L’endroit où vos données sont stockées n’est qu’une partie de la réponse. La souveraineté des données demande aussi qui contrôle le service, quelles lois peuvent s’appliquer au fournisseur, où se trouvent le soutien et les sauvegardes, et qui peut ultimement accéder à l’information.
La résidence est surtout une question de géographie. Elle décrit l’emplacement physique ou configuré des données, par exemple un serveur, une grappe de stockage ou un système de sauvegarde situé à Toronto, Montréal ou Vancouver.
La souveraineté est plus large. Elle tient compte de la juridiction, de la propriété de l’entreprise, des accès administratifs, des sous-traitants, du contrôle des clés de chiffrement et des lois pouvant obliger un fournisseur à divulguer de l’information.
La résidence des données et la souveraineté des données sont souvent traitées comme si elles désignaient la même chose. Ce n’est pas le cas. Un centre de données canadien peut répondre à une exigence de résidence alors que des questions sur la propriété, les accès de soutien et la juridiction étrangère demeurent ouvertes.
Cette distinction prend de l’importance à mesure que les organisations canadiennes dépendent de services infonuagiques mondiaux. Le gouvernement fédéral traite maintenant la souveraineté numérique comme un enjeu plus large qui touche les données, la juridiction, les chaînes d’approvisionnement, le contrôle opérationnel et la résilience.
Le cadre de souveraineté numérique du gouvernement du Canada le dit clairement : un fournisseur canadien ou un stockage au Canada ne supprime pas, à lui seul, tous les liens avec une juridiction étrangère.
Quand j’ai commencé à approfondir ce sujet, je considérais « hébergé au Canada » comme une réponse assez complète. Je traite maintenant l’emplacement du serveur comme la première couche.
Ensuite, je veux savoir qui contrôle l’entreprise, qui peut administrer le service, où se trouvent le soutien et les sauvegardes, et à quelles ordonnances juridiques le fournisseur peut devoir se conformer. C’est aussi cette logique qui guide ma façon d’évaluer les hébergeurs web canadiens dont l’infrastructure au Canada peut être vérifiée sur HostScout.
Commencer ici
Je trouve qu’il est plus facile de comprendre le sujet en séparant trois termes que les fournisseurs ont tendance à mélanger : résidence des données, localisation des données et souveraineté des données. Ils se recoupent, mais répondent à des questions différentes. Une fois ces questions séparées, une bonne partie du marketing infonuagique devient plus facile à lire avec un œil critique.
L’emplacement géographique où les données sont stockées ou traitées. Une région infonuagique canadienne peut fournir une résidence au Canada.
Une exigence juridique, contractuelle ou de politique interne qui oblige certaines informations à demeurer dans un pays ou une région précise.
La question plus large de la juridiction, de l’accès légal, de la gouvernance et du contrôle opérationnel des données et des systèmes qui les entourent.
Un déploiement peut satisfaire l’exigence de résidence tout en laissant la question de la souveraineté ouverte. Imaginez une base de données fixée à Toronto : l’emplacement de stockage est clair, mais cela ne me dit rien sur la société mère du fournisseur, les administrateurs à l’étranger, les outils de soutien, la télémétrie, les chemins de sauvegarde ou les obligations juridiques des entités derrière le service. C’est l’écart auquel, selon moi, les acheteurs canadiens doivent porter attention.
| Question | Résidence des données | Souveraineté des données |
|---|---|---|
| Objectif principal | Emplacement physique ou configuré | Juridiction, gouvernance et contrôle |
| Preuves typiques | Région du centre de données, adresse de l’installation, emplacement des sauvegardes | Propriété, entités juridiques, contrats, modèle de soutien, sous-traitants et contrôle des clés |
| Un serveur canadien règle-t-il la question? | Habituellement oui, si toutes les copies requises demeurent au Canada | Non, pas à lui seul |
| Risque lié au droit étranger | Peut toujours exister | Doit être évalué dans l’ensemble de la chaîne du fournisseur et du contrôle |
| Cybersécurité | Ne prouve pas que le service est sécuritaire | Ne prouve pas non plus que le service est sécuritaire |
La propriété et les opérations canadiennes peuvent réduire certains chemins vers des juridictions étrangères, surtout lorsque les sauvegardes, le soutien et le contrôle des clés sont aussi au Canada.
Les données peuvent tout de même résider au Canada alors que le fournisseur, ou une autre entité de son groupe, demeure assujetti à des obligations étrangères d’accès légal.
La propriété canadienne n’est pas un bouclier magique, et la propriété étrangère ne prouve pas qu’un service est peu sécuritaire. Une véritable analyse de souveraineté examine les entités juridiques, le contrôle corporatif, l’architecture technique, les accès de soutien, les sous-traitants et les contrats. La qualité de la cybersécurité doit être évaluée séparément.
Si vous vérifiez un site web ou un fournisseur d’hébergement et voulez commencer par la question de l’emplacement, l’outil Ce site est-il hébergé au Canada? de HostScout constitue une première vérification utile. Je traiterais ce résultat comme un indice de résidence, et non comme une preuve de souveraineté, puisque les questions de propriété et de contrôle restent à examiner.
L’infonuagique rend la juridiction moins visible qu’à l’époque où les organisations exploitaient leurs propres serveurs. Un même service peut faire intervenir plusieurs pays et plusieurs entreprises.
Les organisations canadiennes portent de nouveau une attention particulière à la souveraineté des données parce que l’infonuagique rend la juridiction moins visible qu’à l’époque où les organisations exploitaient leurs propres serveurs. Un site peut être servi depuis Toronto, administré depuis un autre pays, sauvegardé ailleurs, surveillé par une plateforme de sécurité mondiale et appartenir à une société mère située dans une autre juridiction.
La question devient surtout importante lorsque l’information est sensible, que le service est critique ou qu’une organisation a des exigences contractuelles, réglementaires ou internes sur l’endroit où l’information peut être traitée. Les gouvernements, les soins de santé, l’éducation, les services juridiques, les services financiers et les infrastructures essentielles ont souvent plus d’éléments à considérer qu’un simple site vitrine.
Une erreur courante consiste à supposer qu’un serveur appartenant à une entreprise canadienne est automatiquement plus sécuritaire qu’un grand fournisseur infonuagique international. Ce n’est pas nécessairement vrai. Les grandes plateformes infonuagiques peuvent avoir une ingénierie de sécurité mature, une surveillance étendue, de grandes équipes d’intervention et de solides mesures de sécurité physique. Un petit fournisseur canadien peut malgré tout être mal configuré ou mal géré.
L’inverse est aussi vrai. Une excellente cybersécurité n’élimine pas l’exposition à une juridiction. Une plateforme peut être extrêmement bien protégée contre les criminels tout en demeurant assujettie à des ordonnances d’accès légal provenant d’un gouvernement qui a compétence sur le fournisseur. La sécurité demande si l’accès non autorisé peut être empêché. La souveraineté demande qui peut avoir l’autorité légale ou opérationnelle d’accéder au système.
Ne choisissez pas entre « sécurité » et « souveraineté ». Pour les charges de travail importantes, évaluez les deux. Le meilleur fournisseur est celui qui répond à vos besoins de sécurité, à vos obligations juridiques, à vos exigences opérationnelles et au niveau de risque juridictionnel que vous êtes prêt à accepter.
Même lorsqu’une loi n’exige pas un stockage exclusivement canadien, une organisation peut imposer sa propre règle de résidence par une politique interne, des conditions d’approvisionnement, des engagements envers ses clients ou des contrats sectoriels. Les universités, organismes publics, cabinets professionnels et grandes entreprises exigent parfois un stockage au Canada parce que cela simplifie la gestion du risque ou répond aux attentes des parties prenantes.
Je trouve qu’il est plus simple de comprendre la souveraineté en quatre couches plutôt que comme une étiquette apposée à un centre de données :
Le cadre de souveraineté numérique du gouvernement du Canada adopte une approche tout aussi large. Un fournisseur canadien ou un stockage au Canada peut réduire certains risques, mais ni l’un ni l’autre ne supprime automatiquement tous les liens avec une juridiction étrangère.
Le cadre de souveraineté numérique du gouvernement du Canada adopte une approche tout aussi large. Il reconnaît qu’un même service peut relever de plusieurs environnements juridiques à la fois. Un fournisseur canadien ou un emplacement de stockage au Canada peut réduire certains risques, mais ni l’un ni l’autre ne supprime automatiquement tous les liens avec une juridiction étrangère. Le cadre reconnaît aussi une réalité pratique : les services numériques modernes reposent sur des fournisseurs, des logiciels et des infrastructures interconnectés, de sorte qu’une indépendance absolue est rarement réaliste.
Ma lecture est assez simple : la souveraineté n’est pas un badge qu’un fournisseur obtient une fois pour toutes. C’est un profil de risque qui peut s’améliorer ou se détériorer si la propriété change, si le soutien est externalisé, si de nouveaux sous-traitants sont ajoutés, si les mécanismes de chiffrement changent ou si des renseignements sensibles migrent vers un autre service.
Garder les données sous juridiction canadienne ne veut pas dire qu’elles sont à l’abri de tout accès légal par un gouvernement. Les autorités canadiennes disposent elles aussi de mécanismes juridiques pour obtenir de l’information. L’objectif de souveraineté est plutôt que l’accès soit principalement régi par le droit et les institutions du Canada, et non de supposer que la géographie suffit à empêcher toute portée juridique étrangère.
États-Unis
Le CLOUD Act attire beaucoup d’attention parce qu’il remet en question l’idée simple voulant qu’une frontière autour d’un serveur soit aussi une frontière autour de l’autorité juridique. Le libellé qui retient mon attention se trouve dans 18 U.S.C. § 2713: les fournisseurs visés peuvent être tenus de produire les documents qui sont sous leur « possession, garde ou contrôle » même si ces documents sont stockés à l’extérieur des États-Unis.
Pour moi, cela change la première question, qui passe de « Le serveur est-il au Canada? » à « Quelle entité juridique contrôle le service et les données? » Si un fournisseur relève de la juridiction américaine et peut exercer le contrôle requis sur l’information, un emplacement de stockage canadien ne règle pas à lui seul la question.
Le CLOUD Act ne crée pas un accès automatique à tous les comptes infonuagiques. Les demandes doivent toujours suivre le processus juridique applicable.
Un certificat de constitution canadien est une preuve utile, mais il ne raconte pas toute l’histoire. Je veux aussi savoir qui possède l’entreprise, qui nomme la direction, si les systèmes sont partagés avec une société mère étrangère, où se trouvent les administrateurs privilégiés et si une autre société du groupe peut, en pratique, obtenir les données des clients. Ces détails opérationnels peuvent être aussi importants que le nom de la filiale canadienne.
Le raccourci inverse est tout aussi peu fiable. Une propriété étrangère ne signifie pas que chaque dossier client peut être produit instantanément ou sans procédure judiciaire. La portée d’une ordonnance, l’entité qui la reçoit, le contrôle réel du fournisseur sur les dossiers et les possibilités de contestation doivent toujours être pris en compte.
Le CLOUD Act crée un véritable enjeu juridictionnel, mais il ne faut pas le réduire à « entreprise américaine = accès ouvert ». La question plus exacte est de savoir si un fournisseur assujetti à une procédure judiciaire américaine possède, garde ou contrôle les données demandées, et quelles protections juridiques et techniques s’appliquent au déploiement précis.
Le cadre de souveraineté numérique du gouvernement du Canada ajoute un autre élément de contexte utile : il indique que les demandes d’accès légal suivent des étapes juridiques définies et précise que le gouvernement fédéral n’a trouvé aucun cas documenté où un gouvernement étranger aurait cherché à accéder aux données d’entreprise canadiennes détenues par des fournisseurs. Cela n’élimine pas le risque juridictionnel, mais rappelle qu’il faut distinguer une exposition juridique possible des affirmations sur un accès routinier ou indiscriminé.
Canada
Le Canada n’a pas une règle universelle pour le secteur privé qui oblige chaque organisation canadienne à stocker tous les renseignements personnels au pays. Les exigences applicables dépendent de l’organisation, de la province, du secteur, du type de données et du fait que l’organisation soit publique ou privée.
Sous la LPRPDE, une organisation demeure responsable des renseignements personnels transférés à un tiers aux fins de traitement. Le principe 4.1.3 exige des moyens contractuels ou autres assurant un niveau de protection comparable. Le Commissariat à la protection de la vie privée du Canada précise que la LPRPDE n’interdit pas le traitement transfrontalier, mais que les organisations doivent évaluer les risques, protéger l’information et faire preuve de transparence lorsque celle-ci peut être traitée dans un autre pays. Lignes directrices du Commissariat sur le traitement transfrontalier.
L’article 17 de la loi québécoise sur la protection des renseignements personnels dans le secteur privé exige une évaluation des facteurs relatifs à la vie privée avant qu’un renseignement personnel soit communiqué à l’extérieur du Québec. L’évaluation doit notamment tenir compte de la sensibilité et de la finalité des renseignements, des mesures de protection applicables et du cadre juridique de l’État où les renseignements seront communiqués. Lire l’article 17.
La Colombie-Britannique a modifié ses règles de résidence des données pour le secteur public en 2021. L’ancienne exigence générale voulant que les renseignements personnels soient stockés et consultés au Canada a été assouplie. Les organismes publics doivent maintenant effectuer une évaluation supplémentaire de la vie privée lorsque des renseignements personnels sensibles seront stockés à l’extérieur du Canada. Les lignes directrices provinciales demandent expressément de tenir compte du siège social du fournisseur et des lois pouvant obliger une divulgation. Lignes directrices de la Colombie-Britannique.
En septembre 2026, la Personal Information International Disclosure Protection Act de la Nouvelle-Écosse fait toujours partie du cadre provincial de protection des renseignements personnels dans le secteur public et limite le stockage et l’accès à l’extérieur du Canada, sous réserve d’exceptions prévues par la loi. La Nouvelle-Écosse a aussi adopté une nouvelle Freedom of Information and Protection of Privacy Act qui doit remplacer le régime actuel en 2027. L’article 76 de la nouvelle loi interdit à un organisme public de divulguer, stocker ou permettre l’accès à des renseignements personnels à l’extérieur du Canada, sauf si un règlement l’autorise. Lire la loi de 2025.
La politique du gouvernement fédéral n’est pas la même chose qu’une règle générale pour le secteur privé. Selon la Ligne directrice sur les services et le numérique, les installations informatiques situées au Canada, ou dans les locaux du gouvernement du Canada à l’étranger, doivent être identifiées et évaluées comme option principale de prestation pour les renseignements électroniques sensibles comme les données Protégé B, Protégé C et classifiées. Ligne directrice du gouvernement du Canada.
Le fil conducteur de ces règles est plus utile que n’importe quel slogan. Le droit canadien en matière de vie privée met de plus en plus l’accent sur la responsabilité, l’évaluation documentée des risques, des mesures de protection appropriées et la transparence. La géographie peut être importante, mais les organismes de réglementation demandent souvent ce qui arrive à l’information une fois qu’elle quitte le contrôle direct de l’organisation.
Vérification de réalité
Pas nécessairement. La résidence canadienne répond à une question d’emplacement. La propriété, la juridiction, les accès de soutien, les sauvegardes et les sous-traitants peuvent toujours créer des dépendances étrangères.
Non. La loi étend la portée d’une procédure judiciaire américaine valide à certaines données situées à l’extérieur des États-Unis, mais le processus légal, les exigences prévues par la loi et les mécanismes de contestation demeurent importants.
Non. Un fournisseur canadien peut tout de même dépendre de plateformes infonuagiques étrangères, d’équipes de soutien à l’étranger, de services de sauvegarde étrangers, de logiciels contrôlés aux États-Unis ou d’autres fournisseurs qui introduisent des dépendances juridictionnelles ou opérationnelles.
Non. La souveraineté et la cybersécurité se recoupent, mais elles ne sont pas interchangeables. Un fournisseur mondial peut offrir une excellente sécurité tout en présentant un profil de risque juridictionnel différent.
Non. La LPRPDE ne crée pas une règle générale obligeant le stockage au Canada pour le traitement dans le secteur privé. Les exigences provinciales, publiques, de santé, contractuelles ou propres à un secteur peuvent être différentes.
Mesures pratiques
Le changement le plus utile, selon moi, consiste à arrêter de demander si un service est simplement « souverain » et à commencer à chercher où se trouvent les maillons faibles. Cartographiez l’information, suivez-la à travers le service, identifiez les organisations et les personnes qui y ont accès, puis appliquez les contrôles les plus rigoureux aux données dont l’exposition ou la communication forcée causerait le plus de tort.
De quel type d’information s’agit-il? Les dossiers de santé, documents juridiques, identifiants d’employés et renseignements financiers peuvent justifier des contrôles plus stricts.
Que se passe-t-il si l’information est exposée, exigée par une autorité, indisponible ou transférée vers une autre juridiction?
Qui détient les comptes administrateurs, les clés de chiffrement, les sauvegardes et l’autorité contractuelle sur le service?
Dessinez le flux de données avant de juger le fournisseur. Notez où l’information entre dans le système, où des copies sont créées, où les sauvegardes sont déposées, quels outils de soutien peuvent la voir et quelles entités juridiques se trouvent derrière ces services. Une évaluation des facteurs relatifs à la vie privée est une bonne façon d’organiser ce travail, même lorsque votre déploiement n’est pas légalement tenu d’en réaliser une.
Les lignes directrices fédérales en matière de vie privée orientent les organisations vers ce type d’évaluation contextuelle des risques pour le traitement transfrontalier. Le Québec ajoute une exigence légale précise d’effectuer une évaluation des facteurs relatifs à la vie privée avant qu’un renseignement personnel soit communiqué à l’extérieur du Québec.
Expliquez clairement ce que fait réellement l’architecture. Si un fournisseur, une équipe de soutien ou un sous-traitant peut traiter des renseignements personnels à l’extérieur du Canada, l’avis de confidentialité et la documentation du fournisseur devraient le rendre compréhensible plutôt que de le cacher sous une formule vague comme « traitement mondial ». Une bonne divulgation n’élimine pas l’exposition, mais empêche l’organisation de faire comme si elle n’existait pas.
Chaque champ inutile devient un élément de plus à protéger. Réduisez la quantité de renseignements personnels qui entrent dans la plateforme, gardez les ensembles de données très sensibles séparés lorsque c’est pratique et supprimez l’information lorsqu’il n’y a plus de raison défendable de la conserver.
Lorsque l’objectif d’affaires le permet, l’agrégation, la dépersonnalisation ou l’anonymisation peuvent rendre un événement d’accès étranger moins révélateur. Le chiffrement ajoute une couche importante, mais il ne fait pas disparaître le reste du service : les journaux, métadonnées, dossiers de compte et systèmes de gestion des clés peuvent toujours compter.
Transformez les promesses de souveraineté en clauses contractuelles pouvant être vérifiées. L’entente devrait couvrir les emplacements de stockage approuvés, les accès administratifs, les sous-traitants, les avis d’incident, la suppression ou le retour des données à la fin du contrat et les preuves que le client peut demander pour vérifier ces engagements.
Pour les services plus sensibles, il peut aussi être pertinent d’aborder l’avis des demandes gouvernementales lorsque la loi le permet, la collaboration à des contestations légales du client, les restrictions sur l’accès de soutien à distance et des engagements clairs sur l’emplacement des données. Un contrat ne peut pas annuler une loi qui lie le fournisseur, mais il peut rendre les responsabilités beaucoup plus difficiles à brouiller.
Le chiffrement est le plus fort comme mesure de souveraineté lorsque la propriété des clés est séparée du contrôle du fournisseur. Pour les charges de travail sensibles, des clés gérées par le client ou contrôlées à l’extérieur peuvent réduire la capacité du fournisseur à lire lui-même certaines données stockées. Je continuerais tout de même à examiner l’architecture complète, car un service qui doit déchiffrer l’information dans son fonctionnement normal peut conserver des chemins d’accès que la seule propriété des clés ne supprime pas.
Suivez le service au-delà du nom de marque. L’hébergeur peut dépendre d’un autre centre de données, d’un nuage public, d’une plateforme DNS, d’un service de courriel, d’un système de surveillance, d’un fournisseur de sauvegarde ou d’un fournisseur d’identité. Cette distinction compte sur HostScout parce que deux entreprises peuvent toutes deux annoncer un « hébergement canadien » alors que l’une exploite une infrastructure canadienne et que l’autre agit principalement comme revendeur au-dessus de la plateforme de quelqu’un d’autre.
Réévaluez le service lorsque l’entreprise qui se trouve derrière change. Une acquisition, une nouvelle société mère, une équipe de soutien externalisée, une plateforme de sauvegarde différente ou une migration d’infrastructure peuvent modifier le portrait juridictionnel même si le serveur demeure dans le même centre de données de Toronto. Gardez une voie de sortie afin que les données importantes puissent être exportées et déplacées si le modèle de contrôle ne répond plus à vos exigences.
Perspective HostScout
Les acheteurs d’hébergement web ne peuvent généralement pas effectuer la même vérification juridique qu’une grande équipe d’approvisionnement d’entreprise. Vous pouvez tout de même poser des questions qui révèlent si la promesse d’« hébergement canadien » d’un fournisseur décrit l’ensemble du service ou seulement l’emplacement d’un serveur. C’est l’élément auquel je reviens constamment lorsque j’évalue des hébergeurs pour HostScout : je veux que l’histoire de la propriété, du réseau et de l’infrastructure soit cohérente. C’est pourquoi le répertoire principal de HostScout met l’accent sur les fournisseurs d’hébergement web canadiens ayant des opérations et une infrastructure au Canada, plutôt que de traiter un emplacement de serveur canadien comme l’unique critère.
Voici le genre de questions que HostScout utilise pour évaluer les promesses d’hébergement canadien.
Les registres réseau publics peuvent aider dans cette vérification. Pour une recherche rapide, l’outil Whois ARIN de HostScout peut aider à identifier l’organisation associée à une adresse IP ou à une ressource réseau. Je recoupe aussi des sources publiques comme ARIN RDAP et PeeringDB lorsque j’examine les réseaux, les installations et l’interconnexion. Ces registres constituent des éléments de preuve, pas une preuve de propriété du matériel. Ils sont surtout utiles lorsqu’ils sont combinés à des registres d’entreprise, à la documentation du fournisseur, aux données de routage et à l’information sur les centres de données.
Compromis
La difficulté est qu’un contrôle canadien plus fort s’accompagne généralement de compromis. Un fournisseur peut être préférable du point de vue juridictionnel tout en étant le mauvais choix technique, trop coûteux pour la charge de travail ou dépourvu d’une fonction réellement nécessaire. Je préfère rendre ces compromis visibles plutôt que de prétendre que la souveraineté n’a aucun coût.
Certains outils SaaS, d’IA et d’analytique n’ont pas d’équivalent contrôlé au Canada, ce qui peut rendre des exigences strictes de souveraineté difficiles à respecter.
Une infrastructure exclusivement canadienne, du personnel local, des installations redondantes et des économies d’échelle plus modestes peuvent augmenter les coûts pour certaines charges de travail.
Les journaux, la télémétrie, les sauvegardes, les billets de soutien et les systèmes d’identité peuvent traverser les frontières même lorsqu’une application principale est fixée à une région canadienne.
Le trafic Internet peut transiter à l’extérieur du Canada selon le routage. C’est différent de la résidence du stockage, mais cela peut compter pour les organisations ayant des exigences réseau ou des modèles de menace stricts.
Les clients ont souvent une visibilité limitée sur l’architecture interne d’un fournisseur infonuagique. Les certifications et les contrats sont utiles, mais ils ne sont pas équivalents à un contrôle technique direct.
Une fusion ou une acquisition peut modifier la chaîne de contrôle juridique et opérationnel alors que l’infrastructure demeure dans le même bâtiment.
C’est aussi pourquoi je ne pense pas que chaque charge de travail ait besoin de la même réponse. Un site vitrine public, un système de paie et un dépôt de dossiers juridiques confidentiels ont des conséquences très différentes si quelque chose tourne mal. Le niveau de contrôle canadien devrait augmenter avec la sensibilité de l’information, l’importance du service et l’impact d’une perte de contrôle.
Vous n’avez pas besoin d’une indépendance technologique parfaite pour améliorer la souveraineté. Vous devez comprendre les dépendances, documenter le risque, appliquer des contrôles proportionnés et savoir quels compromis vous acceptez.
À venir
La conversation politique au Canada dépasse désormais la simple résidence des données. Le plan 2026-2027 de Services partagés Canada prévoit des travaux sur l’hébergement infonuagique souverain, un environnement d’infonuagique privée souveraine et des capacités de sauvegarde sous juridiction canadienne. Cette orientation correspond au cadre fédéral de souveraineté numérique, qui traite le contrôle juridique, l’assurance de l’approvisionnement, la résilience et le contrôle technique comme des enjeux liés plutôt que comme des cases séparées. Lire le plan ministériel 2026-2027.
L’IA élargit la question de la souveraineté parce que l’actif sensible peut être plus qu’une base de données. Une analyse peut aussi devoir tenir compte de :
La souveraineté des données autochtones est distincte de la juridiction infonuagique canadienne. Elle concerne les droits et l’autorité des peuples et communautés autochtones à gouverner les données sur leurs peuples, leurs terres et leurs ressources.
Le cadre de souveraineté numérique du gouvernement du Canada traite cette question séparément. Les organisations qui travaillent avec des données autochtones devraient suivre les attentes de gouvernance des communautés concernées et de leurs partenaires autochtones plutôt que de supposer qu’un hébergement canadien règle ces questions.
Un serveur canadien vous indique où se trouvent les données. Une analyse de souveraineté va plus loin et demande qui possède le fournisseur, qui peut administrer le service, quels systèmes juridiques peuvent atteindre les entités concernées, où se trouvent les sauvegardes et les sous-traitants, qui contrôle les clés de chiffrement et si l’organisation peut déplacer ses données si le risque change. Pour les charges de travail sensibles, évaluez toute la chaîne de contrôle.
Réponses rapides
Non. La résidence décrit où les données sont stockées ou traitées. La souveraineté est plus large et comprend la juridiction, le contrôle corporatif, les accès administratifs et d’autres facteurs qui déterminent qui peut exercer une autorité sur les données.
Non. La LPRPDE n’impose pas une obligation générale de localisation au Canada pour le traitement dans le secteur privé. D’autres exigences provinciales, publiques, de santé, contractuelles ou propres à un secteur peuvent s’appliquer.
Pas automatiquement. Le 18 U.S.C. § 2713 prévoit que les fournisseurs visés doivent respecter les obligations applicables de divulgation pour l’information sous leur possession, garde ou contrôle, qu’elle se trouve aux États-Unis ou ailleurs.
Non. La loi ne crée pas un accès illimité ou automatique à tous les comptes infonuagiques. Une procédure juridique valide et les exigences prévues par la loi demeurent nécessaires, et les fournisseurs peuvent disposer de moyens pour contester ou limiter certaines demandes.
Non. La propriété canadienne peut réduire certaines expositions à une juridiction étrangère, mais le fournisseur peut toujours dépendre de plateformes infonuagiques étrangères, de services de sauvegarde, d’équipes de soutien, de fournisseurs logiciels ou de relations corporatives à l’étranger. L’architecture et la chaîne de contrôle réelles comptent.
Non. La cybersécurité et la souveraineté sont deux catégories de risque différentes. Un fournisseur étranger peut offrir une cybersécurité très solide tout en présentant un profil juridictionnel différent de celui d’un fournisseur contrôlé au Canada.
Cartographiez les données. Identifiez ce que vous recueillez, leur sensibilité, où elles sont stockées et sauvegardées, quels fournisseurs les traitent, qui peut y accéder et quelles entités juridiques contrôlent ces fournisseurs. Appliquez ensuite des contrôles plus rigoureux aux ensembles de données dont l’impact serait le plus important.
Références principales
J’ai volontairement gardé cette liste courte et centrée sur des documents primaires provenant de gouvernements, d’organismes de réglementation et de textes législatifs.
