Résidence des données au Québec

Cette page explique la distinction juridique entre la résidence des données (emplacement physique) et la souveraineté des données (autorité juridique), ce que l’article 17 de la Loi 25 exige réellement, et pourquoi « des données au Canada » ne constitue pas à elle seule la réponse de conformité que de nombreux fournisseurs laissent entendre. Chaque affirmation juridique est attribuée à sa source. Rien ici ne constitue un avis juridique ou de conformité — consultez un conseiller qualifié en protection de la vie privée au Québec avant de prendre des décisions de gouvernance des données. Les exigences de la Loi 25 sont appliquées par la Commission d’accès à l’information du Québec (CAI); vérifiez les directives à jour à cai.gouv.qc.ca.

Dernière révision : juin 2026. Le paysage réglementaire et juridique des transferts transfrontaliers de données évolue. Vérifiez toutes les dispositions citées et les directives de la CAI à la source avant de vous y fier.

---

Résidence des données vs souveraineté des données : ce que signifient ces termes

Les deux termes se ressemblent, mais décrivent des choses fondamentalement différentes.

Résidence des données

Une contrainte physique ou contractuelle : les données sont stockées sur des serveurs situés à l’intérieur d’une géographie précise (Québec, Canada, l’UE). Les fournisseurs infonuagiques offrent des options « région canadienne » qui satisfont aux exigences de résidence des données. La résidence des données ne dit rien sur qui peut légalement accéder à ces données ni sous le droit de quel pays.

Souveraineté des données

Une question juridique et opérationnelle : le droit de quel gouvernement régit les données, et quelle entité en contrôle l’accès? La souveraineté demande si un gouvernement étranger peut contraindre la divulgation, si l’organisation conserve un contrôle opérationnel indépendant, et si les protections contractuelles peuvent réellement être opposées au droit de la juridiction d’origine du fournisseur.

Une entreprise québécoise qui stocke des renseignements personnels dans un centre de données montréalais possédé et exploité par un fournisseur infonuagique constitué aux États-Unis dispose d’une résidence des données au Canada. Elle ne dispose pas d’une souveraineté des données. Les deux peuvent coexister ou diverger — et sous la Loi 25 du Québec, c’est la souveraineté, et non la résidence, qui détermine la conformité à l’article 17.

Consultez Souveraineté numérique Canada pour le cadre complet à trois couches (souveraineté monétaire, des données et du calcul) et la façon dont la Loi 25, le CLOUD Act et l’indépendance du calcul interagissent.

---

Ce que l’article 17 de la Loi 25 exige réellement

La Loi sur la protection des renseignements personnels dans le secteur privé du Québec (couramment appelée Loi 25 ou, sous son ancien nom, Projet de loi 64) est entrée pleinement en vigueur le 22 septembre 2023. L’article 17 régit la communication de renseignements personnels à l’extérieur du Québec.

La norme opératoire de l’article 17 oblige les organisations à s’assurer que les renseignements personnels communiqués à l’extérieur du Québec bénéficieraient d’une protection adéquate, notamment au regard des principes de protection des renseignements personnels généralement reconnus. (Source : Loi sur la protection des renseignements personnels dans le secteur privé, art. 17, tel que modifié par le Projet de loi 64; directives de la CAI sur les EFVP de l’art. 17, disponibles à cai.gouv.qc.ca.)

Comme l’analyse McCarthy Tétrault (2022) : « Contrairement aux décisions d’adéquation préétablies du RGPD ou à la norme de « protection comparable » de la LPRPDE, le Projet de loi 64 fait porter à chaque organisation le fardeau de déterminer l’adéquation pour chaque scénario de transfert, sans listes gouvernementales de juridictions approuvées. » Ce déplacement du fardeau est délibéré — la CAI n’a pas publié de liste de pays approuvés ou bloqués. Chaque organisation doit évaluer son transfert spécifique.

L’évaluation à quatre facteurs

Pour mener une évaluation des facteurs relatifs à la vie privée (EFVP) / évaluation de l’impact du transfert (ÉIT) au titre de l’article 17, les organisations doivent évaluer quatre facteurs (selon les directives de la CAI et l’article 17 de la Loi) :

1. La sensibilité des renseignements — la nature des données personnelles en cause (les données de santé, financières, biométriques et celles des enfants ont un poids plus élevé)
2. Les fins auxquelles ils sont destinés à être utilisés — la façon dont l’organisation destinataire traitera les données dans la juridiction de destination
3. Les mesures de protection en place — les garanties contractuelles, les contrôles techniques et les politiques organisationnelles qui s’appliqueront aux renseignements après le transfert
4. Le cadre juridique applicable dans l’État de destination — plus précisément, si les lois de cet État intègrent les « principes de protection des renseignements personnels généralement reconnus », en s’appuyant sur des cadres tels que les Lignes directrices de l’OCDE sur la vie privée, la LPRPDE et le RGPD comme points de référence

Le facteur 4 est le facteur critique pour les organisations qui évaluent des fournisseurs infonuagiques américains. Il exige une évaluation explicite de l’environnement juridique américain — y compris les pouvoirs de surveillance qui s’appliquent aux fournisseurs constitués aux États-Unis. Le CLOUD Act (18 U.S.C. §2713) fait partie de cet environnement juridique. (Selon BLG : « Stocker des données au Canada n’empêche pas, à lui seul, l’accès en vertu de lois étrangères; qui contrôle les données importe davantage que l’endroit où elles se trouvent. » BLG, analyse sur les transferts transfrontaliers de données, décembre 2022.)

---

Pourquoi « des données stockées au Canada » ne répond pas à la question de l’article 17

Le test d’adéquation de l’article 17 est déclenché par la communication de renseignements personnels à l’extérieur du Québec — et le cadre interprétatif de la CAI met l’accent sur l’endroit où les données sont contrôlées, et non uniquement sur l’endroit où elles sont physiquement stockées. Lorsque vous faites appel à un fournisseur infonuagique constitué aux États-Unis pour traiter des renseignements personnels pour votre compte, vous communiquez ces renseignements à une entité assujettie au droit américain, même si le fournisseur s’engage contractuellement à les stocker dans sa région canadienne.

Trois faits structurels rendent un centre de données canadien exploité par une entreprise américaine insuffisant à lui seul :

1. Le CLOUD Act rend l’emplacement physique sans pertinence pour les fournisseurs américains

En vertu du 18 U.S.C. §2713, tout fournisseur de service de communication électronique (Electronic Communication Service, ECS) et de service informatique à distance (Remote Computing Service, RCS) assujetti à la juridiction américaine doit se conformer à une procédure judiciaire américaine légale pour produire les communications et registres stockés, peu importe que ces registres soient stockés à l’intérieur ou à l’extérieur des États-Unis. Les tribunaux américains ont confirmé cette portée. Lorsque le fournisseur est la filiale américaine d’une société mère américaine, les obligations de la société mère au titre du CLOUD Act s’étendent aux données dans l’installation canadienne — les propres contrats canadiens et engagements de résidence des données du fournisseur ne peuvent pas l’emporter sur une ordonnance contraignante d’un tribunal américain. (Voir Le CLOUD Act américain et les données d’IA canadiennes pour une analyse complète de la portée du 18 U.S.C. §2713.)

2. Les ÉIT de l’article 17 doivent tenir compte du cadre juridique réel du fournisseur

Le quatrième facteur de l’évaluation de l’article 17 est le « cadre juridique applicable dans l’État où les renseignements seraient communiqués ». Pour un fournisseur constitué aux États-Unis, cet État est les États-Unis. Le cadre juridique américain comprend de vastes pouvoirs d’accès gouvernemental — le CLOUD Act, le Foreign Intelligence Surveillance Act (FISA) et le Electronic Communications Privacy Act (ECPA) — qui offrent des protections de la vie privée nettement plus faibles que les principes auxquels la Loi 25 se réfère (Lignes directrices de l’OCDE, RGPD). Une ÉIT qui conclut à une exposition matérielle au CLOUD Act et qui conclut néanmoins que le transfert satisfait à la norme d’adéquation de l’article 17 sans garanties documentées traitant de cette exposition est juridiquement vulnérable.

3. Aucun fournisseur américain ne peut garantir contractuellement une immunité au CLOUD Act

Les fournisseurs infonuagiques américains incluent couramment des clauses contractuelles de « résidence des données » et de « localisation des données ». Celles-ci sont juridiquement significatives à bien des égards, mais elles ne peuvent pas l’emporter sur le 18 U.S.C. §2713. La promesse contractuelle d’un fournisseur de stocker les données au Canada et de ne pas les transférer aux États-Unis ne lie pas un tribunal américain émettant une ordonnance au titre du CLOUD Act contre le fournisseur. L’obligation légale du fournisseur de se conformer à une ordonnance valide au titre du CLOUD Act n’est pas éteinte par son contrat avec vous. C’est le conflit structurel qu’aucune clause contractuelle de « région canadienne » ne résout.

Ce tableau reflète des caractéristiques structurelles selon le droit en vigueur tel que compris en juin 2026. Il ne constitue pas un avis juridique. Faites appel à un conseiller qualifié en protection de la vie privée au Québec avant de prendre des décisions de conformité pour votre déploiement spécifique.

---

Ce qu’une ÉIT adéquate au titre de l’article 17 doit documenter pour les déploiements infonuagiques américains

Si votre organisation continue d’utiliser un fournisseur infonuagique constitué aux États-Unis pour des charges de travail d’IA — y compris des fournisseurs offrant un stockage régional canadien — votre ÉIT au titre de l’article 17 de la Loi 25 devrait documenter :

1. Le domicile juridique et la structure corporative du fournisseur — quelle juridiction régit le fournisseur; s’il existe une société mère américaine ayant accès aux données; quelle entité détient les clés de chiffrement
2. L’évaluation de l’applicabilité du CLOUD Act — si le fournisseur se qualifie comme ECS ou RCS au titre du 18 U.S.C. §2713; s’il est assujetti à la juridiction américaine; quelle est la portée pratique du pouvoir d’accès gouvernemental américain sur les données qu’il détient pour votre compte
3. L’analyse des écarts d’adéquation — quels principes de protection de la vie privée de l’OCDE le cadre juridique américain satisfait par rapport aux endroits où il est déficient relativement aux normes du Québec (la CAI se réfère aux Lignes directrices de l’OCDE, à la LPRPDE et à des protections équivalentes au RGPD comme points de référence pour les « principes généralement reconnus »)
4. Les garanties supplémentaires mises en œuvre — dispositions contractuelles, chiffrement côté client, arrangements de garde des clés, pratiques de minimisation des données, ou contrôles architecturaux qui compensent partiellement les écarts identifiés
5. La détermination du risque résiduel — une évaluation franche du risque qui subsiste après l’application des garanties, y compris la réalité structurelle selon laquelle les ordonnances des tribunaux américains peuvent l’emporter sur les engagements contractuels de résidence des données

Une ÉIT qui identifie une exposition matérielle au CLOUD Act et qui conclut ensuite qu’« une protection adéquate est obtenue parce que les données sont stockées au Canada » n’est pas une ÉIT défendable au titre de l’article 17. Le test d’adéquation exige un examen du cadre juridique de l’État d’origine de l’entité contrôlante, et pas seulement de l’emplacement de stockage physique.

Consultez La Loi 25 du Québec et l’IA sur site pour une ventilation complète des exigences de l’article 17 propres aux charges de travail d’IA et à l’architecture sur site qui les résout.

---

Contexte d’application par la CAI

La Commission d’accès à l’information du Québec applique activement la Loi 25 depuis septembre 2023, lorsque le régime complet de sanctions est entré en vigueur. En vertu de l’article 90.1 de la Loi, les violations les plus graves — celles jugées intentionnelles ou négligentes — peuvent entraîner des sanctions administratives pécuniaires pouvant atteindre 25 millions de dollars CAD ou 4 % du chiffre d’affaires mondial, le plus élevé des deux montants étant retenu.

La CAI a indiqué que les évaluations des facteurs relatifs à la vie privée pour les transferts transfrontaliers constituent une priorité de conformité. Les organisations qui ne peuvent produire une ÉIT documentée pour des charges de travail d’IA traitées par des fournisseurs contrôlés par l’étranger ne sont pas en conformité avec l’article 17, peu importe les clauses de résidence des données que contiennent leurs contrats.

Les renseignements sur l’échelle des sanctions et la posture d’application proviennent de communications publiques de la CAI. D-Central n’a pas vérifié de façon indépendante les mesures d’application rapportées; vérifiez les données d’application spécifiques à cai.gouv.qc.ca.

---

L’architecture qui résout à la fois la résidence et la souveraineté

La seule architecture qui satisfait à l’article 17 de la Loi 25 sans exposition résiduelle au CLOUD Act est celle où aucune entité constituée aux États-Unis ne détient vos renseignements personnels sous quelque forme que ce soit. Deux approches y parviennent :

Déploiement sur site de modèles d’IA à poids ouverts

Exécuter des modèles à poids ouverts (Meta Llama, Mistral, DeepSeek, Qwen, Gemma) sur du matériel que vous possédez et exploitez dans vos locaux (ou dans un hashcenter véritablement contrôlé au Canada) retire entièrement le fournisseur tiers de l’équation. Il n’y a aucun ECS ni RCS assujetti à la juridiction américaine qu’une ordonnance au titre du CLOUD Act pourrait atteindre. L’article 17 de la Loi 25 n’est pas déclenché parce que les renseignements personnels ne sont pas communiqués à un tiers en dehors du contrôle opérationnel de votre organisation.

C’est l’architecture de déploiement que D-Central aide les organisations canadiennes à mettre en œuvre. Consultez IA souveraine Canada pour l’argument stratégique et LLM local au Canada pour des conseils sur le choix du matériel et des modèles. Pour des mandats-conseils circonscrits, consultez Conseil en souveraineté de l’IA.

Fournisseurs constitués au Canada sans liens corporatifs américains

Un fournisseur de services infonuagiques ou d’IA constitué entièrement au Canada, sans société mère américaine, sans employés américains ayant accès aux données, et sans clés de chiffrement détenues aux États-Unis, présente une exposition nettement plus faible à l’article 17 de la Loi 25. Le cadre juridique à évaluer au titre du facteur 4 est canadien plutôt qu’américain — la LPRPDE du Canada (au niveau fédéral) et la Loi québécoise elle-même offrent un meilleur alignement avec les « principes généralement reconnus » que ne le fait le cadre juridique américain.

Cette option exige tout de même une ÉIT et un examen juridique de la structure spécifique du fournisseur. La constitution canadienne du fournisseur ne signifie pas automatiquement qu’aucun lien avec les États-Unis n’existe; vérifiez avec un conseiller juridique avant de vous fier à cette caractérisation.

La distinction entre ces deux options et la région canadienne d’un hyperscaler américain est simple : la souveraineté des données exige que l’entité contrôlante ne soit pas assujettie au droit américain. L’emplacement physique au Canada est une condition nécessaire mais non suffisante. Ce qui importe, c’est de quel côté de la ligne de souveraineté se trouve le responsable du contrôle.

---

Foire aux questions

La Loi 25 exige-t-elle que les renseignements personnels demeurent physiquement à l’intérieur du Québec ou du Canada?

Non. L’article 17 de la Loi 25 n’interdit pas les transferts transfrontaliers et n’impose pas une résidence géographique des données au Québec ou au Canada. Il exige une évaluation des facteurs relatifs à la vie privée (ÉIT) avant que des renseignements personnels ne soient communiqués à l’extérieur du Québec, et il exige que les renseignements bénéficient d’une protection adéquate au regard du cadre juridique de la destination et des « principes de protection des renseignements personnels généralement reconnus ». Les organisations peuvent légalement transférer des données à l’extérieur du Québec si l’ÉIT de l’article 17 est réalisée, si les écarts d’adéquation documentés sont traités par des garanties contractuelles, et si le risque résiduel est accepté et consigné. L’obligation de conformité est procédurale et substantielle — et non géographique. (Source : Loi 25, art. 17; directives de la CAI sur les EFVP de l’art. 17; analyse de McCarthy Tétrault, 2022.)

Si mon fournisseur infonuagique américain offre une « région Canada », ma conformité à la Loi 25 est-elle assurée?

Non. Un centre de données canadien exploité par un fournisseur constitué aux États-Unis ne résout pas l’évaluation d’adéquation de l’article 17. Le quatrième facteur de l’ÉIT de l’article 17 — le « cadre juridique applicable dans l’État où les renseignements seraient communiqués » — exige une évaluation de l’environnement juridique américain qui régit le fournisseur. Cet environnement comprend le CLOUD Act (18 U.S.C. §2713), qui permet aux autorités américaines de contraindre la divulgation de données détenues par des fournisseurs de juridiction américaine peu importe l’endroit où elles sont physiquement stockées. Un avenant « région Canada » à votre contrat infonuagique est un engagement contractuel de résidence des données; ce n’est pas un obstacle juridique à une ordonnance d’un tribunal américain signifiée à la société mère américaine. Votre ÉIT doit traiter cette exposition structurelle pour être conforme. Consultez un conseiller qualifié en protection de la vie privée au Québec pour votre déploiement spécifique.

Qu’est-ce que le facteur « cadre juridique » dans une ÉIT au titre de l’article 17 de la Loi 25, et comprend-il le CLOUD Act?

Oui. Le quatrième facteur de l’ÉIT de l’article 17 exige que les organisations évaluent « le cadre juridique applicable dans l’État où les renseignements seraient communiqués, y compris les principes de protection des données applicables dans l’État étranger ». Pour un fournisseur constitué aux États-Unis, l’État applicable est les États-Unis. Le cadre juridique américain — y compris le CLOUD Act (18 U.S.C. §2713), le Foreign Intelligence Surveillance Act (FISA 702) et le Electronic Communications Privacy Act (ECPA) — fait partie de ce qui doit être évalué. La CAI compare l’adéquation des cadres juridiques étrangers aux Lignes directrices de l’OCDE sur la vie privée, à la LPRPDE et à des protections équivalentes au RGPD. Les pouvoirs d’accès de surveillance américains créent des écarts documentés par rapport à ces points de référence qu’une ÉIT conforme doit reconnaître. (Source : directives de la CAI sur les EFVP de l’art. 17; BLG, transferts transfrontaliers de données, 2022; analyse de WatchDog Security sur l’art. 17 de la Loi 25, 2024.)

Quelles garanties peuvent combler l’écart du CLOUD Act dans une ÉIT au titre de l’article 17?

Aucune garantie contractuelle ne comble entièrement l’écart du CLOUD Act pour un fournisseur constitué aux États-Unis, parce que le droit américain l’emporte sur les engagements contractuels du fournisseur envers vous. Les garanties qui le traitent partiellement sont techniques et architecturales, et non contractuelles : le chiffrement côté client avec des clés de chiffrement détenues entièrement sous votre contrôle opérationnel (de sorte qu’une divulgation au titre du CLOUD Act ne produise que du texte chiffré que le fournisseur ne peut pas déchiffrer), la minimisation des données (réduire ce que le fournisseur détient au minimum nécessaire), et des limites strictes de rétention des invites et des journaux. Ces mesures réduisent l’impact pratique d’une divulgation au titre du CLOUD Act, mais n’éliminent pas le pouvoir juridique. Elles doivent être documentées dans votre ÉIT à titre de garanties supplémentaires avec une reconnaissance explicite du risque résiduel. Pour les charges de travail d’IA en particulier, les architectures d’inférence à divulgation nulle de connaissance — où le fournisseur traite des entrées chiffrées et ne peut pas voir le texte en clair — sont techniquement complexes mais représentent la plus forte atténuation à l’intérieur de l’infonuagique. Le déploiement sur site demeure la seule architecture qui élimine entièrement l’exposition. Ceci est une orientation pour votre processus d’ÉIT; un avis juridique sur la conception de vos garanties spécifiques nécessite un conseiller qualifié en protection de la vie privée au Québec.

Y a-t-il une différence entre « souveraineté des données » et « résidence des données » dans l’application par la CAI?

Le cadre de l’article 17 de la Loi 25 de la CAI n’emploie pas l’expression « souveraineté des données » comme terme réglementaire, mais sa substance correspond au concept de souveraineté : l’évaluation porte sur qui contrôle légalement les données et sous le droit de quel État, et non simplement sur l’endroit où elles se trouvent physiquement. La méthodologie d’ÉIT à quatre facteurs de la CAI — y compris le facteur « cadre juridique applicable dans l’État où les renseignements seraient communiqués » — est une analyse de souveraineté habillée en langage de conformité à la vie privée. Une organisation qui confond la résidence des données (emplacement physique) avec la souveraineté des données (contrôle juridique) et qui soumet une ÉIT ne documentant que le stockage géographique sans évaluer le cadre juridique de la juridiction d’origine du fournisseur ne mène pas une évaluation conforme à l’article 17. La CAI a signalé que la conformité à l’article 17 est une priorité d’application. Vérifiez les directives d’application à jour de la CAI à cai.gouv.qc.ca.

Le déploiement d’IA sur site déclenche-t-il l’article 17 de la Loi 25?

Pas si le déploiement sur site maintient les renseignements personnels à l’intérieur du contrôle opérationnel de votre propre organisation sans les communiquer à un tiers. L’article 17 est déclenché par la « communication de renseignements personnels à l’extérieur du Québec » — si vous exécutez un modèle à poids ouverts sur du matériel que vous possédez et exploitez dans vos locaux (ou dans un hashcenter que vous contrôlez au Québec), et que les renseignements personnels ne quittent jamais la garde de votre organisation, les exigences de transfert transfrontalier de l’article 17 ne sont pas déclenchées. Vous demeurez assujetti aux autres obligations de la Loi 25 (protection de la vie privée dès la conception, EFVP pour les traitements à risque élevé, notification des atteintes, droits d’accès), mais l’évaluation d’adéquation du transfert transfrontalier n’en fait pas partie. C’est le principal avantage de conformité à la Loi 25 du déploiement d’IA sur site par rapport à tout déploiement infonuagique, y compris un déploiement chez un fournisseur américain à « région canadienne ». Consultez La Loi 25 du Québec et les options de LLM sur site pour les détails de mise en œuvre et LLM local au Canada pour le choix du modèle et du matériel.