Évaluations des facteurs relatifs à la vie privée sous la Loi 25 : quand sont-elles nécessaires et que doivent-elles contenir ?

Une évaluation des facteurs relatifs à la vie privée (EFVP), ou privacy impact assessment (PIA), est l’une des obligations de la Loi 25 entrée en vigueur le 22/09/2023 (CAI, principaux changements sous la Loi 25). C’est aussi l’une des plus mal comprises. Certaines entreprises la traitent comme un long rapport juridique réservé aux grands projets ; d’autres l’ignorent complètement. La loi se situe entre les deux.

Quand une EFVP est-elle requise ?

Pour les entreprises privées au Québec, la Loi sur le secteur privé exige une EFVP dans trois situations principales :

• Projets de systèmes d’information. Tout projet d’acquisition, de développement ou de refonte d’un système d’information ou de prestation électronique de services impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels (art. 3.3). Cela couvre un nouveau CRM, une plateforme de paie, un site de commerce électronique ou un portail client.
• Communication hors Québec. Avant de communiquer des renseignements personnels à l’extérieur du Québec, y compris lorsqu’un fournisseur hors Québec les stocke ou les traite en votre nom (art. 17).
• Recherche sans consentement. Avant de communiquer des renseignements personnels sans consentement à des fins d’étude, de recherche ou de statistique (art. 21).

L’article 3.3 exige également que la personne responsable de la protection des renseignements personnels soit consultée dès le début du projet, et le système doit être en mesure de restituer les renseignements personnels informatisés dans un format technologique structuré et couramment utilisé, ce qui soutient le droit à la portabilité des données entré en vigueur le 22/09/2024 (CAI).

Le niveau de détail requis

La loi intègre la notion de proportionnalité. Une EFVP « doit être proportionnée à la sensibilité des renseignements concernés, aux fins pour lesquelles ils sont utilisés, à la quantité et à la répartition des renseignements ainsi qu’au support sur lequel ils sont conservés » (art. 3.3, deuxième alinéa). Un petit outil de planification qui stocke des noms et des numéros de téléphone ne nécessite pas la même profondeur qu’une plateforme de santé ou financière. Ce qui importe, c’est que l’analyse existe, soit documentée et effectuée avant la mise en service du projet.

Ce que contient une EFVP

La CAI publie un guide, Réaliser une évaluation des facteurs relatifs à la vie privée, mis à jour en mai 2024 pour être plus pratique, ainsi qu’un modèle de rapport (annonce de la CAI). Son approche suit quatre grandes phases : analyser la nécessité et la conformité juridique, définir le projet et évaluer les risques pour la vie privée, identifier les mesures pour éviter ou réduire ces risques, et rédiger le rapport. En pratique, une EFVP solide répond à ces questions :

1. Quel est le projet ? Son but, sa portée, son propriétaire, son calendrier ainsi que les systèmes et fournisseurs impliqués.
2. Quels renseignements personnels sont concernés ? Catégories, sensibilité, volume et à qui appartiennent les renseignements (clients, employés, mineurs).
3. Chaque élément est-il nécessaire ? Les directives de la CAI précisent qu’en cas de doute, le renseignement est considéré comme non nécessaire (résumé de Blakes sur les directives de la CAI). Supprimez les champs que vous ne pouvez pas justifier.
4. Comment circulent les renseignements ? Collecte, utilisation, partage, lieu de stockage, conservation et destruction. Un simple diagramme de flux de données est utile.
5. Quel est le fondement juridique ? Le consentement, une exception prévue par la loi, ou une exigence contractuelle ou légale.
6. Qu’est-ce qui pourrait mal tourner ? Accès non autorisé, collecte excessive, détournement de finalité, profilage, transferts hors Québec, défaillance d’un fournisseur.
7. Que ferez-vous pour y remédier ? Mesures spécifiques (contrôles d’accès, chiffrement, limites de conservation, clauses contractuelles, paramètres de confidentialité par défaut) et qui est responsable de chacune d’elles.
8. Quel risque subsiste et qui l’accepte ? Une approbation datée et signée par un gestionnaire responsable.

Erreurs courantes

• La réaliser après la mise en service. La loi lie l’EFVP au projet, pas à la fête de lancement. Les évaluations tardives font rater l’occasion de modifier les choix de conception à moindre coût.
• La traiter comme un questionnaire fournisseur. Les réponses de sécurité des fournisseurs sont une donnée d’entrée, pas l’évaluation elle-même.
• Oublier les mises à jour. Un changement majeur de finalité, de données ou de fournisseur peut nécessiter une évaluation révisée.
• Ne pas la lier au reste du programme. Les conclusions de l’EFVP devraient alimenter votre inventaire de renseignements personnels, votre calendrier de conservation et vos politiques.

Pourquoi il est utile de bien la faire

Une EFVP documentée est votre preuve que la protection de la vie privée a été prise en compte dès la conception. Elle simplifie également le travail futur : le prochain système utilisant des données similaires pourra réutiliser une grande partie de l’analyse. Pour les entreprises qui suivent également la norme ISO/CEI 27001 ou se préparent à des audits de sécurité clients, la même analyse de risques soutient ces efforts.

Accel GRC propose des flux de travail guidés pour les EFVP alignés sur l’approche de la CAI, et KW Consulting peut réaliser ou réviser des évaluations pour des projets complexes. Consultez notre page sur la Loi 25, notre offre de programme de confidentialité et de sécurité, Accel GRC et KW Consulting, parcourez nos modèles de documents, ou contactez-nous.

Sources

• Act respecting the protection of personal information in the private sector (anglais)
• Loi sur la protection des renseignements personnels dans le secteur privé (français)
• CAI – Principaux changements de la Loi 25
• CAI – Guide : Réaliser une évaluation des facteurs relatifs à la vie privée
• CAI – EFVP : un guide plus convivial (14/05/2024)
• Blakes – L’organisme québécois de réglementation de la protection de la vie privée publie de nouvelles directives