La souveraineté des données : le nouveau champ de bataille géopolitique

Le contrôle des données est devenu indissociable de la sécurité nationale, de la compétitivité économique et de la résilience démocratique. Voici d'où vient ce problème, pourquoi il est important aujourd'hui, et ce que les organisations peuvent faire pour y répondre.

Qu'est-ce que la souveraineté des données et d'où vient-elle ?

La souveraineté des données est le principe selon lequel les données sont soumises aux lois et à la juridiction du pays dans lequel elles sont collectées, stockées ou contrôlées. Elle pose fondamentalement deux questions : quelles lois nationales régissent les données, et quelles entités peuvent légalement en exiger l'accès ?

Le problème s'est construit progressivement depuis que l'informatique en nuage a rendu l'emplacement physique des serveurs sans rapport avec le contrôle des données. Lorsqu'une municipalité canadienne stocke ses dossiers sur une plateforme appartenant à une entreprise américaine, ces dossiers sont potentiellement accessibles au gouvernement américain en vertu du Clarifying Lawful Overseas Use of Data Act (loi CLOUD), adopté en 2018. La portée de cette loi ne se limite pas aux entreprises dont le siège social est aux États-Unis. Elle peut s'étendre à tout fournisseur soumis à la juridiction américaine, y compris les entreprises étrangères qui ont des activités, des bureaux ou des contrats avec des clients américains. En pratique, la plupart des grands fournisseurs de services infonuagiques et de logiciels relèvent de cette portée, ce qui signifie que les données canadiennes stockées sur ces plateformes sont réellement exposées, peu importe où se trouvent les serveurs.

Pendant des années, cette question a été traitée comme une préoccupation juridique de niche. Ce qui a changé, c'est le contexte géopolitique. Les tensions commerciales entre les États-Unis et la Chine, les doutes sur la fiabilité des partenaires technologiques américains, et une série de violations de données très médiatisées ont poussé les gouvernements à traiter l'infrastructure numérique comme l'infrastructure physique : comme quelque chose qui doit être contrôlé à l'échelle nationale ou pas du tout.

L'Europe a agi en premier et de manière la plus décisive. Le RGPD de l'UE, en vigueur depuis 2018, a établi le modèle. Depuis lors, l'UE a ajouté le Data Act, le Digital Operational Resilience Act (DORA), et toute une série de réglementations supplémentaires. En 2026, l'UE avait formellement adopté une Déclaration pour la souveraineté numérique européenne et engagé des dizaines de milliards dans la capacité infonuagique et semi-conductrice nationale. Le cadrage est devenu explicitement géopolitique : l'Europe se voit prise entre un écosystème numérique américain orienté marché et un écosystème chinois contrôlé par l'État, et a conclu que la dépendance à l'un ou l'autre constitue une vulnérabilité stratégique.

Le Canada suit la même trajectoire. Le premier ministre Mark Carney a fait de la souveraineté des données une priorité politique déclarée en novembre 2025. Une nouvelle loi fédérale sur la protection des renseignements personnels dans le secteur privé est attendue en 2026. La Loi 25 du Québec impose déjà des exigences comparables au RGPD à l'échelle provinciale, avec des pénalités pouvant atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial. Le modèle est clair et s'accélère à l'échelle mondiale, avec le Brésil, Singapour et d'autres juridictions qui élaborent des cadres comparables.

Pourquoi c'est important maintenant

L'écart entre la résidence des données et la souveraineté des données est le problème pratique central. Une organisation peut configurer ses outils pour stocker des données dans des centres de données canadiens et rester néanmoins pleinement exposée à des procédures judiciaires étrangères si le fournisseur de logiciels relève de la juridiction américaine. En juin 2025, Microsoft France a reconnu devant une commission d'enquête du Sénat français qu'elle ne pouvait pas garantir que les données stockées en France seraient à l'abri des demandes judiciaires américaines. Cet aveu a cristallisé la question pour les décideurs européens et a provoqué la même conversation au Canada peu après.

Pour les opérateurs d'infrastructures essentielles tels que les services publics, les municipalités et les fournisseurs de télécommunications, les enjeux sont particulièrement élevés. Les données sur les actifs de terrain, la topologie des réseaux, les historiques d'ordres de travail et les registres d'inventaire sont de plus en plus qualifiés d'infrastructures nationales sensibles dans les cadres réglementaires émergents. L'accès d'un gouvernement étranger à ces données par le biais des obligations légales d'un fournisseur infonuagique n'est pas un risque théorique. C'est un risque structurel inhérent aux relations actuelles de la plupart des organisations avec leurs fournisseurs.

Au-delà de la sécurité nationale, il existe une conséquence immédiate sur les appels d'offres. Les appels d'offres fédéraux et provinciaux au Canada exigent de plus en plus une documentation sur le positionnement en matière de souveraineté des données. Les organisations qui vendent au secteur public sans pouvoir répondre par écrit aux questions de souveraineté sont de plus en plus disqualifiées dès l'étape de présélection. La charge de conformité est réelle et elle se déplace vers l'aval, des gouvernements vers leurs fournisseurs de technologie.

Une approche multicouche des contrôles de souveraineté

La souveraineté des données ne se règle pas par une seule décision de configuration. Elle nécessite des contrôles simultanés aux niveaux juridictionnel, architectural, contractuel, opérationnel et de gouvernance. Les couches suivantes représentent les pratiques actuellement reconnues.

Couche 1 : Architecture juridictionnelle

C'est la fondation. Utilisez des fournisseurs infonuagiques disposant de filiales nationales légalement isolées, et pas seulement des centres de données nationaux. Mettez en place des clés de chiffrement gérées par le client afin que le fournisseur ne puisse pas remettre des données lisibles sans votre implication directe. Cartographiez chaque flux de données, y compris les sauvegardes, les répliques de reprise après sinistre et les canaux d'accès au support des fournisseurs. Les défaillances en matière de souveraineté surviennent le plus souvent par ces chemins secondaires plutôt que par le stockage principal.

Couche 2 : Contrôles d'audit et de preuve

Les régulateurs et les responsables des marchés publics demandent des preuves documentées, pas des assurances. Mettez en place une journalisation continue de l'emplacement des données et des accès. Automatisez les alertes lorsque des données franchissent une frontière juridictionnelle. Maintenez des pistes d'audit dans un format immuable afin que le registre de preuve ne puisse pas être modifié après coup. Ces contrôles servent à la fois la conformité et le positionnement concurrentiel dans les ventes au secteur public.

Couche 3 : Gouvernance contractuelle et des fournisseurs

Chaque outil tiers dans votre environnement est une faille de souveraineté potentielle. Exigez des accords de traitement des données avec des clauses juridictionnelles explicites. Interdisez les transferts de données à des sous-traitants sans consentement préalable. Exigez une transparence de la chaîne d'approvisionnement afin de connaître non seulement vos fournisseurs, mais aussi les fournisseurs de vos fournisseurs. Classez les charges de travail selon leur criticité en matière de souveraineté et appliquez des contrôles proportionnels à la sensibilité de chacune.

Couche 4 : Évaluations d'impact sur la vie privée et évaluations des transferts

Il s'agit de la couche documentaire de preuve, qui devient obligatoire dans de plus en plus de juridictions. Le Québec exige une évaluation des facteurs relatifs à la vie privée avant que des renseignements personnels ne quittent la province, avec des ententes écrites détaillées requises pour tous les fournisseurs de services qui traitent ces informations. Intégrez les modèles d'EFVP et d'évaluation des transferts dans vos processus d'approvisionnement et d'intégration des fournisseurs afin qu'ils soient systématiques plutôt que réactifs.

Couche 5 : Chiffrement et gestion souveraine des clés

Le chiffrement au repos et en transit est la base. Le véritable contrôle réside dans qui détient les clés. Si votre organisation détient les clés de chiffrement, une ordonnance d'un tribunal étranger adressée à votre fournisseur infonuagique ne permet d'obtenir rien d'utilisable. Cela offre également une résilience future : l'informatique quantique finira par remettre en question les normes de chiffrement actuelles, et les organisations disposant de pratiques matures de gestion des clés seront mieux positionnées pour s'adapter.

Couche 6 : Contrôles d'accès opérationnel

Un ingénieur de support basé dans un pays étranger qui accède à vos données à des fins de dépannage peut créer une exposition en vertu de la loi CLOUD, même si les données elles-mêmes n'ont jamais bougé. Limitez l'accès opérationnel et au support aux juridictions approuvées. Appliquez des autorisations limitées dans le temps pour tout accès élevé. Journalisez tous les événements d'accès avec suffisamment de détails pour reconstituer ce qui s'est passé et pourquoi. Cette couche est fréquemment négligée et constitue une source courante de lacunes en matière de conformité.

Couche 7 : Gouvernance et responsabilité au niveau du conseil d'administration

La souveraineté est une discipline continue, pas une configuration ponctuelle. Désignez un responsable de la protection de la vie privée, déjà obligatoire en vertu de la Loi 25 du Québec et dont l'exigence est attendue au niveau fédéral. Établissez une fonction de gouvernance des données dotée d'une autorité réelle et d'un calendrier d'audit régulier. Assurez une compréhension au niveau du conseil d'administration des obligations de souveraineté, pas seulement au niveau informatique. Les organisations qui intègrent cela dans leur gouvernance plutôt que de le traiter comme un projet informatique sont celles qui résistent le mieux à l'examen réglementaire.

Résumé

La souveraineté des données signifie que les données sont régies par les lois de la juridiction qui les contrôle, et pas seulement par l'endroit où elles sont physiquement stockées.
La loi CLOUD peut atteindre tout fournisseur soumis à la juridiction américaine, y compris les entreprises étrangères ayant des activités ou des contrats aux États-Unis. La plupart des grands fournisseurs infonuagiques relèvent de cette portée.
L'Europe et le Canada accélèrent tous deux leurs cadres souverains en matière de données en 2026, sous l'effet des pressions géopolitiques et des risques liés aux infrastructures essentielles.
La Loi 25 du Québec applique déjà des exigences de niveau souverain à l'échelle provinciale, avec une législation fédérale attendue dans la foulée.
La distinction entre résidence et souveraineté des données est le concept le plus important à intégrer : l'endroit où les données se trouvent et les lois qui les régissent sont deux questions distinctes.
Des contrôles efficaces couvrent sept couches : architecture juridictionnelle, pistes d'audit, contrats avec les fournisseurs, évaluations d'impact sur la vie privée, chiffrement et gestion des clés, restrictions d'accès opérationnel, et gouvernance au niveau du conseil.
Les défaillances en matière de souveraineté surviennent le plus souvent par des chemins secondaires comme les sauvegardes et l'accès au support plutôt que par les configurations de stockage principal.
Les organisations qui traitent la souveraineté comme un avantage concurrentiel plutôt que comme une contrainte de conformité obtiennent un réel avantage dans les appels d'offres publics.