Maître chez nous, y compris dans la gestion de nos données

On peut dire que le respect de la règle de droit a été mis à mal dans plusieurs domaines au cours de la dernière année. Cela a eu au moins l’avantage — peut-être le seul — de rappeler l’importance du droit, de la connaissance des lois, et combien il est impératif de protéger l’état de droit. Car, parfois, la bonne volonté des parties prenantes ne suffit pas…

À preuve, il n’y a pas si longtemps, faire héberger ses données par une entreprise privée étrangère après avoir dûment vérifié sa conformité légale était un exercice banal. Même après l’entrée en vigueur du Cloud Act aux États-Unis en 2018, le niveau d’inquiétude demeurait somme toute bas. Pourtant, cette loi venait donner au gouvernement américain le pouvoir d’accéder à des données stockées par des entreprises américaines, même si les données provenaient d’ailleurs et étaient hébergées hors des États-Unis. 

La fin d’une (trop longue) lune de miel

La douce quiétude s’est rapidement volatilisée au cours des 12  derniers mois et plusieurs intervenants et organismes canadiens et québécois ont réaffirmé l’urgence de mieux protéger leurs données sensibles. 

Car le risque est grand, comme l’explique M^ePierre Trudel, professeur titulaire au Centre de recherche en droit public (CRDP) de la Faculté de droit de l’Université de Montréal. «  C’est un risque qui est connu depuis longtemps. On se rappellera que le Cloud Act a été adopté en 2018 à la suite du refus de Microsoft de remettre au gouvernement américain des données hébergées en Irlande. Or, avec toutes les exactions au droit international que l’on a vues en 2025, confier nos données à des entreprises qui sont assujetties à un tel type de loi est extrêmement risqué. Je suis d’ailleurs étonné que le Commissaire à la protection de la vie privée du Canada ne sonne pas plus l’alarme  », indique M^eTrudel.

Un portrait national et provincial inquiétant

Sans tomber dans l’exagération, l’expression «  péril en la demeure  » semble adéquate… Pour mieux illustrer  : en septembre dernier, le gouvernement canadien a indiqué avoir déboursé 1,3  milliard de dollars en services infonuagiques auprès d’Amazon, de Microsoft et de Google depuis 2021, selon un article de La Presse. Or, certains de ces services sont utilisés pour des fonctions gouvernementales essentielles, notamment en matière de sécurité nationale. En réponse aux inquiétudes soulevées, le premier ministre Mark Carney a exprimé la possibilité de créer un environnement informatique souverain, aussi appelé «  nuage informatique  ».

Quant au Québec, il ne fait pas nécessairement meilleure figure. Encore cet été, on apprenait, par La Presse, que Santé Québec avait octroyé un contrat de 310  millions de dollars à Microsoft pour l’hébergement de ses données. Dans le même article, on mentionnait «  qu’environ 85  % des solutions infonuagiques⁠ utilisées par des organisations publiques québécoises sont hébergées par des géants américains.  » Puis en novembre 2025, Radio-Canada révélait que le nouveau portail gouvernemental d’inscription aux services de garde de la petite enfance serait hébergé sur une plateforme américaine. Pourtant cet automne, le gouvernement Legault avait indiqué vouloir accroître la souveraineté numérique de la province.

Rapatrier : souhaitable, mais pas une mince affaire

Afin de protéger adéquatement nos données, les héberger au pays serait nécessaire. 

Cependant, ce dernier concède qu’il ne sera pas non plus possible de retirer du jour au lendemain nos données des plateformes américaines. Des mois voire des années seront peut-être nécessaires. «  À court terme, il faudra vivre avec ce risque. Mais il devrait être prioritaire de faire héberger nos données par des entreprises qui ne sont pas sous le joug de la loi américaine  ».

Toutefois, il est important de se rappeler qu’il n’y a pas que les États-Unis qui se sont dotés d’une législation aussi invasive. Entre autres, la Chine a des lois similaires qui permettent au gouvernement de demander des informations aux entreprises chinoises. «  Techniquement, ces entreprises (Microsoft, Amazon, etc.) font leur travail correctement. Mais, elles sont sujettes à des lois arbitraires. Il est vrai que dans tous les pays du monde, il y a des lois qui forcent les entreprises à collaborer pour prévenir le crime. Par contre, ces lois-là sont majoritairement assorties de garanties. Les autorités ne peuvent aller à la pêche aux données comme bon leur semble. Lorsque ces conditions sont réunies, on a un risque balisé. Malheureusement, on ne peut plus dire cela des États-Unis depuis un an. Les règles de loi ne sont plus respectées et c’est ça qui pose véritablement problème  », de conclure M^e  Pierre Trudel.