Où sont conservés mes documents signés?
La réponse courte
Les documents signés sont conservés là où votre fournisseur, ou le nuage qu’il utilise, les garde, et ce n’est pas toujours au Canada. La LPRPDE n’interdit pas de traiter des renseignements personnels à l’étranger, mais vous en restez responsable et devez en informer les personnes; le Québec exige d’une entreprise une évaluation des facteurs relatifs à la vie privée avant qu’ils ne quittent la province. Certaines règles du secteur public, comme en Nouvelle-Écosse, exigent le stockage au Canada : demandez à tout fournisseur où sont gardés les documents, les sauvegardes et les pistes d’audit.
Ce qu’on entend par résidence des données
La résidence des données, c’est l’endroit où les données sont conservées et traitées. Pour un service de signature électronique, cela dépasse le PDF signé : il y a aussi les documents téléversés, la piste d’audit et le certificat, les sauvegardes, ainsi que les noms et adresses courriel de tous les signataires. Chacun peut se trouver à un endroit différent, géré par une entreprise différente.
Ce que demande la loi fédérale
Selon le principe de responsabilité de la LPRPDE, une organisation est responsable des renseignements personnels qu’elle a en sa possession ou sous sa garde, y compris ceux qu’elle confie à une tierce partie aux fins de traitement, et elle doit, par voie contractuelle ou autre, assurer un degré comparable de protection pendant ce traitement (annexe 1, article 4.1.3).
Le Commissariat à la protection de la vie privée du Canada explique que la LPRPDE n’interdit pas aux organisations du Canada de transférer des renseignements personnels à une organisation dans un pays étranger aux fins de traitement, et que ce transfert constitue une utilisation des renseignements, et non une communication. Le moyen principal d’assurer cette protection, précise-t-il, est la voie contractuelle.
Il ajoute que les organisations doivent aviser leurs consommateurs, de façon claire et compréhensible, que leurs renseignements peuvent être traités à l’étranger et que les autorités de ce pays pourraient y avoir accès.
L’ouverture est aussi un principe : une organisation doit rendre facilement accessibles des renseignements sur ses politiques et ses pratiques de gestion des renseignements personnels (annexe 1, article 4.8). Notre guide sur la LPRPDE et la signature électronique en dit plus sur ces principes.
Ce que demande le Québec
Avant de communiquer un renseignement personnel à l’extérieur du Québec, ou de confier à une personne ou à un organisme à l’extérieur du Québec la tâche de le conserver pour son compte, une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée, et la communication doit faire l’objet d’une entente écrite (Loi sur la protection des renseignements personnels dans le secteur privé, art. 17).
La Commission d’accès à l’information précise que cela vise la communication à une entité située à l’extérieur du Québec, tant dans une autre province qu’à l’étranger.
Lors de la collecte, l’entreprise doit aussi informer la personne, le cas échéant, de la possibilité que les renseignements soient communiqués à l’extérieur du Québec (art. 8). Notre guide sur la signature électronique au Québec en dit plus sur ces règles.
Les organismes publics : quand le stockage au Canada est la règle
Certaines lois du secteur public vont plus loin. Deux exemples, tirés des lois elles-mêmes :
- Nouvelle-Écosse : la Personal Information International Disclosure Protection Act oblige les organismes publics, et leurs fournisseurs de services, à veiller à ce que les renseignements personnels dont ils ont la garde ou le contrôle soient conservés et consultés seulement au Canada, sauf si la personne y a consenti, si c’est pour une communication que la loi permet, ou si le dirigeant de l’organisme l’a autorisé pour répondre à ses besoins opérationnels (art. 2 et 5). Une nouvelle Freedom of Information and Protection of Privacy Act (2025, c. 13) doit entrer en vigueur le 1er avril 2027.
- Colombie-Britannique : la Freedom of Information and Protection of Privacy Act de la province obligeait les organismes publics à veiller à ce que les renseignements personnels soient conservés et consultés seulement au Canada (ancien art. 30.1). Cet article a été abrogé le 25 novembre 2021, et un organisme public peut maintenant communiquer des renseignements personnels hors du Canada seulement conformément aux règlements, s’il y en a, pris par le ministre (art. 33.1).
Ces règles visent les organismes publics et ceux qui les servent. Une entreprise privée peut quand même exiger le stockage au Canada dans son contrat avec un fournisseur.
Les questions à poser à tout fournisseur
Posez les mêmes questions à chaque fournisseur, par écrit :
- Où sont conservés les documents, et où sont les sauvegardes?
- Où sont gardés la piste d’audit et le certificat d’achèvement?
- Où vont les noms et les adresses courriel des signataires, par exemple vers un service d’envoi de courriels?
- Qui exploite le service, et où cette entreprise est-elle établie?
- Quelles autres entreprises (sous-traitants) traitent les données, et dans quels pays?
- L’emplacement est-il inscrit au contrat, ou seulement décrit comme le fonctionnement actuel du service?
- L’emplacement dépend-il de votre forfait ou de votre compte?
La place de Maple eSign
Maple eSign répond à ces questions comme le prévoit sa politique de confidentialité (version 1.4) :
- L’application, sa base de données, le stockage des documents et les sauvegardes de la base de données sont dans la région de Montréal de Google Cloud (northamerica-northeast1).
- Maple eSign est de propriété canadienne, exploité par Scrawlr Development Inc. à Vancouver, en Colombie-Britannique.
- Les courriels passent par Postmark, à partir de serveurs situés aux États-Unis. Selon le courriel, Postmark reçoit des noms, des adresses courriel, le titre du document et le lien de signature; les documents ne sont pas joints.
- Le site public est servi par le réseau mondial de Cloudflare, et la connexion avec Google est facultative.
- Un lieu d’hébergement n’est pas une garantie contractuelle de résidence des données.
Sources
Textes officiels seulement. Chaque lien ouvre la loi elle-même ou la page de l’organisme public.
- Loi sur la protection des renseignements personnels et les documents électroniques, annexe 1La responsabilité pour les renseignements confiés à une tierce partie, et l’ouverture (4.1.3 et 4.8).
- Commissariat à la protection de la vie privée du Canada, Transfert transfrontalier de renseignements personnelsLes transferts aux fins de traitement, les contrats et l’avis aux personnes.
- Loi sur la protection des renseignements personnels dans le secteur privé (Québec)L’évaluation des facteurs relatifs à la vie privée et l’information à la collecte (art. 8 et 17).
- Commission d’accès à l’information, Utilisation et communication de renseignements personnelsLa communication hors du Québec vise aussi les autres provinces.
- Personal Information International Disclosure Protection Act (Nouvelle-Écosse) (en anglais)Le stockage et l’accès seulement au Canada, et les exceptions (art. 2 et 5).
- Proclamations of Nova Scotia Statutes (en anglais)La nouvelle Freedom of Information and Protection of Privacy Act entre en vigueur le 1er avril 2027.
- Freedom of Information and Protection of Privacy Act (Colombie-Britannique), partie 3 (en anglais)La communication hors du Canada aujourd’hui (art. 33.1) et l’abrogation de l’art. 30.1.
- Freedom of Information and Protection of Privacy Act (Colombie-Britannique), version dans le temps (en anglais)L’ancienne règle de stockage (art. 30.1) et la date de son abrogation.