Résidence n’est pas souveraineté

Deux questions

La résidence des données répond à « dans quel pays sont les serveurs ». La souveraineté répond à « à quelle loi obéit celui qui contrôle le service ». Un centre de données à Montréal peut être exploité par une société américaine : les données résident au Canada, mais le fournisseur reste soumis au droit américain.

Le CLOUD Act

Adoptée aux États-Unis en 2018, cette loi permet aux autorités américaines d’exiger d’un fournisseur de services qu’il remette des données en sa possession, sous sa garde ou sous son contrôle, que ces données se trouvent aux États-Unis ou à l’étranger. Le lieu de stockage ne suffit donc pas à mettre les données hors de portée.

Ce que vous pouvez vérifier

1. Dans quel pays sont les serveurs, y compris ceux des sauvegardes?
2. Quelle société exploite le service, et de quel pays relève sa société mère?
3. Le contrat dit-il ce qui arrive si une autorité étrangère demande vos données?

Ce que fait TSI

Vos données sont à Beauharnois, au Québec, chez OVHcloud, un groupe français, et le service est exploité par TSI, une société canadienne établie à Repentigny. Les logiciels sont libres : vous pouvez partir avec vos données et les faire tourner ailleurs.

À retenir

Cet article explique une distinction. Ce n’est pas un avis juridique : pour une décision qui engage votre organisme, consultez un professionnel du droit.