Datalocatie voor een Canadese VPS: wat moet u weten?

Wat datalocatie voor een Canadese VPS werkelijk betekent

Datalocatie voor een Canadese VPS is in feite één term voor twee verschillende vraagstukken. Waar bevinden de bytes zich fysiek, en welke overheid kan een partij dwingen deze af te staan? Een server in een datacenter in Toronto beantwoordt de eerste vraag. De tweede vraag wordt slechts gedeeltelijk beantwoord, omdat het bedrijf dat de machine beheert en uw back-ups opslaat, zelf onder de wetgeving van een ander land kan vallen.

Deze handleiding dient als achtergrondinformatie voor een technische beslissing. Het is geen juridisch advies. Waar een regel hier relevant is, worden de wet of de toezichthouder genoemd, zodat u de bron kunt raadplegen en deze kunt toetsen aan uw eigen situatie.

Het kiezen van een Canadese provider op basis van prijs en netwerk is een afzonderlijke exercitie, en waar u werkelijk op moet letten bij het kopen van Canadese VPS-hosting behandelt dat onderwerp. Dit artikel richt zich op het andere aspect: waar de data juridisch verblijft en wie er toegang toe kan krijgen.

Residency, sovereignty en localisation zijn niet uitwisselbaar

Deze termen worden vaak als synoniemen gebruikt. Elke term leidt echter tot een andere beslissing, dus houd ze strikt gescheiden.

Data residency is een claim over geografie. De schijf waarop uw database staat, bevindt zich in een gebouw in Ontario. Dat is in principe een feit, maar het is lastig van buiten het gebouw te bewijzen; daarom zijn de laatste twee secties van deze handleiding opgenomen.

Data sovereignty is een claim over wetgeving. Het stelt de vraag welke rechtbanken en politie van een staat wettelijk kunnen eisen dat de data wordt overhandigd. Dit volgt de personen en bedrijven die de data beheren minstens zo nauw als het de hardware volgt.

Data localisation is een regel. Het is een wettelijke vereiste dat bepaalde data binnen een land moet worden bewaard. Canada heeft geen algemene localisation-regel voor private bedrijven, maar kent wel specifiekere regels die voor bepaalde sectoren gelden.

"Sovereign cloud" verschijnt vaak in teksten van leveranciers en heeft in Canada geen juridische definitie. Beschouw dit als marketingtaal totdat de leverancier de entiteit benoemt die de infrastructuur beheert en de wetgeving waaraan die entiteit onderworpen is.

Wat de Canadese privacywetgeving vereist met betrekking tot het opslaan van gegevens in Canada

De federale wet voor de private sector is PIPEDA (de Personal Information Protection and Electronic Documents Act). Deze wet vereist niet dat persoonsgegevens in Canada blijven. Het Office of the Privacy Commissioner of Canada (OPC) stelt dit duidelijk in de richtlijnen voor het verwerken van persoonsgegevens over landsgrenzen heen, gepubliceerd in januari 2009: "PIPEDA verbiedt organisaties in Canada niet om persoonsgegevens over te dragen aan een organisatie in een ander rechtsgebied voor verwerking."

Wat de wet in plaats daarvan vereist, is verantwoording die met de gegevens meereist. Onder het verantwoordingsprincipe van PIPEDA blijft een organisatie verantwoordelijk voor persoonsgegevens die zij voor verwerking aan een derde partij heeft overgedragen. De organisatie moet "contractuele of andere middelen" gebruiken om die informatie "een vergelijkbaar beschermingsniveau" te bieden terwijl de derde partij deze in beheer heeft. Dezelfde richtlijnen van het OPC voegen hier een transparantieplicht aan toe. Een organisatie moet voor betrokkenen duidelijk maken, in begrijpelijke taal en bij voorkeur op het moment van verzameling, dat hun gegevens in een ander land kunnen worden verwerkt en toegankelijk kunnen zijn voor de wetshandhavings- en nationale veiligheidsinstanties van dat land.

Eén hardnekkig misverstand moet worden opgehelderd. In 2019 hield het OPC een consultatie waarin werd geopperd om een overdracht voor verwerking als een openbaarmaking te behandelen, wat voor elke dergelijke overdracht toestemming zou vereisen. Het OPC heeft dat standpunt niet overgenomen. De consultatie werd afgesloten met de bevestiging dat een overdracht voor verwerking een vorm van gebruik is en geen openbaarmaking, waardoor de overdracht zelf geen afzonderlijke toestemming behoeft.

Provinciale wetten voor de private sector voegen verplichtingen toe zonder een landsgrens te introduceren. Sectie 13.1 van de PIPA van Alberta vereist dat een organisatie die een dienstverlener buiten Canada gebruikt, individuen hiervan op de hoogte stelt en aangeeft welke landen erbij betrokken zijn, samen met een contactpersoon die vragen over de regeling kan beantwoorden. De Quebecse Law 25 is strenger. Voordat een bedrijf persoonsgegevens buiten Quebec deelt, moet het een privacy-effectbeoordeling uitvoeren. Deze beoordeling moet betrekking hebben op de gevoeligheid van de informatie, het doel van het gebruik, de waarborgen daaromheen en het juridische regime van het land van bestemming. De overdracht mag alleen plaatsvinden als de bescherming daar adequaat is. Deze verplichting is op 22 september 2023 in werking getreden.

Per augustus 2026 is de federale wet nog steeds PIPEDA. Bill C-27, die de wet zou hebben vervangen door de Consumer Privacy Protection Act, is komen te vervallen toen het parlement in januari 2025 werd ontbonden, en sindsdien is er geen opvolger aangenomen. Ontwerp uw systemen op basis van de wetgeving die vandaag van kracht is.

Waar een specifieke lokalisatieregel van toepassing is

Nova Scotia is een strikt geval. De PIIDPA (Personal Information International Disclosure Protection Act) vereist dat overheidsinstanties, gemeenten en hun dienstverleners persoonsgegevens in Canada bewaren en toegang daartoe uitsluitend vanuit Canada toestaan. Er zijn beperkte uitzonderingen die door het hoofd van de overheidsinstantie moeten worden goedgekeurd en gerapporteerd aan de Minister van Justitie. Een nieuwe Freedom of Information and Protection of Privacy Act, aangenomen in 2025, trekt de PIIDPA in en integreert de grensoverschrijdende beperking in die wet, onder voorbehoud van regelgeving die in april 2027 van kracht wordt. Per augustus 2026 zijn deze regels nog niet gepubliceerd; wie de inhoud ervan citeert, doet dus een aanname.

British Columbia heeft een andere koers gevaren. FIPPA bevatte voorheen sectie 30.1, die overheidsinstanties verplichtte persoonsgegevens in Canada op te slaan en toegang uitsluitend vanuit Canada toe te staan. Bill 22 heeft die sectie in november 2021 ingetrokken. Sectie 33.1 staat nu openbaarmaking buiten Canada toe in overeenstemming met de regelgeving, en de Personal Information Disclosure for Storage Outside of Canada Regulation vereist een privacy-effectbeoordeling wanneer gevoelige persoonsgegevens buiten Canada worden opgeslagen. Het verbod is veranderd in een proces.

Federale instellingen hebben hun eigen minimumnorm. De Treasury Board Direction for Electronic Data Residency vereist dat informatie op de niveaus Protected B, Protected C en Classified wordt bewaard in een goedgekeurde faciliteit binnen Canada, of op het terrein van een Canadese overheidsinstantie in het buitenland. Als u hosting verzorgt voor een federaal departement, bepaalt die richtlijn uw vereisten, niet PIPEDA.

Gezondheidsinformatie valt onder een eigen familie van wetten. Beheerders onder provinciale privacywetgeving voor de gezondheidszorg hebben te maken met regels over vertegenwoordigers, waarborgen en soms de locatie, die in PIPEDA volledig ontbreken. Als u klinische gegevens host, lees dan de provinciale gezondheidswet in plaats van de algemene wet.

Daarna volgt de regel die de meeste mensen in de praktijk tegenkomen, wat helemaal geen wet is. Een bank, ziekenhuis, schoolbestuur of zakelijke afnemer kan in de inkoopvoorwaarden opslag in Canada eisen, zelfs als de wet dit niet voorschrijft. Die clausule bindt u via het contractenrecht, dus lees deze goed door voordat u een regio kiest. Als u dezelfde vraag elders overweegt: het draaien van een VPS in Brazilië plaatst de data in een ander juridisch systeem met een ander antwoord.

Een datacenter in Toronto bepaalt niet welk recht van toepassing is

Geografie en jurisdictie lopen uiteen zodra de exploitant in buitenlandse handen is. Het duidelijkste voorbeeld is de Amerikaanse CLOUD Act (de Clarifying Lawful Overseas Use of Data Act) uit 2018. Deze wet wijzigde de Stored Communications Act, waardoor een onderworpen provider gegevens in zijn "bezit, bewaring of beheer" moet verstrekken op basis van een rechtmatig Amerikaans proces, ongeacht of die gegevens zich binnen of buiten de Verenigde Staten bevinden. Het Congres nam de wet aan nadat Microsoft een bevel weigerde voor e-mails die waren opgeslagen in een datacenter in Ierland. De locatie van de schijf was het hele argument, en de locatie van de schijf was niet doorslaggevend voor de zaak.

Wat een provider binnen dat bereik brengt, is een relatie in plaats van een grens: Amerikaanse persoonlijke jurisdictie over de provider. Een Canadese dochteronderneming van een Amerikaanse moedermaatschappij kan hieronder vallen. Dat geldt ook voor een Canadese faciliteit die wordt geëxploiteerd onder een Amerikaanse contracterende entiteit, of een Amerikaans bedrijf dat Canadese capaciteit doorverkoopt. Geen enkele netwerkmeting laat dit zien. Een bedrijfsregister wel.

Dit is geen reden om bij elke faciliteit in buitenlandse handen van het ergste uit te gaan. De Canadese autoriteiten vaardigen hun eigen vorderingsbevelen uit, en een Canadees bedrijf beantwoordt aan die autoriteiten. Het punt is specifieker. Het recht van het land van de exploitant volgt de exploitant; vraag daarom welke juridische entiteit uw contract ondertekent en wie de uiteindelijke eigenaar is.

Eén praktisch verschil is het vermelden waard. Per augustus 2026 is er geen uitvoerend akkoord in het kader van de CLOUD Act van kracht tussen Canada en de Verenigde Staten. Onderhandelingen werden aangekondigd in maart 2022, en het enige akkoord van die aard dat momenteel van kracht is, is dat met het Verenigd Koninkrijk. Zonder een dergelijk akkoord gebruiken Amerikaanse autoriteiten die gegevens zoeken die in handen zijn van een puur Canadees bedrijf het proces van het verdrag inzake wederzijdse rechtshulp (MLAT), dat verloopt via de Canadese autoriteiten en Canadese rechtbanken. Dat procedurele verschil is grotendeels de waarde van een Canadese exploitant.

Uw gegevens verlaten het land, ook als de VPS dat niet doet

De VPS is slechts één onderdeel van een systeem. Alles wat daaraan gekoppeld is, vormt een afzonderlijke beslissing over gegevensresidentie, en de standaardinstellingen bevinden zich meestal buiten Canada.

• Back-ups en snapshots. Het doel van een back-up is een kopie op een externe locatie, en object storage-endpoints staan standaard ingesteld op de regio waarin het account is geopend.
• Log-shipping, statistieken en foutopsporing. Een gehoste dienst verwerkt de inhoud van uw logs in zijn eigen regio, en die logs bevatten IP-adressen, e-mailadressen en soms volledige request-bodies.
• CDN en edge caching. Een content delivery network slaat kopieën van uw objecten op en serveert deze vanaf points of presence in vele landen. De herkomst in Toronto is niet de plek waar de lezer de bytes ontvangt.
• E-mail. Uitgaande relays, inkomende filtering en gehoste archieven bevinden zich vaak in de Verenigde Staten, en de inhoud van berichten bevat persoonsgegevens.
• Autoritieve DNS. Anycast-nameservers antwoorden vanaf het knooppunt dat zich het dichtst bij de client bevindt, en query-logs registreren wie wat heeft opgevraagd.
• Support en beheer. Een engineer met toegang tot de console of hypervisor is een persoon in een bepaald land. Toegang op afstand vanuit het buitenland geldt als toegang onder de Nova Scotia-regel en onder de beoordeling van British Columbia.
• Uw eigen werkstation en de bijbehorende tools. Een editor-plugin of coding agent die uw bestanden leest, verstuurt gegevens naar een externe locatie, en wat een coding agent daadwerkelijk vanaf uw machine verstuurt is belangrijk om te weten voordat u deze koppelt aan productiegegevens.

Versleuteling verandert wat een operator kan inzien, maar slechts in één richting. Gegevens die 'at rest' zijn versleuteld met sleutels die elders worden bewaard, zijn waardeloos voor degene die de schijf in beslag neemt. Een draaiende VPS is een ander geval, omdat de sleutels van de guest in het geheugen van de guest staan en de hypervisor het geheugen van de guest kan lezen. Versleuteling 'at rest' beschermt het archief in plaats van de actieve machine. Die beperking, en het vertrouwen in de operator dat dit van u vereist, is hetzelfde vraagstuk dat ten grondslag ligt aan de bredere vraag of VPS-hosting veilig is.

Hoe u als klant de locatie van een VPS verifieert

Begin bij het register, aangezien dit het enige record is waaraan een naam is gekoppeld.

whois 203.0.113.10
whois -h whois.arin.net 203.0.113.10

Voor Canadese adressen is het register ARIN. Het eerste commando volgt elke verwijzing die uw whois-client krijgt, en het tweede commando vraagt ARIN direct om informatie. Beide retourneren de organisatie waaraan het blok is toegewezen, het geregistreerde land en het abuse-contactadres. Dat abuse-adres is waar klachten over uw server terechtkomen; dit is waar abuse-klachten uw provider bereiken begint. Wees duidelijk over wat het veld voor het land bewijst. Het is een verklaring van een genoemde organisatie in een openbare database. Dat is nuttig, maar het blijft een bewering in plaats van een meting.

Geofeeds werken op dezelfde manier. RFC 8805 definieert een CSV-bestand waarin een operator een koppeling publiceert van prefix naar land, regio en stad. RFC 9632, dat in 2024 RFC 9092 verving, definieert hoe een consument dat bestand vindt via het whois-record. Commerciële IP-geolocatie-databases zijn grotendeels gebouwd op basis van deze zelfgepubliceerde feeds, dus "het IP-adres wordt geolokaliseerd naar Toronto" betekent vaak "de operator heeft Toronto gepubliceerd". Reverse DNS is nog minder betrouwbaar. Een PTR-record dat yyz of tor bevat, is een naamgevingsconventie die door een mens is ingevoerd en die een migratie naar een andere stad kan overleven.

Vraag het daarom schriftelijk aan de provider en bewaar de antwoorden.

• Welke juridische entiteit exploiteert de faciliteit en waar is die entiteit gevestigd?
• Wat is het adres van de faciliteit en is de ruimte in eigendom, gehuurd of doorverkocht door een andere operator?
• Welke entiteit ondertekent mijn contract en wie is het moederbedrijf?
• Waar bevinden zich de back-ups en hun off-site kopieën?
• Vanuit welke landen kan personeel de hypervisor of de out-of-band console bereiken?
• Publiceert u een lijst met subverwerkers en stelt u mij op de hoogte van een buitenlandse juridische vordering wanneer de wet dit toestaat?

Neem de antwoorden op in het contract als verplichtingen met kennisgevingsplichten. Een auditor vraagt om documenten, niet om traceroutes. Als Toronto de plek is waar u bent uitgekomen, behandelt het kiezen van een VPS in Toronto de marktgerichte kant van dezelfde beslissing.

Waarom een traceroute bewijs is van een route en geen bewijs van jurisdictie

Een lage round trip time begrenst de afstand. Dat is alles wat het doet. Licht in een glasvezelkern reist met ongeveer 204.000 km per seconde, dus een round trip kost ruwweg 1 ms per 100 km aan pad, nog voordat er enige switching of wachtrijen worden toegevoegd. Draai dat om, en een round trip van 10 ms vanuit het centrum van Toronto vertelt u dat de machine zich binnen ongeveer 1.000 km van u bevindt langs de glasvezelverbinding. Hier ziet u wat er binnen die cirkel past.

[
  {
    "label": "Buffalo, New York",
    "km_from_toronto": 95,
    "rtt_floor_ms": 0.9
  },
  {
    "label": "Detroit, Michigan",
    "km_from_toronto": 330,
    "rtt_floor_ms": 3.2
  },
  {
    "label": "Montreal, Quebec",
    "km_from_toronto": 505,
    "rtt_floor_ms": 5.0
  },
  {
    "label": "Ashburn, Virginia",
    "km_from_toronto": 535,
    "rtt_floor_ms": 5.2
  },
  {
    "label": "New York, New York",
    "km_from_toronto": 550,
    "rtt_floor_ms": 5.4
  },
  {
    "label": "Chicago, Illinois",
    "km_from_toronto": 700,
    "rtt_floor_ms": 6.9
  }
]

Elke ondergrens is de hemelsbrede afstand verdubbeld en gedeeld door 204.000 km per seconde. Echte glasvezelpaden zijn langer dan rechte lijnen, dus werkelijke metingen vallen altijd hoger uit. De rangschikking is het punt. De verste stad hier, Chicago, Illinois, ligt 700 km van Toronto in een rechte lijn, wat een ondergrens van slechts 6.9 ms vaststelt. Van de 6 steden in de lijst, ligt er één in Canada. Een ping van één cijfer vanuit Toronto is consistent met een server in Michigan, Illinois, New York of Virginia.

Traceroute voegt hopnamen toe, en hopnamen zijn PTR-records die door een netwerkengineer zijn ingevoerd. Luchthavencodes daarin zijn een conventie die het waard is om te lezen en te controleren. Sommige providers verbergen interne hops binnen MPLS (multiprotocol label switching), waardoor het pad dat u ziet korter kan zijn dan het pad dat het pakket aflegt. Anycast maakt de bestemming zelf ambigu, omdat één adres antwoordt vanaf het knooppunt dat het dichtst bij u in de buurt is. Gemeten latentie is goed bewijs voor een route op één specifiek moment. Jurisdictie is een feit over bedrijven en rechtbanken, en geen enkel pakket rapporteert dit.

De eerlijke samenvatting is dat netwerkmetingen een bewering kunnen weerleggen: een round trip van 90 ms vanuit Toronto sluit een faciliteit in Toronto uit. Het kan er echter geen bevestigen. Bevestiging komt van genoemde entiteiten en schriftelijke toezeggingen in een contract.

FAQ

Vereist de Canadese wetgeving dat mijn data in Canada blijft?

Niet als algemene regel. PIPEDA, de federale wet voor de private sector, verbiedt het overdragen van persoonsgegevens naar een ander land voor verwerking niet, en de OPC bevestigt dit in haar richtlijnen voor het grensoverschrijdend verwerken van persoonsgegevens. Wat PIPEDA wel vereist, is dat u verantwoordelijk blijft voor de data, contractuele of andere middelen gebruikt om vergelijkbare bescherming te bieden, en mensen duidelijk informeert dat hun informatie in het buitenland verwerkt kan worden en toegankelijk kan zijn voor buitenlandse autoriteiten. Er bestaan wel specifieke lokalisatieregels in beperktere gevallen: de PIIDPA van Nova Scotia voor overheidsinstanties, de Treasury Board Direction for Electronic Data Residency voor Protected B en hoger, provinciale gezondheidswetgeving en uw eigen klantcontracten. Dit is achtergrondinformatie, geen juridisch advies.

Valt mijn data buiten het bereik van de Amerikaanse wetgeving als het datacenter in Toronto staat?

Niet op zichzelf. De Amerikaanse CLOUD Act uit 2018 vereist dat een onderworpen provider data in zijn bezit, beheer of controle verstrekt in reactie op een rechtmatig Amerikaans proces, ongeacht waar die data is opgeslagen. De doorslaggevende factor is of Amerikaanse rechtbanken persoonlijke jurisdictie hebben over het bedrijf dat uw data beheert. Een Canadese faciliteit die wordt geëxploiteerd door een Amerikaanse dochteronderneming of een Amerikaanse contractpartij roept dus vragen op die geografie alleen niet beantwoordt. Vraag welke juridische entiteit uw contract ondertekent en wie het moederbedrijf is.

Hoe verifieer ik of een VPS zich echt in Canada bevindt?

Combineer openbare registers met schriftelijke vragen. Een whois- of RDAP-query op het adres levert de organisatie op waaraan het blok is toegewezen en het geregistreerde land. Een geofeed die is gepubliceerd onder RFC 8805 geeft de eigen mapping van de operator van prefix naar stad. Beide zijn zelfverklaringen door een genoemde partij, wat nuttig bewijs is en geen meting. Vraag de provider vervolgens schriftelijk naar de operationele entiteit, het adres van de faciliteit, de locatie van back-ups en de landen van waaruit personeel de console kan benaderen, en leg deze antwoorden vast in het contract.

Wat verlaat Canada, zelfs als mijn VPS dat niet doet?

Back-ups en hun off-site kopieën, gehoste log- en foutopsporingsdiensten, CDN-caches, uitgaande mailrelays en inkomende filtering, autoritatieve DNS-querylogs en externe administratieve toegang door supportpersoneel in het buitenland. Elk van deze punten is een afzonderlijke beslissing met een eigen standaardregio, en die standaarden zijn zelden Canadees. Breng elk systeem dat aan de VPS is gekoppeld in kaart voordat u een klant belooft dat hun data in het land blijft.