Si tu confies des renseignements personnels à un hébergeur, la loi t'oblige à évaluer ce fournisseur. Cette évaluation te revient à toi, le détenteur des données, pas à moi. Alors je te la remplis d'avance.
La Commission d'accès à l'information est claire là-dessus : l'évaluation des facteurs relatifs à la vie privée incombe à l'entreprise qui détient les renseignements, pas au sous-traitant qui les héberge. C'est donc à toi de la faire, sur moi.
Le problème, c'est que la plupart des hébergeurs te répondent par un formulaire ou un silence. Tu te retrouves à devoir documenter un fournisseur qui ne veut pas parler.
Alors voici tout, d'un coup, en public. Copie ce que tu veux dans ton dossier. Si ton conseiller juridique a une question qui n'est pas ici, écris-moi et je l'ajoute à la page.
Tu verras des hébergeurs annoncer que leurs serveurs « te rendent conforme ». C'est faux, et ça vient d'agences qui n'ont pas lu la loi.
Voici la vérité, telle qu'elle est : héberger tes données au Québec éteint une obligation précise, celle d'évaluer un transfert à l'extérieur de la province avant de le faire. C'est réel et ça compte. Mais ça n'en règle aucune autre.
Tu dois encore nommer ton responsable de la protection des renseignements personnels et publier ses coordonnées, publier ta politique de gouvernance en termes simples, tenir ton registre d'incidents, et obtenir le consentement là où il est requis. Rien de tout ça n'appartient à ton hébergeur.
Ce que je peux faire, c'est te donner un fournisseur qui ne t'ajoute pas de problème, et le document qui répond aux questions qu'on va te poser sur lui. Le reste, c'est ton travail, et je ne vais pas te vendre le contraire.