Hébergé au Canada, mais est-ce souverain ?

La souveraineté des données fait la une de l'actualité au Canada cet automne. Le 29 octobre, le gouvernement fédéral a annoncé un investissement en capital pouvant atteindre 1,6 milliard de dollars dans une entreprise canadienne spécialisée dans l'intelligence artificielle, en présentant cette décision comme une question de souveraineté : qui contrôle les données sensibles, où sont-elles stockées et comment peuvent-elles être utilisées ?

Ce sont là les mêmes questions auxquelles sont confrontées les entreprises du secteur des sciences de la vie lorsqu’elles adoptent un système infonuagique. Les données des patients, les résultats des essais cliniques, ainsi que les dossiers confidentiels relatifs à la R&D et à la fabrication comptent parmi les informations les plus sensibles qu’une entreprise puisse détenir. Dans le prolongement du webinaire sur la souveraineté des données co-présenté par InnovX en octobre, cet article explique pourquoi la simple mention « hébergé au Canada » n’est pas suffisante, et comment la souveraineté peut être gérée dans le cadre du cycle de vie des systèmes que les équipes BPx (GxP) suivent déjà.

Résidence, contrôle, souveraineté : quelle différence ?

« Hébergé au Canada » ne suffit pas à lui seul, car trois questions distinctes sont souvent confondues :

Résidence des données : où vos données sont-elles physiquement stockées, sauvegardées et traitées ?

Contrôle opérationnel : qui administre, soutient et peut accéder à l’environnement, y compris les équipes de soutien à distance et les sous-traitants ?

Souveraineté des données : quelles lois peuvent contraindre l’accès aux données ?

Des données stockées dans un centre de données canadien ne sont pas automatiquement souveraines. En vertu du CLOUD Act américain, adopté en 2018, les autorités des États-Unis peuvent, au moyen d’une procédure judiciaire, exiger des fournisseurs de services soumis à leur compétence qu’ils communiquent les données en leur possession, sous leur garde ou sous leur contrôle, peu importe où elles sont stockées. Ce qui compte, c’est qui contrôle les données, et pas seulement l’emplacement des serveurs.

La législation québécoise en matière de protection de la vie privée ajoute une dimension supplémentaire. La loi n° 25, qui a modernisé la législation relative à la protection de la vie privée dans le secteur privé, impose aux entreprises de réaliser une analyse d'impact sur la vie privée avant de communiquer des renseignements personnels en dehors du Québec, y compris vers une autre province canadienne.

Cette obligation s'applique aux renseignements personnels, qui ne se limitent pas aux dossiers des patients : les dossiers cliniques et de qualité peuvent également en contenir. Pour les données qui ne constituent pas des renseignements personnels, telles que les formulations ou le savoir-faire en matière de procédés, la souveraineté relève principalement de la protection de la propriété intellectuelle, de la confidentialité et des risques commerciaux.

Où s’inscrit la souveraineté dans votre cycle de vie BPx?

Les réglementations BPx, telles que la norme 21 CFR Partie 11 et l’annexe 11 des BPF de l’UE, ne précisent pas où les données doivent être hébergées, et la résidence des données ne constitue pas en soi une exigence BPx. Elles exigent toutefois que les enregistrements restent accessibles, protégés et sous le contrôle de l’entreprise réglementée, et que les responsabilités des fournisseurs soient formellement définies. Les règles relatives aux données à caractère personnel (par exemple, le GDPR, la loi québécoise n° 25) s’appliquent indépendamment et peuvent imposer des conditions aux transferts transfrontaliers. L’externalisation de l’infrastructure n’entraîne pas l’externalisation de cette responsabilité. Le point de rencontre entre souveraineté et BPx se trouve dans le contrôle opérationnel. Qui peut administrer le système, comment cet accès est restreint et si les changements sont traçables : ce sont des enjeux centraux d’intégrité des données et de sécurité. La compétence juridique, elle, relève surtout de la confidentialité et du risque juridique. Les deux ont leur place dans votre évaluation, mais elles se traitent avec des outils différents.

En pratique, la souveraineté n’exige pas de processus distinct. Elle s’intègre au cycle de vie que vous appliquez déjà : documentée dans vos exigences, évaluée lors des analyses de risques et des évaluations de fournisseurs, encadrée dans le contrat et l’entente qualité, vérifiée lors de la qualification lorsqu’elle peut être testée, et surveillée lors des revues périodiques.

Comment aborder la souveraineté en pratique ?

La souveraineté ne s’achète pas avec un produit. Elle découle de la façon dont un système est choisi, configuré, encadré par contrat et supervisé. Une approche pratique compte cinq étapes :

1.  Cibler les données et les systèmes critiques : données de patients et cliniques, R&D exclusive et dossiers BPx.

2.  Évaluer les risques liés à la souveraineté : emplacement des données, accès administratifs, soutien étranger, sauvegardes et sous-traitants.

3.  Définir les exigences : documenter vos attentes en matière de souveraineté dans vos exigences utilisateurs, aux côtés de la sécurité, de la continuité et de l’auditabilité.

4.  Choisir et contractualiser : retenir une architecture et un modèle d’accès qui répondent à ces exigences, et obtenir des engagements sur l’emplacement des données, les accès et la sous-traitance dans le contrat et l’entente qualité.

5.  Vérifier et surveiller : vérifier les contrôles testables lors de la qualification, comme la région d’hébergement configurée et les accès administrateurs, puis les surveiller par des revues périodiques des accès et le suivi des fournisseurs..

Lors de l’évaluation d’un fournisseur, quatre questions permettent de distinguer rapidement le discours de la réalité :

• Qui exploite et administre l’environnement, et à partir de quels pays?

• Où sont stockées les sauvegardes et les répliques, et les données peuvent-elles quitter le territoire sans votre consentement?

• À qui appartient la technologie utilisée pour stocker ou traiter les données (infrastructure, réseau, bases de données et couches de traitement), et quelles sont les lois étrangères qui s'y appliquent ?

• Quels sous-traitants ont accès à l’environnement?

Une assurance indépendante, comme un rapport SOC 2 Type II ou une certification ISO 27001, constitue une preuve utile des contrôles de sécurité, mais elle ne répond pas à elle seule à la question de la compétence juridique. Documentez les réponses et la justification de votre décision. En audit, une décision justifiée et documentée se défend beaucoup mieux qu’une supposition du genre « les données sont au Canada, donc on est couverts ».

Faire de la souveraineté un choix réfléchi

Avec la croissance de l’infonuagique et de l’IA, il est de plus en plus probable que partenaires, auditeurs et autorités vous demandent qui contrôle vos données. Les organisations qui abordent la souveraineté dès le début du cycle de vie d’un système sont mieux placées pour répondre avec assurance.

En tant que firme agnostique sur le plan technologique, InnovX aide les organisations en sciences de la vie à définir ces exigences, à évaluer les fournisseurs infonuagiques en fonction de celles-ci et à valider les systèmes retenus. Comme la souveraineté comporte aussi une dimension juridique, nous recommandons d’associer un conseiller juridique à votre évaluation.

Abordée ainsi, la souveraineté des données n’est plus une simple contrainte. Elle devient un choix réfléchi qui soutient l’innovation tout en vous laissant le contrôle de vos données.