Un client me montre le contrat d’un nouveau logiciel de paie infonuagique. Prix garanti jusqu’à vendredi. Je pose une seule question : où seront hébergés les dossiers de vos employés?
Silence. Puis : « Au Canada, je pense. »
Cette réponse ne règle rien. La Loi 25 ne dit pas « à l’extérieur du Canada ». Elle dit « à l’extérieur du Québec ». Un centre de données à Toronto est visé.
En résumé : avant certains projets, la Loi 25 exige une évaluation des facteurs relatifs à la vie privée (EFVP). Elle se fait avant la signature et projet par projet, pas une seule fois pour toute l’entreprise.
Pour rappel : c’est quoi une EFVP?
La Commission d’accès à l’information (CAI) la décrit comme une démarche préventive et évolutive, qui commence dès le début d’un projet touchant des renseignements personnels. En pratique, c’est un exercice écrit. Qu’est-ce qu’on collecte? Où ça va? Qui y touche? Qu’est-ce qui peut mal tourner et que fait-on pour réduire ce risque?
Le guide de la CAI recense plusieurs situations où elle est obligatoire dans le secteur privé. Deux touchent presque toutes les PME, soit les articles 3.3 et 17 de la Loi sur la protection des renseignements personnels dans le secteur privé, en vigueur depuis septembre 2023. Une troisième, la communication sans consentement à des fins de recherche (article 21), est rare chez les PME.
Situation 1 : vous achetez, développez ou refaites un système
Voici ce que dit l’article 3.3 :
« Toute personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée de tout projet d’acquisition, de développement et de refonte de système d’information ou de prestation électronique de services impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels. »
Le mot « projet » est large. Un nouveau CRM, une migration vers Microsoft 365, un portail client, une plateforme de paie, un agent conversationnel sur votre site ou un formulaire de prise de rendez-vous en ligne entrent tous dans cette définition dès qu’ils touchent des renseignements personnels.
L’article ajoute trois précisions que je vois rarement respectées.
D’abord, vous devez consulter votre responsable de la protection des renseignements personnels dès le début du projet. Pas à la fin, pour une signature de convenance.
Ensuite, le système doit permettre de remettre à une personne ses renseignements informatisés, ceux qu’elle vous a elle-même fournis, dans un format technologique structuré et couramment utilisé. C’est un critère d’achat concret. Demandez au fournisseur de vous montrer comment il exporte le dossier d’une seule personne.
Enfin, l’évaluation doit être proportionnée à la sensibilité des renseignements, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support. Un outil de sondage interne n’appelle pas le même travail qu’une plateforme qui contient des numéros d’assurance sociale.
Situation 2 : des renseignements quittent le Québec
L’article 17 commence ainsi :
« Avant de communiquer à l’extérieur du Québec un renseignement personnel, la personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée. »
Il demande de tenir compte minimalement de quatre éléments : la sensibilité du renseignement, la finalité de son utilisation, les mesures de protection dont il bénéficierait (y compris les mesures contractuelles) et le régime juridique de l’État où il serait communiqué.
Ce n’est pas une suggestion : la communication peut s’effectuer si l’évaluation démontre que le renseignement bénéficierait d’une protection adéquate. Elle doit aussi faire l’objet d’une entente écrite qui tient compte des résultats de l’évaluation et des mesures convenues pour réduire les risques. C’est donc l’évaluation qui donne le feu vert, pas le fournisseur.
Le même article s’applique quand vous confiez à une personne ou à un organisme à l’extérieur du Québec la tâche de recueillir, d’utiliser, de communiquer ou de conserver des renseignements pour votre compte. Votre logiciel infonuagique hébergé ailleurs est un cas typique, même si le fournisseur est canadien.
Ce qu’une EFVP n’est pas
Ce n’est pas l’analyse de risque de toute l’entreprise. Si vous avez fait votre analyse selon ISO 27005, vous avez déjà une bonne partie du vocabulaire (sensibilité, conséquences, probabilité). Par contre, l’analyse de risque couvre l’organisation au complet, une fois par année. L’EFVP couvre un projet, avant son lancement. Les risques trouvés dans l’une peuvent alimenter le registre de l’autre.
Ce n’est pas une interdiction. L’EFVP ne vous empêche pas d’utiliser un fournisseur étranger. Elle vous oblige à documenter pourquoi la protection est adéquate puis à écrire dans le contrat ce que vous avez constaté.
Ce n’est pas non plus un rapport de quarante pages. À mon avis, pour un projet simple, quelques pages bien remplies valent beaucoup plus qu’un gabarit de la CAI rempli au complet par obligation.
Les six étapes du guide de la CAI
Le guide de la CAI (version de 2024) propose une démarche en six étapes :
- Déterminer si une évaluation est requise.
- Définir le projet et l’objet de l’évaluation.
- Préparer l’évaluation : inventaire des renseignements, parcours, ampleur, obligations applicables.
- Évaluer les facteurs et choisir les stratégies et les mesures.
- Rédiger un rapport.
- Maintenir l’évaluation à jour.
Le rapport décrit le projet, la situation légale qui motive l’évaluation, les rôles, l’inventaire des renseignements, leur parcours, les risques, les mesures, un plan d’action avec échéancier et responsables, puis l’approbation par les décideurs de l’entreprise (noms, titres, signatures et date).
Exemple : une plateforme de paie dans une PME de 35 employés
Voici à quoi peut ressembler le cœur d’une EFVP proportionnée. L’entreprise est fictive.
| Question | Ce qu’on note |
|---|---|
| Renseignements visés | Nom, adresse, numéro d’assurance sociale, coordonnées bancaires, salaire, absences. Employés actuels et anciens. Sensibilité élevée |
| Parcours | Saisie par la contrôleuse, plateforme du fournisseur, dépôt bancaire, export vers la comptabilité |
| Hébergement | Centre de données en Ontario. Copie de secours dans un autre pays à confirmer par écrit |
| Accès du fournisseur | Le soutien technique peut consulter les dossiers depuis l’étranger au besoin |
| Sous-traitants | Deux, nommés dans le contrat |
| Conservation | Sept ans après le départ de l’employé. Destruction confirmée par écrit |
| Exportation d’un dossier | Testée en démonstration. Format structuré obtenu |
| Incident chez le fournisseur | Délai d’avis précisé par écrit dans le contrat |
| Décision | Signature avec avenant sur l’hébergement et les avis d’incident. Risque résiduel accepté par le président : accès du soutien depuis l’étranger, avec journalisation. À revoir dans 12 mois |
Cette dernière ligne ne ressemble pas à un « oui » ou à un « non ». Le fournisseur n’a pas offert d’hébergement exclusivement québécois, l’entreprise n’a pas non plus abandonné le projet. Elle a pris une décision, l’a écrite et a nommé la personne qui l’assume.
Le conflit avec le calendrier
Je connais l’objection du directeur des ventes ou de la contrôleuse. Le fournisseur garantit son prix jusqu’à vendredi et l’équipe veut déployer l’outil au début du mois.
L’EFVP se fait avant la signature justement parce qu’après, il ne reste qu’à réclamer des changements à un contrat signé. Je n’ai pas de réponse parfaite à ce conflit entre la vitesse et la rigueur. Ce que je suggère minimalement : demander au fournisseur de prolonger son offre de quelques jours. S’il refuse, c’est déjà une information sur la façon dont il traitera vos demandes plus tard.
En pratique, avant de signer
- Nommez la personne qui pilote l’évaluation et consultez le responsable de la protection des renseignements personnels dès le début du projet.
- Dressez la liste des renseignements visés et des catégories de personnes concernées (employés, clients, candidats).
- Obtenez par écrit le lieu d’hébergement, le lieu d’où le soutien technique accède aux données, la liste des sous-traitants, la durée de conservation et la procédure de destruction.
- Faites exporter devant vous le dossier d’une seule personne.
- Évaluez selon les cinq facteurs de l’article 3.3 (sensibilité, finalité, quantité, répartition, support) et notez les risques et les mesures.
- Si des renseignements sortent du Québec, faites reprendre vos constats dans une entente écrite.
- Faites approuver le rapport par les décideurs de l’entreprise, avec la date.
- Inscrivez une révision à chaque changement important, comme un nouveau sous-traitant, un changement d’hébergement ou une nouvelle fonction d’intelligence artificielle ajoutée par le fournisseur.
Quelques pièges
Attention à l’EFVP rédigée après coup. Si elle est datée d’avant la signature alors qu’elle a été écrite après, vous avez créé un deuxième problème. Mieux vaut une évaluation tardive et honnête, avec sa vraie date, qu’une évaluation antidatée.
Le rapport de sécurité du fournisseur n’est pas votre EFVP. Il décrit son système, pas votre projet ni vos renseignements. Le guide de la CAI place la responsabilité de réaliser l’évaluation sur l’organisation qui détient les renseignements. Je peux poser les questions et outiller la démarche, mais la conformité en bonne et due forme reste celle de l’entreprise.
« Hébergé au Canada » ne règle pas la question. Rappelez-vous le texte de l’article 17 : c’est le Québec qui compte.
Une EFVP faite en 2024 pour un outil qui a changé de sous-traitant en 2026 est une EFVP périmée. Le guide parle d’une évaluation qui doit évoluer avec le projet.
Ce que je ne sais pas
Je ne sais pas dans quelle mesure la CAI examine ces rapports en pratique. À ma connaissance, elle ne publie pas de statistiques sur les EFVP vérifiées. Son rapport annuel 2024-2025 mentionne seulement qu’elle a amélioré en mai 2024 son guide et son modèle de rapport.
Par contre, la question peut arriver par d’autres portes. Un auditeur ISO 27001 ou un client qui envoie son questionnaire de sécurité peut demander à voir les évaluations des projets récents. C’est là que l’absence de rapport se remarque.
Bref, l’EFVP n’est pas un document de plus à classer. C’est la question « où vont les renseignements? » posée avant la signature plutôt qu’après. Quel est le dernier outil que votre entreprise a adopté? Savez-vous aujourd’hui où ses renseignements sont hébergés?
Vous préparez une signature? Parlons-en.
Références
- Loi sur la protection des renseignements personnels dans le secteur privé, articles 3.3 et 17 (LégisQuébec)
- Commission d’accès à l’information, Réaliser une évaluation des facteurs relatifs à la vie privée (guide, 2024)
- Commission d’accès à l’information, Rapport annuel d’activités et de gestion 2024-2025