Vos données sont-elles vraiment au Québec ? Ce que la Loi 25 et le CLOUD Act changent pour les PME
Par Publireportages
Contenu promotionnel
Pendant des années, l’emplacement des serveurs se réglait d’une ligne dans un contrat. Ce n’est plus le cas. Depuis le 22 septembre 2023, une entreprise qui confie à un fournisseur situé hors du Québec la tâche de conserver des renseignements personnels doit d’abord réaliser une évaluation des facteurs relatifs à la vie privée, comme le rappelle le guide d’accompagnement de la Commission d’accès à l’information. Trois ans plus tard, bien des PME hébergent encore leurs dossiers clients, leurs courriels et leurs sauvegardes sans savoir précisément où ils se trouvent, ni sous quel droit.
Un serveur à Toronto, c’est déjà « l’extérieur du Québec »
L’article 17 de la loi sur le secteur privé ne distingue pas l’Ontario de la Virginie ou de l’Irlande. Il vise toute communication de renseignements personnels à l’extérieur du Québec, y compris le simple fait d’en confier la conservation à un prestataire établi ailleurs. Une infrastructure infonuagique logée à Toronto entre donc dans le champ de l’obligation, au même titre qu’un centre de données américain.
L’évaluation n’interdit rien. Elle oblige l’entreprise à vérifier que les renseignements bénéficieront d’une protection adéquate, en tenant compte de leur sensibilité, de la finalité du transfert, des mesures de protection prévues et du régime juridique applicable là où ils seront stockés. Le résultat doit ensuite se refléter dans une entente écrite avec le fournisseur. Pour une clinique, un cabinet comptable ou un courtier, dont les dossiers contiennent des renseignements de santé ou financiers, l’exercice n’a rien d’une formalité.
Dans les faits, beaucoup de PME découvrent l’obligation à l’occasion d’un changement d’outil : un nouveau logiciel de gestion de la clientèle, une plateforme de prise de rendez-vous, une messagerie infonuagique. L’article 3.3 de la même loi exige d’ailleurs une évaluation semblable lors de l’acquisition, du développement ou de la refonte d’un système d’information qui traite des renseignements personnels. Chaque projet technologique devient ainsi l’occasion de se demander où iront les données, et qui pourra y accéder. Les entreprises qui tiennent déjà un inventaire de leurs fournisseurs gagnent un temps précieux : l’évaluation se résume alors souvent à quelques pages, mises à jour à chaque renouvellement de contrat.
L’adresse du serveur ne dit pas tout
Héberger ses données au Québec règle la question de l’article 17. Cela ne règle pas forcément celle de la juridiction. Adoptée en 2018, la loi américaine dite CLOUD Act permet aux autorités des États-Unis d’exiger d’un fournisseur soumis à leur droit la remise de données qu’il contrôle, peu importe le pays où elles sont stockées. Le critère déterminant n’est pas l’emplacement du serveur, mais le droit auquel est soumise l’entreprise qui l’exploite, et sa société mère.
Le sujet a pris une tournure très concrète en juin 2025. Interrogé sous serment au Sénat français, dans le cadre de travaux sur la commande publique, le directeur des affaires publiques et juridiques de Microsoft France a reconnu qu’il ne pouvait pas garantir que des données de citoyens français ne seraient jamais transmises aux autorités américaines sans l’accord de la France, rapporte Génération NT. La déclaration visait l’Europe, mais le raisonnement s’applique au Canada : une région infonuagique montréalaise exploitée par une entreprise américaine reste à la portée du droit américain.
Ces services ne deviennent pas illégaux pour autant. La Loi 25 n’impose pas un hébergeur québécois, elle impose une évaluation sérieuse du risque. Pour des données sensibles, cette évaluation penche toutefois de plus en plus vers des fournisseurs dont l’infrastructure et le capital restent au Canada.
Québec montre la direction
L’État québécois a lui-même tranché pour ses propres systèmes. Le 13 février 2026, le ministre de la Cybersécurité et du Numérique, Gilles Bélanger, a dévoilé un énoncé de politique de souveraineté numérique qui mise sur le Nuage gouvernemental du Québec, privilégie les centres de traitement situés au Québec ou au Canada et prévoit la création de centres de données souverains appuyés sur l’électricité québécoise. Certains contrats d’acquisition de matériel et de logiciels seront même réservés à des entreprises établies au Québec ou au Canada.
Rien de tout cela ne s’impose aux entreprises privées. Le signal reste clair pour les fournisseurs de l’État, les organismes subventionnés et les PME qui répondent à des appels d’offres publics : la provenance de l’hébergement pourrait devenir un critère de sélection, et plus seulement un détail technique.
Des sanctions encore rares, des incidents bien réels
Compter sur l’indulgence du régulateur reste un pari risqué. Dans une réponse à une demande d’accès datée du 9 janvier 2026, la Commission d’accès à l’information indiquait n’avoir encore imposé aucune sanction administrative pécuniaire. Le même document fait état de 518 avis d’incidents de confidentialité reçus entre le 1er janvier et le 10 décembre 2025, soit environ dix par semaine.
Les plafonds, eux, sont connus : jusqu’à 10 millions de dollars ou 2 % du chiffre d’affaires mondial pour une sanction administrative, et jusqu’à 25 millions ou 4 % en cas de poursuite pénale, selon l’analyse du cabinet Osler. La loi ouvre aussi la porte aux dommages-intérêts punitifs lorsqu’une atteinte intentionnelle ou une faute lourde cause un préjudice. Une fuite chez un hébergeur mal choisi reste, aux yeux de la loi, l’affaire de l’entreprise qui lui a confié ses données.
Six questions à poser à son hébergeur
Avant de renouveler un contrat ou de migrer vers une nouvelle plateforme, ces questions permettent de nourrir l’évaluation exigée par la loi. Les réponses doivent être écrites : une promesse verbale ne vaut rien devant la Commission.
| Question à poser | Réponse rassurante | Signal d’alerte |
|---|---|---|
| Où mes données sont-elles stockées, sauvegardes comprises ? | Adresses précises des centres de données, copies incluses | « Au Canada », sans plus de détails |
| L’entreprise ou sa société mère relève-t-elle du droit américain ? | Société canadienne sans maison mère étrangère | Filiale d’un groupe soumis au CLOUD Act |
| Qui peut accéder aux serveurs pour le support ? | Équipe identifiée, accès journalisés | Support délocalisé, sans liste des intervenants |
| Quels sous-traitants interviennent dans le service ? | Liste écrite et préavis avant tout changement | « Nos partenaires habituels » |
| Que prévoit le contrat en cas d’incident de confidentialité ? | Délai d’avis précis et aide à la déclaration | Aucune clause sur le sujet |
| Comment récupérer et effacer mes données en fin de contrat ? | Format ouvert et attestation de destruction | Frais de sortie flous ou absents du contrat |
Héberger au Québec ne suffit pas
Rapatrier ses serveurs à Montréal ne règle qu’une partie du problème. Les sauvegardes répliquées dans une autre région, le logiciel de facturation en mode SaaS, l’outil d’infolettre ou le support technique assuré depuis l’étranger peuvent tous constituer une communication hors Québec. L’inventaire doit couvrir l’ensemble de ces flux, pas seulement le serveur principal.
Plusieurs fournisseurs d’ici ont fait de cette transparence un argument. Syspark, actif depuis 1999, exploite par exemple deux centres de données sur le boulevard René-Lévesque, au centre-ville de Montréal, et propose un hébergement infogéré au Québec aux PME comme aux agences web. Pour les organisations qui combinent plusieurs plateformes, une approche de cloud souverain en mode hybride permet de garder les données sensibles au Québec tout en conservant des services publics pour le reste. Quel que soit le fournisseur retenu, l’essentiel est d’obtenir des réponses écrites et vérifiables.
La Loi 25 n’a pas fait de la localisation des données une obsession réglementaire. Elle en a fait une décision à documenter. Pour une PME, la différence tient souvent à quelques courriels envoyés à son fournisseur, et à la qualité des réponses reçues.
Foire aux questions
La Loi 25 oblige-t-elle les entreprises à héberger leurs données au Québec ?
Non. Elle exige une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements personnels hors du Québec ou d’en confier la conservation à un prestataire établi ailleurs, puis une entente écrite qui tient compte des risques relevés. Le transfert reste possible si la protection est jugée adéquate.
Un hébergement en Ontario est-il considéré comme « hors Québec » ?
Le texte de la loi vise l’extérieur du Québec sans prévoir d’exception pour les autres provinces. La prudence consiste donc à traiter un centre de données situé à Toronto comme n’importe quel autre emplacement extérieur et à documenter l’évaluation.
Qu’est-ce que le CLOUD Act et en quoi touche-t-il une PME québécoise ?
Cette loi américaine de 2018 permet aux autorités des États-Unis d’obtenir d’un fournisseur soumis à leur droit des données qu’il contrôle, même lorsqu’elles sont stockées à l’étranger. Une PME québécoise qui confie ses données à un tel fournisseur doit intégrer ce risque à son évaluation, même si les serveurs sont situés à Montréal.
Les copies de sauvegarde doivent-elles aussi rester au Québec ?
Elles sont soumises aux mêmes règles que les données principales. Une stratégie de sauvegarde 3-2-1 peut se déployer entièrement au Québec, à condition de vérifier où se trouve réellement la copie hors site.
Que faire si l’hébergeur subit un incident de confidentialité ?
L’entreprise reste responsable des renseignements qu’elle a confiés. Elle doit consigner l’incident dans son registre et, s’il présente un risque de préjudice sérieux, aviser la Commission d’accès à l’information ainsi que les personnes concernées. D’où l’intérêt d’un délai d’avis précis dans le contrat d’hébergement.
