Cartes de crédit Desjardins: doit-on s'inquiéter de l'hébergement des données aux États-Unis?

La saga des cartes de crédit conjointes chez Desjardins a connu un nouveau rebondissement, début août. Rappelons que la coopérative modernise la gestion des cartes de crédit de cinq millions de clients.

Elle a fait appel à une firme informatique américaine, Fiserv, qui dessert déjà plusieurs coops financières du Canada anglais, ainsi que des banques comme la Banque royale du Canada (RBC), la Banque Nationale et la Banque Scotia.

Cela signifie que les données des cartes de crédit de Desjardins seront aussi hébergées aux États-Unis, comme l’a révélé Le Journal de Montréal le 9 août dernier.

Selon les lois états-uniennes, notamment le CLOUD Act, le gouvernement américain pourrait donc, théoriquement, scruter vos renseignements personnels sans avertir qui que ce soit chez nous, en contraignant les fournisseurs à les lui donner, s’il en fait la demande au tribunal.

Doit-on s’en inquiéter?

« Il faut toujours se préoccuper de l’endroit où se trouvent nos données, répond Guillaume Beaumier, professeur adjoint à l’École nationale d’administration publique (ENAP) et spécialiste de la gouvernance numérique. Le cadre légal américain est différent du nôtre. Il n’y a pas de loi fédérale [générale] de protection des [renseignements personnels]. »

Le CLOUD Act américain oblige les entreprises américaines à offrir un accès sur demande aux données, même si le serveur est situé à l’étranger. « Cette loi a un aspect pernicieux: dès qu’une compagnie étrangère a des activités importantes aux États-Unis, celle-ci est assujettie au CLOUD Act », précise le professeur. Ainsi, les données entreposées sur des serveurs canadiens d’une firme comme CGI pourraient être assujetties à la loi américaine, si certaines conditions sont remplies.

Par contre, pour obtenir un tel accès, il faut obtenir un mandat de justice justifié par une enquête policière, liée au terrorisme ou à un crime financier, ce qui n’est pas le cas avec la loi américaine FISA, qui relève du contre-espionnage.

Les autorités américaines n’ont pas besoin de mandat pour obtenir nos données, sous prétexte de sécurité nationale. « Or, le concept de sécurité nationale a le dos large avec la présente administration à Washington », poursuit M. Beaumier.

Le CLOUD Act avait été adopté en 2018, à la suite d’un litige amorcé en 2013, lorsque Microsoft avait refusé que des agents fédéraux américains puissent avoir accès aux courriels, entreposés sur ses serveurs irlandais, d’une personne soupçonnée de trafic de drogue, prétextant la primauté des lois européennes.

Aujourd’hui, les dirigeants du monde entier ont eu un rappel assez cru de la réalité, lorsqu’en juin 2025, Microsoft France, lors d’une audience devant le Sénat français, a reconnu qu’elle était avant tout redevable au gouvernement américain concernant les données entreposées en France.

Quelle menace?

« Pour le consommateur québécois, la menace principale est l’administration américaine, car les États-Unis sont dans une logique isolationniste depuis les attentats du 11 septembre 2001, constate Luc Lefebvre, président et cofondateur de Crypto Québec. Avec l’administration Trump, qui est très agressive, toutes les données qui passent par les États-Unis ou sont gérées par les sociétés américaines peuvent être capturées. » Cela pourrait inclure Visa, Mastercard, Equifax et TransUnion.

Pourquoi? Parce que toute l’infrastructure informatique et financière canadienne dépend fortement de nos voisins depuis des décennies. « La décision de s’amalgamer aux États-Unis date d’une époque où les Américains étaient non seulement des alliés, mais des amis, rappelle Luc Lefebvre. Ils ne constituaient pas une menace pour notre sécurité. Aujourd’hui, on est ailleurs. »

Avons-nous été collectivement naïfs? « Les Canadiens et les Québécois ont fait preuve d’une énorme candeur en matière de protection des données, reprend-il. L’exemple de Desjardins ou de Santé Québec, qui a choisi l’Américaine Epic Systems pour le Dossier santé numérique (DSN), n’est que la plus récente manifestation de notre crédulité collective. »

Une « dépendance toxique » aux géants américains

De fait, le gouvernement du Québec a développé « une dépendance toxique » envers certaines entreprises américaines, déclarait en juin dernier Stéphane Le Bouyonnec, sous-ministre à la Cybersécurité et au Numérique du Québec, à l’Assemblée nationale.

Les régulateurs des services financiers (banques, caisses populaires, placements, assurance) encadrent pourtant strictement la protection des renseignements personnels, surtout avec la loi 25 québécoise sur la protection des renseignements personnels.

Mais le CLOUD Act aurait préséance, indique Stéphane Le Bouyonnec.

En fait, aucune réglementation n’exige que les données soient hébergées chez nous, par un fournisseur d’ici, nous a confirmé le porte-parole de l’Autorité des marchés financiers (AMF), Sylvain Théberge.

Souveraineté numérique

Pour Luc Lefebvre, il n’est pas trop tard pour miser résolument sur le concept de « souveraineté numérique ». Nous devrions donc bâtir notre propre infrastructure, afin d’héberger au Québec les données stratégiques liées aux opérations gouvernementales ou financières, avec des organisations à propriété québécoise. Il y a déjà des joueurs québécois dans ce marché.

Mais le mal est ailleurs. La majorité des consommateurs ne savent pas où sont entreposées leurs données, qu’elles soient privées ou gouvernementales, au travail ou à la maison. Et ce n’est pas une préoccupation majeure pour la majorité d’entre nous, signale Guillaume Beaumier.

Dans ce contexte, Google et Microsoft contrôlent pratiquement l’entièreté du marché des suites bureautiques personnelles ou d’entreprises. L’infonuagique est essentiellement dominée par Amazon, Microsoft, Google et Apple. Et les applications d’intelligence artificielle utilisées par les consommateurs québécois fonctionnent massivement à partir de serveurs américains. Même le géant canadien d’IA Cohere fonctionne avec des serveurs d’Amazon, Google et Microsoft.

Comment réagir?

Fort heureusement, des outils existent pour se libérer, en partie, du joug des géants numériques américains et du parapluie du CLOUD Act.

Par exemple, une firme suisse, Proton, est célèbre pour son service de courriels cryptés, mais offre aussi une suite bureautique pour remplacer Excel ou Word.

On peut aussi stocker ses données sur des serveurs québécois, comme ceux de Web Hosting Canada (WHC), Leaseweb (une société néerlandaise qui a acquis iWeb, une entreprise montréalaise en 2021), Planethoster, Micrologic et likuid.com.

Luc Lefebvre suggère aussi de travailler à partir de son ordinateur, pour contourner des services comme Google Drive, Microsoft 365 ou iCloud d’Apple, et de faire des copies de sécurité quotidiennes ou hebdomadaires sur des disques durs ou des clés USB entreposées dans un endroit sûr. Nombre d’applications réalisent de telles copies de manière automatique, certaines étant intégrées au système d’exploitation.

« C’est difficile de sortir de l’environnement Windows, Apple et Google, dit-il. Le but des géants du web est de se rendre essentiels avec des solutions très conviviales. Mais rappelez-vous que le cloud, c’est l’ordinateur de quelqu’un d’autre : les GAFAM ne sont pas infaillibles. Et leurs serveurs sont régis par les lois américaines. »

À lire aussi : Fuite de données au fédéral : vous pourriez recevoir plus de 5 000 $ et Palmarès des institutions traditionnelles