau en dirigeant plutôt qu’en technicien :
- Sécurité et protection des renseignements personnels : 220 critères à elles deux, plus de la moitié de la grille. Si votre produit s’appuie sur un hébergeur infonuagique sérieux et que vous détenez déjà des certifications reconnues, une partie de ces critères se démontre avec des preuves que vous avez déjà. Le travail consiste à cartographier l’existant, pas à tout rebâtir.
- Intelligence artificielle : 69 critères, la nouveauté de 2026, sur la gouvernance des systèmes d’IA, la transparence des décisions automatisées et l’encadrement de l’utilisation des données. Si votre produit intègre de l’IA, cette famille est le cœur de votre démarche.
- Gouvernance : deux critères seulement, mais éliminatoires. Le produit doit offrir une interface en français pour ses utilisateurs et ne pas présenter de publicité. Un produit anglophone qui prévoit « traduire plus tard » n’est pas prêt à déposer.
- Interopérabilité, technique et performance : le reste de la grille. Selon la nature du produit, une partie de ces critères peut être non applicable ; la non-applicabilité se documente et se justifie auprès du Bureau de certification, elle ne se décrète pas.
Qui délivre la certification ?
Le Bureau de certification de Santé Québec administre le processus : réception des dossiers, encadrement de la vérification, décision. Nous lui consacrons un article complet : Qu’est-ce que le Bureau de certification de Santé Québec ?
Un point mérite d’être dit sans détour. La décision de certifier appartient à Santé Québec, à personne d’autre. Un consultant, une firme de vérification, un partenaire peuvent préparer votre dossier, renforcer vos preuves, anticiper les questions. Aucun ne peut vous garantir la certification. Si quelqu’un vous la promet, méfiez-vous : c’est une obligation de moyens, pas une obligation de résultat, et quiconque prétend le contraire vous dit quelque chose sur sa rigueur.
Comment se déroule le processus ?
À grands traits : vous préparez un dossier qui démontre, critère par critère, la conformité de votre produit, avec des preuves à l’appui. Ce dossier passe ensuite une vérification externe : pour tout produit ou service utilisant des données personnelles, de santé ou de services sociaux, les tests d’intrusion sont un prérequis à l’obtention de la certification TGV, réalisés par un prestataire indépendant qui répond aux exigences du Bureau de certification et d’homologation : représentants légalement autorisés au Canada, personnel certifié en tests d’intrusion, preuves d’antécédents criminels pour ce personnel, rapport livré en français, test en boîte blanche mené en production ou en environnement équivalent. Le Bureau de certification rend ensuite sa décision.
Chaque étape a ses exigences, ses délais et ses pièges. Nous les détaillons dans Certification TGV : les 5 étapes, du dépôt à la décision.
La démarche se planifie. L’écart entre votre produit tel qu’il est aujourd’hui et la grille détermine l’essentiel de l’effort, du délai et du coût. Deux entreprises avec le même produit sur papier peuvent vivre deux démarches très différentes selon la maturité de leur documentation, de leur sécurité et de leur conformité à la Loi 25 : demandez tôt à votre équipe technique la date de son dernier test d’intrusion, vous saurez d’où vous partez.
Qu’est-ce que la certification TGV n’est pas ?
Quelques confusions reviennent constamment dans nos échanges avec des dirigeants, autant les dissiper tout de suite :
- Ce n’est pas une norme internationale. La TGV est propre au Québec. Vos certifications ISO 27001 ou vos rapports SOC 2 ne la remplacent pas, même s’ils peuvent servir de preuves pour une partie des critères. L’inverse est vrai aussi : la TGV ne vous ouvre pas d’autres marchés que le réseau québécois.
- Ce n’est pas une case à cocher une fois pour toutes. La certification s’entretient : l’attestation du Bureau de certification (formulaire BC-D0001-01) engage le fournisseur à un test d’intrusion par année auprès d’une firme indépendante, à une autodéclaration soumise au moins 15 jours avant la date d’anniversaire, à corriger les vulnérabilités selon une échéance convenue avec le Bureau de certification, à présenter un plan de mitigation dans les trois jours ouvrables pour toute vulnérabilité critique, et à un exercice de relève informatique tous les deux ans dans un centre distinct.
- Elle reste valide cinq ans, avec reconduction tacite d’un an à chaque respect de ces engagements. Le budget de la première année n’est pas le budget des suivantes, mais il n’est pas nul non plus.
- Ce n’est pas un exercice purement technique. Une bonne partie des critères porte sur de la documentation, des processus et de la gouvernance : politiques, inventaire des renseignements personnels, encadrement de l’IA, transparence envers les utilisateurs. Confier le dossier à la seule équipe de développement, c’est le voir revenir.
Par où commencer ?
Trois gestes concrets, dans l’ordre :
- Lisez l’orientation officielle du MSSS et procurez-vous la grille de critères en vigueur, diffusée sur la même page. C’est aride, mais c’est la source. Tout le reste, ce guide compris, est un commentaire de ce document.
- Faites un premier passage honnête de la grille avec vos équipes : couvert, partiellement couvert, écart, non applicable. Ne cherchez pas la perfection, cherchez le portrait réel. Les écarts découverts en préparation coûtent moins cher que les écarts découverts en vérification.
- Décidez ensuite comment combler l’écart : à l’interne, accompagné, ou les deux. La bonne réponse dépend de votre échéance. Si un appel d’offres est déjà sur la table, comptez à rebours depuis sa date de clôture, le calendrier décidera pour vous.
Nous accompagnons des fournisseurs dans cette démarche, de la cartographie initiale jusqu’à la décision du Bureau. Notre rôle est celui du guide local : structurer, cartographier, rédiger, coordonner. Vous validez, vous décidez. Si votre produit est visé par la TGV, vous pouvez planifier un appel exploratoire : trente minutes suffisent pour situer votre écart et vos options.
Pour aller plus loin avec Factero :
Foire aux questions
La certification TGV est-elle obligatoire ?
Oui, pour vendre un produit ou service technologique au réseau de la santé et des services sociaux du Québec. Dans les faits, l’exigence vous rejoint par les appels d’offres et les contrats : sans certification, votre produit ne franchit pas la porte.
La certification TGV vise-t-elle mon produit ou toute mon entreprise ?
Votre produit, pas votre entreprise, et une version précise de ce produit. Le Bureau de certification délivre une attestation par produit et par version : si vous en avez trois, vous menez trois démarches distinctes. Une évolution majeure de votre produit peut exiger une nouvelle vérification avant l’échéance normale de cinq ans.
Un test d’intrusion est-il obligatoire pour la certification TGV ?
Oui, pour tout produit ou service qui utilise des données personnelles, de santé ou de services sociaux. Il est réalisé par un prestataire indépendant répondant aux exigences du Bureau de certification et d’homologation (représentants légalement autorisés au Canada, personnel certifié, rapport en français), en boîte blanche, en production ou en environnement équivalent. Le fournisseur certifié s’engage ensuite à en refaire un chaque année.
Combien de temps prend la certification TGV, du dépôt à la décision ?
Comptez de 1 à 6 semaines pour la phase de préparation avec le Bureau de certification, puis 30 jours ouvrables pour la vérification externe. Le premier chiffre dépend surtout de votre maturité au départ : un dossier bien documenté avance plus vite qu’un dossier qui découvre ses écarts en cours de route.
Un produit hébergé aux États-Unis peut-il être certifié TGV ?
L’hébergement et la localisation des données font partie des points examinés de près, en lien avec les exigences québécoises de protection des renseignements personnels. Aucune règle ne l’exclut d’emblée : la réponse dépend de votre architecture réelle. C’est exactement le genre d’écart à identifier au tout début de la démarche, parce qu’il peut être structurel.
Sources citées
- Liste des critères de vérification de la TGV, v2026-04-24 (fichier officiel diffusé sur la page de la publication)
- Tests d’intrusion ou tests de pénétration — orientation du Bureau de certification et d’homologation (BCH)
- Attestation de certification TGV, formulaire BC-D0001-01 (Bureau de certification de Santé Québec)
