Soyons clairs, héberger sur une région AWS canadienne, c’est aussi canadien que Donald Trump en patins sur le canal Rideau à Ottawa. Ça a l’air canadien de l’extérieur, mais en y regardant de plus près, on réalise à quel point la situation est vilaine.
Mais pourquoi pas? Eh bien, si l’entreprise qui exploite l’infrastructure est constituée aux États-Unis, le droit américain s’applique. Y compris le CLOUD Act (Clarifying Lawful Overseas Use of Data Act). Cette loi oblige les entreprises américaines à produire des données stockées n’importe où dans le monde en réponse aux forces de l’ordre américaines. Donc même si vos données sont réellement au Canada, à tout moment elles pourraient devenir la propriété du gouvernement américain.
Cette distinction n’est pas super importante pour les petites entreprises ordinaires. Mais si vous êtes assujetti à la LPRPDE, à la PIPA, à la Loi 25, ou à d’autres exigences d’approvisionnement, ce n’est pas seulement une question de savoir si le gouvernement américain va réellement saisir vos données.
Le vrai problème, c’est que ça reste une POSSIBILITÉ, et ce n’est pas seulement une violation de nombreuses lois, c’est aussi un mauvais service à la clientèle.
Ce que ça dit vraiment
Voici l’essentiel :
A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider's possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States.
La phrase clé ici est « regardless of whether such communication, record, or other information is located within or outside of the United States », donc quand vous sélectionnez ca-central-1sur AWS, ou que vous optez pour la « région canadienne » de Vercel, vous ne changez absolument rien. En fait, dans la plupart des cas, ces centres de données appartiennent aux mêmes entreprises américaines, donc vous ne soutenez même pas des entreprises canadiennes.
L’analyse de 2026 de la Balsillie School le confirme : quand des Canadiens utilisent des services fournis par des entreprises américaines, Microsoft, Google, Amazon Web Services, Apple, Meta, leurs données sont assujetties à la compétence du CLOUD Act peu importe où elles sont physiquement stockées.
Comment ça s’applique à Vercel, Netlify, Railway, Render, AWS, Google, peu importe
Elles sont toutes américaines. Il n’y a absolument aucune différence entre les entreprises que vous choisissez, ou l’endroit où les données sont stockées. Tant qu’elles ont une présence américaine, elles peuvent être contraintes par le droit américain.
Ce que la LPRPDE et la Loi 25 exigent
Aucune de ces deux lois n’interdit réellement de stocker les données de vos clients à l’extérieur du Canada. Mais elles ont beaucoup à dire sur l’accès étranger et votre obligation de le divulguer à vos clients.
La Loi 25 exige une évaluation des facteurs relatifs à la vie privée (ÉFVP) avant de communiquer des renseignements personnels à l’extérieur du Québec, mais le vrai poids tombe sur les articles 17 et 17.1. L’évaluation doit déterminer si les renseignements personnels bénéficieront d’une protection juridique équivalente. Si votre fournisseur d’hébergement est assujetti au CLOUD Act américain, la réponse est non. Les autorités américaines peuvent contraindre l’accès sans même vous en aviser, ce qui veut dire que vous ne pouvez littéralement pas prétendre que votre hébergeur américain offre une protection juridique équivalente, parce qu’IL NE VOUS AVISE MÊME PAS DE LA SAISIE. Que votre client en particulier exige la divulgation des fuites de données ou non n’a pas d’importance. Vous êtes littéralement incapable de garantir cette divulgation.
Et les pénalités sont lourdes. 10 M$ pour commencer, ou 2 % du chiffre d’affaires mondial, et les amendes punitives font plus que doubler ce montant. 25 M$ ou 4 % du chiffre d’affaires mondial.
Le principe de responsabilité de la LPRPDE est similaire. Il exige que les organisations assurent un niveau de protection équivalent lorsque des renseignements personnels sont transférés à un tiers. Mais l’écart d’exposition demeure. Comment pouvez-vous garantir une protection quand vous ne savez même pas si elle a été saisie?
Alors, qu’est-ce que ça veut dire vraiment, un « hébergement souverain »?
Pour qu’un hébergement soit véritablement souverain, chaque maillon de la chaîne d’approvisionnement doit être exempt du droit américain, ou d’autres régions avec des failles de protection des données compromises. De façon générale, le RGPD en Europe n’est pas hostile et est bien plus fiable que les États-Unis.
Pour le Canada, c’est simple. L’entreprise doit être contrôlée par des intérêts canadiens. L’infrastructure doit être physiquement située au Canada, et l’entité d’accès ou de contrôle doit être contrôlée par des intérêts canadiens et non assujettie à un contrôle étranger. Ce point est important. Nous avons récemment expérimenté avec un parc de serveurs privés virtuels hébergé au Québec par OVH. Mais nous avons découvert qu’ils avaient une entité américaine distincte. Nous pensions au départ que ces deux entités étaient distinctes, mais des déclarations publiques récentes ont montré que ces entités ont l’obligation de poursuivre des recours juridiques d’une compétence à l’autre. Autrement dit, OVH a publiquement déclaré qu’elle « pourrait » se conformer au CLOUD Act même dans des entités distinctes.
Le problème des 92 %
Canner existe parce que cette infrastructure de développement n’existe tout simplement pas. Il n’y a aucune pile technologique 100 % canadienne, jusqu’à nous, capable de répondre aux besoins modernes. Nous sommes constitués au Canada, nous opérons exclusivement sur une infrastructure basée au Québec, et nous n’avons aucune filiale, affiliée ou dépendance américaine qui expose les données de vos clients à des régimes juridiques risqués comme celui des États-Unis.
TL;DR
Le choix d’une région canadienne comme ca-central-1 rend-il mes données conformes à la LPRPDE?
Les deux sont sans lien. Tant que votre fournisseur est contrôlé par les États-Unis, l’emplacement de vos données n’a aucune importance.
Vercel est-il conforme à la LPRPDE?
Vercel est une entité constituée aux États-Unis et pleinement assujettie au CLOUD Act américain. Utiliser Vercel signifie que vos données, y compris les variables d’environnement et le contenu des bases de données, chiffrées ou non, sont à la portée du droit américain.
Le gouvernement américain peut-il réellement accéder à mes données sur AWS Canada?
Oui. Si un mandat valide est délivré, ils n’ont même pas besoin de vous en informer.
Quelle est la différence entre la résidence des données et la souveraineté des données?
C’est simple. La résidence concerne l’endroit où les octets sont physiquement stockés. La souveraineté concerne qui en a le contrôle, et plus précisément, quelles lois s’y appliquent.