Souveraineté des données et hébergement web au Canada : guide en langage clair

La souveraineté des données est le principe selon lequel les données sont soumises aux lois du pays dans lequel elles sont physiquement stockées et dans lequel l'entreprise qui les contrôle est légalement domiciliée. Pour les entreprises canadiennes, cela signifie que votre choix d'hébergement a des conséquences légales directes.

Le CLOUD Act américain et pourquoi il affecte les entreprises canadiennes

Le Clarifying Lawful Overseas Use of Data Act, adopté en 2018, permet aux agences d'application de la loi américaines de contraindre les entreprises basées aux États-Unis à produire des données stockées n'importe où dans le monde. L'expression clé est entreprises basées aux États-Unis. Si votre hébergeur est constitué aux États-Unis, ou est une filiale d'une entreprise américaine, une ordonnance légale américaine valide peut leur exiger de produire vos données sans vous en informer.

Cela s'applique même si les serveurs sont physiquement au Canada. AWS Canada, Microsoft Azure Canada et Google Cloud Canada sont tous exploités par des sociétés américaines. Les données stockées dans ces régions canadiennes sont légalement accessibles aux autorités américaines en vertu du CLOUD Act. L'emplacement physique du matériel est moins important que le domicile légal de l'entreprise qui l'exploite.

Ce que la LPRPDE exige lors du transfert de données hors du Canada

La LPRPDE n'interdit pas le transfert de renseignements personnels hors du Canada, mais elle exige que les organisations prennent des mesures raisonnables pour s'assurer que les tiers qui traitent les informations offrent une protection comparable. La question de savoir si un fournisseur cloud américain sous la juridiction du CLOUD Act offre une protection comparable à la LPRPDE est véritablement difficile à répondre affirmativement.

Ce que la vraie souveraineté des données exige réellement

Trois conditions doivent être réunies simultanément. Premièrement, le matériel doit être physiquement situé au Canada. Deuxièmement, l'entreprise qui exploite ce matériel doit être constituée au Canada et ne pas être une filiale d'une entreprise étrangère soumise à des lois de contrainte étrangères. Troisièmement, la relation contractuelle entre vous et le fournisseur d'hébergement doit être régie par la loi canadienne. Les trois conditions ensemble. Un centre de données canadien exploité par une entreprise américaine satisfait la première condition et échoue aux deux autres.

Secteurs réglementés où ce n'est pas facultatif

Les professionnels juridiques ont des obligations de privilège avocat-client qui s'étendent à l'endroit où les données des clients sont stockées. Les organisations de soins de santé en Ontario sont soumises à la LSRP. Les institutions financières sont soumises aux orientations du BSIF sur la gestion des données et le risque lié aux tiers. Les contractants fédéraux traitant des données gouvernementales peuvent être soumis à des exigences de politique du Conseil du Trésor concernant la résidence des données. Pour les entreprises dans ces secteurs, la souveraineté des données canadiennes est une exigence de conformité, pas une préférence.