---
title: 'La LPRPDE et l''hébergement : ce que la loi exige'
description: >-
  La LPRPDE n'impose aucune localisation des données. Elle impose la
  responsabilité, ce qui change la lecture de toute promesse d'hébergement «
  conforme ».
date: '2026-09-11'
lastUpdated: '2026-09-11'
keywords:
  - hébergement conforme à la LPRPDE
  - la LPRPDE exige-t-elle que les données restent au Canada
  - transfert transfrontalier LPRPDE
  - principe de responsabilité LPRPDE
  - résidence des données LPRPDE
  - hébergement canadien loi sur la vie privée
type: article
author: Ross Hill
locale: fr_CA
site_name: MapleDeploy
slogan: Hébergement performant en sol canadien
organization_url: 'https://mapledeploy.ca/'
logo: 'https://mapledeploy.ca//api/logo/lockup'
creator: MapleDeploy
publisher: MapleDeploy
founding_date: '2026-01-13'
email: hello@mapledeploy.ca
geo_region: CA-QC
geo_placename: Montréal
address_country: CA
area_served: Canada
application_category: DeveloperApplication
app_url: 'https://app.mapledeploy.ca'
llms_txt: 'https://mapledeploy.ca/fr/llms.txt'
offers: >-
  Starter $45/mo, Pro $95/mo, Ultra $195/mo, Ultra 32 $395/mo, Ultra 64 $695/mo
  CAD
in_language: fr-CA
canonical_url: 'https://mapledeploy.ca/fr/blog/pipeda-compliant-hosting'
---

« Hébergement conforme à la LPRPDE » est une formule qu'on retrouve sur beaucoup de pages de fournisseurs, y compris les nôtres. Il vaut la peine d'être précis sur ce qu'elle peut et ne peut pas vouloir dire, parce que la loi sous-jacente est plus étroite et plus contre-intuitive que la plupart de ces textes ne le laissent croire.

La **LPRPDE** n'exige pas que vos données restent au Canada. Il n'y a aucune règle de localisation des données dans la loi fédérale sur la protection des renseignements personnels dans le secteur privé. Ce qu'il y a à la place, c'est une règle de responsabilité, et c'est un argument beaucoup plus intéressant en matière d'hébergement, parce que cette responsabilité vous suit peu importe où vous hébergez.

Si votre entreprise exerce ses activités au Québec, c'est d'abord la Loi 25 qui encadre vos obligations, et nous l'avons traitée dans [la Loi 25 du Québec et la résidence des données](/fr/blog/quebec-law-25-data-residency). Ce qui suit porte sur le régime fédéral.

Ceci n'est pas un avis juridique. C'est une lecture de la loi et des directives du régulateur, avec les liens pour que vous puissiez vérifier les deux vous-même. Si vos activités au Québec sont importantes, consultez un avocat spécialisé en protection des renseignements personnels.

## Ce que couvre la LPRPDE

La Loi sur la protection des renseignements personnels et les documents électroniques s'applique à toute organisation à l'égard des renseignements personnels [« qu'elle recueille, utilise ou communique dans le cadre d'activités commerciales »](https://laws-lois.justice.gc.ca/fra/lois/P-8.6/page-1.html). La loi définit largement l'activité commerciale : toute activité régulière ainsi que tout acte isolé qui revêtent un caractère commercial de par leur nature.

Si vous exploitez une entreprise qui traite des renseignements personnels sur des clients, des utilisateurs ou des prospects, vous êtes presque certainement visé. La taille de l'entreprise n'est pas un seuil.

## La règle qui n'existe pas

Cherchez l'exigence de localisation et vous ne la trouverez pas. Le Commissariat à la protection de la vie privée du Canada est direct là-dessus dans ses directives sur le traitement transfrontalier : [« la LPRPDE n'interdit pas aux organisations du Canada de transférer des renseignements personnels à une organisation dans un pays étranger aux fins de traitement »](https://www.priv.gc.ca/fr/sujets-lies-a-la-protection-de-la-vie-privee/aeroports-et-frontieres/gl_dab_090127/).

Ces mêmes directives vont plus loin et prennent position sur une question qui embrouille bien des politiques de confidentialité. Un transfert à un fournisseur aux fins de traitement est une **utilisation** des renseignements, pas une communication. Si le traitement sert la fin pour laquelle les renseignements ont été recueillis au départ, aucun consentement additionnel n'est requis pour le transfert lui-même. Héberger votre base de données chez un fournisseur américain ne constitue pas, en soi, une violation de la LPRPDE.

Donc une page qui affirme que le droit canadien oblige vos serveurs à demeurer en sol canadien se trompe sur la loi. La véritable exigence est ailleurs.

## La règle qui existe : la responsabilité

L'annexe 1 de la loi énonce dix principes. Le premier est la responsabilité, et sa troisième disposition est celle qui régit l'hébergement. Le [principe 4.1.3](https://laws-lois.justice.gc.ca/fra/lois/P-8.6/page-7.html) se lit ainsi : « Une organisation est responsable des renseignements personnels qu'elle a en sa possession ou sous sa garde, y compris les renseignements confiés à une tierce partie aux fins de traitement. L'organisation doit, par voie contractuelle ou autre, fournir un degré comparable de protection aux renseignements qui sont en cours de traitement par une tierce partie. »

C'est toute la question de l'hébergement. Vous confiez des données à un fournisseur et vous en demeurez responsable. La protection dont les renseignements auraient bénéficié s'ils n'étaient jamais partis, il faut la reproduire, par contrat ou par d'autres moyens.

Comparable ne veut pas dire identique. Cela veut dire qu'aucun lecteur de votre programme de protection des renseignements personnels ne devrait pouvoir désigner le moment du transfert et y voir la protection s'effondrer.

## Ce qu'ajoutent les directives du régulateur

Les [directives du CPVP sur le traitement transfrontalier des données personnelles](https://www.priv.gc.ca/fr/sujets-lies-a-la-protection-de-la-vie-privee/aeroports-et-frontieres/gl_dab_090127/), publiées en janvier 2009, précisent les obligations pratiques qui découlent de ce principe. Trois d'entre elles comptent au moment de choisir où héberger.

**Évaluer le risque avant de transférer.** Les directives recommandent aux organisations d'évaluer les risques pour l'intégrité, la sécurité et la confidentialité des renseignements personnels de leurs clients lorsque ceux-ci sont transférés à un fournisseur établi hors du Canada. Cette évaluation vous revient, et vous devez pouvoir la montrer.

**Informer les gens.** Les organisations devraient aviser leurs clients, en langage clair et compréhensible, que leurs renseignements pourraient être envoyés dans un autre pays aux fins de traitement, et qu'une fois là-bas, les tribunaux, les forces de l'ordre et les autorités de sécurité nationale de ce pays pourraient y accéder. Idéalement, vous le dites au moment de la collecte. En pratique, cela a sa place dans votre politique de confidentialité, rédigée assez simplement pour que le client comprenne l'exposition au lieu d'en être informé techniquement.

**Comprendre ce qu'un contrat peut et ne peut pas faire.** C'est la ligne la plus tranchante des directives, et c'est celle à garder en tête quand une entente de traitement des données semble régler la question : aucun contrat ne peut l'emporter sur les lois criminelles, les lois en matière de sécurité nationale ou toute autre loi du pays vers lequel les renseignements ont été transférés.

C'est là que le principe de responsabilité cesse d'être de la paperasse et devient une décision d'infrastructure.

## La question qui vous reste vraiment

Au bout du compte, l'hébergement à l'étranger est permis. Ce qu'une entreprise canadienne doit trancher, c'est si elle peut porter la responsabilité qui vient avec, et si elle le veut.

La porter, c'est documenter l'évaluation des risques pour la juridiction choisie, détenir un contrat qui assure une protection comparable, dire à vos clients que leurs données peuvent être atteintes par les autorités d'un autre pays, et être prêt à expliquer tout cela quand la vérification de sécurité d'un client ou un régulateur le demandera. L'exposition que vous documentez est réelle et précise : pour les fournisseurs assujettis au droit américain, le [**CLOUD Act**](/fr/blog/us-cloud-act-canadian-businesses) permet aux tribunaux des États-Unis de contraindre une entreprise américaine à produire des données qu'elle contrôle, peu importe le pays où se trouve le serveur. Votre contrat n'atteint pas cela, exactement pour la raison qu'énonce le CPVP.

Rien de tout cela n'est ingérable. Beaucoup d'entreprises canadiennes le font, délibérément et bien. C'est un travail permanent, et il grossit chaque fois que vous ajoutez un fournisseur.

## Où l'hébergement canadien aide, et où il n'aide pas

Garder vos données applicatives sur une [infrastructure canadienne](/fr/canadian-hosting) ne vous rend pas conforme à la LPRPDE. Aucun choix d'hébergement ne le peut, parce que l'essentiel de la LPRPDE porte sur le consentement, les fins, la conservation, les demandes d'accès et les mesures de sécurité à l'intérieur de votre propre application.

Ce que l'hébergement canadien fait, c'est raccourcir la démonstration de responsabilité pour un maillon de la chaîne. Il n'y a pas de juridiction étrangère à évaluer pour ces données, pas d'accès par des autorités étrangères à divulguer dans votre politique de confidentialité à leur sujet, et pas d'écart entre ce que votre contrat promet et ce qu'un tribunal étranger peut ordonner. Vous n'êtes pas exempté du principe 4.1.3. Vous avez simplement beaucoup plus de facilité à le satisfaire, et un document beaucoup plus court à remettre quand on vous le demande.

La raison compte. Vous choisissez l'hébergement canadien parce que vous avez décidé que la juridiction vaut la peine d'être contrôlée, pas parce que la loi vous a retiré le choix. C'est un argument juridique plus faible, et un argument plus durable.

## Ce que vous pouvez obtenir de nous par écrit

Comme l'obligation est documentaire, la bonne question à poser à un hébergeur est de savoir ce qu'il met par écrit. Pour MapleDeploy, c'est :

- L'[attestation de résidence des données](/fr/legal/data-residency), qui nomme l'exploitant de l'infrastructure, son numéro et sa juridiction de constitution, ainsi que le centre de données torontois.
- La [liste des sous-traitants](/fr/legal/subprocessors), avec le pays de chacun et les données qu'il traite, y compris les trois services accessoires aux liens américains que nous divulguons individuellement.
- Notre propre [politique de confidentialité](/fr/legal/privacy) et notre [procédure de notification en cas d'atteinte](/fr/legal/breach-notification), qui encadrent notre traitement des données de votre compte.

Si la vérification de votre client exige quelque chose que ces pages ne couvrent pas, écrivez-nous et nous répondrons directement. Nous avons dressé la liste complète des documents à demander à n'importe quel fournisseur, pas seulement à nous, dans [prouver la résidence canadienne des données : quoi demander](/fr/blog/data-residency-documentation-checklist).

## La couche provinciale

La LPRPDE est le plancher fédéral, pas le portrait complet. L'Alberta, la Colombie-Britannique et le Québec ont chacun une loi générale sur le secteur privé jugée [essentiellement similaire à la LPRPDE](https://www.priv.gc.ca/fr/sujets-lies-a-la-protection-de-la-vie-privee/lois-sur-la-protection-des-renseignements-personnels-au-canada/02_05_d_15/), ce qui fait que la LPRPDE s'efface généralement pour les organisations qui exercent leurs activités entièrement à l'intérieur de ces provinces, tout en continuant de s'appliquer dès que des renseignements personnels franchissent une frontière provinciale ou nationale, et aux entreprises fédérales comme les banques et les télécommunications, où qu'elles exercent.

Celle du Québec est celle qui change le plus l'analyse de l'hébergement, parce qu'elle transforme la question transfrontalière en condition préalable plutôt qu'en simple évaluation documentée. Nous l'avons traitée séparément dans [la Loi 25 du Québec et la résidence canadienne des données](/fr/blog/quebec-law-25-data-residency).

Une obligation fédérale mérite d'être signalée, parce qu'aucun hébergeur ne vous en décharge. En vertu de l'[article 10.1](https://laws-lois.justice.gc.ca/fra/lois/P-8.6/page-3.html), s'il est raisonnable de croire, dans les circonstances, qu'une atteinte aux mesures de sécurité présente un risque réel de préjudice grave à l'endroit d'une personne, vous devez la déclarer au Commissariat et aviser les personnes touchées. Ce devoir suit les renseignements personnels sous votre contrôle, peu importe où ils sont stockés.

{% cta-section title="Une infrastructure canadienne, documentée" %}
Des machines virtuelles dédiées à Toronto, avec la documentation de résidence publiée plutôt que promise. 30 jours gratuits sur Starter et Pro.
{% /cta-section %}