Les cabinets de courtage maintiennent à jour l’historique des sinistres, les données financières et le profil de risque des entreprises pour le compte de leurs clients. Les autorités réglementaires, les assureurs et les clients veulent de plus en plus savoir où ces données sont stockées et quelles sont les lois qui s’appliquent. La résidence des données électroniques est l’endroit où les données sont physiquement stockées. Dans le cas de la souveraineté des données, il s’agit de déterminer les lois du pays qui peuvent être utilisées pour contraindre un fournisseur de services à produire les données. Les deux notions sont liées, et un fournisseur de services peut offrir des garanties pour la résidence des données et aucune garantie pour la souveraineté des données.
Chevauchement des obligations réglementaires
Plusieurs cadres réglementaires et juridiques s’appliquent aux activités des cabinets de courtage.. Au palier fédéral, la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) vous tient responsables de la protection et de la sécurité des renseignements sur les clients que vous stockez auprès d’un tiers fournisseurs de services, et le contrat qui vous lie à ce fournisseur doit garantir un niveau de protection comparable à celui que vous offrez. La loi ne précise pas à quel endroit les serveurs doivent être situés.
Certaines provinces ont leur propre législation. La Loi 25 au Québec précise que les renseignements personnels doivent faire l’objet, avant de quitter le Québec, y compris pour une autre province, d’une évaluation des facteurs relatifs à la vie privée. Cette évaluation doit conclure que ces renseignements seront adéquatement protégés et un rapport doit être rédigé. En Alberta, la Personal Information Protection Act (PIPA) exige que vous indiquiez aux clients que leurs données sont transmises, si c’est le cas, à un fournisseur de services à l’extérieur du Canada, et vos politiques en matière de protection de la vie privée doivent préciser le nom des pays dont il est question.
Les assureurs avec qui vous travaillez ajoutent une autre couche d’obligations. La Ligne directrice sur la gestion du risque lié aux tiers (B-10) du BSIF indique que le courtier d’assurances est partie aux ententes conclues avec des tiers et que ces ententes doivent être gérées par les assureurs sous réglementation fédérale. Pour les ententes à haut risque ou critiques, la liste des scénarios de risque comprend l’emplacement géographique des activités et les sous-traitants du tiers fournisseur, y compris les risques juridiques auxquels ces tiers sont exposés. Les pressions qui peuvent être exercées par un assureur sur un cabinet de courtage dépendent de la valeur accordée à la relation, mais le cadre est en place.
Pour autant que je sache, aucune règle n’exige que le cabinet de courtage stocke les données de ses clients au Canada. Cependant, il y va de votre intérêt de connaître l’endroit où vos données sont acheminées et de consigner ces renseignements.
Risques juridiques à l’étranger
Selon la US CLOUD Act, les autorités américaines peuvent forcer un fournisseur de services dont les activités sont sous réglementation américaine de produire les données en sa possession, sous sa garde ou, encore, sous son contrôle, peu importe où les données sont stockées. Les centres de données à très grande échelle des géants américains, qui gèrent des centres de données au Canada, demeurent, somme toute, des entreprises américaines. Dans le livre blanc du Conseil du Trésor publié en 2018 sur l’état des solutions d’informatique en nuage public, on indique que le Canada n’a pas la pleine souveraineté sur ses données si le fournisseur de services menant des activités au Canada est assujetti aux lois d’un autre pays. Un fournisseur qui n’est pas une filiale d’une société mère aux États-Unis ou qui n’a pas une présence importante aux États-Unis se trouve généralement à l’extérieur du champ d’application de la US CLOUD Act, l’entité propriétaire des données étant alors indiquée sur le questionnaire du fournisseur, y compris l’endroit de stockage.
On fait souvent référence à la US Patriot Act pendant ces discussions, habituellement par habitude. L’article 215 sur les pouvoirs du gouvernement en ce qui concerne l’accès aux dossiers des entreprises a expiré en mars 2020. Le livre blanc du Conseil du Trésor désigne une loi différente à titre de principal risque : la Foreign Intelligence Surveillance Act (FISA) des États-Unis. Selon l’article 702 de cette loi, la collecte de données sans mandat qui cible des personnes non américaines à l’étranger est autorisée, les fournisseurs américains étant contraints d’aider le gouvernement. Cet article a expiré le 12 juin 2026, car son renouvellement n’a pas été approuvé par le Congrès. Des collectes de données approuvées par un juge sont autorisées jusqu’en mars 2027. Les derniers documents que j’ai consultés en septembre n’indiquent pas que l’article a été renouvelé.
Confiance des clients
Selon un sondage mené par CIRA en 2026 auprès de 2 000 Canadiens, 67 % des répondants ont indiqué qu’il trouvait important que leurs données personnelles soient stockées dans des serveurs au Canada, 8 % indiquant que ce n’était pas important. Il s’agit d’un groupe en ligne sélectionné au sein de la population générale, pas un groupe formé de personnes ayant contracté une assurance. Le sondage s’attachait à mesurer les préférences et non le comportement d’achat.
Les clients font néanmoins confiance à leurs courtiers en ce qui concerne l’historique des sinistres et les dossiers financiers. En assurances des entreprises, les clients peuvent confier des renseignements auxquels leurs concurrents ne devraient pas avoir accès. Si un client vous demande où ces données sont stockées, il vaut mieux éviter de donner une réponse décevante du genre : « Je vais m’informer. » Un courtier qui a déjà consigné cette information, y compris les déclarations au titre de la PIPA de l’Alberta, peut répondre facilement à ce genre de question.
Questions destinées à vos fournisseurs
Demandez où vos données sont hébergées, traitées et sauvegardées, et si les membres du personnel de soutien à l’extérieur du Canada ont accès à ces données. Demandez qui est propriétaire du tiers fournisseur de services et quel territoire de compétence juridique peut le contraindre à produire les données. Demandez à quel endroit se trouvent les réponses dans le contrat, étant donné que le jeu de diapositives utilisé pour la vente n’est pas un contrat. Prenez soin de consigner ces réponses en dossier avant que ces questions ne vous soient posées par un client, un assureur ou une autorité réglementaire.
