Blogue

Où sont vos données ? Le registre que votre conseiller juridique va demander

21-08-2026 · 6 min

Un fournisseur vous propose un outil. Votre conseiller juridique pose une question simple, et le silence s’installe : où sont les données, qui les traite, et par quelles entreprises passent-elles ?

Cette question n’est pas une formalité. Depuis la Loi 25, une organisation qui adopte un système traitant des renseignements personnels doit être en mesure d’en répondre. Et la plupart des fournisseurs ne le peuvent pas — non par mauvaise foi, mais parce que personne ne le leur a jamais demandé par écrit.

Ce que la loi demande réellement

Deux articles reviennent constamment dans ces conversations, et ils sont souvent confondus.

L’article 17 impose une évaluation des facteurs relatifs à la vie privée avant de confier à un tiers la communication de renseignements personnels à l’extérieur du Québec — en tenant compte du régime juridique du lieu de traitement. Pas à l’extérieur du Canada : à l’extérieur du Québec. La nuance change tout, et elle échappe à beaucoup de monde.

L’article 3.3 impose une évaluation pour tout projet d’acquisition, de développement ou de refonte d’un système ou d’un service électronique impliquant le cycle de vie de renseignements personnels — le transfert hors Québec n’est pas une condition. Un fournisseur qui vous promet de vous en dispenser se trompe, ou vous trompe.

Aucun logiciel ne vous rend conforme. L’obligation existe de toute façon. Ce qui varie d’un fournisseur à l’autre, c’est la difficulté de produire l’évaluation — et la qualité de ce que vous pourrez y écrire.

Le document à exiger

Demandez un tableau. Ce format n’est pas prescrit par la loi — ni l’article 3.3 ni l’article 17 n’en imposent la forme. C’est un format recommandé, parce qu’il rassemble ce dont une évaluation a besoin sous une forme que votre conseiller peut verser au dossier tel quel.

• La fonction — hébergement, sauvegarde, courriel, mesure d’audience, paiement, soutien.
• Le fournisseur — l’entité contractante, nommée.
• Le lieu de traitement — la ville, pas le pays.
• Ce qui y transite — les données réellement concernées, pas une catégorie vague.

Si un fournisseur ne peut pas remplir ces quatre colonnes en une journée, il ne les connaît pas lui-même. C’est une information sur lui.

La question qui fait la différence

L’emplacement du serveur n’est qu’un des facteurs. L’exposition à une loi étrangère dépend de l’entité contractante, de ses sociétés affiliées, de la juridiction applicable, et de qui détient la possession, la garde ou le contrôle effectif des données.

Un fournisseur peut héberger au Québec tout en étant la filiale d’une société soumise à un régime étranger. Un autre peut héberger ailleurs avec une structure contractuelle plus protectrice. C’est pourquoi la bonne question n’est pas « où est le serveur » mais « qui contrôle les données, et sous quel droit ».

Ce que nous publions

Notre propre tableau est dans notre politique de confidentialité, section 8. Il nomme chaque fournisseur, chaque lieu, et ce qui y transite. Nous le publions parce que c’est exactement ce qu’un client doit pouvoir verser à son dossier — et parce qu’exiger d’un fournisseur ce qu’on ne fournit pas soi-même n’aurait aucun sens.

Notre hébergement principal est à Beauharnois, au Québec. Cela ne vous dispense d’aucune évaluation. Cela peut simplifier la portion de l’analyse portant sur les transferts hors Québec, sous réserve de vos autres fournisseurs et de vos autres flux. L’évaluation prévue à l’article 3.3 demeure proportionnée à la sensibilité, aux finalités, à la quantité, à la répartition et au support des renseignements.

Probaro ne garantit pas la conformité à une loi ou à une norme. Cet article fournit de l’information générale à la date indiquée ; il ne constitue pas un avis juridique et ne remplace pas l’analyse d’un conseiller qualifié tenant compte de votre situation.

Questions fréquentes