Un manufacturier de la Beauce remplace son vieux logiciel de paie, installé sur un serveur au sous-sol, par une plateforme infonuagique. Le fournisseur est sérieux, la démo impressionne, le contrat est prêt à signer. Personne n'a pensé à l'EFVP.
Pourtant, ce projet en déclenche probablement deux. D'abord au titre de l'article 3.3 de la Loi 25 : c'est l'acquisition d'un système d'information qui touche des renseignements personnels. Ensuite au titre de l'article 17, si les données de paie sont hébergées hors Québec.
Beaucoup de PME voient l'évaluation des facteurs relatifs à la vie privée comme un exercice juridique. En réalité, sa section la plus importante, l'analyse des risques, est un exercice de sécurité. Voici comment la mener sans y passer l'hiver.
En bref
- L'EFVP est obligatoire pour tout projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services impliquant des renseignements personnels (art. 3.3), avant toute communication hors Québec (art. 17) et pour certaines communications à des fins de recherche (art. 21).
- Le responsable de la protection des renseignements personnels doit être consulté dès le début du projet.
- La loi ne prescrit ni méthode ni format : le guide de la CAI propose six étapes et une grille gravité × probabilité.
- Des preuves techniques, comme un rapport SOC 2 ou un test d'intrusion, renforcent le rapport.
Quand l'EFVP est-elle obligatoire ?
La loi prévoit trois déclencheurs. Le plus fréquent en PME est l'article 3.3 : tout projet d'acquisition, de développement ou de refonte de système d'information ou de prestation électronique de services impliquant la collecte, l'utilisation, la communication, la conservation ou la destruction de renseignements personnels.
La CAI donne des exemples larges : logiciel de vidéoconférence, système de paie, système d'intelligence artificielle, vidéosurveillance, zone membre d'un site Web, application mobile, borne libre-service.
| Projet | Déclencheur | Article |
|---|---|---|
| Migration de la paie vers une plateforme infonuagique | Acquisition d'un système d'information | 3.3, et 17 si hébergée hors Québec |
| Nouvelle zone client sur votre site Web | Prestation électronique de services | 3.3 |
| Caméras de surveillance dans l'entrepôt | Système d'information | 3.3 |
| Outil d'IA qui analyse les courriels de vos clients | Système d'intelligence artificielle | 3.3, et 17 selon l'hébergement |
| Liste de clients confiée à un centre d'appels en Ontario | Communication hors Québec | 17 |
Pour les outils d'IA, les enjeux sont particuliers; notre article sur l'IA générative et les fuites de données les détaille.
Bonne nouvelle pour les PME : l'évaluation doit être proportionnée à la sensibilité des renseignements, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support (art. 3.3, al. 4). Un petit projet peu sensible mérite une EFVP courte.
Les six étapes proposées par la CAI
La loi ne dit pas comment faire une EFVP. La CAI publie un guide d'accompagnement (version 3.1, avril 2024) et un modèle de rapport, non obligatoires mais très utiles. Les étapes :
- Déterminer si une évaluation est requise.
- Définir le projet et l'objet de l'évaluation.
- Préparer l'évaluation : inventaire des renseignements, tracé de leur parcours, recensement de vos obligations.
- Évaluer les facteurs relatifs à la vie privée et adopter des stratégies d'atténuation.
- Rédiger un rapport.
- Maintenir l'évaluation à jour.
La sécurité entre surtout aux étapes 3 et 4. C'est là que la plupart des EFVP « faites maison » restent vagues.
Les questions de sécurité à poser au fournisseur
Pour le projet de paie de la Beauce, voici les questions à intégrer dans toute EFVP d'un système infonuagique :
- Où les données seront-elles hébergées et sauvegardées (pays, région infonuagique) ?
- Qui y aura accès, chez vous et chez le fournisseur ? Les accès sont-ils nominatifs et journalisés ?
- L'authentification multifacteur est-elle offerte, et pouvez-vous l'imposer à tous ?
- Les données sont-elles chiffrées en transit et au repos ? Qui gère les clés ?
- Le fournisseur a-t-il un rapport SOC 2 ou une certification ISO 27001 récents qui couvrent le service acheté ?
- Le contrat l'oblige-t-il à aviser sans délai votre responsable de toute violation de confidentialité (art. 18.3) ?
- Comment les données seront-elles détruites en fin de contrat ?
- Pouvez-vous les exporter dans un format technologique structuré et couramment utilisé, comme l'exige l'article 3.3 ?
- Que deviendront les données de l'ancien système ?
Posez ces questions avant de signer, pas après. Si les données quittent le Québec, l'article 17 exige que la communication fasse l'objet d'une entente écrite qui tient compte des résultats de l'évaluation et, le cas échéant, des modalités convenues pour atténuer les risques relevés. Une fois le contrat signé, votre pouvoir de négociation sur les clauses de sécurité, d'avis d'incident ou de destruction des données fond comme neige au soleil d'avril.
Coter les risques : la grille gravité × probabilité
Le guide de la CAI propose une méthode simple : coter la gravité de 1 (très faible) à 4 (très grande), la probabilité de 1 à 4, puis multiplier. Résultat : très faible (1-2), modéré (3-4), grand (6-8), très grand (9-12), inacceptable (16). Un risque dont la gravité est jugée inacceptable, par exemple parce qu'il implique une non-conformité à la loi, doit être éliminé pour que le projet se poursuive.
Appliquée au projet de paie (180 employés) :
| Risque | Gravité | Probabilité | Niveau | Mesure d'atténuation |
|---|---|---|---|---|
| Compte d'une employée RH compromis par hameçonnage : accès aux NAS et données bancaires | 4 | 3 | 12, très grand | MFA résistante à l'hameçonnage, alertes de connexion |
| Ancien serveur de paie oublié, plus mis à jour | 3 | 3 | 9, très grand | Exportation, effacement sécurisé, mise hors service datée |
| Tous les contremaîtres voient tous les salaires | 2 | 4 | 8, grand | Rôles par service, revue trimestrielle des accès |
| Incident chez le fournisseur sans avis | 4 | 2 | 8, grand | Clause d'avis sans délai, lecture du rapport SOC 2 |
Recotez ensuite chaque risque après les mesures. C'est ce risque résiduel que la direction accepte, et c'est cette décision que le rapport doit montrer.
Joindre des preuves techniques au rapport
Le guide de la CAI suggère d'annexer au rapport, s'il y a lieu, la liste de vos politiques, un résumé des avis de sécurité produits avec des fournisseurs ou partenaires (il cite le test d'intrusion), l'entente de communication et les certifications obtenues. Il recommande aussi que le rapport mentionne son approbation par la haute direction.
Si votre projet comprend un développement sur mesure, comme une zone client ou une application mobile, un test d'intrusion d'application Web avant la mise en production est la preuve la plus parlante. Rappel : un test d'intrusion exige une autorisation écrite du propriétaire des systèmes (Code criminel, art. 342.1), et souvent de l'hébergeur.
Garder l'EFVP vivante
Le guide de la CAI insiste : l'EFVP est évolutive et doit être revue tout au long du projet. En pratique, mettez-la à jour quand :
- vous ajoutez un module qui traite de nouveaux renseignements;
- le fournisseur change de sous-traitant ou de région d'hébergement;
- un incident révèle un risque que vous n'aviez pas vu.
Ce contenu vulgarise les obligations de la Loi 25 et ne constitue pas un avis juridique : validez la portée de vos EFVP avec votre conseiller juridique. Pour le volet sécurité (questions au fournisseur, cotation des risques, preuves techniques), notre accompagnement en conformité Loi 25 peut travailler avec votre responsable de la protection des renseignements personnels.
Questions fréquentes
Faut-il faire une EFVP pour adopter Microsoft 365 ou un CRM infonuagique ?+
Généralement oui : l'acquisition d'un système d'information qui recueille, utilise ou conserve des renseignements personnels déclenche l'article 3.3. L'évaluation peut toutefois être proportionnée. Pour un outil courant et bien documenté, elle peut rester courte. Si les données sont hébergées hors Québec, l'article 17 s'ajoute.
Faut-il transmettre l'EFVP à la CAI ?+
Non, la loi ne prévoit pas de dépôt systématique. Conservez votre rapport pour pouvoir démontrer votre démarche si la CAI le demande, par exemple lors d'une enquête. Certaines communications à des fins de recherche exigent toutefois une entente écrite transmise à la Commission.
Quelle différence entre une EFVP et une analyse de risques de sécurité ?+
L'analyse de risques de sécurité porte sur la confidentialité, l'intégrité et la disponibilité des systèmes. L'EFVP est plus large : elle vérifie aussi la nécessité de la collecte, la transparence, le consentement et la durée de conservation, du point de vue des personnes concernées. Une bonne analyse de sécurité alimente directement la section risques de l'EFVP.
Un système déjà en production doit-il faire l'objet d'une EFVP ?+
L'obligation de l'article 3.3 vise les projets d'acquisition, de développement ou de refonte. Un système en place n'en déclenche pas une à lui seul, mais une refonte ou un changement important, comme un nouveau module ou un nouvel hébergeur, le fera. La CAI rappelle qu'il n'est jamais trop tard pour amorcer une EFVP.
Sources
- 1.Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), art. 3.3, 17 et 21
- 2.CAI — Réaliser une évaluation des facteurs relatifs à la vie privée, guide d'accompagnement (version 3.1, avril 2024)
- 3.CAI — Modèle générique de rapport d'EFVP
- 4.CAI — Responsabilité des entreprises (section EFVP)