Demandez à un propriétaire de PME où est hébergé son site : il vous donnera sans doute le nom de l’entreprise qui lui envoie la facture, rarement une ville, encore plus rarement un pays. Or un hébergement web au Canada n’a rien d’automatique, même quand on fait affaire avec une entreprise d’ici.
Pendant longtemps, ça n’avait pas beaucoup d’importance. Depuis la Loi 25 au Québec, ça en a.
Quelles données votre site web conserve-t-il vraiment?
On pense spontanément aux fichiers du site : les pages, les images, le thème. Ce ne sont pas eux qui posent problème. Le problème, ce sont les renseignements personnels que votre site recueille, souvent sans que personne ne s’en souvienne.
- les messages envoyés par le formulaire de contact, avec nom, courriel et téléphone;
- les demandes de soumission, qui contiennent parfois une adresse civique ou des détails sur un projet;
- les comptes clients et l’historique de commandes d’une boutique;
- les inscriptions à l’infolettre;
- les candidatures reçues par une page Carrières, avec CV en pièce jointe;
- les journaux du serveur, qui contiennent les adresses IP des visiteurs.
Une extension de formulaire WordPress garde généralement une copie de chaque envoi dans la base de données. Un site de cinq ans peut donc contenir des milliers de fiches de personnes qui ont un jour demandé un prix.
Le serveur n’est qu’une partie de la réponse
Même si votre site est hébergé à Montréal, ses données peuvent passer ailleurs. Il faut regarder chaque endroit où elles transitent ou dorment.
Les sauvegardes, d’abord. Certaines entreprises hébergent le site à un endroit et envoient les copies de sécurité chez un fournisseur infonuagique dans un autre pays. Demandez où elles sont, pas seulement à quelle fréquence elles sont faites.
Ensuite, les services branchés au site. Votre outil d’infolettre, votre module de prise de rendez-vous, votre service anti-pourriel pour formulaires, votre outil de statistiques : chacun reçoit des données de vos visiteurs, et la plupart des services populaires sont américains.
Enfin, le courriel. Les messages du formulaire de contact aboutissent dans une boîte de courriel. Si cette boîte est chez un fournisseur dont les serveurs sont aux États-Unis, la fiche de votre client y est aussi.
Hébergement web au Canada ou au Québec : ce que la Loi 25 change
Depuis le 22 septembre 2023, une entreprise du Québec qui communique des renseignements personnels à l’extérieur du Québec doit d’abord réaliser une évaluation des facteurs relatifs à la vie privée (EFVP). Cette obligation vise aussi le fait de confier à un fournisseur situé hors Québec la conservation de ces renseignements. Autrement dit, l’hébergement compte.
L’évaluation doit tenir compte, entre autres, de la sensibilité des renseignements, des mesures de protection prévues et du cadre juridique de l’endroit où ils s’en vont. La communication n’est permise que si l’évaluation conclut à une protection adéquate, et une entente écrite doit encadrer le tout.
Un détail qu’on oublie : « à l’extérieur du Québec » inclut l’Ontario. Un serveur à Toronto n’est pas aux États-Unis, mais il n’est pas au Québec non plus.
Est-ce que c’est interdit d’héberger aux États-Unis? Non. C’est permis, mais ça exige une démarche documentée que beaucoup de PME n’ont jamais faite. Si vos données restent au Québec, cette étape tombe pour l’hébergement lui-même. Vous gardez toutes vos autres obligations, comme la politique de confidentialité et la désignation d’un responsable. On les a résumées dans notre article sur la Loi 25 et les sites web.
Ce texte n’est pas un avis juridique. Pour un cas précis, consultez un juriste.
Et le CLOUD Act américain, dans tout ça?
Beaucoup de gens pensent que le risque se limite aux données stockées aux États-Unis. Ce n’est pas tout à fait le cas. Le CLOUD Act est une loi américaine adoptée en 2018. Elle permet aux autorités des États-Unis, avec un mandat, d’exiger d’un fournisseur soumis à leur juridiction les données qu’il a sous sa garde ou son contrôle, même si ces données sont stockées dans un autre pays.
Concrètement, un serveur situé à Montréal mais exploité par une entreprise soumise au droit américain ne met pas les données complètement à l’abri de ce type de demande. L’emplacement physique compte. L’entreprise qui contrôle le serveur compte aussi. Un hébergement web au Canada ne règle donc pas tout.
Faut-il paniquer? Non. Ces mandats visent des enquêtes criminelles précises, pas les listes de clients d’un salon de coiffure. Mais si vous gérez des renseignements sensibles, comme des dossiers de santé, des informations financières ou des données sur des enfants, la question mérite d’être posée à chacun de vos fournisseurs.
Comment savoir où sont vos données
Commencez par ces questions, à poser par écrit à votre hébergeur et à vos autres fournisseurs :
- Dans quelle ville se trouvent les serveurs qui hébergent mon site?
- Où sont conservées les sauvegardes, et pendant combien de temps?
- Quelle entreprise exploite le centre de données?
- Mes courriels sont-ils hébergés au même endroit que mon site?
- Quels services tiers reçoivent les données de mes formulaires?
Une réponse floue du genre « nos serveurs sont dans le nuage » n’est pas une réponse. Même la mention « serveurs au Canada » sur une page d’accueil ne suffit pas. Un bon hébergeur vous donne une ville.
Pour les services que vous utilisez déjà, faites l’inventaire des extensions de votre site. Chaque extension qui envoie des données ailleurs, que ce soit des statistiques, des formulaires ou du clavardage, mérite une ligne dans votre registre.
Faut-il héberger ses données au Québec?
Si vous le pouvez, oui. C’est la façon la plus simple de réduire votre travail de conformité. Pour le reste, ne cherchez pas la perfection : choisissez, pour chaque service, une option qui garde vos données au Canada quand elle existe, et documentez celles qui n’en ont pas.
Pour le courriel, quand un locataire Microsoft 365 est créé au Canada, Microsoft s’engage à stocker le contenu des boîtes (messages, calendriers, pièces jointes) au Canada. Vous pouvez le vérifier dans le centre d’administration, sous les paramètres de l’organisation, à la section Emplacement des données. Microsoft reste une entreprise américaine, donc la question du CLOUD Act demeure, mais vos messages ne dorment pas aux États-Unis. On vend et on configure ces licences dans notre offre Microsoft 365.
Chez Techno-Cloud, les sites sont hébergés sur des serveurs situés à Montréal, et notre équipe travaille à Sainte-Catherine-de-la-Jacques-Cartier. Voyez nos forfaits pour l’hébergement web au Québec.
Posez les cinq questions ci-dessus à votre hébergeur actuel cette semaine. Si les réponses vous font sourciller, écrivez-nous par la page Parler à un expert.