Souveraineté numérique au Canada : quel est le fondement juridique?

À retenir

• Le Canada n’a pas de loi sur la souveraineté numérique ni de règle générale obligeant les entreprises privées à recourir à des fournisseurs canadiens.
• Le gouvernement fédéral a adopté des politiques internes sur la souveraineté et la résidence des données, mais celles-ci régissent ses propres activités.
• Pour les entreprises privées, le point de départ juridique est la responsabilité en matière de protection des renseignements personnels, que le fournisseur soit canadien ou étranger.
• La possibilité de faire respecter ses droits localement est un thème récurrent du droit canadien et explique en partie pourquoi certaines organisations privilégient des cocontractants locaux.
• La bonne réponse dépend des données, des clients et du contrat : elle peut être un fournisseur canadien, un fournisseur étranger ou les deux.

Une orientation politique claire

L’orientation d’Ottawa en matière de souveraineté numérique se concrétise. En mars 2025, le gouvernement fédéral a finalisé un investissement pouvant atteindre 240 millions de dollars dans le projet de 725 millions de dollars de Cohere visant à développer une capacité de calcul au Canada.¹ Cet investissement s’inscrit dans la Stratégie canadienne sur la capacité de calcul souveraine pour l’IA, financée à hauteur de 2 milliards de dollars par le budget de 2024.

Il s’agit d’un signal politique, pas d’une instruction juridique imposant aux fondateurs de choisir des fournisseurs canadiens. La souveraineté numérique divise les opinions : certaines organisations y voient une question de résilience et de contrôle; d’autres, des coûts plus élevés et un choix plus restreint.

Quel est donc le fondement juridique de la souveraineté numérique au Canada? Pour répondre, il faut distinguer trois éléments : les règles que le gouvernement fédéral s’applique à lui-même, les lois applicables aux entreprises privées et les choix commerciaux des organisations en matière de contrôle et de mise en œuvre de leurs droits.

Les règles d’Ottawa pour ses propres technologies

Le gouvernement fédéral a élaboré plusieurs instruments internes. Son Cadre de souveraineté numérique de 2025 définit la souveraineté numérique comme la capacité du gouvernement d’exercer son autonomie à l’égard de son infrastructure numérique, de ses données et de sa propriété intellectuelle, peu importe où ces technologies sont développées, hébergées ou prises en charge.² Le cadre reconnaît ses limites. Il constate qu’une souveraineté numérique complète est impossible dans un monde numérique interconnecté et précise qu’il vise à fournir un cadre de référence plutôt qu’à instaurer de nouvelles exigences.

Les règles de résidence des données sont plus précises. Les données électroniques fédérales classées Protégé B, Protégé C ou Classifié doivent être conservées dans une installation informatique approuvée par le gouvernement et située au Canada, sans que le fournisseur lui-même doive être canadien.³ Cette exigence figure désormais dans la Directive sur les services et le numérique du Conseil du Trésor.⁴

Le gouvernement a également précisé que l’emplacement n’est qu’un aspect de la question. Son livre blanc sur la souveraineté des données indique que tant qu’un fournisseur infonuagique exerçant ses activités au Canada est soumis aux lois d’un pays étranger, le Canada n’aura pas une pleine souveraineté sur ses données.⁵

« Un centre de données à Montréal vous indique où dorment vos données. Il ne vous indique pas quelles lois peuvent les réveiller », explique Vanessa Henri, LL.M., associée directrice.

Ces instruments régissent les institutions fédérales. Les fondateurs qui vendent au gouvernement doivent s’attendre à les retrouver dans les exigences d’approvisionnement et les contrats, mais ils ne s’étendent pas à toutes les entreprises canadiennes.

Pour les entreprises privées, la responsabilité en matière de vie privée est le point de départ

Les lois canadiennes sur la protection des renseignements personnels n’interdisent pas de recourir à des fournisseurs étrangers. Elles rendent les organisations responsables de ce choix.

Selon la loi fédérale applicable au secteur privé, les organisations peuvent transférer des renseignements personnels à des tiers pour traitement, mais doivent recourir à des moyens contractuels ou autres afin d’assurer un degré comparable de protection pendant le traitement.⁶ Cela n’interdit pas les transferts à des organisations situées dans d’autres territoires.

L’Alberta ajoute une exigence de transparence. Sa loi sur la protection des renseignements personnels dans le secteur privé oblige les organisations à informer les personnes lorsqu’elles recourent à un fournisseur situé à l’extérieur du Canada pour recueillir ou traiter leurs renseignements personnels.⁷

Le Québec va plus loin. L’article 17 de sa loi sur la protection des renseignements personnels dans le secteur privé exige une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements personnels à l’extérieur de la province, y compris vers une autre province canadienne.⁸ Les renseignements ne peuvent être communiqués que si l’évaluation établit qu’ils bénéficieraient d’une protection adéquate, et la communication doit faire l’objet d’une entente écrite tenant compte des résultats de cette évaluation.

Les définitions comptent aussi. La loi québécoise inclut expressément l’utilisation non autorisée de renseignements personnels dans sa définition d’un incident de confidentialité. Les contrats de fournisseurs rédigés pour d’autres régimes peuvent ne pas refléter cette définition, quelle que soit la nationalité du fournisseur.

Ces règles rendent la juridiction et les mesures de protection pertinentes pour chaque décision technologique. Elles ne démontrent ni que les fournisseurs canadiens sont automatiquement conformes ni que les fournisseurs étrangers présentent intrinsèquement plus de risques.

Les recours locaux et la mise en œuvre des droits

Les lois sur la protection des consommateurs montrent l’importance que le droit canadien accorde à la possibilité de faire respecter ses droits localement. La Loi sur la protection du consommateur du Québec interdit notamment les clauses obligeant les consommateurs à soumettre un différend à l’arbitrage ou restreignant leur droit de s’adresser aux tribunaux.⁹ La législation ontarienne sur la protection des consommateurs prévoit des protections similaires.¹⁰

Ces règles protègent les consommateurs, pas les fondateurs qui achètent des services infonuagiques. Elles reflètent toutefois une logique plus large qui influence aussi les décisions d’affaires. Un cocontractant ayant une présence et des actifs au Canada, et connaissant les règles canadiennes, peut réduire les difficultés lorsqu’un différend survient ou qu’une autorité pose des questions. C’est l’une des raisons pour lesquelles certaines organisations préfèrent des fournisseurs locaux. Ce n’est pas une garantie : la nationalité seule n’assure ni une meilleure conformité ni un meilleur résultat.

Une précision sur les infrastructures essentielles

La Loi sur la protection des cybersystèmes essentiels a reçu la sanction royale le 15 juin 2026, mais n’est pas encore en vigueur.¹¹ Lorsque les dispositions pertinentes entreront en vigueur et que les exploitants seront désignés, elle obligera les exploitants désignés de secteurs sous réglementation fédérale, notamment la finance, les télécommunications, l’énergie et le transport, à gérer les risques de cybersécurité, y compris ceux liés à la chaîne d’approvisionnement et aux tiers. Ces évaluations s’appliqueront tant aux fournisseurs canadiens qu’aux fournisseurs étrangers. La loi n’établit pas que les fournisseurs étrangers sont plus risqués et n’impose pas de fournisseurs canadiens.

Les limites des obligations de souveraineté

Le droit commercial international influence également le débat. Dans l’Accord Canada–États-Unis–Mexique, le Canada s’est généralement engagé à ne pas exiger des personnes visées qu’elles utilisent ou situent des installations informatiques au Canada comme condition pour y exercer leurs activités, sous réserve du champ d’application de l’accord et de l’exception relative aux objectifs légitimes de politique publique.¹² Cela limite les obligations de souveraineté, sans exclure toutes les exigences nationales. Pour les fondateurs, il demeure nécessaire de distinguer les exigences juridiques et celles des clients des préférences commerciales pour des technologies locales.

Une question d’adéquation, pas d’allégeance

Les organisations qui examinent leurs options soulèvent généralement les mêmes questions pratiques :

1. Quelles règles s’appliquent à nous? Tenez compte des lois sur la protection des renseignements personnels, des règles sectorielles et des exigences de vos clients, surtout ceux du secteur public.
2. Qui peut accéder à nos données? La résidence des données et la juridiction sont deux questions distinctes.
3. Que pouvons-nous négocier? Examinez la responsabilité, les droits d’audit, les définitions d’incident, la restitution des données et les conditions de sortie.
4. Qui détient les clés? L’approche du gouvernement fédéral lui-même prévoit de conserver le contrôle exclusif des clés de chiffrement des données protégées hébergées dans le nuage.
5. Pouvons-nous partir? Il est plus facile de préparer un plan de sortie avant d’en avoir besoin.

« Si vous ne pouvez pas le négocier, l’auditer ou en sortir, vous ne le contrôlez pas », explique Sidy Juste, avocat en droit des technologies.

Les réponses peuvent favoriser un fournisseur canadien, un fournisseur étranger ou une combinaison des deux. L’essentiel est que le choix soit éclairé, documenté et justifiable.

Cet article fournit des renseignements généraux et ne constitue pas un avis juridique.