Depuis le 22 septembre 2023, toute entreprise québécoise qui acquiert, développe ou refond un système d'information ou un service de prestation électronique impliquant des renseignements personnels doit réaliser une Évaluation des Facteurs relatifs à la Vie Privée (EFVP). L'obligation est inscrite à l'article 3.3 de la Loi 25.
La Commission d'accès à l'information du Québec (CAI) ne fournit pas de template officiel. Résultat : la majorité des PME québécoises improvisent, produisent des documents non conformes, ou repoussent indéfiniment l'exercice. Voici la méthodologie en 7 étapes que nous appliquons chez CyberKortex pour livrer des EFVP solides et défendables devant la CAI.
Étape 1 — Délimiter le périmètre du projet
L'erreur la plus fréquente est de vouloir tout évaluer en même temps. Une EFVP couvre un projet précis, pas l'ensemble de votre organisation. Si vous migrez vers un nouveau logiciel comptable, l'EFVP porte sur ce logiciel — pas sur toute la gestion RH.
Livrable de cette étape :
- Nom du projet et finalité métier
- Date prévue de mise en service
- Liste des systèmes impactés (existants et nouveaux)
- Liste des équipes impliquées (métier, IT, juridique, sécurité)
- Désignation du responsable EFVP (souvent le DPO ou son délégué)
Étape 2 — Cartographier les renseignements personnels traités
Vous devez lister précisément quelles catégories de renseignements personnels seront traitées. La Loi 25 distingue les renseignements personnels "ordinaires" des renseignements personnels "sensibles" (santé, données biométriques, origine ethnique, opinions politiques, orientation sexuelle, casier judiciaire). Cette distinction conditionne le niveau d'EFVP exigé.
Pour chaque catégorie, documentez :
- Source : auprès de qui sont collectés ces renseignements ?
- Finalité : à quoi vont-ils servir, exactement ?
- Destinataires : qui y aura accès, en interne et en externe ?
- Durée de conservation : combien de temps les garder ?
- Lieu d'hébergement : sur quel serveur, dans quel pays ?
Étape 3 — Identifier les risques pour les personnes concernées
C'est le cœur de l'EFVP. Vous devez évaluer les risques que représente votre projet pour les personnes dont vous traitez les renseignements — pas pour votre entreprise. Cette nuance échappe à beaucoup de PME.
Cadre d'évaluation recommandé (basé sur EBIOS RM adapté Loi 25) :
| Catégorie de risque | Exemple concret |
|---|---|
| Accès non autorisé | Employé sans habilitation qui consulte des dossiers RH |
| Divulgation accidentelle | Mauvais destinataire dans un courriel groupé |
| Perte de données | Sauvegarde corrompue, ransomware |
| Réutilisation détournée | Données collectées pour la facturation utilisées pour le marketing sans consentement |
| Transfert hors juridiction | Hébergement chez un fournisseur soumis au Cloud Act américain |
Étape 4 — Coter les risques (probabilité × gravité)
Pour chaque risque identifié, attribuez une probabilité (1 à 4) et une gravité (1 à 4). La criticité résultante détermine si vous devez agir avant la mise en service.
Grille de gravité spécifique aux renseignements personnels :
- 1 (Négligeable) : impact mineur, réversible (ex : adresse mal orthographiée)
- 2 (Limité) : impact contournable (ex : courriel divulgué à un mauvais destinataire interne)
- 3 (Important) : impact difficile à réparer (ex : numéro d'assurance sociale divulgué)
- 4 (Critique) : impact irréversible (ex : données médicales rendues publiques, vol d'identité)
Tout risque coté ≥ 9 (probabilité 3 × gravité 3) doit faire l'objet de mesures de mitigation avant lancement.
Étape 5 — Définir les mesures de mitigation
Pour chaque risque significatif, documentez précisément quelle mesure technique ou organisationnelle vous mettez en place. Évitez les formulations vagues du type "nous mettrons en place une sécurité renforcée". La CAI attend du concret.
Exemples de mesures bien formulées :
- Chiffrement AES-256 au repos sur tous les volumes contenant des renseignements personnels (au lieu de "données chiffrées")
- Authentification multifacteurs obligatoire pour tous les accès admin via Microsoft Entra ID (au lieu de "MFA")
- Journalisation des accès dans Splunk avec rétention 18 mois et alertes sur consultations massives (au lieu de "audit trail")
- Hébergement chez OVH Beauharnois Québec, sous juridiction canadienne exclusive (au lieu de "cloud sécurisé")
Étape 6 — Documenter la base légale du traitement
Tout traitement de renseignements personnels doit reposer sur une base légale parmi celles prévues à la Loi 25 :
- Consentement libre, éclairé et explicite de la personne
- Exécution d'un contrat avec la personne
- Obligation légale de l'organisation
- Intérêt légitime de l'organisation (avec test d'équilibre)
- Sauvegarde d'intérêts vitaux
Le consentement reste la base la plus exigeante : il doit être spécifique à chaque finalité, accessible à tout moment, retirable en un clic. Les bandeaux de consentement génériques type "j'accepte tout" ne sont pas conformes à la Loi 25.
Étape 7 — Produire le rapport EFVP et l'archiver
Le rapport final doit contenir au minimum les sections suivantes (structure type CAI) :
- Présentation du projet et de son contexte
- Cartographie des renseignements personnels traités
- Analyse des risques pour les personnes concernées
- Mesures de protection mises en place
- Justification de la nécessité et proportionnalité du traitement
- Plan de surveillance et de révision périodique
- Signatures du responsable de projet, du DPO et de la direction
Ce rapport doit être conservé pendant toute la durée de vie du projet plus 5 ans après son démantèlement. Il doit pouvoir être présenté à la CAI sur demande dans les 30 jours.
Combien de temps pour une EFVP bien faite ?
Selon notre expérience auprès des PME québécoises :
- Projet simple (ex : nouveau formulaire de contact) : 1 à 2 jours-personnes
- Projet moyen (ex : nouveau CRM, migration RH) : 5 à 10 jours-personnes
- Projet complexe (ex : refonte SI complète, plateforme de santé) : 20 à 40 jours-personnes
Une PME de 50 employés qui réalise sa première EFVP devrait prévoir un investissement initial de 8 000 à 15 000 $ d'accompagnement externe. Les EFVP suivantes coûtent moins cher car les méthodes et les templates sont déjà en place.
En cas de contrôle de la CAI
La CAI peut demander à voir vos EFVP. Les sanctions en cas de non-conformité sont prévues à l'article 90.12 de la Loi 25 : jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial, le plus élevé des deux. Aucune PME ne souhaite se retrouver dans cette situation.
L'EFVP n'est pas qu'une obligation administrative : c'est votre meilleure assurance en cas d'incident. Si vous subissez une fuite de données et que vous pouvez démontrer à la CAI que vous aviez bien identifié le risque et mis en place les mesures appropriées, votre exposition financière et réputationnelle est considérablement réduite.
Réaliser votre première EFVP avec accompagnement
Notre équipe Loi 25 conduit l'EFVP de bout en bout : entretiens, cartographie, analyse de risques, rapport final. Forfait fixe à partir de 3 500 $ pour un projet simple.
Demander un devis EFVP