Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

« Hébergé au Canada » ne veut pas dire hors de portée des États-Unis : les 8 questions à poser à votre fournisseur

Loi et règlement Par Eric Rousseau · 31 octobre 2026 · Mis à jour le 1 novembre 2026 · 10 min de lecture
Drapeaux du Canada et des États-Unis flottant devant des montagnes
En bref

Non : le Cloud Act vise les fournisseurs américains où que soient leurs serveurs ; l’article 17 exige quand même une évaluation et une entente écrite.

« Mon fournisseur dit que les données sont hébergées au Canada. Est-ce que ça règle la question ? » Non, pour deux raisons indépendantes. La première est américaine : depuis 2018, le CLOUD Act oblige un fournisseur de services américain à remettre aux autorités américaines les données qu’il détient, « regardless of whether such communication, record, or other information is located within or outside of the United States ». Un serveur à Montréal appartenant à une entreprise de Californie reste, aux yeux de cette loi, un serveur de Californie. La deuxième est québécoise : l’article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé vous oblige, avant de communiquer un renseignement personnel à l’extérieur du Québec ou de le confier à quelqu’un hors Québec pour le conserver, à faire une évaluation des facteurs relatifs à la vie privée et à signer une entente écrite. « Au Canada » ne veut pas dire « au Québec ». Le ministère de la Famille lui-même vient d’en faire l’expérience avec son portail d’inscription.

Façade de serveurs dans un centre de données, photo en noir et blanc

L’adresse du serveur compte moins que le passeport de l’entreprise qui le possède.

Le portail du ministère hébergé chez Salesforce : un cas d’école

Le 26 novembre 2025, Radio-Canada révélait que le nouveau Portail d’inscription aux services de garde, qui remplace La Place 0-5 et que tous les services de garde doivent utiliser pour gérer leurs places, est hébergé sur Force.com, une plateforme de l’entreprise américaine Salesforce. Auparavant, le système était hébergé par l’entreprise québécoise InMédia. Les parents y fournissent l’identité, l’adresse et les coordonnées de l’enfant, le montant de l’allocation familiale, ses besoins particuliers s’il y a lieu, un numéro de l’état civil, un certificat de naissance et parfois des documents d’immigration ou d’adoption.

La réponse du ministère de la Famille est celle que vous entendrez de vos fournisseurs : « l’ensemble des données sont hébergées au Canada » et la solution est « qualifiée au Catalogue d’offres infonuagiques du ministère de la Cybersécurité et du Numérique ». Mais ce dernier ministère a admis à Radio-Canada qu’il serait possible pour les autorités américaines d’obtenir ces données « lorsqu’un mandat ou une ordonnance judiciaire valide est délivré par un tribunal américain, sur la base d’une enquête légale ». Le professeur émérite de droit Pierre Trudel, de l’Université de Montréal, résume : « On ne peut pas prétendre que ces données-là sont protégées », même si elles sont situées sur le territoire du Québec. Ottawa et Washington négocient un accord bilatéral sur le CLOUD Act depuis 2022 ; aucune entente n’a été signée. Précision : nous n’avons trouvé aucune décision de la Commission d’accès à l’information sur un transfert vers un fournisseur américain. Ce qui suit est le texte de la loi et les orientations du gouvernement, pas une jurisprudence.

Le CLOUD Act en trois phrases

Le Clarifying Lawful Overseas Use of Data Act a été adopté le 23 mars 2018, après que Microsoft eut contesté devant les tribunaux une demande visant des données hébergées en Irlande. Il a ajouté au Code des États-Unis l’article 18 U.S.C. 2713 : un fournisseur de services de communication électronique ou d’informatique à distance doit préserver, sauvegarder ou divulguer le contenu des communications et tout dossier concernant un client « within such provider’s possession, custody, or control », que ces données se trouvent à l’intérieur ou à l’extérieur des États-Unis. Il faut un mandat ou une ordonnance d’un tribunal américain ; mais ni vous, ni le parent, ni Québec n’êtes avisés. Le mémoire du ministre de la Cybersécurité et du Numérique au Conseil des ministres, daté du 7 avril 2025, le dit en toutes lettres : ces lois « pourraient notamment permettre aux autorités américaines d’obtenir des données, et ce, sans avoir besoin d’aviser le gouvernement du Québec ».

Ce que dit l’article 17 de la Loi sur le privé

Un CPE ou une garderie est une entreprise au sens de cette loi. Avant de communiquer un renseignement personnel à l’extérieur du Québec, vous devez procéder à une évaluation des facteurs relatifs à la vie privée (EFVP) qui tient compte de quatre éléments : la sensibilité du renseignement, la finalité de son utilisation, les mesures de protection, y compris contractuelles, et « le régime juridique applicable dans l’État où ce renseignement serait communiqué ». La communication ne peut avoir lieu que si l’évaluation démontre une « protection adéquate », et elle doit faire l’objet d’une entente écrite qui tient compte des résultats de l’évaluation. Le troisième alinéa vise vos logiciels : « Il en est de même lorsque la personne qui exploite une entreprise confie à une personne ou à un organisme à l’extérieur du Québec la tâche de recueillir, d’utiliser, de communiquer ou de conserver pour son compte un tel renseignement. » Héberger chez un tiers hors Québec, c’est confier la conservation. Un fournisseur ontarien dont les serveurs sont à Toronto déclenche donc l’article 17 ; un fournisseur québécois dont les sauvegardes partent chez un sous-traitant en Virginie aussi. Et le « régime juridique applicable » inclut forcément le CLOUD Act quand le fournisseur ou son sous-traitant est américain, même pour un centre de données de Montréal.

Le barème du gouvernement du Québec

Le gouvernement a publié sa propre grille pour ses organismes, et elle sert de point de comparaison. L’Énoncé d’orientations en infonuagique et en hébergement du ministère de la Cybersécurité et du Numérique (arrêté 2026-02, qui vise les actifs détenus au 20 mai 2026 et après) a pour objectif de « renforcer la souveraineté numérique », soit la capacité d’un État « d’exercer un contrôle autonome de ses infrastructures (serveurs et réseaux), de ses technologies et de ses données ». Son orientation 1 veut que les données hautement sensibles soient hébergées sur des infrastructures « souveraines » : le Nuage gouvernemental du Québec, mis en service progressivement depuis septembre 2023, un centre de traitement détenu par les gouvernements du Québec ou du Canada, ou une infrastructure désignée par la ministre. Son orientation 2 exige, pour les renseignements personnels confiés à des prestataires hors Québec, une protection équivalente à la loi québécoise. Être « qualifié au catalogue » du Courtier en infonuagique, comme Salesforce, signifie avoir passé un examen administratif de sécurité et de gestion contractuelle ; ça ne soustrait pas l’entreprise au CLOUD Act, et le ministère ne prétend pas le contraire.

Les 8 questions à poser à votre fournisseur, par écrit

  1. Où sont les serveurs, et où sont les sauvegardes ? Ville et pays des deux ; « au Canada » sans précision n’est pas une réponse.
  2. Quelle est la nationalité de l’hébergeur et de ses sous-traitants ?
  3. Les données sont-elles chiffrées au repos, et qui détient les clés ? Si l’hébergeur américain détient les clés, il peut remettre des données lisibles.
  4. Que ferez-vous si une autorité étrangère demande nos données ? Avis au client quand la loi le permet, contestation, limitation au strict nécessaire : demandez la clause.
  5. Dans quel délai nous avisez-vous d’un incident de confidentialité ? En heures, par écrit, avec les éléments que vous devez inscrire à votre registre.
  6. Comment nous restituez-vous les données à la fin du contrat, et quand les détruisez-vous ? Format, délai, certificat de destruction, sauvegardes comprises.
  7. Avons-nous un droit d’audit, ou au moins accès à un rapport d’audit indépendant ?
  8. Pouvons-nous partir avec nos données, dans un format réutilisable ?

Ce que ça change pour votre service de garde

  1. Dressez la liste de tous vos fournisseurs qui touchent des renseignements personnels (1 heure, tableur) : logiciel de gestion, application pour les parents, courriel, paie, comptabilité, stockage de fichiers, infolettre, caméras. Pour chacun, pays de l’entreprise, des serveurs et des sauvegardes.
  2. Envoyez les 8 questions par courriel à chaque fournisseur (30 minutes, délai de réponse de 30 jours) et gardez les réponses dans son dossier : ce sont vos preuves d’évaluation.
  3. Faites l’EFVP exigée par l’article 17 pour chaque fournisseur hors Québec (2 à 3 heures par fournisseur avec un gabarit, aucun coût ; la Commission d’accès à l’information publie des guides) : sensibilité, finalité, mesures de protection, régime juridique, signée par votre responsable de la protection des renseignements personnels et datée.
  4. Obtenez l’entente écrite (annexe au contrat ou lettre signée, 1 heure). Sans entente écrite, la communication hors Québec n’est pas conforme, même si l’évaluation est favorable.
  5. Réduisez ce qui part (décision de direction, 1 heure) : pas de numéro d’assurance sociale dans l’application de communication avec les parents, pas de rapport médical dans le stockage de fichiers générique.
  6. Si un fournisseur ne répond pas ou répond mal, rédigez une EFVP négative qui documente le refus, cherchez une solution de rechange non soumise au CLOUD Act et fixez une période de transition, inscrite au procès-verbal du CA.
  7. Prévoyez une révision annuelle (30 minutes) : les fournisseurs se font racheter, changent d’hébergeur et ajoutent des sous-traitants sans vous le dire.

Foire aux questions

Si les serveurs sont au Québec, l’article 17 s’applique-t-il quand même ?

L’article 17 vise la communication ou la conservation « à l’extérieur du Québec ». Des serveurs au Québec exploités par une entreprise américaine n’y échappent pas forcément : le soutien technique ou les sauvegardes peuvent être hors Québec, et le CLOUD Act s’applique à l’entreprise peu importe l’emplacement.

Microsoft 365 et Google Workspace sont-ils interdits pour un CPE ?

Non. Ce sont des fournisseurs américains, donc soumis au CLOUD Act, et leur usage déclenche l’évaluation de l’article 17. Avec le chiffrement, la résidence des données au Canada et une entente écrite, l’évaluation peut conclure à une protection adéquate pour le courriel et la bureautique. L’important est de documenter cette conclusion, et de ne pas y mettre les dossiers les plus sensibles sans réfléchir.

Qu’est-ce qu’une EFVP, et faut-il un consultant ?

Une évaluation des facteurs relatifs à la vie privée est un document écrit qui analyse, pour un projet ou un fournisseur, les renseignements en jeu, les risques et les mesures. La loi n’exige pas de consultant : un gabarit de quelques pages, rempli par votre responsable de la protection des renseignements personnels, suffit, à condition d’être honnête et daté.

Le ministère de la Famille a choisi un fournisseur américain ; pourquoi mon CPE devrait-il faire mieux ?

Parce que vous n’avez pas le choix pour le portail du ministère, mais que vous l’avez pour vos propres outils. Et parce que la Loi sur le privé vous impose l’évaluation et l’entente écrite, indépendamment de ce que fait l’État avec ses systèmes, lui-même soumis à ses orientations sur la souveraineté numérique.

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à [email protected].

Amisgest est elle-même un fournisseur qui héberge des données de services de garde. Les huit questions de cet article s’appliquent donc aussi à nous, et tout service de garde est en droit de nous les poser par écrit.

Sources

À lire aussi

Étiqueté , , , ,