communication hors Québec

Utiliser un fournisseur américain, ce que la loi 25 exige avant

Oui, vous avez le droit d'utiliser un fournisseur établi à l'extérieur du Québec. La loi n'interdit pas la communication hors Québec et n'exige aucune autorisation de la Commission d'accès à l'information. L'article 17 vous impose trois choses avant la communication, soit une évaluation des facteurs relatifs à la vie privée, une conclusion selon laquelle le renseignement bénéficierait d'une protection adéquate, et une entente écrite qui tient compte des résultats de cette évaluation.

Le texte, et ce qu'il commande

Avant de communiquer à l'extérieur du Québec un renseignement personnel, la personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée. Elle doit notamment tenir compte des éléments suivants: 1° la sensibilité du renseignement; 2° la finalité de son utilisation; 3° les mesures de protection, y compris celles qui sont contractuelles, dont le renseignement bénéficierait; 4° le régime juridique applicable dans l'État où ce renseignement serait communiqué, notamment les principes de protection des renseignements personnels qui y sont applicables.
Article 17

Le deuxième alinéa du même article ajoute la condition de sortie. « La communication peut s'effectuer si l'évaluation démontre que le renseignement bénéficierait d'une protection adéquate, notamment au regard des principes de protection des renseignements personnels généralement reconnus. Elle doit faire l'objet d'une entente écrite qui tient compte notamment des résultats de l'évaluation et, le cas échéant, des modalités convenues dans le but d'atténuer les risques identifiés dans le cadre de cette évaluation. »

Hors Québec ne veut pas dire hors Canada

C'est l'erreur la plus courante sur ce sujet. Le texte dit « à l'extérieur du Québec », donc un fournisseur ontarien ou britanno-colombien déclenche l'article 17 au même titre qu'un fournisseur américain. Le quatrième alinéa élargit encore la portée au delà du simple envoi de données.

Il en est de même lorsque la personne qui exploite une entreprise confie à une personne ou à un organisme à l'extérieur du Québec la tâche de recueillir, d'utiliser, de communiquer ou de conserver pour son compte un tel renseignement.
Article 17

Autrement dit, l'hébergement, le soutien technique qui accède à vos systèmes, l'infonuagique, le traitement de la paie et la gestion de votre service à la clientèle par un sous-traitant externe entrent tous dans l'article 17 dès que la personne ou l'organisme se trouve à l'extérieur du Québec.

Ce que l'article 17 n'exige pas

Aucune autorisation préalable de la Commission d'accès à l'information. L'évaluation est faite par vous, et conservée par vous.
Aucune obligation de garder les renseignements au Québec ou au Canada.
Aucun consentement spécifique à la communication hors Québec. L'obligation est d'informer, et elle vient de l'article 8, non de l'article 17.
Aucune liste d'États réputés adéquats. La loi n'en contient pas, et les pouvoirs réglementaires énumérés à l'article 90 n'en prévoient pas. La conclusion d'adéquation est la vôtre, pour chaque communication.

Le dernier alinéa de l'article 17 prévoit une seule exception. L'article ne s'applique pas à une communication faite en raison d'une situation d'urgence mettant en danger la vie, la santé ou la sécurité de la personne concernée, prévue au paragraphe 7° du premier alinéa de l'article 18.

L'obligation d'informer, qui se trouve ailleurs

Le deuxième alinéa de l'article 8 vous oblige à informer la personne, le cas échéant, « de la possibilité que les renseignements soient communiqués à l'extérieur du Québec ». Cette mention doit figurer là où vous recueillez, et pas seulement dans une politique générale. C'est une phrase à ajouter à vos formulaires, pas une case à cocher.

L'évaluation à produire, élément par élément

Le tableau suivant reprend les quatre éléments nommés à l'article 17 et indique ce qu'une réponse utilisable contient. Le mot notamment signale que la liste n'est pas fermée, vous pouvez en ajouter.

Élément du texte	Ce que vous écrivez
Sensibilité du renseignement	La liste des champs transmis, puis un verdict motivé sur le caractère sensible au sens du dernier alinéa de l'article 12, par la nature ou par le contexte.
Finalité de l'utilisation	La fin déterminée avant la collecte, selon l'article 4, et la raison pour laquelle ce fournisseur est nécessaire à cette fin.
Mesures de protection, y compris contractuelles	Le chiffrement au repos et en transit, le contrôle des accès, la localisation des serveurs, les engagements de notification d'incident, et les clauses que vous avez obtenues par écrit.
Régime juridique de l'État destinataire	Ce que vous avez vérifié du droit applicable et des principes de protection qui y sont reconnus, avec la source consultée et sa date. Si cette analyse dépasse vos moyens, dites-le dans l'évaluation plutôt que de la laisser vide.
Conclusion	Protection adéquate, oui ou non, et les risques résiduels. Si la réponse est non, la communication ne peut pas s'effectuer sous l'article 17.
Mesures d'atténuation retenues	Celles que l'entente écrite doit reprendre, selon le deuxième alinéa.

L'inventaire des fournisseurs, à remplir une fois

Fournisseur et service	Champs transmis	Lieu de l'entreprise	Lieu d'hébergement déclaré
Exemple, hébergement de courriel	Nom, adresse de courriel, contenu des messages	Hors Québec	À demander par écrit

Commencez par les quatre services qui portent le plus de renseignements, soit la paie, la comptabilité, le courriel et l'outil de relation client. Ce sont presque toujours ceux qui transportent le plus de champs, et souvent ceux dont le fournisseur est à l'extérieur du Québec.

L'article 18.3 s'ajoute, il ne se remplace pas

Un fournisseur à qui vous confiez un mandat ou un contrat de service est aussi visé par l'article 18.3, où que soit son siège. Cet article vous oblige à confier le mandat ou le contrat par écrit et à y indiquer les mesures que le fournisseur doit prendre pour assurer la confidentialité, pour que le renseignement ne serve qu'à l'exécution du contrat et pour qu'il ne le conserve pas après son expiration. Pour un fournisseur hors Québec, vous devez satisfaire l'article 17 et l'article 18.3.

Ce que personne ne peut vous garantir

La loi ne déclare aucun pays adéquat ni inadéquat. Elle vous demande une évaluation, et c'est vous qui portez la conclusion. Une page web, la nôtre comprise, ne peut donc pas vous dire qu'un fournisseur donné satisfait l'article 17. Ce qu'elle peut faire est de vous dire quelles questions l'évaluation doit trancher et quelles traces doivent subsister.

Pratiques recommandées, qui ne figurent pas dans la loi

Demander par écrit au fournisseur dans quels pays les données sont stockées et répliquées, et conserver sa réponse avec sa date.
Refaire l'évaluation lorsque le fournisseur change de propriétaire, de région d'hébergement ou de sous-traitant.
Noter dans l'évaluation ce que vous n'avez pas pu vérifier, plutôt que de laisser croire à une vérification complète.

Cette page traite de la loi québécoise du secteur privé. Si vos activités traversent les frontières, la question de la loi applicable se pose aussi, et elle n'est pas tranchée ici.

Pour aller plus loin

La méthode complète de l'évaluation, y compris les projets de système visés par l'article 3.3, est dans comment faire une évaluation des facteurs relatifs à la vie privée. Le contenu de l'entente écrite est détaillé dans les clauses à exiger de vos fournisseurs. La mention à ajouter à vos formulaires de collecte est traitée dans quand le consentement est exigé. Le gabarit d'évaluation et l'inventaire de fournisseurs sont dans la trousse.

Articles cités, 4, 8, 12, 17, 18, 18.3, 90 de la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1, texte officiel, consulté le 7 novembre 2026.

Obtenir la trousse, 149 $ CA

Douze gabarits à remplir, 14 fichiers, téléchargement immédiat.
Autodiagnostic gratuit en douze questions, aucune adresse demandée.