Affaires mondiales Canada publie des lignes directrices sur les technologies contrôlées et le stockage dans le nuage

Le 5 novembre 2025, Affaires mondiales Canada a publié l’Avis aux exportateurs n^o 1159 (les « lignes directrices »), qui précise les situations où l’utilisation des services infonuagiques constitue une exportation de technologies contrôlées en vertu de la Loi sur les licences d’exportation et d’importation (la « LLEI ») et nécessite donc une licence d’exportation.

Les lignes directrices viennent répondre à l’augmentation de l’incertitude à laquelle font face les entreprises qui ont recours à l’infonuagique pour stocker des technologies contrôlées. Notamment, elles décrivent certaines normes de sécurité visant à réduire le risque de déclencher l’obligation liée aux licences d’exportation ainsi que des situations courantes qui sont susceptibles de constituer une exportation.

Contexte : Divulgation d’une technologie à l’étranger

L’infonuagique permet aux organisations de stocker des technologies hors site et d’y accéder à distance, souvent sur des serveurs ailleurs dans le monde. 

La LLEI régit l’exportation de la « technologie » contrôlée, ce qui comprend les données techniques, l’assistance technique et les autres renseignements utilisés dans la mise au point, la production ou l’utilisation d’articles figurant sur la Liste des marchandises et technologies d’exportation contrôlée. Il peut s’agir non seulement des fichiers originaux, mais aussi de données télémétriques ou dérivées (par exemple, les métadonnées, les registres et les instantanés de reprise après sinistre) lorsqu’elles contiennent des renseignements contrôlés.

Le terme « transfert » signifie, relativement à une technologie, son aliénation ou la communication de son contenu de quelque façon à partir d’un lieu situé au Canada vers une destination étrangère. Les lignes directrices décrivent ce qui constitue une « divulgation » et donc un transfert ou une exportation hors Canada. 

Éléments clés des lignes directrices

1. Existence d’un transfert en cas de divulgation ou de « possibilité raisonnable » de divulgation

Les lignes directrices considèrent qu’une technologie contrôlée est « divulguée » si elle est envoyée du Canada et stockée à l’étranger d’une manière qui crée une possibilité raisonnable qu’une personne située à l’extérieur du Canada soit en mesure d’examiner cette technologie. 

Il n’y a aucune exigence de preuve que la technologie a été ou sera vue pour qu’il existe une possibilité raisonnable. De plus, le fait qu’une personne hors du Canada ait accès à la technologie ou l’examine constitue tout de même une « divulgation », même si aucune possibilité raisonnable n’était prévue.

Cela signifie qu’un transfert n’est pas susceptible de se produire lorsqu’une technologie contrôlée est envoyée et stockée dans un lieu étranger s’il n’y a pas de possibilité raisonnable qu’une personne à l’extérieur du Canada soit en mesure d’accéder à cette technologie ou de l’examiner, et si cet accès ou cet examen n’a pas lieu dans les faits.

2. Situations où le recours à des services infonuagiques à l’étranger ne constitue pas un transfert

Le recours à des services infonuagiques à l’étranger ne constitue probablement pas un transfert ni une divulgation dans les situations suivantes : 

• la technologie est stockée à l’étranger en utilisant un chiffrement fort conforme aux normes industrielles, à condition que la clé de chiffrement se trouve exclusivement au Canada;
• les fournisseurs de services infonuagiques adoptent des pratiques de sécurité respectant le Guide sur l’évaluation et l’autorisation de la sécurité infonuagique du Centre canadien pour la cybersécurité;
• la technologie est momentanément déchiffrée par des processus automatisés (par exemple, des fonctions de traduction ou de formatage) dans un système fermé où toutes les copies non chiffrées sont immédiatement détruites.

3. Situations où le recours à des services infonuagiques constitue probablement un transfert

Le recours à des services infonuagiques à l’étranger constitue probablement un transfert dans les situations suivantes :

• une personne située hors du Canada accède à une technologie contrôlée se trouvant sur des serveurs infonuagiques canadiens pendant qu’elle se trouve à l’étranger;
• une personne située hors du Canada détient des clés de déchiffrement ou des droits d’accès de routine à l’égard de la technologie contrôlée;
• la technologie contrôlée est déplacée ou sauvegardée sur un serveur hors du Canada qui n’est pas doté de mesures de sécurité adéquates, comme un chiffrement fort ou la gestion de l’accès;
• un instantané de reprise après sinistre non chiffré est stocké sur des serveurs hors du Canada où des étrangers peuvent y accéder.

4. Emplacement des serveurs et évaluation des risques

L’emplacement des serveurs n’a d’importance que s’il a une incidence sur la possibilité raisonnable de divulgation. Le fait que le régime juridique de certains gouvernements leur permet d’exiger l’accès à des renseignements détenus sur des serveurs infonuagiques ne crée pas, en soi, une possibilité raisonnable de divulgation, car il existe des mesures techniques de protection adéquate ou des garanties juridiques significatives permettant au propriétaire d’être informé de la divulgation ou de la contester.

5. Responsabilité partagée entre les propriétaires de technologie et les fournisseurs de services infonuagiques

Il incombe au propriétaire de la technologie de s’assurer que son utilisation du nuage n’entraîne pas de transfert. Cela comprend la sélection de fournisseurs dotés de garanties appropriées et la gestion du chiffrement, des contrôles d’accès et du placement des données. Les fournisseurs de services infonuagiques sont tenus d’exercer leurs activités en respectant leurs engagements en matière de sécurité et d’informer leurs clients en cas de divulgation potentielle.

6. Exigences relatives aux licences d’exportation

Une licence d’exportation est requise avant de rendre accessible toute technologie contrôlée hors du Canada. Affaires mondiales Canada encourage les parties à demander une licence en cas de doute. 

Les licences d’exportation n’autorisent pas les divulgations involontaires ou les failles de sécurité. Dans une telle situation, les sociétés devraient soumettre une déclaration de non-conformité en fonction du processus décrit dans le Manuel des contrôles du courtage et à l’exportation.

Considérations clés

Les entreprises canadiennes qui stockent, traitent ou partagent des technologies contrôlées dans le nuage sont invitées à examiner les lignes directrices et à évaluer leurs arrangements en matière de sécurité infonuagique et ententes avec des fournisseurs de services infonuagiques ainsi que celles de leurs fournisseurs de services tiers qui ont recours à de tels services. Il peut être judicieux de solliciter les services d’un conseiller juridique si vous vous posez des questions sur une exportation potentielle.

Pour en savoir davantage, communiquez avec l’un des auteurs du présent bulletin ou un autre membre de notre groupe Commerce international.