Un registre des actifs informationnels, c'est quoi?
C'est la liste de l'information qu'une organisation détient. Pour une PME et la Loi 25, la partie qui compte est l'inventaire des renseignements personnels.
L'expression vient surtout du secteur public et de la sécurité de l'information. La loi qui s'applique aux entreprises privées ne l'impose pas sous ce nom. Mais elle exige des choses que vous ne pouvez pas faire sans savoir précisément quels renseignements personnels vous détenez, où ils sont et pourquoi.
À quoi il sert sous la Loi 25
Une politique de confidentialité fidèle
Vous devez dire quels renseignements vous recueillez, pourquoi et à qui ils sont communiqués. Impossible de l'écrire honnêtement sans savoir ce que vous détenez.
Des durées de conservation et une destruction
Une fois la fin accomplie, les renseignements doivent être détruits ou anonymisés. L'inventaire fixe, pour chaque renseignement, combien de temps et comment.
Les EFVP et les communications hors Québec
La colonne « hébergé hors Québec » repère d'un coup d'œil les outils qui exigent une évaluation des facteurs relatifs à la vie privée et une entente écrite.
Les demandes d'accès en 30 jours
Quand une personne demande ses renseignements, vous savez où chercher : l'inventaire liste chaque outil qui en contient.
L'évaluation d'un incident
Si un outil est compromis, l'inventaire dit tout de suite quels renseignements étaient touchés et s'ils étaient sensibles.
Les colonnes du gabarit
Une ligne par renseignement et par usage. Les colonnes :
- Renseignement — Ce qui est détenu : nom, courriel, NAS, historique d'achat…
- Personnes concernées — Clients, employés, candidats, abonnés, visiteurs du site.
- Sensible ? — Santé, finances, NAS, biométrie : consentement exprès et sécurité renforcée.
- Finalité — Pourquoi vous le détenez. Un même renseignement peut avoir deux lignes, une par usage.
- Mode de collecte — Formulaire du site, contrat, appel, courriel…
- Outil ou lieu de stockage — CRM, logiciel de paie, boîte courriel, classeur papier.
- Hébergé hors Québec ? — Oui déclenche une EFVP et une entente écrite.
- Fournisseur et entente écrite — Qui traite les renseignements pour vous, et sous quel contrat.
- Qui y a accès — Les rôles, pas seulement les noms.
- Durée de conservation — Fixée selon la finalité et vos autres obligations (fiscales, par exemple).
- Destruction ou anonymisation — Comment, concrètement, à l'échéance.
- EFVP réalisée ? — Oui, non ou non requise.
- Responsable interne et dernière révision — Qui tient la ligne à jour, et quand elle a été vérifiée.
Le remplir en 5 étapes
1. Listez vos outils
Partez de ce que vous utilisez, pas de la loi : CRM, infolettre, comptabilité, paie, formulaires du site, boîte courriel, classeurs.
2. Une ligne par renseignement et par usage
« Courriel client — facturation » et « courriel client — infolettre » sont deux lignes : la finalité, la durée et le consentement diffèrent.
3. Repérez les sensibles et le hors Québec
Ces deux colonnes concentrent l'essentiel du risque et des obligations supplémentaires.
4. Fixez une durée pour chaque ligne
Une case vide ici est la lacune la plus fréquente, et la plus facile à corriger.
5. Planifiez la révision
À chaque nouvel outil ou fournisseur, et au moins une fois par année.
Questions fréquentes
Le registre des actifs informationnels est-il obligatoire pour une PME?
La loi qui s'applique aux entreprises ne l'exige pas sous ce nom. L'expression vient surtout du secteur public et de la sécurité de l'information. Mais sans inventaire de vos renseignements personnels, vous pouvez difficilement respecter les obligations qui, elles, sont bien réelles : politique de confidentialité, durées de conservation, EFVP, réponses aux demandes d'accès.
Quelle différence avec le registre des incidents?
Le registre des incidents de confidentialité, lui, est expressément exigé (art. 3.8) : il consigne ce qui a mal tourné. L'inventaire décrit ce que vous détenez, en temps normal. Le second aide à remplir le premier : en cas d'incident, il dit quels renseignements étaient touchés.
Combien de temps faut-il pour le remplir?
Pour une petite entreprise, comptez une demi-journée à une journée, selon le nombre d'outils. C'est le travail le plus long de la mise en conformité, mais il accélère tout le reste.
Faut-il le transmettre à la Commission d'accès à l'information?
Non. C'est un document interne. Il sert à démontrer votre diligence si une plainte ou une vérification survient.
Articles cités : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), telle que modifiée par la Loi 25. Source officielle : Commission d'accès à l'information du Québec. Ce guide est informatif et ne constitue pas un avis juridique.