Loi sur la protection des renseignements personnels et les documents électroniques

Loi fédérale canadienne sur la protection des renseignements personnels qui régit les organismes du secteur privé

La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) est une loi fédérale canadienne qui s'applique à la collecte, l'utilisation et la divulgation des renseignements personnels dans le cadre d'activités commerciales dans toutes les provinces canadiennes, complétée par des lois provinciales sur la protection de la vie privée essentiellement similaires en Alberta, en Colombie-Britannique et au Québec. La LPRPDE s'applique également aux transferts internationaux et interprovinciaux de renseignements personnels. Étant donné qu'AWS n'a pas la possibilité de voir ni de savoir quelles données sont chargées par les clients sur son réseau, notamment si ces données sont considérées ou non comme étant soumises à la LPRPDE, les clients sont responsables de leur conformité à cette loi.

La région AWS Canada (Centre) est actuellement disponible pour plusieurs services, notamment Amazon Elastic Compute Cloud (Amazon EC2), Amazon Simple Storage Service (Amazon S3) et Amazon Relational Database Service (Amazon RDS). Pour obtenir la liste complète des régions et services AWS, consultez la page relative à l'infrastructure mondiale. La tarification de la région Canada est disponible sur la page détaillée de chaque service, accessible via la page relative aux produits et services.

Les centres de données AWS sont regroupés à travers le monde dans des grappes isolées géographiquement, appelées « régions ». Les clients peuvent choisir quelles régions AWS ils souhaitent utiliser parmi les seize disponibles dans le monde entier, notamment des régions situées aux États-Unis, en Australie, au Brésil, au Canada, en Chine, en Allemagne, en Inde, en Irlande, au Japon, en Corée, à Singapour et au Royaume-Uni.

• Quel rôle joue le client dans la sécurisation de son contenu ?

  AWS propose un large choix de services de calcul, de stockage, de base de données, d'analyse et de déploiement, ainsi que des services applicatifs. Ces services sont destinés à aider les organisations du monde entier à évoluer plus rapidement, à réduire leurs coûts informatiques et à mettre à l'échelle leurs applications. Grâce au modèle de responsabilité partagée d'AWS, les clients gardent le contrôle du type de sécurité qu'ils choisissent de mettre en place afin de protéger leurs propres contenus, plates-formes, applications, systèmes et réseaux, de la même manière que s'ils plaçaient leurs applications dans un centre de données sur site.

  Lorsqu'il évalue la sécurité d'une solution infonuagique, il est important que le client comprenne et fasse la différence entre les éléments suivants :

  • Les mesures de sécurité mises en place et gérées par AWS, c'est-à-dire la « sécurité du nuage »

  et

  • Les mesures de sécurité mises en place et gérées par les clients, en lien avec la sécurité de leur contenu et de leurs applications qui ont recours aux services AWS, à savoir la « sécurité dans le nuage »

  

  Pour obtenir la liste complète des mesures de sécurité intégrées à notre infrastructure, nos plates-formes et nos services infonuagiques AWS principaux, consultez notre livre blanc Présentation des processus de sécurité.

• Comment les clients gardent-ils la propriété et le contrôle de leur contenu ?

  Nos engagements constants visent à conserver la confiance de nos clients et à les informer des différentes politiques, pratiques et technologies mises en place dans le domaine de la confidentialité et de la sécurité des données. Ces engagements comprennent les éléments suivants :

  Propriété et contrôle du contenu des clients :

  Accès : les clients gardent le contrôle total sur leur contenu et doivent configurer l’accès aux services et ressources AWS. Nous proposons un ensemble avancé de fonctions d'accès, de chiffrement et de journalisation afin de vous permettre de réaliser toutes ces tâches de la façon la plus efficace possible (grâce à AWS CloudTrail, par exemple). Nous fournissons des API pour vous aider à configurer les autorisations de contrôle d’accès pour tous les services que vous développez ou déployez dans un environnement AWS. Nous ne consultons ni n’utilisons votre contenu à quelque fin que ce soit sans votre consentement.

  Stockage : les clients choisissent la ou les régions AWS dans lesquelles le contenu sera stocké. Nous ne déplacerons ni ne répliquerons le contenu du client en dehors des régions choisies par le client sans le consentement de ce dernier.

  Sécurité : les clients choisissent la façon de sécuriser leur contenu. Nous proposons à nos clients le chiffrement avancé de leur contenu en transit ou au repos, ainsi qu'une option qui leur permet de gérer leurs propres clés de chiffrement.

  Divulgation du contenu des clients : nous ne divulguons aucun contenu de nos clients, sauf en cas d'obligation légale ou pour respecter un ordre juridique valide et exécutoire provenant d'un organisme gouvernemental ou réglementaire. À moins qu'il existe une interdiction à cet effet ou qu’il y ait des signes évidents d’une conduite illégale en lien avec l'utilisation des produits et services d'Amazon, Amazon informe les clients préalablement à la divulgation de leur contenu, afin de leur permettre de chercher protection contre une telle divulgation.

  Pour connaître les bonnes pratiques à adopter pour créer un ensemble de stratégies et de processus de sécurité pour votre organisation, consultez le livre blanc Bonnes pratiques de sécurité AWS.

• Quels audits réalisés par des tiers valident l'environnement de contrôle de la sécurité d'AWS ?

  Lors de l'utilisation des services AWS, les organisations peuvent s'appuyer sur la certification de conformité à des normes de sécurité solides d'AWS, telles que les normes ISO 27001 et ISO 27018, les rapports SOC 1, 2 et 3, et la norme PCI DSS de niveau 1. Les clients AWS peuvent utiliser des méthodes courantes pour protéger leurs données, telles que le chiffrement et les mots de passe sûrs, outre les fonctions de sécurité d'AWS telles qu'AWS Identity and Access Management.

• Les clients peuvent-ils utiliser AWS tout en respectant la LPRPDE canadienne ?

  Les clients AWS disposent d'un niveau de contrôle très élevé sur les données qu'ils stockent dans le Nuage AWS. AWS peut apporter une assistance directe à ses clients via des équipes d'architectes de solutions, de gestionnaires de compte, de consultants, de formateurs et d'autres employés basés au Canada, tous ayant suivi une formation poussée dans le domaine de la sécurité et de la conformité dans le nuage afin d'aider les clients AWS à profiter de hauts niveaux de sécurité et de conformité, y compris les clients qui doivent respecter les exigences de la LPRPDE.

  Pour en savoir plus sur l'utilisation des services AWS dans le cadre de la LPRPDE, nous vous encourageons à contacter votre responsable de la protection de la vie privée.