La Loi 25 du Québec (anciennement projet de loi 64), soit la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, introduit de nouvelles exigences en matière de protection des renseignements personnels pour les organisations des secteurs privé et public, y compris des exigences concernant le transfert de renseignements personnels à l’extérieur du Québec, tant dans la Loi sur la protection des renseignements personnels dans le secteur privé («Loi sur le secteur privé», article 17) que dans la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels («Loi sur l’accès», article 70.1).

Pour les clients du Québec, il est important de noter que la Loi 25 n’interdit pas le transfert de renseignements personnels hors de la province. Les entreprises et les organismes publics au Québec peuvent traiter des renseignements personnels à l’extérieur du Québec lorsqu’ils utilisent Google Cloud (anciennement Google Cloud Platform), Google Workspace ou Google Workspace for Education (ensemble, les « services infonuagiques »), tout en respectant la Loi 25 du Québec, sous réserve de certaines obligations.

En particulier, la Loi 25 exige qu’une évaluation des facteurs relatifs à la vie privée («EFVP») soit effectuée avant de communiquer des renseignements personnels à l’extérieur du Québec, incluant avant de confier le traitement des renseignements à un tiers à l’extérieur de la province au nom d’une entreprise ou d’un organisme public, afin de s’assurer que les renseignements personnels seront adéquatement protégés en évaluant les risques qui peuvent découler d’une telle communication et en mettant en œuvre les protections appropriées.

Certains de nos clients au Québec pourraient devoir effectuer une EFVP en lien avec leur utilisation des services infonuagiques. Nous invitons donc nos clients au Québec à effectuer l’évaluation requise conformément à la Loi 25 et à tenir compte de la façon dont les mesures de protection des données de Google, comme l’addenda Cloud Data processing Addendum (CDPA) (en anglais), les politiques régionales de données (voir ci-dessous) et les contrôles de sécurité rigoureux, peuvent aider au respect de ces obligations. Vous trouverez des ressources supplémentaires détaillant les mesures de sécurité techniques et organisationnelles de Google pour les services infonuagiques dans notre Centre des bonnes pratiques de sécurité dans Google Cloud et notre Centre de ressources pour la confidentialité.

Étant donné le caractère international de ses services infonuagiques, Google possède des emplacements dans toutes les régions (à l’échelle mondiale) pour stocker et traiter les Données clients (incluant les Renseignements personnels de clients). Vous trouverez plus d’information sur les emplacements où se trouvent les installations de Google et de ses sous-traitant :

Pour Google Cloud : 

• Emplacements de Google
• Emplacements des sous-processeurs (en anglais)

Pour Google Workspace (incluant Google Workspace for Education) : 

• Emplacements de Google (en anglais)
• Emplacements des sous-processeurs (en anglais)

Compte tenu de la Loi 25, certains clients pourraient vouloir plus de choix et de contrôle quant à l’emplacement de leurs Données clients. Vous trouverez plus d’information sur les politiques régionales de données :

Pour Google Cloud : les clients peuvent configurer les services énumérés ici afin de stocker les Données clients enregistrées dans une région précise ou dans plusieurs régions, comme indiqué à la page d'emplacements infonuagiques. Cet engagement se trouve à la section sur l’emplacement des données dans les modalités précises des services Google Cloud (en anglais). De plus, les clients peuvent aussi élaborer une politique organisationnelle qui restreint l’emplacement physique de nouvelles ressources pour les services compatibles.

Pour Google Workspace (incluant Google Workspace for Education) : les clients abonnés aux éditions admissibles peuvent utiliser la fonctionnalité de choix d'emplacements géographiques des données, ce qui leur permet de décider dans quelle région (ex. : Europe) stocker leurs Données clients couvertes au repos (incluant les copies de sauvegarde). Il s’agit d’une fonctionnalité qui s’applique aux services de base de Google Workspace et aux données décrites ici (ce qui est reflété dans la section sur les « régions de données » des Conditions spécifiques des services Google Workspace).