Résidence des données et transfert transfrontalier, en termes clairs

Où résident physiquement les données

La réponse simple est que les données traitées par la prestation canadienne restent en Amérique du Nord. Elles sont traitées par des équipes en Ontario, au Québec et en Alberta, et lorsque vous l'exigez, les données d'un mandat québécois restent au Québec. Elles ne traversent pas un océan et ne transitent pas par des territoires auxquels vos clients s'opposeraient. Ce seul fait élimine l'objection qui met fin à bien des discussions sur l'impartition lointaine, parce que les données n'ont pas quitté le continent où se trouvent votre entreprise et vos clients.

L'emplacement physique ne concerne pas seulement le pays sur une carte. Il concerne les lois qui régissent les données, les tribunaux qui ont prise sur elles et qui peut en contraindre la divulgation. Parce que la prestation canadienne garde les données au Canada sous le droit canadien, la réponse à chacune de ces questions est familière et prévisible pour un acheteur américain, plutôt qu'une inconnue qu'une équipe de sécurité doit examiner à partir de zéro.

La LPRPDE et comment elle rejoint les attentes américaines

La Loi sur la protection des renseignements personnels et les documents électroniques, la LPRPDE, est la loi fédérale canadienne sur la protection de la vie privée dans le secteur privé. Elle régit la façon dont les organisations recueillent, utilisent et communiquent des renseignements personnels dans le cadre d'une activité commerciale. Ses exigences fondamentales paraîtront familières à tout professionnel américain de la vie privée ou de la sécurité : obtenir le consentement, limiter la collecte et l'utilisation à des fins déterminées, protéger les renseignements par des mesures proportionnelles à leur sensibilité, les tenir exacts, permettre aux personnes d'accéder à leurs propres données, être responsable des renseignements traités par un fournisseur de services pour votre compte et déclarer les atteintes qui présentent un risque réel.

Cette familiarité est l'avantage concret. Un questionnaire de sécurité américain s'articule autour du consentement, de la limitation des fins, des mesures de protection, de la gestion des atteintes et de la responsabilité du fournisseur, et la LPRPDE s'articule autour des mêmes idées. L'harmonisation consiste donc à documenter comment l'activité canadienne satisfait à chaque attente, non à réconcilier deux mondes juridiques incompatibles. Lorsque votre propre secteur ajoute des exigences, comme des règles sur les données de paiement, de santé ou financières, le cadre pertinent s'applique par-dessus la base de la LPRPDE et sa portée est confirmée sur demande.

Le Québec ajoute une deuxième couche. La Loi 25 du Québec est la loi sur la vie privée la plus exigeante au pays et s'applique aux mandats exécutés depuis le Québec. Elle renforce le consentement, exige des évaluations des facteurs relatifs à la vie privée dans des circonstances définies, resserre la notification des atteintes et ajoute des obligations concernant la décision automatisée et la communication de renseignements à l'extérieur du Québec. Là où la Loi 25 s'applique, nous l'appliquons, et le travail destiné au Québec est conçu pour la respecter plutôt qu'adapté après coup.

Comment un transfert transfrontalier est structuré

Certains mandats sont exécutés entièrement au Canada et aucune question de transfert ne se pose. D'autres recourent au mélange hybride, où une équipe canadienne de base prend en charge le travail sensible et la capacité du réseau mondial prend en charge le travail à fort volume qui n'a pas besoin d'être canadien. Lorsque des données sont soutenues depuis l'extérieur du Canada, le transfert est structuré et documenté avant la mise en service plutôt que laissé au hasard.

Structurer un transfert, c'est être explicite sur quatre choses : quelles catégories de données quittent le Canada, vers quels emplacements, sous quelles garanties contractuelles et avec quelles limites. Les tâches décisionnelles et réglementées restent au Canada. Le travail à fort volume et à faible sensibilité peut être soutenu depuis le réseau sous des garanties écrites qui lient l'emplacement récepteur à la même norme. La position est consignée, partagée avec votre équipe et reflétée dans le contrat, de sorte qu'il n'y a aucun écart entre ce qui a été convenu et ce qui se passe en pratique. Sous la LPRPDE, la responsabilité des renseignements personnels demeure à l'organisation qui détient la relation, et c'est pourquoi la position de transfert est documentée pour votre examen plutôt que présumée.

Ce que votre questionnaire de sécurité demandera

Le questionnaire de sécurité et de vie privée d'un acheteur américain est prévisible, et la prestation canadienne est conçue pour y répondre nettement. Voici les questions qui reviennent à presque chaque revue, avec la forme de la réponse.

Ce que ceci est et n'est pas

Cette page est une information générale destinée à aider un acheteur américain à cadrer tôt la question des données, non un avis juridique ni un substitut à votre propre conseiller en protection de la vie privée ou à une entente de traitement des données signée. Les précisions de tout mandat, y compris les engagements exacts de résidence, de transfert et de protection, sont énoncées dans le contrat et ses annexes et examinées par les deux parties. Ce à quoi nous nous engageons ici, c'est la transparence : la position est documentée et partagée avant la mise en service, jamais présumée après.