Blogue
Loi 25 : où sont hébergées vos données d'appel
La Loi 25 exige une évaluation avant toute communication hors Québec. Presque tous les systèmes infonuagiques la déclenchent, et presque aucun ne le dit.
John · Propriétaire et chef de la direction · 3 min de lecture · · mis à jour le
La Loi 25 exige une évaluation des facteurs relatifs à la vie privée avant toute communication de renseignements personnels à l'extérieur du Québec. Les enregistrements, les messages vocaux et les journaux d'appels sont des renseignements personnels. Si votre système téléphonique les conserve aux États-Unis (et c'est le cas de la plupart), cette évaluation vous incombe, pas à votre fournisseur.
C'est l'obligation dont on parle le moins et celle qui risque le plus de s'appliquer à vous sans que personne ne l'ait mentionnée, et elle en côtoie cinq autres qui visent une entreprise québécoise.
Qu'exige au juste cette obligation ?
Avant de communiquer des renseignements personnels hors Québec, il faut évaluer s'ils bénéficieraient d'une protection adéquate, notamment au regard du cadre juridique du lieu de destination. L'évaluation tient compte de la sensibilité des renseignements, de la finalité, des mesures de protection en place et du régime applicable là où ils vont, qu'un contrat ne peut pas écarter.
Les données reposent en Virginie du Nord, qui n’est pas une région canadienne, et l’évaluation est due avant le passage plutôt qu’après.
Réutilisez cette figure partout, y compris à des fins commerciales, en créditant Ringfully et en liant vers cette page. CC BY 4.0.
Deux précisions s'imposent :
- C'est une évaluation, pas une interdiction. Conserver des données hors Québec n'est pas interdit. Le faire sans avoir évalué, si.
- L'obligation appartient à vous, l'entreprise qui recueille, pas au fournisseur. Un fournisseur peut rendre l'évaluation facile ou impossible, mais ne peut pas la faire à votre place.
Pourquoi presque tous les systèmes infonuagiques la déclenchent
La téléphonie infonuagique repose sur un petit nombre de grandes plateformes, dont les régions par défaut ne sont pas au Québec. Dans notre propre revue de huit fournisseurs concurrents, réalisée le 19 août 2026 :
- aucun des huit ne nomme la Loi 25 où que ce soit sur son site
- un indique clairement que les données « peuvent être stockées aux États-Unis »
- deux nomment une région canadienne sans préciser s'il s'agit d'hébergement
- plusieurs ne publient rien de repérable sur l'emplacement physique des données
Ce n'est pas un scandale : c'est un marché qui vend surtout aux États-Unis. Mais cela signifie que la question vous revient, et que la réponse se trouve souvent trois clics plus loin que la page marketing.
Quoi demander, et à quoi ressemble une bonne réponse
« Où mes données sont-elles stockées ? »
Une bonne réponse nomme une région. Une mauvaise dit « l'infonuagique », « réparti mondialement » ou « dans des centres sécurisés ».
« Une région canadienne signifie-t-elle un hébergement canadien ? »
Ce n'est pas la même chose. Une région peut traiter au pays pendant que les copies de sauvegarde, les journaux ou les accès de soutien se trouvent ailleurs.
« Qu'est-ce qui traverse la frontière, et quand ? »
Les enregistrements peuvent rester sur place pendant que la transcription, l'analytique ou les outils de soutien, non.
« Pouvez-vous me fournir ce qu'il faut pour l'évaluation ? »
Un fournisseur qui publie ses sous-traitants, ses régions et sa conservation rend l'évaluation faisable en une matinée. Un fournisseur qui ne le fait pas la rend impossible, et c'est déjà un constat.
Où en est Ringfully, dit clairement
Les données de Ringfully sont chez AWS dans us-east-1 : Virginie du Nord, aux États-Unis. Pas une région canadienne. Si vous êtes une entreprise québécoise, nous communiquer des renseignements personnels constitue une communication hors Québec, et la Loi 25 vous demande de l'évaluer avant de commencer.
Nous préférons écrire cette phrase plutôt que vous laisser la découvrir dans un tableau de sous-traitants. Ce que nous pouvons faire, c'est rendre l'évaluation peu coûteuse : notre liste de sous-traitants est publiée intégralement, sans formulaire ni connexion, elle nomme chaque partie et ce qu'elle reçoit, et notre politique de confidentialité énonce la conservation en termes simples.
Ce que nous ne pouvons pas faire, c'est vous dire que la communication est acceptable. Ce jugement vous appartient, et tout fournisseur qui le porte à votre place vous renseigne sur le sérieux avec lequel il a lu la loi. Tout ce que nous détenons, et les lacunes qui subsistent, est sur sécurité.
Description de ce que la loi demande ; ceci ne constitue pas un avis juridique. Validez votre situation auprès d'un conseiller qualifié au Québec. À lire aussi : ce que la Loi 25 demande à un système téléphonique.
Questions fréquentes
- La Loi 25 oblige-t-elle à héberger les données au Québec ?
- Non. Elle exige une évaluation avant toute communication de renseignements personnels hors Québec : il faut établir qu'ils y bénéficieront d'une protection adéquate, notamment au regard du cadre juridique du lieu de destination. La communication doit aussi faire l'objet d'une entente écrite. Conserver ailleurs est permis ; conserver ailleurs sans avoir évalué ne l'est pas.
- Qui doit réaliser l'évaluation, moi ou mon fournisseur ?
- Vous. L'obligation appartient à l'entreprise qui recueille les renseignements personnels. Un fournisseur peut rendre l'évaluation faisable en une matinée en publiant ses régions, ses sous-traitants et sa conservation, ou la rendre impossible en ne publiant rien de tout cela, mais il ne peut pas la faire à votre place.
- Où Ringfully conserve-t-il les données d'appel ?
- Chez AWS dans us-east-1, soit la Virginie du Nord, aux États-Unis. Pas une région canadienne. Pour une entreprise québécoise, nous transmettre des renseignements personnels constitue donc une communication hors Québec, celle-là même que la Loi 25 demande d'évaluer avant de commencer.
- Une région canadienne signifie-t-elle un hébergement canadien ?
- Pas en soi. Un fournisseur peut traiter dans une région canadienne pendant que les copies de sauvegarde, les journaux, la transcription ou les accès de soutien se trouvent ailleurs. La question à poser est donc ce qui traverse la frontière, et quand : un nom de région sur une page marketing n'y répond pas.
- Que doit pouvoir me dire un fournisseur sur l'emplacement de mes données ?
- Une région nommée, plutôt que « l'infonuagique », « réparti mondialement » ou « des centres sécurisés ». Aussi une liste de sous-traitants complète indiquant qui reçoit quoi, une conservation énoncée en termes simples, et une réponse claire sur ce qui sort de la région. Un fournisseur incapable de fournir cela a rendu votre évaluation impossible, et c'est déjà un constat.
À propos de l’auteur
John
Propriétaire et chef de la direction
Propriétaire et chef de la direction, fort de plus de 10 ans d’expérience dans le secteur des TI, dont plus de 5 ans consacrés à la téléphonie IP et aux communications infonuagiques. Expérience en conception, en déploiement et en soutien de solutions de communication fiables pour les entreprises.
À lire ensuite
Si vous cherchez ce que la Loi 25 ou la Loi 96 demande à votre ligne téléphonique, dites-nous ce que vous enregistrez et qui vous servez, et nous vous dirons ce que nous prenons en charge et ce qui reste à vous.