Résidence des données pour un VPS canadien

Ce que signifie réellement la résidence des données pour un VPS canadien

La résidence des données d’un VPS canadien recouvre deux questions distinctes. Où les octets sont-ils physiquement stockés, et quel gouvernement peut contraindre quelqu’un à les remettre ? Un serveur situé dans un datacenter de Toronto répond à la première question. Il ne répond que partiellement à la seconde, car l’entreprise qui exploite la machine et conserve vos sauvegardes peut elle-même relever du droit d’un autre pays.

Ce guide fournit des éléments de contexte pour une décision technique. Il ne constitue pas un avis juridique. Lorsqu’une règle est pertinente ici, la loi ou l’autorité de réglementation concernée est indiquée afin que vous puissiez consulter la source et la confronter à votre propre situation.

Choisir un fournisseur canadien en fonction du prix et du réseau est une démarche distincte. L’article ce qui compte réellement lors de l’achat d’un hébergement VPS canadien traite cet aspect. Cet article couvre l’autre volet : le lieu où les données résident légalement et les personnes qui peuvent y accéder.

Résidence, souveraineté et localisation ne sont pas interchangeables

Ces termes sont souvent utilisés comme des synonymes. Chacun conduit à une décision différente : il faut donc les distinguer.

La résidence des données concerne la géographie. Le disque qui contient votre base de données se trouve dans un bâtiment en Ontario. En principe, c’est un fait, mais il est difficile de le prouver depuis l’extérieur du bâtiment. C’est pourquoi les deux dernières sections de ce guide existent.

La souveraineté des données concerne le droit. Elle vise à déterminer quels tribunaux et quels services de police d’un État peuvent légalement ordonner la communication des données. Elle dépend au moins autant des personnes et des entreprises qui contrôlent les données que du matériel qui les héberge.

La localisation des données est une règle. Il s’agit d’une obligation légale de conserver certaines données à l’intérieur d’un pays. Le Canada n’impose aucune règle générale de localisation aux entreprises privées, mais certaines règles plus limitées s’appliquent à des secteurs précis.

L’expression « cloud souverain » apparaît dans les contenus commerciaux des fournisseurs, mais elle n’a aucune définition juridique au Canada. Considérez-la comme un terme marketing tant que le fournisseur n’a pas indiqué quelle entité exploite l’infrastructure et de quel droit cette entité relève.

Ce que le droit canadien de la vie privée exige concernant la conservation des données au Canada

La loi fédérale applicable au secteur privé est la LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques). Elle n’exige pas que les renseignements personnels restent au Canada. Le Commissariat à la protection de la vie privée du Canada (CPVP) l’indique clairement dans ses Lignes directrices sur le traitement transfrontalier des données personnelles, publiées en janvier 2009 : « La LPRPDE n’interdit pas aux organisations canadiennes de transférer des renseignements personnels à une organisation située dans un autre pays pour traitement. »

La loi exige plutôt que la responsabilité accompagne les données. En vertu du principe de responsabilité de la LPRPDE, une organisation demeure responsable des renseignements personnels qu’elle a transférés à un tiers pour traitement et doit utiliser des « moyens contractuels ou autres » pour leur assurer « un niveau de protection comparable » pendant que le tiers les détient. Les mêmes lignes directrices du CPVP imposent également une obligation de transparence. Une organisation devrait indiquer clairement aux personnes concernées, dans un langage simple et idéalement au moment de la collecte, que leurs renseignements peuvent être traités dans un pays étranger et être accessibles aux autorités chargées de l’application de la loi et de la sécurité nationale de ce pays.

Il faut également dissiper une ancienne confusion. En 2019, le CPVP a mené une consultation proposant de considérer un transfert aux fins de traitement comme une communication, ce qui aurait exigé un consentement pour chaque transfert de ce type. Le CPVP n’a pas retenu cette position. Il a clos la consultation en confirmant qu’un transfert aux fins de traitement constitue une utilisation et non une communication. Le transfert lui-même n’exige donc pas de consentement distinct.

Les lois provinciales visant le secteur privé ajoutent des obligations, sans imposer de frontière. L’article 13.1 de la PIPA de l’Alberta exige qu’une organisation qui fait appel à un fournisseur de services situé à l’extérieur du Canada en informe les personnes concernées et indique les pays en cause, ainsi qu’une personne-ressource capable de répondre aux questions sur cet arrangement. La Loi 25 du Québec est plus stricte. Avant de communiquer des renseignements personnels à l’extérieur du Québec, une entreprise doit réaliser une évaluation des facteurs relatifs à la vie privée portant sur la sensibilité des renseignements, la finalité de leur utilisation, les mesures de protection en place et le régime juridique applicable dans le pays destinataire. Elle ne peut procéder que si la protection offerte y est adéquate. Cette obligation est entrée en vigueur le 22 septembre 2023.

En août 2026, la loi fédérale en vigueur demeure la LPRPDE. Le projet de loi C-27, qui aurait remplacé cette loi par la Loi sur la protection de la vie privée des consommateurs, est mort au Feuilleton lorsque le Parlement a été prorogé en janvier 2025. Aucun texte lui succédant n’a été adopté depuis. Concevez vos systèmes en fonction du droit actuellement en vigueur.

Lorsqu’une véritable règle de localisation s’applique

La Nouvelle-Écosse est le cas le plus strict. La PIIDPA (Personal Information International Disclosure Protection Act) oblige les organismes publics, les municipalités et leurs fournisseurs de services à conserver les renseignements personnels au Canada et à n’autoriser leur accès que depuis le Canada, sous réserve d’exceptions limitées que le responsable de l’organisme public doit autoriser et signaler au ministre de la Justice. Une nouvelle Freedom of Information and Protection of Privacy Act, adoptée en 2025, abroge la PIIDPA et intègre la restriction transfrontalière à cette loi, sous réserve de règlements, avec une entrée en vigueur en avril 2027. En août 2026, ces règlements ne sont pas publiés. Toute personne qui en cite le contenu ne fait donc que spéculer.

La Colombie-Britannique a suivi la voie inverse. La FIPPA comprenait auparavant l’article 30.1, qui obligeait les organismes publics à conserver les renseignements personnels au Canada et à n’autoriser leur accès que depuis le Canada. Le projet de loi 22 a abrogé cet article en novembre 2021. L’article 33.1 autorise désormais la divulgation à l’extérieur du Canada conformément aux règlements, et le Personal Information Disclosure for Storage Outside of Canada Regulation exige une privacy impact assessment lorsque des renseignements personnels sensibles doivent être stockés à l’extérieur du Canada. L’interdiction a été remplacée par une procédure.

Les institutions fédérales ont leurs propres exigences minimales. La Treasury Board Direction for Electronic Data Residency exige que les renseignements classés Protected B, Protected C ou Classified soient conservés dans une installation approuvée au Canada ou dans les locaux d’un bureau du gouvernement canadien à l’étranger. Si vous hébergez des données pour un ministère fédéral, cette directive définit votre exigence, et non la PIPEDA.

Les renseignements de santé relèvent d’un ensemble distinct de lois. Les dépositaires soumis aux lois provinciales sur la protection des renseignements de santé doivent respecter des règles concernant les mandataires, les mesures de protection et parfois le lieu de stockage, qui ne figurent pas du tout dans la PIPEDA. Si vous hébergez des données cliniques, consultez la loi provinciale sur la santé plutôt que la loi générale.

Vient ensuite la règle à laquelle la plupart des personnes sont réellement confrontées, et qui n’est pas une loi. Une banque, un hôpital, un conseil scolaire ou un acheteur d’entreprise peut exiger le stockage au Canada dans ses clauses d’achat, même lorsqu’aucune loi ne l’impose. Cette clause vous lie en vertu du droit des contrats. Lisez-la donc avant de choisir une région. Si vous vous posez la même question ailleurs, exécuter un VPS au Brésil vous place dans un autre système juridique, avec une réponse différente.

Un datacentre à Toronto ne détermine pas le droit applicable

La géographie et la compétence juridictionnelle cessent de coïncider dès que l’opérateur appartient à des intérêts étrangers. Le meilleur exemple est le CLOUD Act des États-Unis (Clarifying Lawful Overseas Use of Data Act) de 2018. Cette loi a modifié le Stored Communications Act afin qu’un fournisseur visé soit tenu de produire les données en sa « possession, sous sa garde ou sous son contrôle » dans le cadre d’une procédure légale américaine, que ces données se trouvent ou non aux États-Unis. Le Congrès l’a adoptée après le refus de Microsoft d’exécuter un mandat concernant des e-mails stockés dans un datacentre en Irlande. L’emplacement du disque constituait l’intégralité de l’argument, mais il n’a pas tranché l’affaire.

Ce qui place un fournisseur dans le champ d’application de cette loi tient à une relation plutôt qu’à une frontière : la compétence personnelle des tribunaux américains à l’égard du fournisseur. Une filiale canadienne d’une société mère américaine peut être concernée. Il en va de même pour une installation canadienne exploitée par une entité contractante américaine ou pour une société américaine qui revend de la capacité canadienne. Aucune mesure réseau ne permet de voir ces éléments. Un registre des sociétés, en revanche, le permet.

Cela ne signifie pas qu’il faut considérer avec méfiance toutes les installations appartenant à des intérêts étrangers. Les autorités canadiennes émettent leurs propres ordonnances de communication, auxquelles une société canadienne doit répondre. Le point est plus limité. Le droit du pays où l’opérateur a son siège s’applique à l’opérateur. Vérifiez donc quelle entité juridique signe votre contrat et qui la détient en dernier ressort.

Une différence pratique mérite d’être connue. En août 2026, aucun accord exécutif fondé sur le CLOUD Act n’est en vigueur entre le Canada et les États-Unis. Des négociations ont été annoncées en mars 2022, et le seul accord de ce type en vigueur est celui conclu avec le Royaume-Uni. En l’absence d’un tel accord, les autorités américaines qui souhaitent obtenir des données détenues par une société exclusivement canadienne utilisent la procédure d’entraide judiciaire (MLAT), qui passe par les autorités et les tribunaux canadiens. Cette différence de procédure explique en grande partie l’intérêt d’un opérateur canadien.

Vos données quittent le pays même lorsque le VPS n’en sort pas

Le VPS n’est qu’une partie du système. Chaque élément qui lui est rattaché constitue une décision distincte en matière de résidence des données, et les valeurs par défaut se trouvent généralement à l’extérieur du Canada.

• Sauvegardes et snapshots. Les copies hors site sont le but même d’une sauvegarde, et les endpoints de stockage objet utilisent par défaut la région dans laquelle le compte a été ouvert.
• Exportation des journaux, métriques et suivi des erreurs. Un service hébergé traite le contenu de vos journaux dans sa propre région. Ces journaux contiennent des adresses IP, des adresses e-mail et parfois le corps complet des requêtes.
• CDN et mise en cache en périphérie. Un réseau de diffusion de contenu stocke et sert des copies de vos objets depuis des points de présence situés dans plusieurs pays. L’origine à Toronto n’est pas l’endroit où le lecteur reçoit les données.
• E-mail. Les relais sortants, le filtrage entrant et les archives hébergées se trouvent souvent aux États-Unis, et le contenu des messages constitue une information personnelle.
• DNS faisant autorité. Les serveurs de noms anycast répondent depuis le nœud le plus proche du client, et les journaux de requêtes enregistrent qui a demandé quoi.
• Support et administration. Un ingénieur disposant d’un accès à la console ou à l’hyperviseur est une personne située dans un pays donné. Un accès distant depuis l’étranger est considéré comme un accès au titre de la règle de la Nouvelle-Écosse et de l’évaluation de la Colombie-Britannique.
• Votre propre poste de travail et ses outils. Un plugin d’éditeur ou un agent de programmation qui lit vos fichiers envoie nécessairement des données quelque part. Il est important de savoir ce qu’un agent de programmation envoie réellement depuis votre machine avant de lui donner accès à des données de production.

Le chiffrement limite ce qu’un opérateur peut obtenir, mais dans une seule direction. Des données chiffrées au repos avec des clés conservées ailleurs ne servent à rien à la personne qui saisit le disque. Un VPS en fonctionnement est un cas différent, car les clés du guest se trouvent dans la mémoire du guest et l’hyperviseur peut lire cette mémoire. Le chiffrement au repos protège l’archive, pas la machine en fonctionnement. Cette limite, ainsi que la confiance qu’elle vous impose envers l’opérateur, constitue le même problème que celui posé par la question plus générale de la sécurité de l’hébergement VPS.

Comment vérifier l’emplacement d’un VPS en tant que client

Commencez par le registre, car c’est le seul enregistrement associé à un nom.

whois 203.0.113.10
whois -h whois.arin.net 203.0.113.10

Pour les adresses canadiennes, le registre est ARIN. La première commande suit la redirection fournie par votre client whois, et la seconde interroge directement ARIN. Les deux indiquent l’organisation à laquelle le bloc est attribué, son pays d’enregistrement et son contact abuse. Cette adresse abuse est celle à laquelle parviennent les réclamations concernant votre serveur. C’est le point de départ de la réception des réclamations abuse par votre fournisseur. Soyez précis sur ce que prouve le champ du pays. Il s’agit d’une déclaration faite par une organisation identifiée dans une base de données publique. Cette information est utile, mais elle reste une déclaration et non une mesure.

Les geofeeds fonctionnent de la même manière. La RFC 8805 définit un fichier CSV dans lequel un opérateur publie une correspondance entre un préfixe, un pays, une région et une ville. La RFC 9632, qui a remplacé la RFC 9092 en 2024, définit la manière dont un consommateur trouve ce fichier à partir de l’enregistrement whois. Les bases commerciales de géolocalisation IP sont en grande partie constituées à partir de ces flux publiés par les opérateurs. Ainsi, « l’adresse IP est géolocalisée à Toronto » signifie souvent en réalité « l’opérateur a publié Toronto ». Le reverse DNS est encore moins fiable. Un enregistrement PTR contenant yyz ou tor correspond à une convention de nommage saisie par une personne. Il peut rester inchangé après une migration vers une autre ville.

Demandez donc ces informations au fournisseur par écrit et conservez les réponses.

• Quelle entité juridique exploite le site, et dans quel pays cette entité est-elle enregistrée ?
• Quelle est l’adresse du site, et l’espace est-il détenu, loué ou revendu par un autre opérateur ?
• Quelle entité signe mon contrat, et quelle est sa société mère ?
• Où sont stockées les sauvegardes et leurs copies hors site ?
• Depuis quels pays le personnel peut-il accéder à l’hyperviseur ou à la console out-of-band ?
• Publiez-vous une liste de sous-traitants ultérieurs, et m’informerez-vous d’une demande légale étrangère lorsque la loi l’autorise ?

Intégrez ces réponses au contrat sous la forme d’engagements assortis d’obligations d’information. Un auditeur demande des documents, pas des traceroutes. Si Toronto est l’emplacement que vous avez retenu, choisir un VPS à Toronto couvre l’aspect commercial de la même décision.

Pourquoi un traceroute est un indice de routage, et non une preuve de juridiction

Un temps aller-retour faible donne une limite supérieure à la distance. C’est tout ce qu’il permet d’établir. Le signal lumineux se propage dans le cœur d’une fibre à environ 204,000 km par seconde. Un aller-retour ajoute donc environ 1 ms par tranche de 100 km de trajet, avant même de prendre en compte la commutation et la mise en file d’attente. À l’inverse, un aller-retour de 10 ms depuis le centre de Toronto indique que la machine se trouve à environ 1,000 km de vous au maximum, en suivant le trajet de la fibre. Voici ce qui peut se trouver dans ce cercle.

[
  {
    "label": "Buffalo, New York",
    "km_from_toronto": 95,
    "rtt_floor_ms": 0.9
  },
  {
    "label": "Detroit, Michigan",
    "km_from_toronto": 330,
    "rtt_floor_ms": 3.2
  },
  {
    "label": "Montreal, Quebec",
    "km_from_toronto": 505,
    "rtt_floor_ms": 5.0
  },
  {
    "label": "Ashburn, Virginia",
    "km_from_toronto": 535,
    "rtt_floor_ms": 5.2
  },
  {
    "label": "New York, New York",
    "km_from_toronto": 550,
    "rtt_floor_ms": 5.4
  },
  {
    "label": "Chicago, Illinois",
    "km_from_toronto": 700,
    "rtt_floor_ms": 6.9
  }
]

Chaque valeur minimale correspond à une distance à vol d’oiseau doublée, puis divisée par 204,000 km par seconde. Les trajets réels des fibres sont plus longs que les lignes droites. Les mesures réelles sont donc toujours supérieures. C’est le classement qui compte. La ville la plus éloignée ici, Chicago, Illinois, se trouve à 700 km de Toronto à vol d’oiseau, ce qui donne un minimum de seulement 6.9 ms pour l’aller-retour. Sur les 6 villes listées, une seule se trouve au Canada. Un ping à un chiffre depuis Toronto est compatible avec un serveur situé dans le Michigan, l’Illinois, l’État de New York ou la Virginie.

Traceroute ajoute les noms des hops. Ces noms sont des enregistrements PTR saisis par un ingénieur réseau. Les codes d’aéroport qu’ils contiennent suivent une convention utile à lire et à vérifier. Certains opérateurs masquent les hops internes dans MPLS (multiprotocol label switching). Le chemin affiché peut donc être plus court que celui réellement suivi par le paquet. L’anycast rend la destination elle-même ambiguë, car une même adresse répond depuis le nœud le plus proche de vous. La latence mesurée fournit un bon indice sur le routage à un moment donné. La juridiction concerne les entreprises et les tribunaux. Aucun paquet ne la communique.

La conclusion honnête est que la mesure réseau peut réfuter une affirmation : un aller-retour de 90 ms depuis Toronto exclut un site situé à Toronto. Elle ne peut pas le confirmer. La confirmation repose sur des entités nommément désignées et sur des engagements écrits dans un contrat.

FAQ

La loi canadienne exige-t-elle que mes données restent au Canada ?

Pas en règle générale. La LPRPDE, la loi fédérale applicable au secteur privé, n’interdit pas de transférer des renseignements personnels vers un autre pays pour les traiter, et le CPVP le précise dans ses lignes directrices sur le traitement des données personnelles à l’étranger. La LPRPDE exige que vous demeuriez responsable des données, que vous utilisiez des dispositions contractuelles ou d’autres moyens pour leur fournir une protection comparable, et que vous informiez clairement les personnes que leurs renseignements peuvent être traités à l’étranger et être accessibles à des autorités étrangères. Il existe toutefois des règles de localisation plus ciblées : la PIIDPA de la Nouvelle-Écosse pour les organismes publics, la Directive du Conseil du Trésor sur la résidence des données électroniques pour les renseignements classifiés Protected B et au-delà, les lois provinciales sur les données de santé et vos propres contrats clients. Ces informations sont générales et ne constituent pas un avis juridique.

Un datacentre situé à Toronto met-il mes données à l’abri du droit américain ?

Pas à lui seul. Le US CLOUD Act de 2018 oblige un fournisseur visé à communiquer les données en sa possession, sous sa garde ou sous son contrôle en réponse à une procédure américaine légale, quel que soit le lieu où ces données sont stockées. La question dépend de la compétence personnelle des tribunaux américains sur l’entreprise qui détient vos données. Ainsi, une installation canadienne exploitée par une filiale américaine ou une entité contractante américaine soulève une question à laquelle la géographie seule ne permet pas de répondre. Demandez quelle entité juridique signe votre contrat et quelle est sa société mère.

Comment vérifier qu’un VPS est réellement situé au Canada ?

Utilisez à la fois les registres publics et des questions écrites. Une requête whois ou RDAP sur l’adresse renvoie l’organisation à laquelle le bloc est attribué et son pays enregistré. Un geofeed publié conformément à la RFC 8805 fournit la correspondance établie par l’opérateur entre le préfixe et la ville. Ces deux sources sont des déclarations faites par une partie identifiée. Elles constituent des éléments utiles, mais pas une mesure. Demandez ensuite par écrit au fournisseur l’entité exploitante, l’adresse de l’installation, l’emplacement des sauvegardes et les pays depuis lesquels le personnel peut accéder à la console. Faites inscrire ces réponses au contrat.

Qu’est-ce qui quitte le Canada même lorsque mon VPS n’y quitte pas ?

Les sauvegardes et leurs copies hors site, les services hébergés de collecte des journaux et de suivi des erreurs, les caches CDN, les relais de messagerie sortante et le filtrage entrant, les journaux de requêtes DNS faisant autorité, ainsi que les accès administratifs distants effectués par du personnel de support situé à l’étranger. Chacun de ces éléments constitue une décision distincte avec sa propre région par défaut, et ces régions sont rarement canadiennes. Recensez tous les systèmes reliés au VPS avant de promettre à un client que ses données restent dans le pays.