Résidence des données au Canada : Microsoft et la Loi 25

Le 9 décembre 2025, Microsoft a annoncé que ses investissements au Canada atteindront 19 milliards de dollars canadiens entre 2023 et 2027, dont 7,5 milliards en nouveaux engagements au cours des deux prochaines années (selon Microsoft On the Issues). Une bonne partie de cette somme accroît la capacité des centres de données des régions Canada Centre (Toronto) et Canada Est (Québec), en service dans la seconde moitié de 2026. Si votre entreprise fonctionne sur Microsoft 365, la question s'impose : que signifie concrètement la résidence des données au Canada pour votre tenant?

La réponse est plus nuancée que les manchettes. Une partie de vos données Microsoft 365 repose déjà dans des centres de données canadiens depuis des années. Une autre ne touche jamais le Canada. Et sous la Loi 25, l'emplacement ne fait que la moitié du dossier de conformité : la loi vise tout renseignement personnel qui quitte la province, pas seulement le pays.

Voici ce que Microsoft a promis, ce qui demeure en sol canadien, ce qui en sort, et quoi vérifier avant de répondre à un questionnaire client.

Points clés à retenir

• Microsoft investira 19 milliards au Canada d'ici 2027; nouvelle capacité de centres de données dès la fin de 2026.
• Exchange, SharePoint, OneDrive, Teams et les interactions Copilot résident déjà dans la géographie canadienne.
• Les données Entra ID, Intune et Forms des tenants canadiens sont stockées aux États-Unis.
• La Loi 25 exige une ÉFVP avant tout transfert de renseignements personnels hors Québec, même vers d'autres provinces.
• Vérifiez l'emplacement des données dans le centre d'administration avant de promettre la résidence à quiconque.

Ce que Microsoft a annoncé pour le Canada en 2026

L'annonce de décembre est le plus important engagement d'infrastructure de Microsoft au Canada à ce jour. Les éléments concrets, confirmés dans le billet officiel :

• 19 milliards de dollars investis entre 2023 et 2027, dont 7,5 milliards au cours des deux prochaines années.
• Une capacité accrue dans les régions Canada Centre (Toronto) et Canada Est (Québec), en service dès la seconde moitié de 2026.
• Trois mesures de souveraineté pour 2026 : traitement au pays des interactions Copilot, offre Azure Local élargie et zone d'atterrissage d'IA souveraine pour le Canada.
• Un centre de renseignement sur les menaces à Ottawa et un engagement envers la continuité des services infonuagiques gouvernementaux.

Microsoft présente le tout comme une façon de « garder les données canadiennes en sol canadien », et le message porte : dans son rapport sur les tendances Internet 2026, CIRA révèle que 67 % des Canadiens jugent important que leurs renseignements personnels soient stockés sur des serveurs situés au Canada (selon CIRA). La souveraineté des données est devenue un critère d'achat courant, jusque dans les contrats et appels d'offres des PME québécoises.

Ce que la résidence des données au Canada couvre vraiment dans Microsoft 365

La résidence des données désigne une chose précise : l'endroit où vos données sont stockées au repos. Elle ne couvre pas automatiquement le lieu de traitement, la provenance des connexions de soutien ni la télémétrie. Gardez cette distinction en tête : les fournisseurs l'embrouillent constamment.

Stocké dans la géographie canadienne par défaut

Si votre tenant a été créé avec une adresse de facturation canadienne, les conditions de produit de Microsoft garantissent le stockage au repos des données client de base dans la géographie canadienne, répartie entre Toronto et Québec (selon Microsoft Learn). Cela couvre :

• le contenu des boîtes aux lettres Exchange Online;
• les fichiers SharePoint et OneDrive;
• les clavardages et messages de canaux Teams;
• les interactions Microsoft 365 Copilot et Copilot Chat : requêtes, réponses, citations et index sémantique (selon Microsoft Learn);
• les données Planner et Viva Learning des tenants canadiens.

Confirmez l'emplacement de votre tenant dans le centre d'administration Microsoft 365 : Paramètres, Paramètres de l'organisation, Profil de l'organisation, Emplacement des données. Deux minutes, et vous avez une preuve pour votre dossier de conformité.

Ce qui réside à l'extérieur du Canada

Plusieurs services utilisés chaque jour stockent leurs données dans la géographie Amérique du Nord, donc dans des centres de données américains :

• Microsoft Entra ID. Les données d'annuaire relèvent de la géographie Amérique du Nord, sans engagement propre au Canada (selon Microsoft Learn). Vos comptes, groupes et politiques d'accès conditionnel y résident.
• Microsoft Intune. Sa région Amérique du Nord s'appuie sur des centres de données américains, et le Canada ne figure pas parmi ses géographies locales (selon Microsoft Learn). L'inventaire des appareils d'un tenant québécois se trouve donc aux États-Unis.
• Microsoft Forms et autres. Les données Forms des tenants canadiens sont stockées aux États-Unis, et les rapports avancés de Viva Insights relèvent de la grande région Amériques.

Le traitement est l'autre angle mort. Tant que l'engagement de traitement au pays n'est pas en service, les requêtes Copilot peuvent être traitées à l'extérieur du pays, même si l'historique des interactions demeure au Canada. C'est l'écart que l'engagement 2026 vise à combler; surveillez le déploiement au lieu de le tenir pour acquis.

La Loi 25 encadre toujours les transferts hors Québec

La Loi 25 exige une évaluation des facteurs relatifs à la vie privée (ÉFVP) avant de communiquer des renseignements personnels hors Québec. Pas hors Canada : hors Québec. Un stockage à Toronto constitue un transfert transfrontalier aux yeux de la loi, exactement comme un stockage en Virginie.

L'évaluation pèse la sensibilité des renseignements, leurs fins, les mesures de protection et le régime juridique de la destination. La communication ne peut avoir lieu que si les renseignements bénéficient d'une protection adéquate, encadrée par une entente écrite.

En pratique, la résidence canadienne simplifie beaucoup l'exercice. Un hébergement en Ontario soutient un argument d'adéquation solide; un hébergement américain demande une analyse plus poussée, notamment quant aux lois d'accès gouvernemental. C'est pourquoi Entra ID, Intune et Forms doivent figurer dans votre ÉFVP même si vos boîtes courriel ne quittent jamais le pays.

Deux conséquences pratiques :

• Les données de la géographie canadienne se répliquent entre Québec et Toronto : votre évaluation devrait présumer un mouvement interprovincial.
• Votre tenant Microsoft n'est qu'un fournisseur parmi d'autres. Quand nous avons comparé Sauvegarde Microsoft 365 et Dropsuite, l'emplacement des données était un critère décisif pour les organisations assujetties à la Loi 25.

Si rien de tout cela n'est encore formalisé chez vous, notre guide Loi 25 et Microsoft 365 passe en revue l'ensemble des obligations, du responsable de la protection des renseignements personnels jusqu'aux registres d'incidents.

Quoi vérifier dans votre tenant d'ici 2027

Une liste de contrôle à exécuter ce mois-ci :

1. Confirmez l'emplacement de vos données. Dans le centre d'administration Microsoft 365; conservez une capture d'écran.
2. Cartographiez chaque charge de travail. Microsoft publie des tableaux d'emplacement des données par service. Tout ce qui pointe vers les États-Unis ou une grande région va dans votre ÉFVP.
3. Déterminez si Multi-Geo vous concerne. Multi-Geo ancre les données de certains utilisateurs dans des géographies satellites. Il faut une entente Entreprise ou CSP et des unités pour plus de 5 % des licences admissibles; la plupart des PME peuvent s'en passer.
4. Évaluez Advanced Data Residency. Le module ADR étend les engagements de résidence à davantage de services pour les géographies locales comme le Canada. Il exige des licences pour tous les utilisateurs et sert surtout à rapatrier les données d'un tenant provisionné dans une grande région.
5. Surveillez le déploiement du traitement Copilot. Quand le traitement au pays entrera en service, mettez votre ÉFVP à jour.
6. Passez vos autres fournisseurs en revue. Votre solution de sauvegarde, votre outil de gestion à distance, vos logiciels métiers : chacun mérite la même question de résidence.

C'est le genre de vérification que nous intégrons à nos mandats de solutions infonuagiques, souvent avec une revue des licences et de l'accès conditionnel : la même heure dans le tenant répond aux trois questions.

FAQ

Les données Microsoft 365 sont-elles stockées au Canada?

En grande partie, oui, pour les tenants créés avec une adresse canadienne. Les boîtes aux lettres Exchange Online, les fichiers SharePoint et OneDrive, les messages Teams et les interactions Copilot sont stockés au repos à Toronto et à Québec. Exceptions notables : les données Entra ID, Intune et Forms sont stockées aux États-Unis.

Stocker ses données au Canada suffit-il pour la Loi 25?

Non. La Loi 25 exige une évaluation des facteurs relatifs à la vie privée avant toute communication de renseignements personnels hors Québec, ce qui inclut les autres provinces canadiennes. Le stockage au Canada simplifie l'évaluation, mais vous devez la réaliser, la documenter et encadrer le transfert par une entente écrite.

Où sont stockées les données Copilot des tenants canadiens?

Les interactions Copilot (requêtes, réponses, citations) et l'index sémantique sont stockés au repos dans la géographie canadienne pour les tenants admissibles. Le traitement n'a pas été limité au Canada jusqu'ici; Microsoft s'est engagée à le faire au pays dans le cadre de son expansion 2026.

Qu'est-ce qu'Advanced Data Residency dans Microsoft 365?

ADR est un module payant qui étend les engagements de résidence à d'autres services, dont Exchange Online, SharePoint, OneDrive, Teams, Copilot, Defender pour Office Plan 1 et plusieurs fonctions Purview. Il exige un abonnement pour tous les utilisateurs du tenant. Il sert surtout à rapatrier les données d'un tenant hébergé dans une grande région.

Sources

• Microsoft On the Issues : un investissement de 19 G$ au Canada
• Emplacements des données Microsoft 365, Microsoft Learn
• Résidence des données pour Microsoft 365 Copilot, Microsoft Learn
• Microsoft Entra ID et résidence des données, Microsoft Learn
• Stockage et traitement des données Intune, Microsoft Learn
• Rapport CIRA 2026 sur les tendances Internet, GlobeNewswire

L'expansion de Microsoft donne aux entreprises québécoises leur meilleur argument de résidence à ce jour, à condition que vos paramètres et votre ÉFVP le confirment. Pour un portrait clair de l'endroit où vivent vos données, réservez une évaluation TI gratuite ou écrivez-nous pour en discuter.