Qu'est-ce qu'une EFVP?
Une analyse écrite, faite avant d'agir, des risques qu'un projet fait courir aux renseignements personnels — et des mesures prises pour les réduire.
L'idée est simple : plutôt que de découvrir un problème après coup, vous vous posez les bonnes questions au moment où il est encore facile de changer de fournisseur, de collecter moins ou de restreindre les accès. La Loi 25 a rendu cette démarche obligatoire dans certaines situations depuis le 22 septembre 2023.
Quand la Loi 25 l'exige
Un nouveau système ou la refonte d'un système
Tout projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services qui implique des renseignements personnels : nouveau CRM, nouveau logiciel de paie, boutique en ligne, portail client, application mobile.
Une communication de renseignements hors Québec
Avant de communiquer des renseignements personnels à l'extérieur du Québec — ce qui inclut le fait de les confier à un fournisseur qui les héberge ailleurs, au Canada ou à l'étranger. La communication n'est permise que si l'évaluation conclut à une protection adéquate, et elle doit faire l'objet d'une entente écrite.
Une communication à des fins d'étude ou de recherche
Communiquer des renseignements sans consentement à des fins d'étude, de recherche ou de statistiques exige aussi une évaluation préalable. Rare dans une PME, mais à connaître.
Faire une EFVP en 6 étapes
1. Décrire le projet
En quelques lignes : ce que vous mettez en place, pourquoi, qui l'utilisera, le fournisseur choisi. Impliquez le responsable de la protection des renseignements personnels dès ce moment : la loi exige qu'il soit consulté dès le début du projet.
2. Lister les renseignements touchés
Quels renseignements (noms, courriels, NAS, données de santé, historique d'achat…), de qui (clients, employés, mineurs), combien de personnes, et lesquels sont sensibles. Votre inventaire des renseignements personnels fait gagner beaucoup de temps ici.
3. Suivre le parcours des renseignements
Collecte, utilisation, communication, conservation, destruction : où les renseignements sont stockés (et dans quel pays), qui y a accès, à qui ils sont transmis, combien de temps ils sont gardés et comment ils seront détruits.
4. Identifier les risques
Que pourrait-il arriver de mal, et quelle en serait la gravité pour les personnes : accès non autorisé, fuite chez le fournisseur, collecte de plus de renseignements que nécessaire, conservation trop longue, communication à un tiers non prévue.
5. Choisir les mesures
Pour chaque risque, une réponse proportionnée : limiter les renseignements collectés, restreindre les accès, chiffrer, authentification à deux facteurs, entente écrite avec le fournisseur, durée de conservation fixée. Pour une communication hors Québec, évaluez aussi le cadre juridique de l'endroit où vont les renseignements.
6. Conclure et conserver
Une conclusion claire (le projet peut aller de l'avant, avec telles mesures), une date et la personne qui l'a approuvée. Conservez le document : c'est votre preuve de diligence si la Commission d'accès à l'information (CAI) pose des questions. Révisez-le si le projet change.
Un dernier point à vérifier au passage : la loi demande que le système permette de remettre à une personne, à sa demande, les renseignements informatisés qu'elle a fournis, dans un format structuré et couramment utilisé (droit à la portabilité). Assurez-vous que le nouvel outil sait exporter les données.
Questions fréquentes
Faut-il transmettre l'EFVP à la Commission d'accès à l'information?
Non, pour une entreprise privée, l'EFVP n'a pas à être transmise à la CAI. Elle doit toutefois exister et être documentée : en cas de plainte ou de vérification, c'est elle qui démontre que vous avez évalué les risques avant d'agir.
Une PME de 5 employés doit-elle vraiment faire des EFVP?
Oui, la loi ne prévoit pas d'exemption de taille. Mais l'évaluation doit être proportionnée à la sensibilité des renseignements, à la finalité, à leur quantité, à leur répartition et à leur support. Pour un petit projet peu sensible, quelques pages suffisent.
J'utilise déjà des outils hébergés aux États-Unis. Est-ce trop tard?
Non. Faites l'évaluation maintenant pour les outils existants qui reçoivent des renseignements personnels, en commençant par ceux qui contiennent les renseignements les plus sensibles. Vérifiez au passage que vous avez une entente écrite avec chaque fournisseur.
Quelle différence avec l'AIPD du RGPD européen?
La logique est proche, mais le déclencheur diffère : le RGPD exige une analyse d'impact surtout pour les traitements à risque élevé, alors que la Loi 25 l'exige pour tout projet de système touchant des renseignements personnels et pour toute communication hors Québec. Une AIPD existante est une bonne base, à adapter.
Articles cités : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), telle que modifiée par la Loi 25. La Commission d'accès à l'information du Québec publie un guide d'accompagnement sur l'EFVP. Cette page est informative et ne constitue pas un avis juridique.
Quels outils de suivi votre site utilise-t-il?
Le scan gratuit repère en 30 secondes les outils de suivi présents sur votre site — souvent les premiers renseignements à sortir du Québec.
Scanner mon site gratuitement