Données transfrontalières et droit canadien de la vie privée : ce que dit vraiment la LPRPDE

Réponse courte : non. La LPRPDE — la loi fédérale canadienne sur la protection des renseignements personnels dans le secteur privé — n'interdit pas à une entreprise d'utiliser un service qui traite des renseignements personnels à l'extérieur du Canada. Le Commissariat à la protection de la vie privée du Canada (CPVP) considère le transfert de données à un tiers à des fins de traitement comme une utilisation de ces données, et non comme une communication qui exigerait un nouveau consentement. Ce que la loi exige, c'est la responsabilité : vous demeurez responsable des renseignements, vous devez assurer un niveau de protection comparable par contrat, et vous devez faire preuve de transparence envers les personnes en indiquant que leurs données peuvent être traitées à l'étranger. La résidence des données au Canada est un choix légitime qu'une entreprise peut faire — mais ce n'est pas ce que la loi exige.

Cet article présente de l'information générale destinée aux propriétaires et exploitants d'entreprises canadiennes. Il ne constitue pas un avis juridique. Pour toute décision ayant des conséquences juridiques, consultez un avocat qualifié en matière de protection de la vie privée.

D'où vient le mythe du « ça doit rester au Canada »

Beaucoup de fournisseurs présentent la « résidence des données au Canada » comme si la LPRPDE obligeait chaque entreprise à conserver les renseignements personnels en sol canadien. C'est un bon argument de vente. Ce n'est pas un énoncé exact du droit.

La LPRPDE repose sur dix principes relatifs à l'équité dans le traitement de l'information, énoncés à son annexe 1. Celui qui nous intéresse ici est le principe 1 — la responsabilité. Il prévoit qu'une organisation est responsable des renseignements personnels dont elle a la gestion, y compris les renseignements qui ont été transférés à un tiers aux fins de traitement. Le CPVP a maintenu une position constante sur ce point dans ses lignes directrices publiées : un transfert à des fins de traitement est une utilisation, et il n'exige pas de consentement supplémentaire, pourvu que les renseignements soient utilisés uniquement aux fins pour lesquelles ils ont été recueillis à l'origine.

Autrement dit, la question que pose la loi n'est pas « où se trouvent physiquement les données? ». C'est plutôt « en êtes-vous toujours responsable, et les avez-vous protégées? »

Ce qu'exige concrètement la responsabilité

Si vous confiez des renseignements personnels à un sous-traitant — un hébergeur infonuagique, un outil d'analyse, un service d'IA —, les lignes directrices du CPVP dégagent trois obligations concrètes.

1. Une protection comparable, par contrat

Vous devez recourir à des moyens contractuels ou autres pour assurer un niveau de protection comparable pendant que les renseignements sont traités par le tiers. C'est ici qu'une entente de traitement des données prend toute sa valeur : mesures de sécurité, limitation des fins, notification des atteintes, encadrement des sous-traitants ultérieurs et modalités de suppression. « Comparable » ne veut pas dire « identique au droit canadien » — cela signifie que la protection suit les données.

2. La transparence

Vous devriez faire preuve d'ouverture au sujet de vos pratiques, y compris le fait que des renseignements personnels peuvent être envoyés vers un autre territoire à des fins de traitement et que, pendant qu'ils s'y trouvent, ils peuvent être accessibles aux tribunaux, aux forces de l'ordre et aux autorités de sécurité nationale de ce pays. La divulgation honnête — souvent les États-Unis — a sa place dans votre politique de confidentialité, formulée en langage clair. La position de longue date du CPVP est que le mécanisme de protection ici est la transparence, et non une obligation de résidence des données.

3. Une responsabilité continue

La responsabilité n'est pas la simple signature d'un contrat unique. On s'attend à ce que vous désigniez une personne responsable de la conformité en matière de protection de la vie privée, que vous évaluiez vos sous-traitants et que vous soyez en mesure de répondre de ce qu'il advient des données. Si votre fournisseur les traite mal, la responsabilité vous revient tout de même.

Remplissez ces trois obligations et le traitement transfrontalier s'inscrit tout à fait dans ce que permet la LPRPDE. L'adoption progresse rapidement — Statistique Canada a indiqué que 19,2 % des entreprises canadiennes ont utilisé l'IA au deuxième trimestre de 2026, en hausse par rapport à 6,1 % au deuxième trimestre de 2024 —, de sorte que de plus en plus d'exploitants font face à cette question chaque trimestre.

Le Québec est plus strict — mais ne l'interdit pas non plus

Si vous traitez les renseignements personnels de personnes au Québec, la loi provinciale modernisée sur la protection des renseignements personnels dans le secteur privé (couramment appelée Loi 25, administrée par la Commission d'accès à l'information, la CAI) ajoute des exigences que la LPRPDE ne prévoit pas.

Avant de communiquer des renseignements personnels à l'extérieur du Québec, une entreprise doit réaliser une évaluation des facteurs relatifs à la vie privée qui tient compte, notamment, de la sensibilité des renseignements, de la finalité, des mesures de protection et du cadre juridique du territoire de destination. Le transfert peut avoir lieu si l'évaluation démontre que les renseignements bénéficieraient d'une protection adéquate, et il doit faire l'objet d'une entente écrite. Notez la différence de cadrage : le Québec exige une évaluation documentée et un constat d'adéquation; il n'impose tout de même pas une interdiction pure et simple de la sortie des données hors de la province.

La Loi 25 a également du mordant. En plus des sanctions administratives pécuniaires, ses infractions pénales sont assorties d'amendes allant de 15 000 $ à 25 000 000 $ — ou, si ce montant est plus élevé, d'un montant correspondant à 4 % du chiffre d'affaires mondial de l'exercice financier précédent. L'exposition précise dépend de l'infraction et du régime; ce qu'il faut retenir pour les exploitants, c'est que les montants atteignent les dizaines de millions, ou un pourcentage du chiffre d'affaires mondial si celui-ci est plus élevé.

Une autre disposition québécoise qu'il vaut la peine de connaître : l'article 12.1, sur la décision automatisée. Si une entreprise prend une décision fondée exclusivement sur un traitement automatisé de renseignements personnels, elle doit en informer la personne et, sur demande, lui permettre de présenter ses observations. Des tâches courantes comme la prise d'un rendez-vous ou la réponse à un appel ne constituent généralement pas des « décisions exclusivement automatisées » ayant un effet juridique ou un effet important de nature similaire. La présélection, l'attribution de scores ou les décisions d'admissibilité sont bien plus susceptibles de déclencher l'application de l'article 12.1 — l'analyse dépend donc de ce que le système décide réellement, et non de la présence ou non d'une IA.

Qu'en est-il de la LIAD et du droit fédéral sur l'IA?

Vous avez peut-être lu que le Canada s'apprêtait à réglementer directement l'IA au moyen de la Loi sur l'intelligence artificielle et les données (LIAD), qui faisait partie du projet de loi C-27. Ce projet de loi est mort au feuilleton lors de la prorogation du Parlement en janvier 2025. La LIAD n'est pas une loi. En date de 2026, le véhicule fédéral de réforme de la protection de la vie privée et de l'IA est le projet de loi C-36, qu'il faut décrire comme un projet de loi à l'étude au Parlement — et non comme une loi adoptée. La loi fédérale en vigueur sur la protection des renseignements personnels dans le secteur privé demeure la LPRPDE. Planifiez en fonction du droit en vigueur aujourd'hui, et suivez l'évolution du projet de loi plutôt que de le tenir pour acquis.

Une liste de vérification pratique pour choisir un service d'IA

• Obtenez une entente de traitement des données qui engage le fournisseur à assurer une protection comparable, à limiter les fins et à notifier les atteintes.
• Sachez où se déroule le traitement et divulguez-le clairement dans votre politique de confidentialité — y compris le fait que les données peuvent être accessibles à des autorités étrangères.
• Réalisez une évaluation des facteurs relatifs à la vie privée si des renseignements personnels québécois sortent de la province, et conservez-la au dossier.
• Vérifiez ce que le système décide. S'il prend des décisions lourdes de conséquences sans intervention humaine, révisez vos obligations au titre de l'article 12.1 et du consentement.
• Attribuez la responsabilité à l'interne — désigner une personne responsable de la protection de la vie privée est une attente de la LPRPDE, et non un simple atout.

Ce que cela signifie pour un réceptionniste IA

Chez ALMA Intelligence, nous concevons des solutions d'IA pratiques pour les entreprises canadiennes, dont ALMATalk, notre réceptionniste IA qui répond aux appels et gère les rendez-vous en français et en anglais. La capacité bilingue est importante au Canada — elle soutient l'obligation d'une entreprise, en vertu de la Charte de la langue française du Québec, de servir et d'informer sa clientèle en français. Elle ne satisfait pas, à elle seule, à une règle légale précise sur la façon de répondre au téléphone; voyez-la plutôt comme un outil qui vous aide à respecter un devoir plus large de service en français.

La position honnête à laquelle nous nous tenons est la même que celle que nous donnerions à tout client : la conformité à la LPRPDE repose sur la responsabilité, la protection comparable et la transparence — et non sur un slogan de résidence des données. Demandez à tout fournisseur d'IA où vos données sont traitées et quel contrat les protège. Si la réponse est claire et que les mesures de protection sont réelles, le traitement transfrontalier est licite en vertu du droit canadien de la protection de la vie privée.