Souveraineté des données : Loi 25, Cloud Act et où sont vraiment vos données
Vos données sont-elles vraiment protégées si elles sont hébergées chez un géant américain ? Ce que la Loi 25 exige, ce que le Cloud Act permet, et pourquoi l'hébergement local change tout.
« Nos données sont dans le cloud, elles sont en sécurité. » Cette phrase, rassurante, cache une question rarement posée : dans le cloud de qui, et sous quelle loi ? Pour une entreprise québécoise, la réponse a des conséquences juridiques bien réelles.
Loi 25 : ce que le Québec exige
La Loi 25 (modernisation des dispositions sur la protection des renseignements personnels) impose aux organisations québécoises des obligations concrètes : encadrer la collecte, sécuriser les renseignements personnels, notifier les incidents, et — point crucial — évaluer les risques avant de communiquer des données hors du Québec.
En clair : vous êtes responsable de savoir où sont vos données et qui peut y accéder. Héberger « quelque part dans le cloud » ne suffit plus.
Cloud Act : ce que les États-Unis permettent
C’est ici que beaucoup d’entreprises tombent des nues. Le CLOUD Act américain permet aux autorités des États-Unis d’exiger d’un fournisseur américain l’accès à des données — même si ces données sont stockées à l’étranger, y compris au Canada.
Autrement dit : si vos données sont hébergées chez un géant américain, elles peuvent, en théorie, être accessibles aux autorités américaines, où qu’elles se trouvent physiquement. Le lieu du serveur ne suffit pas ; c’est la nationalité du fournisseur qui compte.
Le vrai critère : la souveraineté, pas juste la localisation
On résume souvent la souveraineté à « mes données sont au Canada ». C’est nécessaire, mais pas suffisant. La vraie souveraineté combine deux conditions :
- Localisation : les données sont physiquement hébergées au Québec ou au Canada ;
- Fournisseur : l’hébergeur est une entreprise canadienne, non soumise au Cloud Act.
Un centre de données situé au Canada mais opéré par une multinationale américaine ne vous met pas à l’abri du Cloud Act. Un hébergeur québécois qui héberge chez lui, oui.
Pourquoi l’hébergement local change tout
Choisir un hébergeur souverain québécois apporte des avantages concrets :
- Conformité facilitée avec la Loi 25 : vous savez où sont vos données et qui les opère.
- Hors de portée du Cloud Act : vos renseignements ne relèvent que du droit canadien.
- Une équipe joignable, ici, dans votre fuseau horaire et votre langue.
- Zéro frais de sortie : contrairement aux hyperscalers, faire sortir vos données ne coûte rien.
Chez Rēzau, vos données restent au Québec et en Ontario, opérées par une entreprise d’ici. Que ce soit sur cloud privé ou cloud public, la souveraineté est intégrée par défaut, pas vendue en option.
Questions fréquentes
Mes données au Canada sont-elles à l’abri du Cloud Act ? Pas nécessairement : si votre fournisseur est une entreprise américaine, le Cloud Act peut s’appliquer même pour des données hébergées au Canada. C’est la nationalité du fournisseur qui compte.
La Loi 25 interdit-elle l’hébergement à l’étranger ? Non, mais elle vous oblige à évaluer les risques et à protéger les renseignements. Un hébergement souverain local simplifie grandement cette conformité.
Souveraineté = plus cher ? Pas forcément. Et sans frais de sortie, le coût total est souvent plus prévisible qu’avec un hyperscaler.
Vous voulez héberger en toute souveraineté ? Découvrez notre centre de confiance et notre approche de souveraineté, ou créez votre compte pour consulter nos offres hébergées au Québec.