Les pénalités sont sévères. Jusqu’à 25 millions de dollars, ou 4 % du chiffre d’affaires mondial. Les évaluations des facteurs relatifs à la vie privée obligatoires, le droit à la portabilité des données. Si vous bâtissez quelque chose à Toronto ou à Vancouver, il est facile de ranger tout ça sous « encore un enjeu québécois », comme on l’aurait fait pour le RGPD, et de passer à autre chose. Mais c’est passer à côté de l’essentiel — exactement de la même façon qu’on serait passé à côté de l’essentiel pour le RGPD en 2018.
Le portrait réel
Au fédéral, et dans chaque province sans loi qui lui est propre, y compris l’Ontario, le traitement des données du secteur privé relève de la LPRPDE. La C.-B. et l’Alberta ont leur propre PIPA. La Loi 25 du Québec fonctionne pareil, mais en plus strict, et pleinement en vigueur. La confusion la plus courante ici, c’est que le projet de loi 194 de l’Ontario n’est pas une loi du secteur privé — mais l’essentiel, c’est que les entreprises ontariennes demeurent sous la LPRPDE, peu importe quelle autre loi visant le secteur public sort par-dessus.
La même exposition partout
Chacun de ces régimes de conformité vous tient directement responsable des données personnelles que vous détenez ou confiez à un sous-traitant. Chacun est miné exactement de la même façon par le CLOUD Act américain. Si vous hébergez (ou même transmettez) des données de clients par l’entremise d’une entreprise à propriété américaine, peu importe où les données se trouvent physiquement, les autorités américaines peuvent les réquisitionner, peu importe dans quelle ville ou province se trouve le serveur. Ou pas. LPRPDE, PIPA, Loi 25, ça n’a pas d’importance. Le CLOUD Act traverse directement votre prétention de contrôle, parce que vous ne pouvez pas le garantir.
Ce que ça veut vraiment dire
La leçon principale entre souveraineté, résidence et le reste, ce n’est pas seulement que « la souveraineté, c’est le contrôle, et la résidence, c’est l’emplacement ». L’essentiel, c’est que le CLOUD Act américain mine votre capacité à contrôler les données, peu importe le régime de conformité que vous suivez. Ce n’est pas une question de mal agir ou de contourner la loi — ce qui est brisé, du point de vue de la chaîne de possession, c’est que même en suivant chaque régime à la lettre, vous ne pouvez pas prétendre de façon crédible avoir le plein contrôle des données de vos clients tant que votre contrepartie (ou vous-même) êtes assujettis au droit américain.