Renseignements personnels hors Québec : la règle tient

Anthropic a signé le 16 octobre 2026 le bail de son premier centre de données canadien, à Point Tupper, en Nouvelle-Écosse, avec l’entreprise énergétique EverWind. L’annonce sera lue par bien des dirigeants québécois comme une réponse à une inquiétude de conformité. Elle ne l’est pas. Pour une entreprise exploitée au Québec, un serveur situé en Nouvelle-Écosse se trouve à l’extérieur du Québec, et l’obligation d’évaluation prévue à l’article 17 de la Loi sur le privé s’applique exactement comme avant.

Ce que le bail dit, et ce qu’il ne dit pas

Les faits annoncés sont industriels. Le campus doit atteindre 420 mégawatts, dont une première phase de 95 mégawatts prévue pour la fin de 2027, suivie de 325 mégawatts en 2028, sous réserve de conditions commerciales, techniques et réglementaires. EverWind annonce un investissement de plus de 10 milliards de dollars canadiens, dont 2 milliards pour des projets éoliens terrestres néo-écossais. Le chantier représenterait environ 2 000 emplois de construction et 215 emplois permanents.

Le responsable des politiques publiques d’Anthropic au Canada, Jacob Glick, décrit un projet qui rapproche l’infrastructure de l’entreprise des personnes qui utilisent ses services, et rappelle que celle-ci a adhéré aux principes fédéraux de développement responsable des centres de données.

Ce qui n’apparaît dans aucune des sources consultées est précisément ce qui intéresserait un juriste : aucun engagement de résidence des données, aucune indication sur le lieu où seront traitées les requêtes des clients canadiens, et aucune date antérieure à la fin de 2027 pour une mise en service. Un bail n’est pas une politique de traitement des données.

« À l’extérieur du Québec » ne signifie pas « à l’étranger »

L’article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé, dans sa version en vigueur depuis le 22 septembre 2023, impose une évaluation des facteurs relatifs à la vie privée avant de communiquer un renseignement personnel « à l’extérieur du Québec ». Le texte n’emploie ni « hors Canada » ni « à l’étranger ». La même règle vaut lorsqu’une entreprise confie à l’extérieur du Québec la collecte, l’utilisation, la communication ou la conservation de tels renseignements pour son compte — ce qui décrit l’hébergement infonuagique.

La Commission d’accès à l’information ne laisse aucune ambiguïté sur la portée géographique : sur sa page destinée aux entreprises privées, elle écrit que ces obligations visent la communication tant interprovinciale qu’internationale. Un transfert vers l’Ontario, l’Alberta ou la Nouvelle-Écosse est une communication de renseignements personnels hors Québec au sens de la loi.

La communication n’est permise que si l’évaluation démontre que les renseignements bénéficieraient d’une protection adéquate, et elle doit faire l’objet d’une entente écrite. Le guide de la Commission, dans sa version d’avril 2024, précise qui porte cette charge : c’est l’organisation détentrice des renseignements personnels qui a la responsabilité de réaliser l’évaluation. Le fournisseur peut y contribuer ; il ne s’en acquitte pas à la place du client.

Facteur de l’évaluation (art. 17)	Ce qu’un hébergement canadien change
La sensibilité du renseignement	Rien : elle dépend des données, pas du bâtiment
La finalité de son utilisation	Rien : elle dépend du contrat et de l’usage
Les mesures de protection, y compris contractuelles	Possiblement quelque chose, si le contrat le prévoit
Le régime juridique applicable dans l’État destinataire	Le droit du lieu change ; celui du prestataire, pas nécessairement

Le facteur que la géographie ne règle pas

C’est le quatrième facteur qui résiste. L’évaluation doit tenir compte du régime juridique applicable là où le renseignement serait communiqué, et ce régime ne se réduit pas à la loi du lieu où tourne le serveur.

Le Commissariat à la protection de la vie privée du Canada le formule sans détour dans sa page sur l’externalisation, modifiée le 14 septembre 2026 : les renseignements personnels détenus par un fournisseur étranger sont assujettis aux lois du pays de celui-ci, et « aucun contrat ne peut les soustraire à cette exigence ». Le Commissariat ajoute qu’une organisation doit expliquer aux individus, idéalement au moment de la collecte, que leurs renseignements peuvent être traités à l’étranger et devenir accessibles aux autorités d’un autre pays.

Déplacer le matériel ne déplace donc pas automatiquement la totalité du risque juridique. C’est une question à documenter dans l’évaluation, pas à régler par une annonce.

Une obligation sans sanction administrative, mais pénale

Un détail du régime de sanctions mérite d’être relevé, parce qu’il surprend. L’article 90.1 de la même loi, qui habilite la Commission à imposer des sanctions administratives pécuniaires, énumère les manquements visés : les articles 7, 8, 10, 12.1 et 70 à 79.1, ainsi que certains manquements liés aux incidents de confidentialité. L’article 17 n’y figure pas.

La sanction se trouve ailleurs. L’article 91 fait une infraction du fait de communiquer des renseignements personnels en contravention de la loi, et prévoit pour une personne morale une amende de 15 000 $ à 25 000 000 $ ou, s’il est plus élevé, un montant correspondant à 4 % du chiffre d’affaires mondial de l’exercice précédent. Les amendes sont doublées en cas de récidive, et la Commission peut intenter une poursuite pénale dans les cinq ans de l’infraction. Le manquement à l’obligation d’évaluation n’expose donc pas à une amende administrative de 10 millions de dollars, mais à une poursuite pénale dont le plafond est plus élevé encore.

Aucune décision de la Commission appliquant l’article 17 à une entreprise n’a été repérée dans les sources consultées. L’obligation a trois ans ; sa jurisprudence reste à écrire.

Ce que les principes fédéraux encadrent réellement

L’adhésion d’Anthropic aux principes canadiens de développement responsable des centres de données ne comble pas cet espace. Ces cinq principes, publiés par Innovation, Sciences et Développement économique Canada, portent sur les retombées locales, les coûts d’électricité, l’eau et l’environnement, la transparence sur les impacts locaux et la valeur stratégique pour le Canada. Aucun n’impose d’exigence de résidence des données, et la vie privée n’y apparaît qu’en marge. Le cinquième principe évoque des protections juridiques canadiennes pour les installations traitant des données sensibles, des services publics ou des infrastructures critiques, sans créer d’obligation à l’égard des clients.

Le droit fédéral n’offre pas davantage de raccourci : la Loi sur la protection des renseignements personnels et les documents électroniques ne prévoit pas d’évaluation préalable comparable, et le Commissariat rappelle qu’aucune disposition n’interdit l’externalisation du traitement. L’écart avec le Québec n’est pas de degré, il est de nature.

Reste la question pratique. Une entreprise québécoise qui utilise un service d’intelligence artificielle américain devra, le jour où ce service sera servi depuis la Nouvelle-Écosse, refaire son évaluation plutôt que de la ranger. Le facteur géographique aura changé ; les trois autres, non.

Note sur ce contenu. Cet article a été rédigé par un journaliste humain du Juridhic, épaulé par les outils d’intelligence artificielle de la rédaction, sous la supervision et la responsabilité éditoriale de la rédaction humaine du Juridhic. Nous visons la plus grande rigueur, mais des erreurs peuvent subsister. Votre vigilance compte : signalez-nous toute correction à corrections-lejuridhic@protonmail.ch.