L'article 17 de la Loi 25, expliqué à un DSI

L'article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé — RLRQ c. P-39.1, modifiée par la Loi 25 — dit une chose simple : avant de communiquer un renseignement personnel à l'extérieur du Québec, il faut avoir procédé à une évaluation des facteurs relatifs à la vie privée, et cette évaluation doit tenir compte du régime juridique applicable dans l'État où le renseignement sera communiqué.

Autrement dit : la loi vous demande d'écrire noir sur blanc à quelles lois étrangères vos données sont exposées. Quand le destinataire est une société de droit américain, cela s'appelle une analyse du risque CLOUD Act. Vous la devez déjà.

Pourquoi le document n'existe presque jamais

Parce qu'il tombe entre deux chaises. Le service juridique considère qu'il s'agit d'un sujet d'infrastructure : il ne sait pas dans quelle région tourne quelle charge, ni qui exploite le service sous-jacent. La DSI considère qu'il s'agit d'un sujet de conformité : elle attend un modèle du service juridique qui ne vient pas. Le dossier reste ouvert, et personne ne ment — chacun attend l'autre.

Ce n'est pas un avis juridique. C'est un plan d'architecture avec une colonne « juridiction ».

Ce que le document doit contenir

Un inventaire, une cartographie et un arbitrage. Rien de plus, mais rien de moins :

• L'inventaire des flux. Quelle donnée personnelle sort du Québec, vers quel service, à quelle fréquence, sous quelle forme. Les journaux et les sauvegardes comptent, et c'est là que les inventaires se révèlent faux.
• Le destinataire réel. Pas le nom commercial du service, mais l'entité qui l'exploite et le droit dont elle relève. C'est la ligne qui fait basculer le dossier.
• Le régime juridique applicable. CLOUD Act, FISA 702 le cas échéant, et les voies de recours ouvertes à la personne concernée.
• Les mesures qui réduisent l'exposition. Chiffrement dont vous détenez les clés, minimisation, pseudonymisation, résidence, ou déplacement de la charge.
• La décision et sa justification. Y compris la décision de ne rien changer, si elle est motivée.

Le piège de la localisation

La contre-mesure la plus souvent proposée est aussi la moins efficace : déplacer la charge dans une région canadienne. Cela ne change rien au raisonnement si l'exploitant reste une société de droit américain. Le CLOUD Act suit l'entité, pas le bâtiment. Un centre de données à Québec exploité par une société américaine reste dans le même périmètre juridique qu'un centre de données en Virginie.

Cette phrase est celle qui déclenche le plus de silences en réunion, parce qu'elle invalide un projet déjà budgété. Elle n'interdit pourtant rien : elle oblige simplement à écrire la raison pour laquelle vous acceptez le risque résiduel, ce que la loi vous demandait dès le départ.

Combien de temps cela prend

Pour une organisation de taille moyenne, l'inventaire des flux est le poste long — c'est du travail de terrain, pas de la rédaction. La cartographie juridique et l'arbitrage viennent ensuite et vont vite, une fois l'inventaire juste. L'erreur classique consiste à commencer par la rédaction : on produit alors un document élégant qui décrit un système qui n'existe pas.

Ce que vous en tirez au-delà de la conformité

Un inventaire de flux exact est utile bien après le dépôt du document. Il sert aux plans de reprise, aux négociations de contrat, aux analyses de dépendance fournisseur, et à la prochaine décision d'architecture. Les organisations qui font l'exercice sérieusement s'en servent pendant des années ; celles qui le sous-traitent au moins-disant le refont deux ans plus tard.

Publié le 2026-07-27 · Revenir aux perspectives