Choisir un logiciel avec hébergement des données au Canada conformément à la Loi 25 et à la LPRPDEPR

La résidence des données concerne le lieu physique où l'information est conservée. Un fournisseur offrant la résidence des données au Canada stocke et traite vos dossiers dans des centres de données canadiens, plutôt que de les acheminer par des infrastructures situées à l'étranger.

Ni la loi fédérale ni la loi québécoise n'imposent de règle de localisation générale aux organisations du secteur privé. La LPRPDE permet le transfert de renseignements personnels à un tiers aux fins de traitement, mais l'organisation qui les a recueillis demeure responsable de ces renseignements et doit utiliser des moyens contractuels ou autres pour assurer un niveau de protection comparable. La Loi 25 du Québec va plus loin : avant de communiquer des renseignements personnels à l'extérieur du Québec, une organisation doit évaluer si ces renseignements bénéficieront d'une protection adéquate, en tenant compte du cadre juridique du lieu de destination.

En pratique, la résidence des données est rarement obligatoire en soi, mais le fait de conserver les données au Canada élimine tout un fardeau d'évaluation et de divulgation. Pour de nombreux clients, organismes publics et cabinets d'avocats, c'est tout simplement devenu une exigence d'approvisionnement.

Questions qui méritent d'être posées à tout fournisseur :

• Où sont situés les centres de données primaires et de sauvegarde ?

• Les données sont-elles traitées, mises en cache ou assistées à partir de l'extérieur du Canada ?

• Quels sous-traitants ont accès aux données et où se trouvent-ils ?

• Les données sont-elles chiffrées au repos et en transit, et qui détient les clés ?

• Qu'advient-il des données à la fin du contrat ?

Les réponses importent plus que les arguments marketing. « Entreprise canadienne » et « hébergement canadien » ne sont pas synonymes, et l'accès au soutien technique à partir d'une autre autorité législative est le détail le plus souvent omis.

Lecture complémentaire : La LPRPDE, la Loi 25 du Québec et la question de la résidence des données que toutes les entreprises canadiennes se posent sur l'IA.

Claira est une plateforme canadienne d'analyse de documents par IA, et les questions de résidence des données comme celles-ci reviennent dans la plupart de nos conversations. Vous pouvez découvrir son fonctionnement.