Résidence ou souveraineté des données : où est le disque, et quelle loi peut l’atteindre.

Le livre blanc du gouvernement du Canada sur la souveraineté des données et le nuage public donne des définitions courtes. La résidence des données est l’emplacement physique ou géographique de l’information numérique d’une organisation. La souveraineté des données est le droit du Canada de contrôler l’accès à son information numérique et sa divulgation.

Le même document dit ensuite ce que la plupart des pages de fournisseurs passent sous silence : la résidence des données n’atténue pas l’application des lois étrangères, et tant qu’un fournisseur de services infonuagiques actif au Canada est soumis aux lois d’un pays étranger, le Canada ne peut pas assurer une pleine souveraineté sur ses données. C’est le gouvernement fédéral qui décrit son propre usage du nuage, pas un argumentaire de vente.

Pour un acheteur, il est utile de découper la question en trois : où sont les données (l’emplacement), quels tribunaux peuvent ordonner au fournisseur de les produire (la juridiction) et qui exploite les systèmes et détient les clés (l’exploitant). La résidence ne répond qu’à la première.

Chaque ligne est une configuration d’hébergement courante. La dernière colonne est notre lecture de l’article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé, pour l’hébergement seulement; le guide sur la Loi 25 en fait le tour.

Le CLOUD Act a ajouté l’article 2713 au titre 18 du code américain en 2018. Il oblige un fournisseur de services de communication électronique ou de traitement à distance à divulguer les données qui sont en sa possession, sous sa garde ou sous son contrôle, « regardless of whether such communication, record, or other information is located within or outside of the United States », c’est-à-dire peu importe qu’elles se trouvent aux États-Unis ou ailleurs.

Le critère est le contrôle, pas l’emplacement. Une entreprise constituée aux États-Unis contrôle les disques de sa région de Montréal autant que ceux de la Virginie. Choisir ca-central-1 change l’endroit où dorment les données, pas qui peut être contraint de les produire. C’est notre lecture de la loi; à notre connaissance, aucune affaire canadienne ne l’a encore testée.

Un traité pourrait changer la façon dont ces ordonnances atteignent le Canada. Les États-Unis et le Canada ont annoncé en mars 2022 des négociations en vue d’un accord sous le CLOUD Act. Aucun accord n’avait été annoncé en octobre 2026; le département de la Justice américain ne liste que des accords signés avec le Royaume-Uni et l’Australie.

Peu de règles canadiennes obligent à garder les données au Canada. La plupart demandent d’évaluer, de prévoir un contrat et d’informer les gens. Voici ce que disent les textes.

La résidence a sa valeur. Elle est nécessaire à la souveraineté et, à elle seule, elle règle quelques questions concrètes :

• Un emplacement au Québec retire l’article 17 de l’hébergement. Une région à Montréal ou à Québec, chez n’importe quel fournisseur, fait que l’hébergement lui-même n’est pas une communication à l’extérieur du Québec. Les sauvegardes et répliques conservées ailleurs comptent encore.
• Elle répond à la « principale option de prestation » fédérale pour les charges Protégé B, un critère d’emplacement et non de propriété.
• La latence. Un serveur à Montréal répond plus vite aux utilisateurs du Québec et de l’Ontario qu’un serveur en Virginie ou en Oregon.

Posez ces questions par écrit à chaque fournisseur et conservez les réponses avec votre EFVP.

• Où est chaque copie? La base de données principale, les sauvegardes, les répliques, les journaux, les rapports d’erreurs et les exportations du soutien technique. Les promesses de résidence ne visent souvent que la première.
• À qui appartient le fournisseur, jusqu’en haut de la chaîne? Si une entreprise canadienne a une société mère américaine, demandez si celle-ci pourrait être contrainte de produire ce que détient la filiale. C’est la question que soulève le critère du « contrôle » au § 2713.
• Où se trouvent les équipes de soutien et d’exploitation? La Commission d’accès à l’information n’a pas tranché si l’accès à distance depuis l’extérieur du Québec constitue une communication à l’extérieur du Québec. Consignez la réponse dans tous les cas.
• Quels sous-traitants touchent vos données, et que détiennent-ils? Demandez la liste et ce que chacun voit. Celle de Canner : GloboTech pour l’hébergement (centre de données à Montréal), WHC et OVH (anciens hébergeurs en voie d’être retirés, qui ne font plus que rediriger le trafic), Cloudflare pour les enregistrements DNS et les certificats seulement (aucun trafic n’y transite), Stripe pour les paiements, Resend pour les courriels de compte, GitHub quand vous connectez un dépôt, Dynadot pour les domaines enregistrés par l’entremise de Canner, et Google ou Microsoft si vous vous connectez avec eux.
• Signera-t-il le contrat qu’exige l’article 18.3? Un mandat écrit avec des mesures de confidentialité, l’usage limité au service, la destruction à la fin et un avis sans délai en cas de violation.
• Où vos propres intégrations envoient-elles des données? L’analytique, le courriel, le suivi des erreurs et les API d’IA sont souvent les copies qui quittent le pays. Elles comptent autant que l’hébergeur.
• Pouvez-vous partir? Des vidages Postgres standards et un stockage compatible S3 rendent un plan de sortie réaliste.

Les serveurs de Canner sont à Montréal. Vos applis, bases de données, fichiers et leurs sauvegardes y sont stockés, la plateforme est exploitée depuis le Québec, et l’entreprise est de propriété canadienne, sans société mère américaine. Pour votre évaluation, le module Conformité (29 $/mois) ajoute une entente de traitement des données signée, une attestation de résidence des données et le journal d’audit de l’organisation. Voir les tarifs.

Les copies de sauvegarde hors site vont dans un compartiment que vous choisissez : c’est vous qui décidez si cette copie reste au Québec (documentation des bases de données).

Canner fonctionne dans une seule région, sans basculement automatique. Si vous avez besoin d’une deuxième province pour la reprise après sinistre, ou d’une haute disponibilité multirégion, les régions canadiennes des grands nuages le font et Canner, non. Faites alors l’évaluation de l’article 17 pour la deuxième région et pesez-y l’exposition américaine.