Loi 25 et hébergement : la limite, c’est le Québec, pas le Canada.

La Loi 25 a modifié la Loi sur la protection des renseignements personnels dans le secteur privé. L’article 17 est celui qui touche l’hébergement :

« Avant de communiquer à l’extérieur du Québec un renseignement personnel, la personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée. » L’évaluation tient compte de la sensibilité du renseignement, de la finalité, des mesures de protection, y compris contractuelles, et du « régime juridique applicable dans l’État où ce renseignement serait communiqué ». La communication peut s’effectuer seulement si le renseignement « bénéficierait d’une protection adéquate », et elle doit faire l’objet d’une entente écrite qui tient compte de l’évaluation.

Le troisième alinéa vise l’hébergement : « Il en est de même lorsque la personne qui exploite une entreprise confie à une personne ou à un organisme à l’extérieur du Québec la tâche de recueillir, d’utiliser, de communiquer ou de conserver pour son compte un tel renseignement. » Un hébergeur hors Québec conserve les renseignements pour votre compte.

C’est notre lecture de la loi et du guide de la CAI, pour vous aider à planifier. Ce n’est pas un avis juridique.

L’article 3.3 exige une EFVP pour « tout projet d’acquisition, de développement et de refonte de système d’information ou de prestation électronique de services » qui implique des renseignements personnels. Cela s’applique peu importe l’hébergeur, Canner compris. L’évaluation doit être « proportionnée à la sensibilité des renseignements concernés » : un formulaire de contact en demande bien moins qu’un portail patient.

Le même article exige que le système puisse remettre à une personne ses renseignements informatisés « dans un format technologique structuré et couramment utilisé », le droit à la portabilité en vigueur depuis septembre 2024. Votre responsable de la protection des renseignements personnels (article 3.1; par défaut, la personne ayant la plus haute autorité dans l’entreprise) doit être consulté dès le début.

Un hébergeur au Québec reçoit tout de même des renseignements personnels de votre part. L’article 18.3 le permet sans consentement quand le fournisseur exécute un service pour vous, à deux conditions : le mandat est confié par écrit, et il précise les mesures que le fournisseur prend pour protéger la confidentialité des renseignements, ne les utiliser que pour le service et ne pas les conserver après la fin du contrat. Le fournisseur doit aviser « sans délai » votre responsable de toute violation de la confidentialité et lui permettre de vérifier ces mesures.

• Chez Canner, l’entente de traitement des données signée et l’attestation de résidence des données sont incluses avec le module Conformité (29 $/mois), avec le journal d'audit.
• Enterprise ajoute une entente sur mesure et une trousse d’aide à l’EFVP (Loi 25).

Depuis septembre 2023, conserver ou communiquer des renseignements personnels en contravention à la loi peut entraîner une sanction administrative pécuniaire allant jusqu’à 10 000 000 $ ou 2 % du chiffre d’affaires mondial, si ce montant est plus élevé (article 90.12), et une amende pénale de 15 000 $ à 25 000 000 $ ou 4 % du chiffre d’affaires mondial (article 91).

• Vos applications, bases de données, fichiers et leurs sauvegardes sont stockés sur des serveurs à Montréal, au Québec.
• Canner est de propriété canadienne, sans société mère ni filiale américaine : le CLOUD Act américain ne l’atteint pas.
• Une courte liste de services externes qui ne détiennent jamais vos données applicatives : Stripe pour les paiements par carte, Cloudflare pour les enregistrements DNS et les certificats (aucun trafic n’y transite) et Resend pour les courriels de compte. Détails sur la page souveraineté.
• Une entente de traitement des données signée, une attestation de résidence des données et le journal d’audit de l’organisation, le tout dans le module Conformité (29 $/mois).