Résidence ou souveraineté des données : la différence

La résidence des données est une question de géographie : dans quel pays ou quelle région vos données sont-elles physiquement conservées. La souveraineté des données est une question de droit : quel gouvernement peut en forcer l'accès, peu importe où elles se trouvent. Les deux se recoupent souvent. Elles n'ont pas à le faire, et c'est précisément cet écart qui rend la distinction importante au moment de choisir un hébergeur cloud.

Voici l'exemple le plus clair. Un fournisseur détenu par une entreprise américaine qui ouvre une région à Toronto vous donne une résidence des données canadienne. Il ne vous donne pas une souveraineté des données canadienne, parce que l'entreprise elle-même demeure américaine, et que le CLOUD Act américain permet aux tribunaux des États-Unis de contraindre une entreprise américaine à produire des données qu'elle contrôle, peu importe le pays où elles sont stockées. La résidence décrit le serveur. La souveraineté décrit le droit qui peut atteindre l'entreprise qui l'exploite.

Résidence des données : où se trouvent les octets

La résidence est la plus simple des trois notions. Elle répond à une seule question : dans quel emplacement physique vos données sont-elles stockées et traitées ?

La résidence relève généralement d'un choix, pas d'une obligation légale. Quand vous provisionnez une base de données ou choisissez une région d'hébergement, vous prenez une décision de résidence. Ce choix est souvent motivé par la latence, un engagement contractuel envers un client, ou une politique générale de conformité qui exige de garder les données clients au Canada. Choisir une région est simple. C'est aussi, en soi, une réponse incomplète à la question de savoir qui gouverne réellement vos données.

Souveraineté des données : quel droit atteint les données

La souveraineté va plus loin que l'emplacement. Elle demande quels tribunaux, régulateurs et forces de l'ordre d'un pays peuvent contraindre l'entreprise qui détient vos données à les remettre, ou à les expliquer, les désactiver ou les modifier.

Cela dépend davantage de la structure de l'entreprise que de l'emplacement du serveur : qui possède l'entreprise, où elle est constituée, et à quel droit sa société mère répond. C'est pourquoi la souveraineté est la propriété la plus difficile à vérifier. Deux fournisseurs peuvent offrir des régions canadiennes en apparence identiques tout en occupant des positions juridiques complètement différentes.

Le CLOUD Act constitue l'exemple le plus clair. En 2018, les États-Unis ont adopté le Clarifying Lawful Overseas Use of Data Act. Il donne aux forces de l'ordre américaines un moyen de contraindre les entreprises assujetties à la juridiction américaine, habituellement des entreprises constituées aux États-Unis, à produire des données qu'elles contrôlent, peu importe où dans le monde ces données sont stockées. Un centre de données à Toronto ne change rien à qui reçoit l'ordonnance. Elle est signifiée à l'entreprise, et l'entreprise répond aux tribunaux américains, quel que soit l'emplacement de ses serveurs.

Cela ne veut pas dire que chaque demande équivaut à de la surveillance de masse. Les données de contenu exigent généralement un processus juridique plus strict que les renseignements de base sur l'abonné, et les fournisseurs peuvent contester les ordonnances au nom de la courtoisie internationale. Le recours en annulation prévu par le CLOUD Act lui-même est cependant plus étroit qu'il n'y paraît : il ne s'applique que si l'abonné n'est pas une personne américaine et si la divulgation contreviendrait au droit d'un gouvernement étranger qualifié, c'est-à-dire lié par une entente d'application du CLOUD Act. Le Canada n'en a pas. Les négociations ont été annoncées en mars 2022 et n'ont pas abouti. Mais contester une ordonnance gouvernementale est coûteux, lent et incertain, et aucune juridiction n'offre un bouclier parfait : le Canada et les États-Unis coopèrent aussi par traités et assistance judiciaire. Ce que la propriété et le lieu de constitution changent, c'est quel processus juridique régit la demande en premier lieu, soit un processus devant un tribunal canadien, soit une ordonnance américaine envoyée directement à une entreprise américaine. Pour les mécanismes complets, consultez notre analyse du CLOUD Act et de ce qu'il signifie pour les entreprises canadiennes.

Localisation des données : le troisième terme, celui que le Canada n'impose pas à l'hébergement commercial

La plupart des comparaisons s'arrêtent à deux notions et passent à côté d'une troisième qui vaut la peine d'être connue : la localisation des données, une obligation légale qui exige que certaines données soient stockées et traitées à l'intérieur des frontières d'un pays précis, point final. La localisation n'est pas un choix que vous faites en provisionnant une infrastructure. C'est une loi qui retire le choix.

Résidence, souveraineté et localisation répondent à trois questions différentes. La résidence, c'est où vous avez choisi de placer les données. La souveraineté, c'est quel droit national peut atteindre l'entreprise qui les détient. La localisation, c'est si la loi vous impose ce choix ou non.

Voici la concession honnête, parce que c'est elle qui rend le reste crédible : le Canada n'a pas de loi générale de localisation des données pour le secteur commercial. La LPRPDE, la loi fédérale sur la protection des renseignements personnels dans le secteur privé, n'exige pas que les renseignements personnels demeurent physiquement à l'intérieur des frontières canadiennes. Le Commissariat à la protection de la vie privée du Canada est explicite sur ce point, dans une directive publiée en 2009 et réaffirmée après une consultation de 2019 sur les flux transfrontaliers de données : la LPRPDE n'interdit pas aux organisations canadiennes de transférer des renseignements personnels à une organisation d'une autre juridiction aux fins de traitement. Ce qu'elle exige plutôt, c'est que vous demeuriez responsable des données et que vous employiez des moyens contractuels ou autres pour assurer un niveau de protection comparable, où qu'elles aillent.

Cette même directive formule l'argument de la souveraineté mieux que nous ne pourrions le faire. Aucun contrat, souligne-t-elle, ne peut l'emporter sur le droit criminel, la sécurité nationale ou les autres lois du pays vers lequel les renseignements ont été transférés. Une protection comparable est une promesse entre deux entreprises. Ce n'est pas un rempart contre un gouvernement. La Loi 25 du Québec s'en approche le plus, et même elle n'impose pas de localisation. Elle exige une évaluation des facteurs relatifs à la vie privée avant de transférer des renseignements personnels hors Québec, et le transfert n'est permis que si cette évaluation établit que les renseignements bénéficieraient d'une protection adéquate. Les mesures d'atténuation, contractuelles et techniques, alimentent cette évaluation et doivent figurer dans une entente écrite. C'est une condition préalable plutôt qu'une interdiction pure et simple d'héberger à l'étranger, mais c'est plus que de la paperasse. Consultez notre analyse complète de la Loi 25 du Québec et de ce qu'elle exige.

Alors si vous choisissez une infrastructure canadienne, vous le faites parce que vous avez décidé que la juridiction compte, pas parce que le droit canadien vous y force. C'est un argument juridique plus faible, et un argument plus honnête.

Les trois notions, côte à côte

Comment évaluer un fournisseur

Une étiquette de région sur une page de tarification ne vous dit presque rien sur la souveraineté. Posez les questions qui règlent vraiment la question.

Aucune de ces questions n'a de réponse universellement correcte. Ce qui compte, c'est d'obtenir une vraie réponse à chacune, plutôt qu'une étiquette de région qui tient lieu des cinq à la fois.

Où MapleDeploy s'inscrit

MapleDeploy est détenu et exploité par des Canadiens, et exécute Coolify géré sur des machines virtuelles dédiées chez LunaNode, à Toronto. Pour nos clients, résidence et souveraineté pointent dans la même direction : vos données d'application se trouvent au Canada, et l'entreprise qui exploite l'infrastructure est canadienne, pas une entité américaine avec une région canadienne greffée dessus.

Nous sommes transparents sur le seul endroit où nous ne contrôlons pas toute la chaîne. Le traitement des paiements passe par Stripe, une entreprise américaine, pour des raisons de conformité PCI, et nous offrons le virement Interac comme option de paiement canadienne. Consultez pourquoi nous utilisons Stripe pour ce compromis en détail.