RGPD : héberger au Canada avec des clients européens

Si vous dirigez une entreprise canadienne qui compte des utilisateurs en Europe, le statut d'adéquation RGPD du Canada constitue un avantage réel. Il est aussi plus étroit que le raccourci ne le laisse croire, et ce que les gens comprennent mal n'est pas le droit lui-même. C'est la question à laquelle il répond.

L'adéquation répond à une seule question : sur quelle base juridique des renseignements personnels peuvent-ils quitter l'Union européenne pour arriver chez vous. Elle ne dit rien de l'application du RGPD à ce que vous faites de ces données ensuite. Deux questions distinctes, deux réponses distinctes. Les confondre fait dérailler bien des évaluations fournisseurs, dans les deux sens : certaines équipes croient que l'adéquation les dispense du RGPD, d'autres pensent avoir besoin de clauses contractuelles types alors que non.

Ceci ne constitue pas un avis juridique.

Ce que dit réellement la décision d'adéquation

Le texte utile est court. L'article premier de la décision 2002/2/CE de la Commission, adoptée le 20 décembre 2001, se lit ainsi : « Aux fins de l'article 25, paragraphe 2, de la directive 95/46/CE, le Canada est considéré comme assurant un niveau de protection adéquat des données à caractère personnel transférées de la Communauté aux destinataires assujettis à la loi sur la protection des renseignements personnels et les documents électroniques. »

Relisez la fin. La décision ne vise pas le Canada. Elle vise les destinataires assujettis à la LPRPDE, la loi fédérale canadienne sur la protection des renseignements personnels dans le secteur privé, qui s'applique aux organisations traitant des renseignements personnels dans le cadre d'activités commerciales. La liste des décisions d'adéquation publiée par la Commission européenne limite d'ailleurs explicitement l'entrée canadienne aux organisations commerciales. Les organismes publics fédéraux et provinciaux en sont exclus. Les organisations sans activité commerciale aussi.

Les organisations du secteur privé au Québec, en Alberta et en Colombie-Britannique sont le cas à vérifier. Ces provinces ont leurs propres lois sur la protection des renseignements personnels, la Loi 25 au Québec et la PIPA dans les deux autres, et ces lois écartent la LPRPDE pour les activités qui restent à l'intérieur de la province.

La LPRPDE continue de s'appliquer aux renseignements personnels qui franchissent une frontière provinciale ou nationale, ce qui est le cas lorsque des données arrivent de l'Union. Si vous relevez d'une loi provinciale, vérifiez laquelle s'applique à vous plutôt que de le présumer. Notre article sur la LPRPDE et l'hébergement couvre la portée de la loi fédérale.

La décision est bien antérieure au RGPD. Elle survit grâce à l'article 45, paragraphe 9, du RGPD, qui prévoit que les décisions adoptées sous l'ancienne directive « demeurent en vigueur jusqu'à leur modification, leur remplacement ou leur abrogation » par une nouvelle décision de la Commission.

Elle a été réexaminée en 2024, et elle a tenu

Ce maintien n'est pas un angle mort que personne n'a vérifié. Le 15 janvier 2024, la Commission a publié son rapport sur le premier réexamen des onze décisions d'adéquation adoptées sous la directive, document COM(2024) 7 final, qui couvre le Canada aux côtés d'Andorre, de l'Argentine, des îles Féroé, de Guernesey, de l'île de Man, d'Israël, de Jersey, de la Nouvelle-Zélande, de la Suisse et de l'Uruguay. Conclusion : chacune des onze juridictions continue d'assurer un niveau de protection adéquat pour les données transférées depuis l'Union.

Il s'agit d'une décision qui se réexamine, pas d'une propriété permanente du fait d'être canadien. Traitez-la comme un état actuel, pas comme un acquis.

Ce que l'adéquation vous apporte

L'article 45, paragraphe 1 contient le bénéfice concret. Un transfert vers un pays reconnu adéquat par la Commission peut avoir lieu et « ne nécessite pas d'autorisation spécifique ».

Concrètement, cela veut dire qu'aucun mécanisme de l'article 46 n'est requis. Pas de clauses contractuelles types à négocier, pas de règles d'entreprise contraignantes, pas de dérogation à plaider. Si une entreprise allemande veut confier des données clients à votre produit SaaS canadien, le transfert est couvert par la décision d'adéquation, dans la mesure où vous êtes assujetti à la LPRPDE.

C'est un avantage commercial véritable, et il se voit surtout en évaluation fournisseur. L'équipe européenne cherche le mécanisme de transfert. Vous en avez un, au niveau du pays, sans document que l'une ou l'autre partie doive rédiger.

Ce que l'adéquation ne fait pas

Si vous offrez des biens ou des services à des personnes se trouvant dans l'Union, ou si vous suivez leur comportement au sein de l'Union, le RGPD s'applique directement à vos traitements. L'article 3, paragraphe 2 étend le règlement aux responsables du traitement et sous-traitants non établis dans l'Union dans ces deux cas précis, et cela vaut aussi pour les produits gratuits : l'offre de biens ou de services compte « qu'un paiement soit exigé ou non desdites personnes ».

Les lignes directrices 05/2021 sur l'interaction entre l'article 3 et le chapitre V du Comité européen de la protection des données, version 2.0 adoptée le 14 février 2023, tracent la ligne clairement. Une opération n'est un transfert que si trois critères cumulatifs sont réunis : un exportateur assujetti au RGPD, une communication à un autre responsable ou sous-traitant, et un importateur situé dans un pays tiers. Si les critères ne sont pas réunis, précisent les lignes directrices, il n'y a pas de transfert et le chapitre V ne s'applique pas, mais le responsable du traitement doit néanmoins respecter les autres dispositions du RGPD et demeure pleinement responsable de ses traitements, peu importe où ils ont lieu.

Le premier exemple du document correspond exactement à la situation de la plupart des SaaS canadiens. Une femme à Rome remplit un formulaire sur le site d'une entreprise sans présence dans l'Union qui cible pourtant le marché européen. Ce n'est pas un transfert, parce que les données ont été collectées directement auprès de la personne concernée plutôt que communiquées par un exportateur. Le chapitre V ne s'applique pas du tout. L'entreprise reste néanmoins liée par le RGPD en vertu de l'article 3, paragraphe 2.

Autrement dit, si vos utilisateurs européens s'inscrivent sur votre site, l'adéquation n'est souvent même pas la règle applicable. Votre base légale, votre avis de confidentialité, votre traitement des demandes d'accès et de suppression, vos notifications d'incident : rien de tout cela ne dépend de l'emplacement de vos serveurs. L'article 27 peut aussi vous obliger à désigner par écrit un représentant dans l'Union, sous réserve d'une exemption pour les traitements occasionnels peu susceptibles de présenter un risque pour les personnes.

L'adéquation suit l'organisation destinataire, pas le centre de données. Héberger au Canada ne vous place pas automatiquement dans le champ de la décision, et être assujetti à la LPRPDE n'exige pas d'héberger au Canada.

Comparaison avec un hébergement aux États-Unis

La liste de la Commission comprend aussi les États-Unis, avec une portée limitée aux organisations commerciales américaines qui participent au cadre de protection des données UE-États-Unis (Data Privacy Framework). Cette décision d'adéquation a été adoptée le 10 juillet 2023 et constitue un mécanisme de transfert fonctionnel pour les entreprises certifiées. Si votre fournisseur américain figure sur la liste, le transfert a une base juridique. La Commission l'a réexaminée depuis. Son premier examen périodique, le COM(2024) 451 final du 9 octobre 2024, conclut que les autorités américaines ont mis en place les structures et procédures nécessaires au bon fonctionnement du cadre. L'analyse de cette section reflète l'état des choses au réexamen de la Commission d'octobre 2024.

Les deux décisions sont construites différemment. La décision canadienne s'accroche à une loi : tout destinataire assujetti à la LPRPDE est couvert. La décision américaine s'accroche à la participation à un programme, entreprise par entreprise. Un fournisseur donné est certifié ou ne l'est pas, et la certification peut cesser.

L'historique judiciaire diffère également. Les deux ententes qui ont précédé le cadre actuel ont été invalidées par la Cour de justice dans les arrêts Schrems I et Schrems II. Le cadre actuel a été contesté et a tenu en première instance : le 3 septembre 2025, le Tribunal a rejeté le recours en annulation dans l'affaire T-553/23, Latombe contre Commission, confirmant qu'à la date d'adoption de la décision, les États-Unis assuraient un niveau de protection adéquat. Un pourvoi a été formé le 31 octobre 2025 et enregistré sous le numéro C-703/25 P.

Nous ne pronostiquons aucune issue. L'une de ces deux décisions fait l'objet d'un pourvoi en cours, l'autre non. Si vous rédigez une analyse d'impact relative à la protection des données, cette asymétrie fait partie de ce qu'il faut consigner. Cela joue dans les deux sens. La décision canadienne n'a jamais été contestée, ce qui veut aussi dire qu'elle n'a jamais été soumise au critère établi par la Cour dans l'arrêt Schrems II.

La juridiction constitue l'autre axe, et c'est un argument distinct de celui des transferts. Un hébergeur constitué aux États-Unis qui exploite une région canadienne demeure atteignable par le processus judiciaire américain, où que soient les serveurs. C'est le sujet de notre analyse du CLOUD Act et des entreprises canadiennes. Si la distinction entre l'endroit où reposent les données et le droit qui atteint l'entreprise est nouvelle pour vous, commencez par résidence ou souveraineté des données.

Où MapleDeploy s'inscrit

MapleDeploy est une entreprise canadienne qui exécute Coolify géré sur une machine virtuelle (VM) dédiée par client, chez LunaNode à Toronto. Vos données d'application, vos bases de données et la configuration de votre serveur restent sur une infrastructure canadienne, et MapleDeploy est assujettie à la LPRPDE à titre d'organisation commerciale exploitée depuis l'Ontario.

Vous êtes le responsable du traitement. MapleDeploy est votre hébergeur. Notre assujettissement à la LPRPDE est un fait qui nous concerne, et il ne détermine pas le vôtre.

En évaluation fournisseur européenne, cela vous donne une réponse claire et documentée sur l'emplacement des données et sur l'exploitant de la machine. Nous publions une attestation de résidence des données et une liste de sous-traitants que vous pouvez remettre à un partenaire. Le traitement des paiements passe par Stripe, une entreprise américaine, et nous sommes explicites sur cette limite dans pourquoi nous utilisons Stripe.

L'article 28 exige du responsable du traitement un contrat écrit avec quiconque traite des renseignements personnels pour son compte. MapleDeploy n'offre pas d'accord de traitement des données à l'heure actuelle. Si votre partenaire européen en exige un, réglez cette question avant de bâtir chez nous.

Rien de tout cela n'équivaut à la conformité au RGPD. Elle vous revient en tant que responsable du traitement, peu importe l'hébergement. L'adéquation retire une catégorie de paperasse liée aux transferts. Tout le reste de l'article 3, paragraphe 2, reste sur votre bureau.