Qu'est-ce que le CLOUD Act

Le Clarifying Lawful Overseas Use of Data (CLOUD) Act est une loi fédérale américaine de 2018 qui permet aux forces de l'ordre et aux agences de renseignement américaines de contraindre les entreprises technologiques basées aux États-Unis à fournir des données stockées n'importe où dans le monde. Pour les organisations canadiennes qui évaluent le risque d'accès aux données par les États-Unis, ce seul fait change toute la conversation sur le choix d'un fournisseur infonuagique : les données détenues par un fournisseur américain demeurent accessibles aux autorités américaines, même si elles se trouvent physiquement sur des serveurs canadiens, et ce, sans surveillance d'un tribunal canadien.

Cette loi change fondamentalement la façon dont fonctionne la souveraineté des données à l'ère de l'infonuagique. Les suppositions traditionnelles voulant que les données stockées au Canada restent sous juridiction canadienne ne tiennent plus la route dès lors que ces données sont contrôlées par une entreprise américaine.

Comment ça fonctionne

Le CLOUD Act modifie le Stored Communications Act, en vertu du 18 U.S.C. § 2713, pour étendre l'autorité des mandats américains à l'échelle mondiale. Lorsque les agences américaines obtiennent un mandat, une assignation ou une ordonnance de tribunal, elles peuvent contraindre toute entreprise américaine à produire des données, peu importe l'endroit où elles sont stockées. Cela s'applique aux fournisseurs infonuagiques dont le siège social est aux États-Unis, ainsi qu'à leurs filiales partout dans le monde.

Une filiale canadienne d'un grand fournisseur infonuagique américain ne peut pas refuser un mandat américain valide, même pour des données stockées exclusivement dans un centre de données canadien.

La loi comprend des protections limitées par l'entremise d'une « analyse de courtoisie » en vertu du 18 U.S.C. § 2713(h), selon laquelle les fournisseurs peuvent contester une demande si le droit étranger interdit la divulgation. Dans les faits, ce processus favorise les priorités des autorités américaines et n'offre aucune protection garantie pour les données canadiennes. Les autorités américaines peuvent demander des données sans en aviser la personne concernée ni les autorités canadiennes, ce qui fait de l'accès secret la norme plutôt que l'exception.

Choisir un centre de données canadien ne change rien à qui détient les clés. Si la société mère est américaine, les données demeurent accessibles.

Conflits avec la LPRPDE et la Loi 25

La LPRPDE exige des organisations qu'elles obtiennent un consentement valable pour les transferts transfrontaliers, en vertu du principe 3 et de l'article 4.1.3 de l'annexe 1. Le CLOUD Act crée des situations où les organisations canadiennes ne peuvent tout simplement pas respecter cette obligation, puisque l'accès se produit en dehors de leur contrôle et souvent à leur insu.

Lorsque les autorités américaines accèdent à des renseignements personnels canadiens en vertu des pouvoirs du CLOUD Act, les personnes concernées ne sont généralement pas avisées. Ce silence va à l'encontre du principe 8 de la LPRPDE (transparence), qui exige des organisations qu'elles tiennent les personnes informées de la façon dont leurs renseignements sont recueillis et utilisés. Le Commissariat à la protection de la vie privée du Canada a souligné qu'une divulgation involontaire de ce type pourrait déclencher des obligations de notification d'incident en vertu de l'article 10.1 de la LPRPDE.

La Loi 25 du Québec hausse encore davantage les enjeux. L'article 17 exige un consentement explicite pour tout transfert transfrontalier de renseignements personnels, et l'article 63.1 impose une notification d'incident dans un délai de 72 heures suivant la prise de connaissance d'un incident de sécurité. Or, les demandes en vertu du CLOUD Act s'accompagnent fréquemment d'ordonnances de non-divulgation.

Cette combinaison est difficile à concilier. Une organisation établie au Québec ne peut pas informer un organisme de réglementation d'un accès qu'elle n'a légalement pas le droit de divulguer. Les violations de la Loi 25 peuvent entraîner des pénalités pouvant atteindre 25 000 000 $ ou 4 % du chiffre d'affaires mondial en vertu de l'article 93, et l'obligation connexe de mener une évaluation des facteurs relatifs à la vie privée, prévue à l'article 3.3, devient difficile à respecter lorsque l'organisation ne peut évaluer avec précision des risques qu'elle ne peut pas voir.

Les institutions fédérales font face à un problème parallèle. La Loi sur la protection des renseignements personnels exige la protection des renseignements personnels en vertu de l'article 6, et le recours à des fournisseurs infonuagiques américains pour des charges de travail fédérales peut exposer ces données à un accès étranger sans surveillance canadienne — une tension que le Centre de la sécurité des télécommunications a d'ailleurs soulignée dans ses lignes directrices sur la sécurité infonuagique.

L'application dans la pratique

Les autorités américaines ont fait un usage important des pouvoirs du CLOUD Act depuis 2018. Les rapports de transparence publics des grands fournisseurs infonuagiques et de communications américains font état de milliers de demandes de données des forces de l'ordre traitées chaque année, dont une partie concerne des données stockées physiquement à l'extérieur des États-Unis, y compris au Canada. Les fournisseurs sont souvent empêchés, par des ordonnances de non-divulgation, de préciser combien de ces demandes touchaient des données détenues au Canada — ce qui constitue en soi une partie du problème : les organisations qui dépendent de ces fournisseurs ne peuvent pas vérifier leur propre niveau d'exposition.

Les forces de l'ordre canadiennes ont soulevé une préoccupation connexe. Dans des témoignages parlementaires, des représentants de la GRC ont noté que les procédures du CLOUD Act se déroulent en dehors du cadre établi des traités d'entraide juridique (TEJ), qui a été conçu pour offrir un accès réciproque et supervisé par les tribunaux entre pays alliés. Le CLOUD Act contourne entièrement cette structure.

Les enquêtes sur les rançongiciels illustrent bien ce phénomène. Des fournisseurs américains peuvent être contraints de produire des données appartenant à des victimes canadiennes, stockées dans des installations canadiennes, dans le cadre d'une enquête criminelle américaine. L'objectif d'application de la loi peut être légitime. Mais la réalité juridictionnelle — soit que les données canadiennes demeurent assujetties à l'autorité américaine peu importe leur lieu de stockage — ne change pas pour autant.

Des exemptions limitées

Le CLOUD Act comprend des exemptions limitées qui s'appliquent rarement aux usages commerciaux courants. L'analyse de courtoisie prévue au § 2713(h) favorise fortement les besoins d'application de la loi américaine au détriment des intérêts étrangers en matière de protection de la vie privée. Les gouvernements admissibles peuvent négocier des accords exécutifs en vertu du 18 U.S.C. § 2523 pour obtenir des protections supplémentaires, mais le Canada n'en a pas négocié un, et ces accords tendent de toute façon à privilégier la coopération policière plutôt que la protection de la vie privée des citoyens.

Aucune catégorie de données n'est exemptée en fonction de sa sensibilité.

Les dossiers financiers, les renseignements de santé, les communications juridiques et les données gouvernementales sont tous accessibles s'ils se trouvent chez un fournisseur contrôlé par les États-Unis. Aucune mesure de sécurité technique ne change cette réalité.

Le chiffrement, les contrôles d'accès et l'emplacement physique partent tous du principe que la menace est externe. Le CLOUD Act fonctionne par le contrôle corporatif, pas par le périmètre réseau.

Les clauses contractuelles exigeant qu'un fournisseur avise un client d'une demande gouvernementale semblent rassurantes, mais elles deviennent inapplicables dès que le droit américain impose la non-divulgation en vertu du 18 U.S.C. § 2705(b). Un contrat ne peut pas prévaloir sur une ordonnance de non-divulgation.

Bâtir une infrastructure d'IA souveraine

Les organisations canadiennes reconnaissent de plus en plus qu'une véritable souveraineté des données exige une infrastructure libre de toute autorité légale américaine, et pas seulement une infrastructure physiquement située en sol canadien. Cette prise de conscience alimente la demande pour des solutions technologiques détenues par des intérêts canadiens à tous les niveaux, et l'enjeu est encore plus important pour les systèmes d'IA, qui tendent à traiter des volumes de renseignements personnels et exclusifs plus importants qu'un outil infonuagique typique.

Augure s'attaque directement à cet enjeu. L'entreprise est détenue à 100 % par des intérêts canadiens, sans investisseurs américains, les données des clients sont stockées au Canada, et le traitement par IA ne transite jamais par des fournisseurs relevant de la juridiction américaine. Le contenu des clients échappe donc à la portée du CLOUD Act, puisqu'il n'y a aucune entité contrôlée par les États-Unis dans la chaîne qui pourrait être contrainte à divulguer des données.

Cet enjeu est particulièrement important dans les secteurs réglementés. Les équipes juridiques qui révisent des contrats, les organisations de santé qui traitent des dossiers de patients et les institutions financières qui gèrent des données clients ont toutes besoin d'une infrastructure qui respecte le principe 7 de la LPRPDE (mesures de sécurité) et l'article 8 de la Loi 25, sans introduire de risque d'exposition au droit américain. La même logique s'applique aux déploiements dans le secteur public — voir notre article sur les exigences d'évaluation des facteurs relatifs aux algorithmes pour les projets du gouvernement de la Colombie-Britannique pour comprendre comment cet enjeu se manifeste dans les processus d'approvisionnement.

Les outils propres à chaque secteur rendent la question de la souveraineté concrète plutôt qu'abstraite. Nos guides sur les outils d'IA pour le travail réglementé en santé, le travail réglementé en pharmaceutique et le travail réglementé au gouvernement ramènent tous à la même exigence fondamentale : savoir qui contrôle l'entité qui pourrait recevoir un mandat.

Les modèles d'Augure, adaptés au contexte canadien, sont conçus en tenant compte de ce contexte réglementaire local, notamment des obligations de la LPRPDE et de la Loi 25, ce qui importe pour les organisations qui ont besoin que l'adoption de l'IA s'harmonise avec leurs programmes de conformité existants plutôt que d'entrer en conflit avec eux.

Implications stratégiques

Les organisations devraient traiter l'exposition au CLOUD Act comme un élément permanent de leur gestion des risques, et non comme une question juridique ponctuelle. Elle touche à la fois les obligations de conformité immédiates et le positionnement stratégique à plus long terme.

Pour les secteurs juridique, de la santé, des services financiers et pour les fournisseurs du gouvernement, l'exposition au CLOUD Act peut entrer en conflit avec les obligations de confidentialité envers les clients ou avec les exigences d'habilitation de sécurité prévues par la Loi sur la protection de l'information. Ces secteurs ont de plus en plus besoin de solutions souveraines, autant pour l'infonuagique que pour les services d'IA — une logique similaire à celle qui s'applique aux outils d'IA pour le travail réglementé en éducation, où les données des étudiants comportent elles-mêmes des obligations de protection de la vie privée à plusieurs niveaux.

L'exposition concurrentielle constitue un enjeu distinct, mais connexe. Les entreprises canadiennes qui font concurrence à des entreprises américaines font face à une asymétrie : leurs données sensibles demeurent accessibles aux autorités américaines en vertu des pouvoirs du CLOUD Act, alors que leurs concurrents américains ne font face à aucune exposition équivalente envers les autorités canadiennes.

Les secrets commerciaux d'une entreprise canadienne ne sont qu'à une assignation de se retrouver sur le bureau d'un régulateur américain, s'ils se trouvent chez un fournisseur infonuagique contrôlé par les États-Unis. Ce n'est pas un risque hypothétique — c'est exactement ainsi que la loi a été conçue pour fonctionner.

Les arguments de marketing vantant des « centres de données canadiens » ne signifient pas grand-chose si la société mère est américaine. Les organisations soucieuses de la protection de la vie privée, tout comme leurs clients, commencent à poser la question suivante : qui est le propriétaire de l'entreprise qui possède les serveurs?

---

Le CLOUD Act représente un changement structurel dans l'accès transfrontalier aux données, étendant l'autorité légale américaine par l'entremise de la propriété corporative plutôt que de la juridiction territoriale. Les organisations canadiennes ne peuvent pas atteindre une véritable souveraineté des données tant qu'elles dépendent d'une infrastructure contrôlée par les États-Unis, peu importe l'endroit physique où se trouvent les serveurs.

Comprendre ces implications devrait guider les décisions d'approvisionnement technologique de façon à respecter la LPRPDE, la Loi 25 et les objectifs plus larges en matière de souveraineté. Pour en savoir plus sur la façon dont les organismes de réglementation canadiens en matière de protection de la vie privée réagissent aux risques liés aux données transfrontalières en général, consultez les lignes directrices du Commissariat à la protection de la vie privée du Canada sur le transfert de renseignements personnels au-delà des frontières.

Pour les organisations prêtes à explorer des solutions d'IA souveraines, Augure offre des capacités de calibre entreprise tout en stockant les données des clients au Canada et en maintenant une indépendance légale complète par rapport à la juridiction américaine. Pour en savoir plus, visitez augureai.ca.