CLOUD Act et entreprises canadiennes : guide

Voici ce que beaucoup d'entreprises canadiennes ne réalisent pas : la LPRPDE ne peut pas protéger vos données du droit américain. Si votre fournisseur d'hébergement est une entreprise américaine, un tribunal américain peut le contraindre à produire des données en vertu du CLOUD Act, même si les serveurs sont à Toronto.

Le cadre juridique suit l'entreprise, pas seulement le centre de données.

Ceci n'est pas un avis juridique. C'est le risque d'hébergement en langage clair : si vos clients, votre régulateur ou vos contrats se soucient de la juridiction canadienne, « stocké au Canada » ne suffit pas toujours.

Ce que fait le CLOUD Act

En 2018, les États-Unis ont adopté le Clarifying Lawful Overseas Use of Data Act (en anglais). Il donne aux forces de l'ordre américaines un moyen de contraindre les entreprises américaines à produire des données, peu importe où ces données sont stockées. Si le fournisseur est assujetti à la juridiction américaine, l'emplacement du serveur ne retire pas l'exposition.

Cela ne veut pas dire que chaque demande est de la surveillance de masse. Les données de contenu exigent généralement un processus juridique plus strict que les renseignements de base sur l'abonné. Les entreprises peuvent contester les demandes, surtout quand la conformité entre en conflit avec les lois d'un autre pays.

Le problème pratique demeure réel. Contester une demande gouvernementale est coûteux, lent et incertain. La plupart des équipes canadiennes ne veulent pas que leur risque d'hébergement dépende de la décision d'un fournisseur américain de contester ou non une ordonnance d'un tribunal américain.

Le CLOUD Act a aussi créé un cadre pour des accords exécutifs entre les États-Unis et d'autres pays. Les États-Unis ont des accords avec le Royaume-Uni et l'Australie, et des négociations Canada-États-Unis ont été annoncées en mars 2022 (en anglais). C'est un contexte important, mais cela ne change pas le problème central. Les entreprises américaines sont déjà assujetties au droit américain.

Pourquoi la LPRPDE ne suffit pas

La LPRPDE régit ce que les organisations canadiennes doivent faire avec les renseignements personnels. Elle ne contrôle pas ce qu'un tribunal américain peut contraindre une entreprise américaine à faire.

Si vous hébergez chez un fournisseur sous juridiction américaine, votre politique de confidentialité, votre politique de résidence des données, votre contrat fournisseur et votre conformité à la LPRPDE ne prévalent pas sur une ordonnance d'un tribunal américain adressée à ce fournisseur.

Le gouvernement du Canada a reconnu ce problème dans son livre blanc sur la souveraineté des données et le nuage public. Un fournisseur cloud avec des activités étrangères peut devoir se conformer à des mandats, ordonnances judiciaires ou citations à comparaître étrangers, parfois sans préavis au gouvernement du Canada.

C'est pourquoi la juridiction canadienne compte. Héberger chez un fournisseur détenu par des Canadiens, qui garde les données pertinentes sur une infrastructure canadienne et n'a aucune dépendance à un cloud américain pour les données d'application, signifie généralement que les demandes étrangères passent par les canaux juridiques canadiens plutôt que par une ordonnance directe à un fournisseur sous juridiction américaine.

Les lois provinciales augmentent l'enjeu

Les lois provinciales ne bloquent pas non plus le CLOUD Act. Elles rendent toutefois le choix du fournisseur plus difficile à justifier quand les renseignements personnels sont sensibles.

• Loi 25 du Québec : les transferts de renseignements personnels hors Québec exigent une évaluation des facteurs relatifs à la vie privée. Héberger chez un fournisseur américain signifie que cette évaluation doit tenir compte de l'exposition au CLOUD Act.
• LPRPPS de l'Ontario : les dépositaires de renseignements sur la santé font face à des attentes strictes pour les données de patients. Un fournisseur sous juridiction américaine crée un risque à documenter et à justifier.
• PIPA et FIPPA de la Colombie-Britannique : les organisations privées et les organismes publics ont des exigences distinctes, mais les deux rendent le traitement transfrontalier des renseignements personnels sérieux sur le plan de la gouvernance.

La tendance est constante : ces lois ne rendent pas l'hébergement exclusivement canadien obligatoire pour toutes les entreprises, mais elles font de la juridiction un vrai facteur de risque.

Quand cela compte

Pour un blogue personnel, cela ne compte probablement pas.

Pour certaines entreprises, cela compte beaucoup :

• Un portail client qui stocke des fichiers de projet et des messages.
• Un cabinet d'avocats qui stocke de la correspondance client courante.
• Une équipe de services aux entreprises qui gère des contacts clients et des notes de projet.
• Une agence qui répond à des appels d'offres gouvernementaux avec exigences de résidence des données.
• Une entreprise SaaS dont les clients demandent où les données résident et quelle loi les régit.

La préoccupation n'est pas « est-ce qu'un gouvernement peut un jour accéder aux données ? » Aucune juridiction n'est un bouclier parfait. Le Canada et les États-Unis ont des processus de traité pour l'accès légal.

La préoccupation est plutôt « quel processus juridique régit l'accès ? » Un processus devant un tribunal canadien est différent d'une ordonnance américaine envoyée directement à un fournisseur américain.

Ce que la juridiction canadienne règle, et ne règle pas

La souveraineté des données canadiennes signifie plus que « serveurs au Canada ». Elle exige généralement :

• Une infrastructure canadienne, pour que les données soient physiquement stockées au Canada.
• Une juridiction canadienne, pour que le fournisseur de service soit régi par le droit canadien.
• Aucune dépendance à un cloud américain pour la couche de données d'application.

Ce n'est pas un bouclier impénétrable. Les tribunaux canadiens peuvent coopérer avec des gouvernements étrangers par des traités et de l'assistance judiciaire. Un petit fournisseur canadien a aussi moins de ressources juridiques qu'un hyperscaler.

Ce que la juridiction canadienne vous donne, c'est un cadre juridique plus clair. Les demandes touchant les données d'application des clients passent par le processus juridique canadien plutôt que directement par un fournisseur américain assujetti au droit américain.

Questions à poser aux fournisseurs d'hébergement

Quand vous évaluez des fournisseurs d'hébergement, posez des questions directes :

• Qui possède le service, et où la société mère est-elle constituée ?
• Le calcul, le stockage ou le réseau sous-jacent sont-ils exploités par un fournisseur cloud américain ?
• Le fournisseur peut-il vous remettre une attestation écrite de résidence des données ?
• Quelle est sa politique pour les demandes de données de gouvernements étrangers ?
• Avise-t-il les clients quand la loi le permet ?
• Les outils de paiement, de courriel, d'analytique ou de soutien touchent-ils les données d'application des clients ?

Les réponses comptent plus qu'un drapeau canadien sur la page d'accueil.

Où MapleDeploy s'inscrit

MapleDeploy est détenu et exploité par des Canadiens, avec des machines virtuelles clients sur une infrastructure canadienne à Toronto. Vos données d'application, bases de données, configurations serveur et instances Coolify restent au Canada.

Nous sommes aussi honnêtes sur la limite. Le traitement des paiements utilise Stripe, une entreprise américaine, pour des raisons de conformité PCI. Nous offrons le virement Interac comme option de paiement canadienne. Consultez pourquoi nous utilisons Stripe pour le compromis.

Si la juridiction canadienne compte pour votre projet, évaluez toute la pile, pas seulement l'étiquette de région. MapleDeploy vous donne des déploiements par git push, Coolify géré et une infrastructure canadienne sans placer vos données d'application chez un fournisseur cloud américain.