Évaluation des facteurs relatifs à la vie privée : le guide EFVP pour une PME
Votre organisation s’apprête à changer de logiciel de paie, à ouvrir un portail client ou à confier un service à un fournisseur infonuagique. Quelque part dans le projet, des renseignements personnels changent de main. La Loi 25 prévoit qu’avant d’aller plus loin, une évaluation des facteurs relatifs à la vie privée soit menée — et personne dans l’équipe ne sait exactement quand elle devient obligatoire ni à quoi elle ressemble.
La réponse courte : l’évaluation des facteurs relatifs à la vie privée (EFVP, parfois appelée PIA en anglais) est un exercice de gestion de risque. On décrit un projet, on repère où les renseignements personnels sont exposés, on évalue la gravité de chaque risque et on décide des mesures pour le réduire. Ce n’est pas un formulaire à cocher : c’est une trace écrite qui montre que la décision a été prise en connaissance de cause. Pour une PME ou une municipalité, une demi-journée bien structurée suffit souvent à couvrir un projet courant.
Quand le texte de loi l’exige
La Loi 25 ne demande pas une EFVP pour chaque geste du quotidien. Le texte la rattache à des situations précises. Deux reviennent le plus souvent pour une organisation de taille modeste :
- Un projet d’acquisition, de développement ou de refonte d’un système d’information ou d’un service de prestation électronique qui met en cause des renseignements personnels. Un nouveau CRM, une refonte de site transactionnel, un changement de logiciel RH entrent dans cette catégorie.
- La communication de renseignements personnels à l’extérieur du Québec — un hébergement infonuagique dont les serveurs sont ailleurs, par exemple. Le texte demande alors d’évaluer si l’information bénéficierait d’une protection adéquate.
Ces obligations figurent dans la Loi sur la protection des renseignements personnels dans le secteur privé (chapitre P-39.1). Le libellé exact et les numéros d’articles doivent être lus à la source : le texte officiel sur Légis Québec. Les organismes publics et les municipalités relèvent d’un régime parallèle, avec une obligation équivalente. [À VÉRIFIER : numéros d’articles précis (3.3, 17) et disposition applicable au secteur municipal — confirmer sur Légis Québec avant publication.]
La date d’entrée en vigueur de cette obligation fait partie du déploiement par étapes de la Loi 25. [À VÉRIFIER : date exacte d’entrée en vigueur de l’obligation d’EFVP — confirmer auprès de la Commission d’accès à l’information.]
Ce que contient une EFVP
Il n’existe pas de gabarit unique imposé, mais une évaluation utile répond toujours aux mêmes questions. Voici la structure que nous recommandons pour rester lisible par un gestionnaire, pas seulement par un juriste.
| Section | Ce qu’on y répond |
|---|---|
| Description du projet | Quels renseignements, pour qui, pourquoi, pour combien de temps. |
| Cartographie des flux | Qui accède aux données, où elles sont stockées, qui les reçoit à l’extérieur. |
| Analyse des risques | Pour chaque flux : que se passe-t-il en cas de fuite, d’accès non autorisé ou de perte. |
| Mesures d’atténuation | Chiffrement, contrôle d’accès, contrat avec le fournisseur, minimisation des données. |
| Décision | Le risque résiduel est-il acceptable? Qui l’a approuvé, à quelle date. |
La dernière ligne est la plus importante. Une EFVP n’a pas pour but de supprimer tout risque — c’est impossible. Elle sert à ce qu’une personne responsable ait vu le risque, l’ait pesé et ait tranché. C’est cette trace qui protège l’organisation le jour où une question surgit.
Les erreurs fréquentes
Trois pièges reviennent quand une petite équipe se lance sans méthode :
- La faire trop tard. Une EFVP menée une fois le contrat signé ne sert plus qu’à justifier une décision déjà prise. Sa valeur tient à ce qu’elle éclaire le choix avant qu’il soit arrêté.
- La confier à une seule personne. Le responsable TI voit les risques techniques; il ne voit pas toujours l’usage réel des données par les équipes métier. Une bonne EFVP se fait à deux ou trois voix.
- L’oublier au classement. Une évaluation qui dort dans une boîte de courriels n’existe pas. Elle doit être rangée avec la documentation de conformité et retrouvable rapidement.
Où H4I intervient
MuniShield est notre outillage de conformité Loi 25 pensé pour le municipal. Il soutient votre démarche : il aide à rassembler et à conserver la documentation exigée, dont les EFVP et le registre des incidents, au même endroit. Un outil ne rend jamais une organisation « conforme » — c’est votre processus qui l’y mène. MuniShield sert à ce que ce processus laisse une trace ordonnée plutôt qu’éparpillée. [À VÉRIFIER : confirmer auprès de l’équipe produit si MuniShield propose un gabarit d’EFVP intégré avant de l’affirmer.]
Vos services. Vos données. Votre contrôle. L’EFVP est l’un des endroits où cette maîtrise se construit concrètement, un projet à la fois.