contact@ffxf.net
Console
Pour une entreprise privée, aucune loi québécoise ou fédérale n'oblige à héberger ses données au Canada. La Loi 25 et la LPRPDE demandent autre chose : savoir où vont les renseignements personnels, évaluer la protection qu'ils auront là-bas, et pouvoir le démontrer. L'endroit où tournent vos serveurs décide surtout de la quantité de travail que ça représente, et un serveur « au Canada » ne règle pas tout si l'entreprise qui l'exploite relève du droit américain.
Des règles sectorielles ou contractuelles (organismes publics, santé, marchés publics) vont parfois plus loin. Nous traitons ici du cas général : une PME ou un développeur qui héberge des données de clients.
Ce texte n'est pas un avis juridique. Il résume des lois et des guides officiels, cités en lien, dans l'état où ils étaient à la mi-octobre 2026. Pour un cas précis, consultez un avocat ou la Commission d'accès à l'information.
1. Ce que la Loi 25 exige quand les données quittent le Québec
La Loi 25 a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé. Son article 17, en vigueur depuis le 22 septembre 2023, impose une évaluation des facteurs relatifs à la vie privée (EFVP) dans deux cas :
- avant de communiquer un renseignement personnel à l'extérieur du Québec ;
- avant de confier à une personne ou à un organisme à l'extérieur du Québec la tâche de recueillir, d'utiliser, de communiquer ou de conserver ce renseignement pour votre compte.
Le second cas, c'est l'hébergement. Louer un serveur ou un service infonuagique hors du Québec revient à confier la conservation des données à l'extérieur. Le guide de la Commission d'accès à l'information (CAI) cite d'ailleurs « le stockage de renseignements personnels en infonuagique à l'extérieur du Québec » comme exemple de projet visé.
L'évaluation doit tenir compte notamment de :
- la sensibilité des renseignements ;
- la finalité de leur utilisation ;
- les mesures de protection dont ils bénéficieraient, y compris contractuelles ;
- le régime juridique de l'État où ils iraient, notamment ses principes de protection des renseignements personnels.
Vous pouvez communiquer les renseignements si l'EFVP conclut à une protection adéquate, au regard des principes de protection généralement reconnus. La communication fait ensuite l'objet d'une entente écrite qui tient compte des résultats de l'évaluation et, au besoin, prévoit des mesures pour atténuer les risques relevés. Si la protection ne sera pas adéquate, le guide de la CAI est net : vous devez renoncer à la communication.
Deux précisions changent souvent la décision.
- Une autre province, c'est aussi l'extérieur du Québec. Un serveur à Toronto demande la même évaluation qu'un serveur en Virginie. La conclusion sera probablement plus simple pour l'Ontario, encadrée par la loi fédérale, mais l'exercice reste obligatoire.
- L'évaluation est proportionnée. La CAI demande d'en adapter l'ampleur à la sensibilité des renseignements, à leur finalité, à leur quantité, à leur répartition et à leur support. La loi ne fixe ni la méthode ni la forme du rapport. Une liste de clients d'une boutique en ligne n'appelle pas le dossier qu'exigeraient des données de santé, mais une évaluation écrite, même courte, reste la meilleure preuve que vous l'avez faite.
Héberger au Québec ne dispense pas de toute évaluation. L'article 3.3 de la même loi demande une EFVP pour tout projet d'acquisition, de développement ou de refonte d'un système d'information qui traite des renseignements personnels, où qu'il soit hébergé, déménagement chez un nouvel hébergeur compris. Elle sera simplement plus courte si les données ne quittent pas la province.
2. Ce que coûte un manquement
Depuis le 22 septembre 2023, la CAI peut imposer elle-même des sanctions administratives pécuniaires allant jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé. Les amendes pénales, prononcées par un tribunal, peuvent atteindre 25 M$ ou 4 % du chiffre d'affaires mondial. Ce sont des maximums, et le pourcentage ne dépasse 10 M$ que pour de très grandes entreprises. Avant d'en arriver là, la CAI peut enquêter et rendre des ordonnances, et reconstituer après coup une évaluation jamais faite coûte du temps dans tous les cas.
3. La LPRPDE : responsable où que soient les données
La loi fédérale s'applique aux organisations privées qui traitent des renseignements personnels dans le cadre d'activités commerciales. Le Québec, l'Alberta et la Colombie-Britannique ont des lois jugées essentiellement similaires : les entreprises qui y sont établies en sont généralement exemptées pour leurs activités dans la province. Mais dès que des renseignements franchissent une frontière provinciale ou nationale, la LPRPDE s'applique, quelle que soit la province de l'entreprise.
Elle n'interdit pas les transferts. Les lignes directrices du Commissariat à la protection de la vie privée sur le traitement transfrontalier le disent en toutes lettres. L'organisation reste responsable des renseignements qu'elle confie à un tiers, au Canada comme à l'étranger, et doit lui imposer, par contrat ou autrement, une protection comparable. Elle doit aussi prévenir ses clients que leurs renseignements peuvent être traités dans un autre pays et y devenir accessibles aux tribunaux, à la police et aux autorités de sécurité nationale de ce pays.
Une réforme est en cours. Le projet de loi C-27 est mort au Feuilleton en janvier 2025. Son successeur, le projet de loi C-36, qui édicterait la Loi visant à protéger la vie privée et les données des consommateurs, a été déposé le 15 juin 2026. Selon l'analyse du cabinet Torys, il exigerait notamment une évaluation des facteurs relatifs à la vie privée avant tout transfert hors du Canada, une logique proche de celle de la Loi 25. À la mi-octobre 2026, il n'avait franchi que la première lecture : la LPRPDE reste la loi en vigueur.
4. Le CLOUD Act : un serveur au Canada ne suffit pas
Adopté en 2018, le CLOUD Act a ajouté une règle au droit américain des communications stockées. Selon la foire aux questions du département de la Justice des États-Unis, un fournisseur soumis à la compétence américaine doit communiquer, en réponse à une procédure légale américaine valide, les données qu'il a en sa possession ou sous son contrôle, quel que soit l'endroit où il les stocke.
Un fournisseur américain qui ouvre une région à Montréal ou à Toronto reste donc soumis à cette obligation pour les données qui y sont stockées. Le serveur est au Canada ; l'entreprise qui le contrôle peut être contrainte par la justice américaine.
Le même document précise que la compétence américaine ne se limite pas aux sociétés américaines : elle dépend des liens d'une entreprise avec les États-Unis, au cas par cas. Pour la filiale étrangère d'un groupe américain, la question est de savoir si la maison mère contrôle les données. Un hébergeur canadien sans activité aux États-Unis est bien moins exposé, mais c'est une question de faits.
Le Canada et les États-Unis ont annoncé en mars 2022 des négociations pour un accord bilatéral prévu par le CLOUD Act. Le département de la Justice ne fait état d'aucun accord signé à ce jour. Le CLOUD Act vise les enquêtes criminelles ; le renseignement américain relève d'autres lois.
Pour votre EFVP, le régime juridique applicable à votre fournisseur fait partie de l'analyse. Si votre contrat est signé avec une entité étrangère, ou si des personnes peuvent accéder aux données depuis l'étranger, faites examiner votre cas : la frontière qui compte n'est pas toujours celle du centre de données.
5. Serveur au Canada ou entreprise canadienne
| Situation, pour une entreprise du Québec | EFVP de l'article 17 | Portée du CLOUD Act |
|---|---|---|
| Fournisseur américain, serveurs aux États-Unis | oui | oui |
| Fournisseur américain, région canadienne | oui hors Québec ; à faire examiner au Québec (contrat, accès depuis l'étranger) | oui |
| Entreprise canadienne, serveurs en Ontario | oui | selon ses liens avec les États-Unis |
| Entreprise québécoise, serveurs au Québec | non pour l'hébergement ; l'article 3.3 reste | selon ses liens avec les États-Unis |
6. Ce qu'il faut demander à un hébergeur
- Dans quelle ville sont stockées les données, sauvegardes comprises ? « Au Canada » ne suffit pas pour la Loi 25.
- Avec quelle entité signez-vous le contrat, et où est-elle immatriculée ? Au Québec, le registre des entreprises le confirme en une recherche.
- L'hébergeur a-t-il une maison mère, des filiales ou des activités aux États-Unis ?
- Qui peut accéder aux données, et depuis quel pays : support, administration, sous-traitants ?
- Quels sous-traitants hors du Québec reçoivent des renseignements, et lesquels ?
- Que prévoit le contrat quand une autorité demande vos données ?
- En cas d'incident de confidentialité, dans quel délai êtes-vous prévenu ? Depuis septembre 2022, la Loi 25 vous oblige à aviser la CAI et les personnes concernées quand l'incident présente un risque de préjudice sérieux.
Gardez les réponses : elles forment la moitié de votre EFVP.
7. Ce que nous pouvons dire de FFxF
FFxF est une entreprise individuelle immatriculée au Québec (NEQ 2282145301) et établie à Montréal. Nos machines sont à Montréal, sur notre propre réseau (AS402554), et nous facturons en dollars canadiens. Pour une entreprise québécoise, les machines, leurs disques et leurs sauvegardes restent au Québec : l'article 17 ne joue pas pour l'hébergement lui-même, et l'évaluation de l'article 3.3 en est d'autant plus courte.
Comme le dit notre politique de confidentialité, nous n'accédons pas au contenu de vos machines : vous êtes responsable des renseignements que vous y hébergez, nous en sommes l'hébergeur. Certains de nos prestataires, pour le paiement, les courriels transactionnels et les noms de domaine, traitent des données de compte hors du Québec ; leur liste est communiquée sur demande. Aucun ne reçoit le contenu de vos machines.
Être une entreprise québécoise n'est pas une immunité : nous répondons aux ordonnances valides, comme toute entreprise d'ici. Les coordonnées complètes et l'immatriculation sont sur la page À propos.
