Résidence des données dans l'approvisionnement public et en santé : règles et preuves

La plupart des clauses de résidence des appels d’offres publics et en santé au Canada ne viennent pas d’une seule loi qui dirait « hébergez au Canada ». Elles viennent d’une directive fédérale qui fait des installations canadiennes l’option principale à évaluer pour l’information gouvernementale délicate. Elles viennent aussi de lois québécoises qui exigent une évaluation des facteurs relatifs à la vie privée avant qu’un renseignement personnel sorte du Québec. S’y ajoutent une loi néo-écossaise visant les organismes publics et la politique d’approvisionnement de l’acheteur lui-même. Un fournisseur doit montrer où se trouve chaque copie des données, qui peut y accéder et d’où, et quelles clauses du contrat maintiennent ce placement.

Ce guide s’adresse au directeur TI, au responsable de la protection des renseignements personnels ou au responsable de l’approvisionnement d’un organisme public ou d’une organisation de santé au Canada. Il s’adresse aussi à l’entreprise SaaS ou à l’agence qui leur vend des services et doit remplir un questionnaire de résidence. Il ne constitue pas un avis juridique. Le conseiller juridique et le responsable de la protection des renseignements personnels de l’organisation décident de ce que la loi exige dans un cas donné. Les règles ci-dessous ont été vérifiées dans leurs sources officielles le 29 octobre 2026.

Pour la liste générale de ce qu’il faut exiger de tout hébergeur, consultez le guide sur la résidence des données au Canada et ce qu’il faut exiger d’un hébergeur. Cet article-ci porte sur les règles qui fondent les clauses du secteur public et de la santé, et sur les preuves qu’un fournisseur doit produire.

Que demande habituellement une clause de résidence dans un appel d’offres public ou en santé ?

La résidence des données désigne l’endroit physique où les données sont stockées et traitées. La souveraineté des données pose une question plus large : quelles lois nationales peuvent atteindre les données. La réponse dépend de qui possède et contrôle le fournisseur, autant que de l’endroit où se trouvent les serveurs.

Les clauses de résidence des appels d’offres canadiens prennent généralement l’une de ces cinq formes.

1. Une règle de stockage. Les données, sauvegardes comprises, doivent être stockées sur une infrastructure située au Canada, ou au Québec.
2. Une règle d’accès. Les données ne peuvent être consultées que depuis le Canada, ce qui vise le personnel de soutien et les sous-traitants autant que les serveurs.
3. Une règle d’évaluation. Toute communication de renseignements personnels hors de la province exige d’abord une évaluation des facteurs relatifs à la vie privée (EFVP). Une EFVP est un examen documenté des risques d’un projet ou d’un transfert pour la vie privée.
4. Une règle de classification. Les données d’une catégorie de sécurité donnée, comme Protégé B, doivent se trouver dans un type d’environnement défini.
5. Une règle de transfert aux sous-traitants. Chaque obligation lie aussi les sous-traitants du fournisseur.

La suite du guide rattache chacune de ces formes à la règle qui la produit le plus souvent.

Qu’exigent les règles fédérales pour les données du gouvernement du Canada ?

La Directive sur les services et le numérique du Conseil du Trésor fixe la règle fédérale. Son article 4.3.24 confie une responsabilité au dirigeant principal de l’information (DPI) de chaque ministère. Cette responsabilité vise les installations informatiques « situées à l’intérieur des frontières géographiques du Canada », ou dans des locaux d’un ministère à l’étranger comme une mission diplomatique ou consulaire. Le DPI doit veiller à ce qu’elles soient « considérées et évaluées en tant qu’option principale ». Cela vise l’information électronique délicate catégorisée Protégé B ou Protégé C, ou classifiée.

Trois constats découlent du texte.

• C’est une obligation d’évaluation, pas une interdiction prévue par une loi. La directive demande au ministère d’évaluer les installations canadiennes comme option principale. Un appel d’offres en fait généralement une exigence ferme, et c’est l’appel d’offres que le fournisseur signe.
• Elle lie le ministère. Un fournisseur la respecte au moyen du contrat que rédige le ministère.
• Elle s’accompagne d’une attente envers le nuage public. L’article 4.3.2.4 vise les propositions de niveau Protégé B ou inférieur qui utilisent un modèle de déploiement autre que le nuage public. Le DPI du ministère doit les soumettre au Comité d’examen de l’architecture intégrée du gouvernement du Canada. Une conception d’hébergement privé ou infogéré pour un ministère fédéral passe donc par un examen d’architecture de plus.

Le gouvernement a publié en 2018 un livre blanc sur la souveraineté des données et le nuage public. Il concluait qu’à ce moment, seules les données jusqu’au niveau Protégé B inclusivement devaient être stockées dans un nuage public commercial. Il affirmait aussi que le Canada ne peut pas assurer une pleine souveraineté sur ses données quand il les stocke dans le nuage. La page renvoie maintenant au Cadre de souveraineté numérique, qui précise ne pas avoir pour but d’introduire de nouvelles exigences.

Les acheteurs fédéraux peuvent aussi demander si un service infonuagique est passé par le programme d’évaluation de la sécurité infonuagique du Centre canadien pour la cybersécurité. Le programme évalue les contrôles qui relèvent directement du fournisseur, selon des profils visant les services qui traitent de l’information jusqu’au niveau Protégé B. Le Centre décrit le résultat comme un rapport réutilisable, et il précise que chaque ministère doit quand même réaliser sa propre évaluation et autorisation de sécurité.

Qu’exige la loi québécoise avant qu’un renseignement personnel sorte du Québec ?

Le Québec a trois règles parallèles, une par secteur. Chacune exige une évaluation et une entente écrite avant qu’un renseignement personnel sorte du Québec. Aucune n’est une interdiction pure et simple.

Dans chaque loi, l’EFVP doit tenir compte de quatre éléments. Ce sont la sensibilité du renseignement, la finalité de son utilisation, les mesures de protection, y compris contractuelles, et le régime juridique de l’État de destination. Chaque loi applique aussi la règle quand l’organisation confie à quelqu’un hors du Québec la collecte, l’utilisation, la communication ou la conservation du renseignement pour son compte. Un hébergeur dont le secours est en Ontario, ou dont le service de journaux est aux États-Unis, correspond exactement à ce cas.

Deux autres articles façonnent le contrat. L’article 18.3 de la loi sur le secteur privé et l’article 67.2 de la loi sur l’accès exigent que le mandat soit écrit. Ils exigent aussi qu’il précise les mesures de confidentialité, limite l’utilisation au mandat et mette fin à la conservation à l’échéance du contrat. Selon l’article 63.5 de la loi sur l’accès, un organisme public doit aussi réaliser une EFVP pour tout projet d’acquisition, de développement ou de refonte d’un système d’information. Cela vaut quand le système touche des renseignements personnels. Les entreprises ont la même obligation en vertu de l’article 3.3 de la loi sur le secteur privé.

La santé ajoute des précisions. La loi sur les renseignements de santé est entrée en vigueur le 1er juillet 2024. Selon son article 77, un contrat avec un fournisseur qui n’est pas lui-même un organisme du réseau doit prévoir, sous peine de nullité, les dispositions de la loi qui s’appliquent. Il doit aussi prévoir les mesures qui protègent le renseignement, conformément aux règles de gouvernance de l’information de l’organisme. Un questionnaire du secteur de la santé arrive donc souvent avec un libellé contractuel déjà rédigé.

Pour voir ce que cela change sur une pile d’hébergement courante, consultez l’article de la base de connaissances sur la résidence des données au Québec sur cPanel en pratique. La Loi 25 sur la protection des renseignements personnels, adoptée en 2021, a introduit ces règles d’évaluation dans les lois sur le secteur privé et sur l’accès.

Comment le gouvernement du Québec encadre-t-il l’infonuagique pour les organismes publics ?

Le ministère de la Cybersécurité et du Numérique (MCN) a publié l’Énoncé d’orientations en infonuagique et en hébergement par l’arrêté 2026-02. Il s’applique aux organismes publics visés par la Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement. Il vise les actifs informationnels détenus au 20 mai 2026 et après, et il remplace les orientations en infonuagique du 8 juillet 2019.

• L’orientation 1 héberge les données « hautement sensibles » sur des infrastructures souveraines. Sont hautement sensibles les données Protégé C, Secret ou Très secret, ainsi que les données Protégé B ou Confidentiel que le dirigeant principal de l’information juge critiques. Trois options souveraines sont nommées. Ce sont le Nuage gouvernemental du Québec, un centre de traitement informatique détenu par le gouvernement du Québec ou du Canada, et une infrastructure infonuagique publique désignée par la ministre. Un organisme qui ne peut pas appliquer l’orientation peut mettre en place des mesures d’atténuation des risques documentées.
• L’orientation 2 exige que les renseignements personnels confiés à des prestataires de services infonuagiques situés hors du Québec respectent l’article 70.1 de la loi sur l’accès.
• L’orientation 6 demande aux organismes publics de privilégier les offres du Courtier en infonuagique et en technologies spécialisées, le courtier du MCN. Le texte invite les organismes à privilégier ces offres. Il ne les y oblige pas.

En pratique, pour un fournisseur, les données hautement sensibles du gouvernement du Québec sont hors de portée d’un hébergeur commercial qui ne figure pas parmi les infrastructures souveraines. Pour les autres renseignements personnels, c’est l’évaluation prévue à l’article 70.1 qui tranche.

Que disent les autres provinces et la loi fédérale sur la vie privée ?

Les règles diffèrent ailleurs au Canada, et certaines ont changé. Voici celles que ce guide a vérifiées dans un texte officiel.

• Nouvelle-Écosse. La Personal Information International Disclosure Protection Act (PIIDPA, 2006) vise les renseignements personnels dont un organisme public a la garde ou le contrôle. Elle exige qu’ils soient stockés et consultés seulement au Canada, sauf exceptions. L’une d’elles permet au dirigeant de l’organisme d’autoriser le stockage ou l’accès hors du Canada pour répondre aux besoins nécessaires de ses activités. Le règlement d’application de la PIIDPA exige que ces décisions soient déclarées chaque année au ministre.
• Colombie-Britannique. Les modifications de 2021 à la Freedom of Information and Protection of Privacy Act ont abrogé la règle de stockage et d’accès au Canada (l’ancien article 30.1). L’article 33.1 permet maintenant à un organisme public de communiquer un renseignement personnel hors du Canada seulement en conformité avec les règlements que le ministre a pris, s’il y en a.
• Secteur privé fédéral. Le Commissariat à la protection de la vie privée a publié des lignes directrices sur le traitement transfrontalier des données personnelles. Elles indiquent que la LPRPDE, la loi fédérale sur la vie privée dans le secteur privé, n’interdit pas les transferts pour traitement. L’organisation qui transfère reste responsable et doit informer les personnes que leurs renseignements peuvent être traités dans un pays étranger.

Les acheteurs du secteur de la santé en Ontario et en Alberta peuvent citer la PHIPA ou la Health Information Act de l’Alberta. Ce guide ne les résume pas sur la question de l’emplacement, parce que nous n’y avons pas vérifié de règle de stockage. Demandez à votre conseiller juridique, et attendez-vous à ce que l’exigence arrive par le contrat et l’EFVP.

Que demandent les questionnaires de résidence, et qu’est-ce qui y répond ?

Un questionnaire de résidence transforme ces règles en questions auxquelles le fournisseur répond par écrit. Le tableau associe chaque question courante aux preuves qui y répondent.

Dans un scénario d’exemple, une entreprise SaaS canadienne liée au secteur de la santé a reconstruit sa plateforme pour une résidence choisie par client. Le déclencheur était un responsable de l’approvisionnement d’un réseau hospitalier qui demandait une confirmation écrite que les données, sauvegardes comprises, restaient sur une infrastructure située au Canada. Les mots « sauvegardes comprises » sont la partie qu’un fournisseur doit vérifier copie par copie.

Pour l’ensemble des preuves qu’attendent les réviseurs, consultez le guide sur les preuves d’infrastructure attendues après un échec à un questionnaire de sécurité.

Comment un fournisseur devrait-il répondre aux questions sur le CLOUD Act américain ?

Le CLOUD Act américain revient souvent dans les examens de résidence du secteur public. Gardez la réponse factuelle.

Le département de la Justice des États-Unis a publié un livre blanc sur le CLOUD Act. Il indique que la loi de 2018 a précisé que les fournisseurs soumis à la compétence américaine doivent communiquer les données visées par une procédure légale américaine valide, où qu’ils les stockent. Le même document note que de nombreux pays disposent déjà de pouvoirs semblables dans leur droit interne. Selon la page de ressources du département sur le CLOUD Act, les États-Unis et le Canada ont annoncé en mars 2022 des négociations en vue d’un accord.

Le Cadre de souveraineté numérique du Canada fait le même constat de l’autre côté. La plupart des pays, dont le Canada, permettent à leurs autorités de demander l’information détenue par les organisations situées sur leur territoire. Faire appel à un fournisseur canadien ou stocker des données au Canada ne soustrait pas à lui seul les données à la compétence des tribunaux étrangers. Le cadre indique aussi que le gouvernement du Canada n’a trouvé aucun cas documenté de gouvernement étranger cherchant à accéder aux données d’entreprises canadiennes détenues par des fournisseurs. Les lignes directrices du Commissariat ajoutent qu’aucun contrat ne peut l’emporter sur les lois du pays où l’information se trouve.

Une réponse utile du fournisseur couvre trois faits. Elle nomme qui possède et contrôle l’entreprise et les installations. Elle énonce la politique de réponse à une demande légale, y compris si le client en est informé. Elle indique aussi quels sous-traitants relèvent d’une compétence étrangère. Le conseiller juridique évalue ensuite le risque pour la charge de travail en cause.

Quelles preuves un fournisseur devrait-il préparer avant l’arrivée du questionnaire ?

Un fournisseur qui prépare ces huit éléments d’avance peut répondre à un questionnaire de résidence à partir de dossiers plutôt que de mémoire.

1. Un diagramme des flux de données qui montre chaque système qui stocke ou traite les données, outils compris. L’article de la base de connaissances sur les modèles de déploiement canadiens seulement avec diagrammes de flux de données explicites montre ce que contient un diagramme défendable.
2. Un registre des emplacements pour l’environnement principal, le secours, les sauvegardes, les journaux et les données de supervision.
3. Un inventaire des sous-traitants avec le rôle et l’emplacement de chacun.
4. Un énoncé des accès qui nomme d’où viennent les accès du personnel et du soutien, appuyé par les journaux d’accès.
5. Des clauses contractuelles proposées sur la résidence, la sous-traitance, la notification des incidents et le retour ou la destruction des données, rédigées pour s’insérer dans le contrat de mandat de l’acheteur.
6. Des éléments pour l’EFVP de l’acheteur, organisés selon les quatre éléments québécois : sensibilité, finalité, mesures de protection et régime juridique de la destination.
7. Les attestations de tiers identifiées par le nom de leur détenteur, pour qu’un réviseur ne confonde jamais le rapport d’une installation avec celui du fournisseur.
8. Des dossiers opérationnels, comme les tests de restauration, les journaux de correctifs et des extraits de journaux d’audit. La base de connaissances explique comment bâtir une piste de preuves pour la LPRPDE et la Loi 25 et comment conserver les journaux d’audit sous plusieurs régimes.

Quel type d’hébergement convient à une clause de résidence publique ou en santé ?

Le bon environnement dépend de la catégorie des données et de l’identité de l’acheteur.

Quand la résidence ne devrait-elle pas dicter le choix d’hébergement ?

La résidence est une exigence parmi d’autres. Elle ne devrait pas décider de l’architecture dans les cas suivants.

• Les données ne sont ni personnelles ni classifiées. Un site vitrine public ou un portail de données ouvertes peut être placé selon la latence, le coût et l’équipe qui l’exploite.
• Un ministère fédéral s’attend au nuage public. Au niveau Protégé B ou inférieur, la directive envoie les conceptions hors nuage public à un examen d’architecture de plus. Un service de nuage public évalué par le Centre pour la cybersécurité, dans une région canadienne, peut être le chemin le plus court.
• Les données sont hautement sensibles au sens des orientations québécoises. Seules les infrastructures souveraines nommées par le MCN conviennent, et un hébergeur commercial n’a pas sa place dans cette décision.
• Le vrai problème est l’exploitation. Si les sauvegardes ne sont pas testées et que les correctifs accusent des mois de retard, déplacer les serveurs ne satisfera pas le réviseur. Corrigez d’abord l’exploitation.
• L’EFVP conclut qu’un emplacement canadien hors du Québec offre une protection adéquate. Une conception limitée au Québec peut alors ajouter des coûts sans réduire un risque que l’organisation a accepté.
• La charge de travail exige des services ou des régions qu’un fournisseur canadien n’offre pas. La région canadienne d’une plateforme mondiale, soigneusement configurée, peut alors être la bonne réponse.

Où se situe Stack Harbor

Stack Harbor Inc. est un fournisseur d’exploitation infonuagique gérée (MSP) de propriété canadienne, dont le siège est à Montréal, au Québec. Elle exploite des environnements cloud de production pour des entreprises SaaS, des agences et des éditeurs, en français et en anglais. Dans l’approvisionnement public et en santé, son client type est le fournisseur ou l’agence qui remplit le questionnaire, ou une organisation qui doit faire héberger et exploiter son application au Canada.

La propre infrastructure de Stack Harbor tourne dans deux centres de données à Montréal. L’un d’eux est exploité par eStruxture, et la base de connaissances explique pourquoi Stack Harbor héberge dans des centres de données d’eStruxture. Une charge de travail placée sur Cloud Compute reste au Canada, et le placement est documenté. Comme les deux centres de données sont à Montréal, une conception dont l’environnement principal et le secours y sont placés garde ces copies au Québec. Le recours à une région américaine ou partenaire est une décision prise avec le client à la conception et consignée.

La résidence des données, la sous-traitance, la notification en cas d’incident de confidentialité et le retour ou la destruction des données sont écrits dans l’entente. Stack Harbor ne certifie pas une plateforme conforme. Le responsable de la protection des renseignements personnels du client prend cette décision, et Stack Harbor fournit des preuves opérationnelles pour les contrôles qu’elle opère. L’exploitation courante relève des Opérations Cloud, avec un périmètre défini pour chaque environnement.

Les limites sont énoncées sur la page Confiance et sécurité. Stack Harbor ne détient aucun rapport SOC 2, ni aucune certification ISO 27001, PCI DSS ou HIPAA, en son nom. eStruxture indique que toutes ses installations sont certifiées ISO/IEC 27001:2022 et font l’objet d’un audit externe pour un rapport SOC 2 de type 2 (page sécurité et conformité d’eStruxture). Ces attestations appartiennent à eStruxture et couvrent la couche des installations. Les engagements de disponibilité et de réponse figurent dans l’accord de niveau de service (SLA) publié. Les énoncés sur la résidence ci-dessus valent pour les centres de données de Stack Harbor. Ils ne s’étendent pas à un compte AWS, Azure ou Google Cloud qui appartient au client et que Stack Harbor opère.

Stack Harbor ne publie pas de prix. Les exigences de conformité ou de résidence des données sont un facteur nommé dans la façon dont Stack Harbor cadre les mandats. Pour confronter une clause de résidence à une conception réelle, demandez un plan d’infrastructure et apportez la clause et le questionnaire avec vous.