Résidence des données au Canada : guide pour les organisateurs d'événements

La résidence des données signifie que vos données sont stockées physiquement dans un lieu précis, et pour les organisateurs canadiens, cela veut habituellement dire des serveurs situés au Canada. Pour un événement, ces données sont les noms et les courriels des participants, les commandes de billets, les lectures de billets à l'enregistrement et parfois des renseignements sur l'accessibilité ou les restrictions alimentaires. Les stocker au Canada peut aider à respecter certaines obligations, mais cela ne règle pas toutes les questions sur qui peut y accéder ou sur les lois qui s'appliquent. Ce guide explique les termes, les règles qui comptent et ce qu'il faut demander à un fournisseur de billetterie ou de gestion d'événements avant de signer.

Cet article offre une orientation générale, et non un avis juridique. Pour des contrats, un approvisionnement dans le secteur public ou une question précise de protection de la vie privée, adressez-vous à un avocat spécialisé en droit de la vie privée ou à la personne responsable de la protection des renseignements personnels de votre organisation.

En bref

• La résidence des données porte sur l'endroit où les données sont stockées. La souveraineté des données et la compétence juridique portent sur les lois qui s'appliquent et sur qui exerce le contrôle, et ce n'est pas la même chose.
• La LPRPDE est la principale loi fédérale sur la protection de la vie privée pour les activités commerciales, et l'Alberta, la Colombie-Britannique et le Québec ont leurs propres lois similaires pour le secteur privé. Les organismes publics peuvent être soumis à des règles plus strictes, comme l'exigence de la Colombie-Britannique en matière de stockage et d'accès au Canada.
• L'hébergement au Canada ne garantit pas que les données échappent aux lois étrangères; posez donc des questions sur la propriété, l'accès du soutien technique et les sous-traitants, en plus de l'emplacement des serveurs.
• Obtenez les réponses par écrit : emplacement, sous-traitants, sauvegardes, suppression, avis d'atteinte et mesures de sécurité.

Ce que signifie la résidence des données pour un événement

La résidence des données désigne l'endroit où vos données sont physiquement conservées. Si une entreprise canadienne conserve les dossiers de ses clients sur des serveurs situés au Canada, ces données résident au Canada. C'est un énoncé sur l'emplacement, rien de plus.

Dans le secteur public, le terme peut désigner une exigence légale. En Colombie-Britannique, l'article 30.1 de la FOIPPA fait en sorte que les renseignements personnels détenus par les organismes publics soient stockés et consultés au Canada. Un festival municipal ou un congrès organisé par une école en Colombie-Britannique peut donc y être assujetti. Un promoteur privé ou une entreprise de salons professionnels se trouve généralement dans une situation différente, dont traitent les sections suivantes.

Résidence, localisation, souveraineté et compétence juridique

Ces quatre termes se confondent dans le marketing des fournisseurs; il est donc utile de les distinguer :

La compétence juridique ne dépend pas uniquement de l'emplacement physique. Qui contrôle la plateforme, où la société mère est constituée et quelles lois régissent cette société : tout cela compte. Un serveur canadien exploité par un fournisseur de propriété étrangère peut se trouver dans une situation différente de celle du même serveur exploité par un fournisseur de propriété canadienne.

Les données que détient réellement un événement

En vertu de la LPRPDE, les renseignements personnels comprennent tout renseignement factuel ou subjectif concernant une personne identifiable, y compris les noms, les numéros d'identification, les dossiers de crédit et les dossiers médicaux. Pour les organisateurs, cela va plus loin que le courriel d'un acheteur de billets :

• Billetterie : nom, courriel et téléphone de l'acheteur, code postal de facturation, historique des commandes, sièges choisis.
• Inscription : titres de poste, employeurs, demandes liées à l'alimentation et à l'accessibilité, choix de séances.
• Enregistrement et ventes à la porte : heures de lecture des billets, qui était présent, qui a acheté à la porte.
• Marketing : courriels de relance de panier abandonné, listes de rappels par texto, activité des liens de parrainage.
• Personnel et fournisseurs : coordonnées, rôles, attributions de kiosques et contrats signés.

Les numéros de carte sont normalement traités par le processeur de paiement plutôt que par vous, mais c'est à vous de protéger les dossiers de commande qui les accompagnent. Si vous organisez un congrès avec des demandes liées à l'accessibilité ou à l'alimentation, traitez ce champ avec le même soin que tout autre renseignement sensible.

Ce que dit la loi canadienne

Règles fédérales et provinciales pour le secteur privé

Le Commissariat à la protection de la vie privée du Canada indique que la LPRPDE est la principale loi fédérale, tandis que l'Alberta, la Colombie-Britannique et le Québec ont leurs propres lois essentiellement similaires pour le secteur privé. Ces lois s'appliquent aux activités commerciales, et la LPRPDE régit aussi les transferts transfrontaliers de renseignements personnels. Un concert avec billetterie, un salon professionnel avec entrée payante et un congrès payant sont des activités commerciales. Un événement communautaire organisé par des bénévoles peut être traité différemment; un organisme sans but lucratif devrait donc confirmer sa situation.

La loi exige-t-elle que les données restent au Canada?

Pour la plupart des organisateurs du secteur privé, aucune règle générale n'oblige les données des participants à rester au pays. Selon une opinion professionnelle établie de longue date, lorsqu'une loi exige que des dossiers soient conservés au Canada, des copies peuvent se trouver ailleurs, mais la seule copie ne peut pas se trouver hors du Canada. Certaines règles sectorielles, les règles du secteur public et les contrats avec des clients gouvernementaux ou institutionnels peuvent ajouter leurs propres conditions; lisez donc les modalités de toute subvention, entente avec une salle ou contrat de commandite.

Faire appel à un fournisseur situé hors du Canada

La LPRPDE ne l'interdit pas. Les lignes directrices du Commissariat considèrent le fait de confier des renseignements à un tiers chargé du traitement dans un autre territoire comme une utilisation des renseignements; un consentement supplémentaire n'est donc pas requis lorsque la fin poursuivie est celle qui avait été indiquée au départ. Ce que vous devez, en revanche, c'est de la diligence : évaluer le risque du transfert, prendre des mesures raisonnables pour protéger les données et recourir à des contrats ou à d'autres moyens pour assurer une protection comparable. Votre avis de confidentialité devrait tout de même indiquer honnêtement où le traitement a lieu.

Pourquoi des serveurs au Canada ne règlent pas tout

Il est tentant de croire que des données au Canada sont à l'abri de tout accès extérieur. Les lignes directrices gouvernementales sont plus prudentes que cela.

• La Ville de Toronto note que les données conservées hors du Canada peuvent être assujetties à des lois étrangères, y compris à des mandats ou à des assignations délivrés par des organismes étrangers.
• Le Secrétariat du Conseil du Trésor du Canada indique que les fournisseurs de services infonuagiques ayant des activités à l'étranger peuvent être tenus de se conformer aux demandes d'organismes étrangers d'application de la loi; une souveraineté complète sur les données dans les nuages publics ne peut donc pas être garantie.
• La position du Commissariat est la suivante : aucun contrat ne peut l'emporter sur les lois du pays vers lequel les données ont été transférées.

En pratique, il faut retenir ceci : l'emplacement est une mesure de contrôle parmi d'autres. La propriété, les personnes qui peuvent se connecter pour assurer le soutien du système et les entreprises qui traitent des données pour le compte du fournisseur comptent tout autant que l'adresse postale du centre de données.

Questions à poser à votre fournisseur de billetterie ou de gestion d'événements

La plupart des organisateurs n'ont pas de liste de vérification pour cela. Les questions ci-dessous suivent l'approche d'évaluation des risques des lignes directrices du Commissariat sur le traitement transfrontalier, et elles valent pour toute plateforme que vous comparez. Demandez les réponses par écrit, dans le contrat, la politique de confidentialité ou un document sur la sécurité.

Emplacement

1. Dans quel pays et dans quelle région les données de production et les sauvegardes sont-elles stockées?

2. Le fournisseur peut-il s'engager par écrit à ce que le stockage et le traitement restent au Canada, et que couvre cet engagement (base de données, fichiers, journaux, outils de courriel et de texto)?

3. Des données sont-elles copiées ailleurs pour l'analytique, le soutien ou les essais?

Accès

4. Quels membres du personnel du fournisseur peuvent voir les dossiers des participants, et depuis quels pays?

5. Qui possède et contrôle le fournisseur, et à la législation de quel pays est-il soumis?

6. Comment les demandes des autorités sont-elles traitées, et serez-vous prévenu lorsque la loi le permet?

Sous-traitants

7. Quelles entreprises traitent des données pour le compte du fournisseur (paiements, courriel, texto, hébergement, analytique), et où sont-elles situées?

8. Serez-vous prévenu avant qu'un sous-traitant soit ajouté ou remplacé?

Sauvegardes, suppression et atteintes

9. Combien de temps les sauvegardes sont-elles conservées, et comment sont-elles supprimées lorsque vous demandez la suppression?

10. Qu'arrive-t-il aux données de vos participants quand vous quittez la plateforme, et pouvez-vous les exporter dans un format utilisable?

11. Dans quel délai le fournisseur vous informera-t-il d'une atteinte, et que vous dira-t-il?

Sécurité

12. Les données sont-elles chiffrées en transit et au repos, et l'accès est-il limité selon le rôle? Pour les événements, cela comprend les comptes du personnel et des bénévoles que vous créez.

13. Pouvez-vous attribuer des rôles pour qu'un bénévole à la porte voie une liste d'enregistrement, mais pas l'historique complet des commandes?

Les lignes directrices de la Ville de Toronto ajoutent un critère utile : le risque est réduit par des clauses contractuelles qui fixent les mesures de sécurité et les mécanismes en cas d'atteinte, et lorsque les lois étrangères et nationales ne peuvent pas être conciliées, la technologie peut ne pas convenir. Un organisateur du secteur public ou institutionnel devrait y voir un véritable point de décision, et non une formalité.

Adapter les réponses à votre événement

Le degré de rigueur nécessaire dépend de qui vous êtes et de ce que vous recueillez.

Une routine simple aide. Avant chaque saison, dressez la liste des renseignements personnels que vous recueillez, confirmez où votre fournisseur les stocke, vérifiez si la liste des sous-traitants a changé et supprimez ce dont vous n'avez plus besoin. Notre propre guide, Où vivent les données de vos participants?, explore plus en détail le volet des données des participants. Si la propriété locale fait partie de votre décision, Plateformes de billetterie de propriété canadienne compare dix entreprises, et pourquoi les organisateurs choisissent des logiciels locaux en explique les raisons.

Notre point de vue

Nous sommes une plateforme canadienne de gestion d'événements et de billetterie, et nous pensons que les organisateurs devraient traiter les questions de données comme une partie du choix d'un logiciel, et non après coup. Les données des participants traversent tout : commandes de billets, inscription, enregistrement, ventes à la porte, rappels et accès du personnel.

C'est l'une des raisons pour lesquelles nous réunissons tout l'événement dans un seul système. Quand les billets, les plans de salle, l'inscription, l'enregistrement par code QR, le point de vente intégré, les horaires, les kiosques d'exposants et les rôles du personnel se trouvent au même endroit, moins d'outils distincts conservent des copies des données des mêmes personnes. Moins d'outils, c'est une liste plus courte de sous-traitants sur lesquels poser des questions, et un seul ensemble de rôles du personnel à gérer.

Notre conseil à tout organisateur, y compris à ceux qui nous comparent à d'autres, est de poser les questions de ce guide et d'obtenir les réponses par écrit. Un fournisseur qui mérite d'être choisi y répondra clairement. Nous aidons aussi les organisateurs à configurer leurs événements avec une équipe canadienne, ce qui permet de discuter plus facilement de ces choix avec de vraies personnes.

— Ciara

Ce que coûte la gestion de tout l'événement au même endroit

Si vous comparez des plateformes à la fois sur le traitement des données et sur le prix, Eventist est une plateforme canadienne qui couvre les billets, les plans de salle, l'inscription, l'enregistrement par code QR à partir de n'importe quel téléphone et les ventes à la porte avec un point de vente intégré. Les prix ci-dessous proviennent de notre page des tarifs en date de novembre 2026 et sont en dollars canadiens :

• Billetterie d'événements : 0,85 $ CA par billet payant.
• Festivals et congrès : 4,99 $ CA par billet payant.
• Compétitions : 9,99 $ CA par billet payant.
• Les billets et les inscriptions gratuits relèvent de forfaits mensuels à partir de 100 $ CA.

Les frais de traitement des cartes sont versés à Stripe ou à Square selon leurs propres tarifs. Les salles sont facturées différemment, soit de 0,5 % à 1,9 % de ce qu'elles facturent sur tout ce qu'elles vendent, billets à l'unité compris.

Voici une illustration rapide du calcul, avec des frais en pourcentage inventés pour la comparaison, et non ceux d'une entreprise en particulier : un événement qui vend 2 000 billets payants avec nos frais de billetterie d'événements paie 2 000 × 0,85 $ = 1 700 $ CA. Une plateforme qui facture 3 % sur un billet de 40 $ prélève 1,20 $ par billet, soit 2 000 × 1,20 $ = 2 400 $. Dans cet exemple, des frais fixes coûtent moins cher, et l'écart se creuse à mesure que le prix des billets augmente. C'est pourquoi nous disons qu'Eventist coûte généralement moins cher, et le résultat dépend du prix et du volume de vos billets; faites donc vos propres calculs. Tous les détails se trouvent sur notre page des tarifs, et le coût de l'aide concrète, comme la configuration clés en main, est indiqué sur notre page des services.

Foire aux questions

La loi oblige-t-elle les organisateurs d'événements canadiens à assurer la résidence des données?

Il n'existe aucune règle générale obligeant les organisateurs du secteur privé à conserver les données des participants au Canada. Certaines lois, notamment celles qui visent les organismes publics, comme la FOIPPA de la Colombie-Britannique, exigent bel et bien que les renseignements personnels soient stockés et consultés au Canada. Vos contrats avec des bailleurs de fonds, des établissements ou des salles peuvent ajouter des exigences; vérifiez-les donc et obtenez un avis juridique adapté à votre situation.

Quelle est la différence entre la résidence des données et la souveraineté des données?

La résidence, c'est l'endroit où les données sont physiquement stockées. La souveraineté porte sur le pays dont les lois les régissent et sur qui les contrôle. Un fournisseur peut stocker des données au Canada et appartenir tout de même à une entreprise assujettie à des lois étrangères; c'est pourquoi les questions de propriété et d'accès comptent.

Puis-je utiliser une plateforme de billetterie qui stocke les données hors du Canada?

Selon les lignes directrices sur la LPRPDE, transférer des données à un tiers chargé du traitement dans un autre territoire constitue une utilisation des renseignements; un consentement supplémentaire n'est donc pas nécessaire lorsque la fin demeure la même. Vous devez tout de même évaluer le risque, protéger les données et recourir à des contrats pour assurer une protection comparable, et le dire ouvertement dans votre avis de confidentialité.

Que devrais-je demander à un fournisseur au sujet des sauvegardes et de la suppression?

Demandez où les sauvegardes sont stockées, combien de temps elles sont conservées et comment elles sont supprimées lorsque vous demandez la suppression ou quittez la plateforme. Demandez aussi si vous pouvez exporter les données de vos participants dans un format utilisable et dans quel délai le fournisseur signale une atteinte.

L'hébergement au Canada protège-t-il les données contre l'accès étranger?

Pas complètement. Les lignes directrices du gouvernement canadien indiquent que les fournisseurs ayant des activités à l'étranger peuvent devoir répondre à des demandes d'organismes étrangers d'application de la loi, et qu'aucun contrat ne l'emporte sur les lois du pays où les données sont conservées. La propriété, l'accès du soutien technique et les sous-traitants influent tous sur votre exposition.

Sources

• Résidence des données et souveraineté des données : le Canada expliqué
• Les exigences de la LPRPDE en bref (Commissariat à la protection de la vie privée du Canada)
• Questions et réponses concernant l'application de la LPRPDE (Commissariat à la protection de la vie privée du Canada)
• Exigences canadiennes de résidence des données : quelques réflexions de plus (IAPP)
• Lignes directrices sur le traitement transfrontalier des données personnelles (Commissariat à la protection de la vie privée du Canada)
• Ligne directrice sur la gestion de l'information : résidence des données pour les technologies infonuagiques (Ville de Toronto)
• Livre blanc du gouvernement du Canada : souveraineté des données et nuage public

À lire aussi

• Pourquoi les organisateurs d'événements canadiens choisissent des logiciels locaux
• Où vivent les données de vos participants? Guide canadien
• L'avenir de la gestion d'événements au Canada