Héberger des données hors Québec : que demande la Loi 25 (article 17) ?

Vous êtes une entreprise québécoise et vous envisagez un hébergeur dont les serveurs sont ailleurs ? Voici ce que l'article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé exige réellement, et ce qu'il n'exige pas.

Réponse courte

  1. 1La Loi 25 n'interdit pas d'héberger des renseignements personnels hors du Québec.
  2. 2Avant de les communiquer à l'extérieur du Québec, l'entreprise doit réaliser une évaluation des facteurs relatifs à la vie privée (EFVP).
  3. 3La communication n'est permise que si l'EFVP démontre que les renseignements bénéficieront d'une protection adéquate.
  4. 4La communication doit faire l'objet d'une entente écrite qui tient compte des résultats de l'EFVP.
  5. 5Cette obligation de l'article 17 est en vigueur depuis le 22 septembre 2023.

Ce que dit l'article 17 de la Loi 25

La Loi 25 a modifié la loi québécoise sur le secteur privé (RLRQ, c. P-39.1). Son article 17 vise toute entreprise qui communique un renseignement personnel à l'extérieur du Québec, y compris lorsqu'elle confie à un fournisseur le soin de le détenir, de l'utiliser ou de le communiquer pour son compte. Confier une base de données clients à un hébergeur situé en Ontario, aux États-Unis ou en Europe entre dans ce cadre.

Avant la communication, l'entreprise réalise une EFVP. Celle-ci tient compte notamment de la sensibilité des renseignements, de la finalité de leur utilisation, des mesures de protection, y compris contractuelles, et du régime juridique applicable dans l'État où les renseignements seront communiqués, notamment ses principes de protection des renseignements personnels.

Si l'évaluation conclut à une protection adéquate, la communication peut avoir lieu, sur la base d'une entente écrite qui tient compte des résultats de l'EFVP. Dans le cas contraire, l'entreprise doit s'abstenir. Source : LégisQuébec, P-39.1, art. 17. La Commission d'accès à l'information publie un guide pour réaliser l'EFVP.

Et au fédéral : la LPRPDE

Hors Québec, pour les renseignements recueillis dans le cadre d'activités commerciales, la LPRPDE ne contient pas d'interdiction de transfert à l'étranger. Le Commissariat à la protection de la vie privée rappelle le principe de responsabilité : l'organisation demeure responsable des renseignements transférés à un tiers pour traitement, doit exiger par contrat un niveau de protection comparable et doit être transparente envers les personnes concernées. Une entreprise active au Québec et dans d'autres provinces doit donc satisfaire aux deux régimes.

Trois situations courantes

  • Une boutique en ligne de Québec héberge ses fiches clients et ses commandes sur un VPS à Francfort : EFVP, puis entente écrite avec l'hébergeur avant la mise en ligne.
  • Un cabinet de Sherbrooke migre sa messagerie vers un serveur hors province : les courriels contiennent des renseignements personnels, l'article 17 s'applique aussi à la messagerie.
  • Une PME de Montréal utilise des sauvegardes répliquées dans un second centre de données : chaque lieu de stockage hors Québec doit figurer dans l'EFVP.

Erreurs fréquentes

  • Croire que la Loi 25 impose un hébergement au Québec. Elle impose une évaluation et une entente, pas une localisation.
  • Faire l'EFVP après la migration. L'article 17 exige qu'elle précède la communication.
  • Oublier les sauvegardes, les journaux et les sous-traitants de l'hébergeur dans l'évaluation.
  • Se contenter des conditions générales du fournisseur sans entente écrite reflétant les résultats de l'EFVP.

Comment 4hosting vous aide

Soyons clairs : 4hosting n'a pas de centre de données au Canada. Nos serveurs sont dans l'Union européenne, à Francfort. Héberger chez nous est donc une communication hors Québec, et l'EFVP reste votre responsabilité. Nous ne certifions pas votre conformité.

Ce que nous fournissons pour documenter votre évaluation : l'emplacement exact des données, un contrat de traitement (DPA) conforme à l'article 28 du RGPD, le cadre du RGPD applicable dans l'UE, des mesures de sécurité alignées sur ISO 27001, une protection DDoS incluse et, selon le forfait, des heures DevOps et CyberSecurity mensuelles pour le durcissement des serveurs et la gestion des accès.

Questions fréquentes

Où se trouvent physiquement les serveurs de 4hosting ?

Dans un centre de données de l'Union européenne, à Francfort. Nous n'avons pas de centre de données au Canada ni au Québec : un hébergement chez nous est donc une communication hors Québec au sens de l'article 17.

La LPRPDE fédérale interdit-elle le transfert hors Canada ?

Non. Selon le Commissariat à la protection de la vie privée, l'organisation reste responsable des renseignements confiés à un tiers, doit assurer par contrat un niveau de protection comparable et informer les personnes que leurs données peuvent être traitées à l'étranger.

4hosting peut-il faire l'EFVP à ma place ?

Non. L'EFVP relève de votre entreprise. Nous fournissons les informations sur notre infrastructure et nos mesures de sécurité, ainsi qu'un contrat de traitement (DPA), pour que vous puissiez la documenter.

Voir aussi