La souveraineté des données n'est plus une option au Québec
En 2026, la question n'est plus de savoir si une organisation québécoise doit se soucier de la résidence de ses données, mais comment elle s'y prend concrètement. La souveraineté infonuagique est passée du discours politique à la réalité opérationnelle. Les ministères, les municipalités, les réseaux de la santé et de l'éducation, mais aussi les PME et les grandes entreprises, doivent aujourd'hui pouvoir répondre à une question toute simple : où se trouvent physiquement nos renseignements personnels, et qui peut légalement y accéder?
Plusieurs facteurs se sont conjugués. D'abord, la mise en application complète de la Loi 25 sur la protection des renseignements personnels, qui a rehaussé les attentes de la Commission d'accès à l'information (CAI). Ensuite, la volonté claire du gouvernement du Québec de reprendre le contrôle de ses actifs numériques, portée par le ministère de la Cybersécurité et du Numérique. Enfin, un avantage naturel : l'hydroélectricité abondante et peu coûteuse qui a fait de Beauharnois, de Montréal et de la grande région de Québec des pôles reconnus pour l'hébergement de centres de données. Le Québec possède l'énergie, le cadre juridique et la volonté. Ce qui manque souvent, c'est l'ingénierie capable de traduire tout ça en plateformes réellement conformes.
Ce que la Loi 25 et les règles fédérales exigent vraiment en 2026
La Loi 25 n'impose pas, en soi, que toutes les données demeurent sur le sol québécois. Elle impose plutôt une évaluation des facteurs relatifs à la vie privée (ÉFVP) avant toute communication de renseignements personnels à l'extérieur du Québec. Autrement dit, vous pouvez utiliser un fournisseur étranger, mais vous devez démontrer que la protection accordée y est équivalente à celle exigée ici. Dans la pratique, cette démonstration est si exigeante que beaucoup d'organismes choisissent tout simplement de garder les données au Québec ou au Canada.
À cela s'ajoute la dimension fédérale. Les organismes qui manipulent des données classifiées « Protégé B » doivent respecter les balises du Centre canadien pour la cybersécurité, notamment les contrôles inspirés de la norme ITSG-33 et les garde-fous infonuagiques du gouvernement du Canada. Pour une plateforme qui touche à la fois des programmes provinciaux et fédéraux, la conformité devient un exercice à deux niveaux qu'il faut concevoir dès le départ, et non bricoler après coup.
Quelques points sont incontournables en 2026 :
- ▸La transparence sur les décisions automatisées : depuis l'entrée en vigueur des dispositions concernées, une personne peut exiger de savoir qu'une décision la concernant a été prise par un système automatisé, ce qui impose une traçabilité dans vos modèles et vos pipelines.
- ▸Le droit à la portabilité des renseignements personnels informatisés, qui oblige à concevoir des formats d'exportation structurés dès l'architecture.
- ▸L'obligation de déclarer les incidents de confidentialité présentant un risque de préjudice sérieux, à la CAI et aux personnes concernées, avec un registre à l'appui.
- ▸La désignation d'un responsable de la protection des renseignements personnels, dont le rôle doit se refléter dans la gouvernance technique, pas seulement sur l'organigramme.
Moderniser le secteur public sans perdre le contrôle
La modernisation numérique des services publics québécois avance, mais elle bute souvent sur des systèmes hérités difficiles à migrer et sur une prudence légitime en matière de sécurité. L'approche gagnante en 2026 n'est ni le tout-infonuagique aveugle ni l'immobilisme, mais une migration méthodique et documentée. Voici une démarche éprouvée pour y arriver :
1. Cartographiez vos données avant de toucher à l'infrastructure. Classez chaque jeu de données selon sa sensibilité, sa base légale et ses exigences de résidence. Sans cette carte, aucune décision d'hébergement n'est défendable devant la CAI. 2. Réalisez l'ÉFVP en amont, pas à la fin du projet. Elle doit orienter le choix du fournisseur et de la région d'hébergement, et non servir de simple formalité de dernière minute. 3. Choisissez un modèle d'hébergement adapté au risque. Réservez le nuage privé ou souverain aux charges les plus sensibles, et utilisez le nuage public pour les services à faible risque, dans une logique de nuage hybride assumée. 4. Exigez la résidence et la réversibilité par contrat. Précisez la localisation des données au Québec ou au Canada, les mécanismes de chiffrement, la gestion des clés et surtout une stratégie de sortie qui évite l'enfermement propriétaire. 5. Intégrez la sécurité dès la conception. Chiffrement au repos et en transit, gestion fine des identités, journalisation immuable et surveillance continue doivent faire partie de l'architecture initiale. 6. Automatisez la conformité. Transformez vos obligations en contrôles vérifiables dans le code : politiques d'infrastructure, tests de résidence, alertes en cas de dérive de configuration. 7. Formez et documentez en continu. Une plateforme souveraine mal comprise par ses équipes redevient vulnérable. La documentation et la reddition de comptes sont partie intégrante du livrable.
Bâtir une plateforme infonuagique sécurisée et conforme
Sur le plan technique, la souveraineté ne se résume pas au choix d'un centre de données situé à Montréal ou à Beauharnois. Elle se construit couche par couche. La gestion des clés de chiffrement, par exemple, est déterminante : héberger des données au Québec tout en laissant les clés sous le contrôle exclusif d'un fournisseur étranger affaiblit considérablement l'argument de souveraineté. Les architectures modernes privilégient donc une gestion des clés maîtrisée par l'organisation, parfois appuyée sur des modules matériels dédiés.
L'infrastructure comme code (IaC) change aussi la donne. En décrivant l'ensemble de la plateforme dans des fichiers versionnés, on rend la conformité reproductible et auditable. Une région d'hébergement non conforme ou un compartiment de stockage mal configuré peut être détecté automatiquement avant même le déploiement. Les conteneurs et l'orchestration facilitent par ailleurs la portabilité entre un nuage souverain québécois, comme ceux exploités par des acteurs présents à Beauharnois, et une infrastructure privée, ce qui réduit la dépendance à un seul fournisseur.
Enfin, l'intégration de l'intelligence artificielle dans les services publics impose une vigilance particulière. Les modèles qui traitent des renseignements personnels doivent respecter les mêmes exigences de résidence et de traçabilité que le reste de la plateforme. Un assistant qui envoie des données de citoyens vers une API hébergée à l'étranger, sans encadrement, expose l'organisme à un risque de non-conformité majeur. La bonne pratique consiste à isoler les traitements sensibles et à privilégier des déploiements maîtrisés, dont on connaît précisément la localisation.
TuniCyberLabs : une ingénierie nearshore alignée sur la réalité québécoise
C'est précisément là que le modèle nearshore de TuniCyberLabs prend tout son sens pour les organisations du Québec. Notre société est ancrée en Estonie, l'un des pays les plus avancés au monde en matière de gouvernement numérique, avec des bureaux à Chypre et une équipe d'ingénierie basée à Sousse, en Tunisie. Cette structure nous permet d'offrir des contrats européens conformes au RGPD, un référentiel qui converge naturellement avec les exigences élevées de la Loi 25 en matière de protection des renseignements personnels.
L'atout linguistique est réel : nos équipes travaillent couramment en français, en anglais et en arabe. Vos échanges techniques, votre documentation et vos livrables se font dans votre langue, sans friction ni traduction approximative, ce qui compte particulièrement dans un contexte québécois. Le décalage horaire, souvent perçu comme un frein avec l'externalisation lointaine, reste gérable : nos équipes chevauchent une partie substantielle de votre journée de travail, avec une plage de collaboration en temps réel en matinée québécoise, bien plus généreuse qu'avec un partenaire situé à l'autre bout du globe.
Résultat : vous obtenez une ingénierie rigoureuse et à coût maîtrisé, sans sacrifier la qualité ni la conformité. Que vous ayez besoin de concevoir une plateforme infonuagique résidente au Canada, de mener une migration du secteur public ou de sécuriser une infrastructure sensible, TuniCyberLabs agit comme un prolongement de votre équipe, avec la discipline documentaire et les garanties contractuelles qu'exige la souveraineté numérique québécoise.
Passer de la contrainte à l'avantage stratégique
La souveraineté infonuagique est souvent présentée comme une contrainte réglementaire. En 2026, les organisations québécoises les plus avisées la voient plutôt comme un avantage stratégique. Maîtriser où vivent ses données, qui peut y accéder et comment elles sont protégées, c'est bâtir une confiance durable avec les citoyens, les clients et les partenaires. C'est aussi une occasion de moderniser des systèmes vieillissants avec des fondations saines plutôt que de reporter indéfiniment la dette technique.
Le contexte est favorable : énergie propre et abordable, cadre juridique clair, volonté politique de renforcer l'autonomie numérique. Ce qu'il faut désormais, c'est l'exécution. En combinant une gouvernance rigoureuse, une architecture pensée pour la conformité et un partenaire d'ingénierie qui comprend à la fois vos règles et votre langue, le Québec dispose de tout ce qu'il faut pour faire de la souveraineté des données non pas un fardeau, mais un pilier de sa transformation numérique.