Évaluation des facteurs relatifs à la vie privée (EFVP) : quand la loi l’exige, et ce qu’elle laisse ouvert

Deux situations courantes où la loi exige l’évaluation, et une troisième

La première vient de l’art. 17, al. 1, de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) : avant de communiquer un renseignement personnel à l’extérieur du Québec, l’entreprise « doit procéder à une évaluation des facteurs relatifs à la vie privée ». L’alinéa 3 étend la règle au cas où l’entreprise « confie à une personne ou à un organisme à l’extérieur du Québec la tâche de recueillir, d’utiliser, de communiquer ou de conserver pour son compte un tel renseignement ».

La seconde vient de l’art. 3.3, al. 1 : l’évaluation porte sur « tout projet d’acquisition, de développement et de refonte de système d’information ou de prestation électronique de services » qui touche à des renseignements personnels.

La CAI écrit : « Vous devez réaliser une EFVP dans trois situations. » Les deux premières sont celles ci-dessus. La troisième est la communication de renseignements à des fins d’étude, de recherche ou de statistique, que l’art. 21, al. 2, subordonne à une évaluation : « La communication peut s’effectuer si une évaluation des facteurs relatifs à la vie privée conclut que ». Cette page ne la développe pas.

Le guide de la CAI donne le 22 septembre 2023 comme date d’entrée en vigueur des deux premières obligations (« Entrée en vigueur : 22 septembre 2023 »). Il écrit aussi que « vous n’avez pas l’obligation de réaliser une EFVP si votre projet était déjà finalisé à la date d’entrée en vigueur de l’obligation ». Le texte de la loi lu pour cette page ne porte pas de date d’entrée en vigueur par article : la date ne se vérifie que par la CAI, et elle reste non vérifiée par la loi.

Hors de ces situations, la CAI dit que l’évaluation « peut toutefois être menée à titre de bonne pratique ». Elle écrit aussi : « Si votre projet n’implique pas de renseignements personnels et ne présente manifestement aucun risque en matière de respect de la vie privée, vous n’avez pas à réaliser d’EFVP. » Et elle prévient : « Des renseignements peuvent, une fois croisés avec d’autres, révéler de l’information sur les personnes concernées. »

Communiquer à l’extérieur du Québec : ce que la CAI y met

Le texte de la loi écrit « à l’extérieur du Québec » trois fois (art. 8, al. 2, et art. 17, al. 1 et 3). Il ne nomme aucune province ni aucun pays : le mot province n’y figure pas.

La CAI, elle, précise. Sa page consacrée à l’utilisation et à la communication dit à quel moment sa procédure s’applique : « Avant de communiquer des renseignements personnels à une entité située à l’extérieur du Québec, tant interprovinciale qu’internationale ». Dans cette lecture de la CAI, une communication vers une autre province est donc visée. Sa page sur la collecte en donne un exemple, à propos de ce que la politique de confidentialité doit mentionner : « si vous stockez les renseignements chez un fournisseur infonuagique en Ontario, vous devez le mentionner ».

Il y a deux formes. Communiquer des renseignements : c’est la première. Confier une tâche à un tiers : la CAI écrit « Avant de confier à une personne ou à un organisme à l’extérieur du Québec la tâche de recueillir, d’utiliser, de communiquer ou de conserver, pour votre compte, de tels renseignements ». Parmi les projets que son guide mentionne, on trouve le « stockage de renseignements personnels en infonuagique à l’extérieur du Québec ». La CAI ajoute : « Sachez qu’une entreprise demeure toujours responsable des renseignements personnels qui lui sont confiés. »

L’art. 17, al. 4, écarte l’évaluation pour la communication prévue au 7° du premier alinéa de l’art. 18, faite à une personne qui doit la recevoir « en raison d’une situation d’urgence mettant en danger la vie, la santé ou la sécurité de la personne concernée ».

Quels outils d’un site entrent dans cette règle (hébergeur, boutique en ligne, outil de courriels ou d’infolettre, mesure d’audience, formulaire, service de paiement) : non vérifié. La CAI donne des exemples, comme le stockage en infonuagique ou l’achat d’un système d’information, et ne classe aucun outil précis. Le fournisseur sait où il conserve les renseignements : la question se pose outil par outil, et d’abord à lui.

Les quatre éléments de l’art. 17 et la protection adéquate

Pour l’évaluation de l’art. 17, la loi dit que l’entreprise « doit notamment tenir compte des éléments suivants », qu’elle énumère :

• 1° « la sensibilité du renseignement » ;
• 2° « la finalité de son utilisation » ;
• 3° « les mesures de protection, y compris celles qui sont contractuelles, dont le renseignement bénéficierait » ;
• 4° « le régime juridique applicable dans l’État où ce renseignement serait communiqué, notamment les principes de protection des renseignements personnels qui y sont applicables ».

La loi définit le renseignement sensible à l’art. 12, al. 4 : il est sensible quand, par sa nature ou par le contexte de son utilisation ou de sa communication, « il suscite un haut degré d’attente raisonnable en matière de vie privée ».

Vient ensuite la règle qui décide. Selon l’art. 17, al. 2, la communication « peut s’effectuer si l’évaluation démontre que le renseignement bénéficierait d’une protection adéquate, notamment au regard des principes de protection des renseignements personnels généralement reconnus ».

Ce que la loi ne définit pas. Les expressions protection adéquate et principes généralement reconnus n’apparaissent chacune qu’une fois dans le texte lu, à cet alinéa, sans définition. La CAI écrit dans son guide qu’aucune des deux lois qu’elle y mentionne, la loi sur l’accès et la loi sur le privé, ne les définit.

Ce que la CAI en conclut. Son guide propose une lecture qu’il présente comme une supposition : on peut penser qu’il s’agit d’une protection assurée à la fois par le droit de l’État de destination et par l’entente conclue avec l’organisation destinataire, qui respecte l’ensemble des principes généralement reconnus et qui convient à la sensibilité et à la finalité des renseignements en cause. Le guide donne aussi une liste de principes, « Sans être exhaustive ou définitive ». Quatre d’entre eux :

• la responsabilité : « Les organisations sont imputables quant à leur gestion des renseignements personnels » ;
• la limitation de la collecte : les organisations « recueillent uniquement les renseignements nécessaires aux fins déterminées » ;
• la sécurité : elles « prennent des mesures de sécurité appropriées pour protéger en tout temps les renseignements qu’elles détiennent » ;
• les droits des personnes concernées : « Les personnes peuvent accéder aux renseignements personnels qui les concernent et en demander la rectification ».

Le guide de la CAI tire aussi une conséquence : « Si vous concluez que les renseignements personnels ne bénéficieront pas d’une protection adéquate, vous devez refuser de les communiquer ou vous abstenir de les confier à un tiers hors du Québec. » C’est une conclusion du guide, non une phrase de la loi, qui dit que la communication « peut s’effectuer si » la protection adéquate est démontrée. Le guide précise lui-même : « En cas de contradiction entre l’information présentée et les termes mêmes des lois, celles-ci prévaudront. »

Si le droit d’un pays, d’une province ou d’un fournisseur donné atteint ce niveau de protection : non vérifié. Aucune source lue pour cette page ne juge un régime.

L’entente écrite

Selon l’art. 17, al. 2, la communication « doit faire l’objet d’une entente écrite qui tient compte notamment des résultats de l’évaluation » et, au besoin, des modalités convenues pour atténuer les risques relevés. La CAI le répète : « La communication à l’extérieur du Québec doit toujours faire l’objet d’une entente écrite ». Selon son guide, l’entente « doit tenir compte notamment des résultats de l’EFVP ». La loi exige une entente écrite ; la CAI écrit, de son côté, que le rapport d’évaluation n’est pas obligatoire (voir plus bas).

Un fournisseur à qui l’entreprise confie un mandat ou un contrat de service relève aussi de l’art. 18.3, qui demande de « confier le mandat ou le contrat par écrit ». La CAI écrit que ce mandat ou ce contrat « doit être confié par écrit et indiquer les mesures devant être prises par le mandataire ou le contractant ».

Que l’entente de l’art. 17 et le contrat de l’art. 18.3 puissent former un seul document, que le contrat type d’un fournisseur suffise, et ce qu’une entente doit contenir au-delà de ces textes : non vérifié. Aucun modèle d’entente n’a été lu, et cette page n’en propose pas.

Un nouveau système ou une refonte : l’art. 3.3

Pour un projet d’acquisition, de développement ou de refonte visé par l’art. 3.3, la loi dit trois choses.

• Au début : l’entreprise « doit consulter, dès le début du projet, son responsable de la protection des renseignements personnels » (al. 2).
• Sur la forme des données : elle doit s’assurer que le projet permet qu’un renseignement personnel informatisé, recueilli auprès de la personne concernée, lui soit communiqué « dans un format technologique structuré et couramment utilisé » (al. 3). La personne qui demande ses renseignements dans ce format : voir le guide sur les demandes d’accès et de rectification.
• Sur l’ampleur : l’al. 4 vise toute évaluation faite en application de la loi, donc aussi celle de l’art. 17. Elle doit être « proportionnée à la sensibilité des renseignements concernés, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support » (al. 4).

L’art. 3.4 permet au responsable de suggérer des mesures de protection à toute étape du projet.

Ce qu’est un système d’information, selon la CAI : « Un système d’information peut revêtir de multiples formes. Il n’est pas nécessairement informatisé, quoique cela soit fréquent. » Parmi ses exemples de systèmes de prestation électronique de services, elle nomme la « zone membre d’un site Web » et l’« application mobile ».

Un site vitrine, une boutique en ligne, un thème, une extension, un outil de mesure d’audience : sont-ils des projets de système d’information ou de prestation électronique de services ? Non vérifié. Aucune source lue ne les classe.

Qui s’en charge

La CAI écrit : « C’est l’organisation détentrice des renseignements personnels qui a la responsabilité de réaliser l’EFVP. » Cette responsabilité « ne revient pas aux éventuels sous-traitants, fournisseurs ou partenaires », qui peuvent aider « dans la réflexion et l’analyse de certains aspects ». Pour une agence qui choisit les outils du site d’un client, c’est la phrase de la CAI à lire en premier : elle place la responsabilité chez l’organisation détentrice, non chez ses fournisseurs.

Dans l’entreprise, la loi écrit à l’art. 3.1, al. 2, que « la personne ayant la plus haute autorité veille à assurer le respect et la mise en oeuvre de la présente loi » et qu’« elle peut déléguer cette fonction par écrit, en tout ou en partie, à toute personne ». Le rôle du responsable est décrit dans le guide sur le responsable de la protection des renseignements personnels.

Consulter le responsable : les textes lus le disent de trois façons. Dans le texte lu, la loi pose la consultation à l’art. 3.3, al. 2, seulement. Le guide de la CAI écrit : « l’entreprise doit consulter son responsable de la protection des renseignements personnels ». Sa page sur le responsable écrit : « Le responsable peut aussi participer aux autres évaluations des facteurs relatifs à la vie privée prévues par la Loi. » Laquelle de ces trois formules s’applique à une évaluation de l’art. 17 : non vérifié.

La CAI écrit aussi : « En cas de doute, nous vous recommandons de consulter un juriste. » C’est un conseil de la CAI, que cette page rapporte sans le reprendre à son compte.

La démarche de la CAI : facultative, en six étapes

Le guide de la CAI (version 3.1, avril 2024) écrit : « La loi ne précise pas comment réaliser une EFVP. » Et : « Elle ne détermine pas non plus le contenu et la forme d’un rapport ». Ce guide est une aide : il écrit lui-même que la loi prévaut en cas de contradiction, et il ne tient pas compte des projets de loi non encore en vigueur à la date de sa publication. Il décrit l’évaluation comme l’identification des risques d’atteinte à la vie privée et l’évaluation de leurs conséquences, puis la mise en place de stratégies pour les éviter ou les réduire.

Ses six étapes, dans l’ordre de sa table des matières :

1. « Déterminer si une évaluation est requise ». Voir la première section de cette page.
2. « Définir votre projet et l’objet de l’évaluation ». La CAI note : « Notez qu’un projet qui n’est pas nécessaire et proportionnel n’est pas légal. »
3. « Préparer l’évaluation ». Dresser l’inventaire des renseignements, qui permet de recueillir « seulement les renseignements personnels nécessaires pour réaliser le projet » ; poser la question du lieu d’hébergement : « Dans quel pays seront hébergés les renseignements personnels impliqués dans votre projet? »
4. « Évaluer les facteurs relatifs à la vie privée et adopter les stratégies appropriées ». Les conséquences à mesurer sont celles des personnes concernées : « Les conséquences pour votre propre organisation ne doivent pas entrer en ligne de compte dans l’EFVP, qui vise à préserver les droits des personnes concernées. » La CAI écrit aussi : « La loi ne prescrit pas de méthode pour qualifier ou évaluer les risques ». Un risque qui subsiste, après les mesures prévues, devient un risque résiduel ; si l’organisation l’accepte, elle doit être en mesure d’en assumer la responsabilité.
5. « Rédiger un rapport ». Voir la section suivante.
6. « Maintenir l’évaluation à jour ». La CAI écrit que « l’EFVP n’est efficace que si elle évolue de façon continue et doit être revue au besoin, tout au long de la vie du projet », et que « il n’est jamais trop tard pour amorcer votre EFVP si vous réalisez qu’elle s’impose ».

Proportion : la CAI écrit que si une situation oblige légalement à réaliser l’évaluation, « vous devez le faire, sans exception », et aussi que « l’ampleur de cette EFVP doit être adaptée à l’envergure du projet ». Elle ajoute : « C’est à vous de déterminer l’ampleur de votre EFVP. Il est important de documenter les éléments qui guident votre décision à cet égard. » L’ampleur attendue d’une très petite entreprise, un seuil ou un exemple : non vérifié.

Le rapport est facultatif, et le modèle de la CAI aussi

À propos du rapport, la CAI écrit : « Il n’est toutefois pas obligatoire, et n’est pas non plus l’unique méthode à votre disposition. » Pour un projet de moindre ampleur, elle suggère de rendre compte de l’évaluation « à l’aide de comptes rendus ou de courriels faisant état de votre réflexion », et prévient que « la multiplication des pièces justificatives peut être nuisible ». Elle écrit qu’une organisation pourrait « diffuser une version abrégée du rapport d’EFVP sur son site Web », à titre de bonne pratique.

Pour la transmission à la CAI, le guide écrit : « Il est attendu que vous transmettiez un rapport d’EFVP à la Commission lorsque celle-ci précède la signature d’une entente », des cas que cette page ne traite pas. Pour les autres, il écrit : « il n’est pas nécessaire de transmettre proactivement un rapport d’EFVP à la Commission ». La CAI pourrait toutefois demander à en prendre connaissance dans le cadre de ses activités de surveillance.

La CAI propose aussi un modèle de rapport (version 1.1, avril 2024) : « La Commission propose également un modèle générique de rapport (DOCX, 151 Ko) permettant de rendre compte des résultats d’une EFVP. » Le modèle écrit : « Il n’est pas obligatoire de l’utiliser. » et « Il est suggéré de l’adapter au contexte de votre organisation ou à l’ampleur de votre évaluation. » Il se télécharge depuis la page de la CAI sur le responsable. Cette page ne reproduit pas le modèle et n’en offre aucun.

Ce que la politique de confidentialité en dit, et ce qu’elle ne règle pas

La loi demande d’informer la personne concernée, à la collecte, de la possibilité que ses renseignements soient communiqués à l’extérieur du Québec, et de nommer les tiers pour qui la collecte est faite (art. 8, al. 2). Elle demande aussi de publier une politique de confidentialité sur le site (art. 8.2).

Le guide de rédaction de la CAI demande de nommer les fournisseurs qui recueillent des renseignements pour l’entreprise, par exemple « Un fournisseur de services technologiques comme une plateforme de commande ou un gestionnaire d’infolettres ». Il demande aussi d’indiquer les noms ou les catégories de ceux qui reçoivent des renseignements, et de dire s’ils peuvent être transmis à l’extérieur du Québec. Sa page sur la collecte ajoute : « Si, par exemple, une autre entreprise gère vos paiements, vous devez la nommer. »

La politique informe les personnes. Elle n’est ni l’évaluation, ni l’entente écrite, ni le jugement sur la protection adéquate. Ce qu’une politique doit dire du résultat d’une évaluation, ou si elle doit dire qu’une évaluation a été faite : non vérifié. Aucune source lue ne le précise.

En cas de manquement

Voici les textes tels quels. L’art. 90.1, al. 1, 2°, et l’art. 91, al. 1, 1°, visent celui qui « recueille, utilise, communique, conserve ou détruit des renseignements personnels en contravention à la loi ». La page de la CAI sur les sanctions reprend ces idées : « Recueille, utilise, communique, conserve ou détruit des renseignements personnels en contrevenant à la Loi », et « Néglige d’informer adéquatement les personnes concernées de la collecte de leurs renseignements personnels ».

Aucun de ces textes ne nomme l’art. 17, l’art. 3.3 ni l’évaluation. Un défaut d’évaluation tombe-t-il sous l’un d’eux ? Aucune décision ni page lue ne le dit : non vérifié. Les montants maximaux de la loi sont dans le guide sur l’incident de confidentialité, à la section sur ce qui arrive si l’on n’avise pas ; ils ne sont pas répétés ici.

Ce que cette page ne dit pas

Cette page décrit ce que les textes prévoient ; elle ne dit pas ce qu’une entreprise donnée doit faire. Non vérifié, parce que non lu pour cette page : quels outils entrent dans la communication à l’extérieur du Québec ou dans un système d’information ; ce qui rend une protection adéquate ; si le contrat type d’un fournisseur tient lieu d’entente écrite ; qui doit consulter le responsable pour une évaluation de l’art. 17 ; si une même évaluation peut servir aux deux articles ; l’ampleur attendue d’une petite entreprise ; les sanctions d’un défaut d’évaluation et la pratique de la CAI ; les règles des autres provinces, de la loi fédérale et des pays de destination, que la CAI invite à connaître ; le contenu de sa capsule vidéo sur le sujet ; et le nombre d’entreprises qui font une évaluation.

Par où commencer

Ces points se déduisent des textes ci-dessus ; aucun n’est cité comme une obligation distincte.

• Dresser la liste des services qui reçoivent des renseignements personnels (hébergeur, boutique, courriel, paiement, formulaires, infolettre, mesure d’audience) et des renseignements qu’ils reçoivent.
• Noter, pour chacun, où il conserve et traite les renseignements : province ou pays.
• Pour ceux qui sont à l’extérieur du Québec, considérer les quatre éléments de l’art. 17 et noter la conclusion.
• Conclure l’entente écrite.
• Pour un nouveau système, consulter le responsable dès le début.
• Décrire les tiers dans la politique de confidentialité.
• Garder une trace datée, et la revoir quand un fournisseur ou un projet change.

Pour une agence, la liste des deux premiers points est ce qu’elle peut remettre à son client. Elle ne fait pas l’évaluation à sa place : voir la section sur la responsabilité.

Pour aller plus loin

• Loi 25 : les obligations des entreprises, article par article : l’art. 3.3 et l’art. 17 en deux paragraphes.
• Ce que la Loi 25 demande au site web d’une entreprise : le site, ses fournisseurs et la mention dans la politique.
• Responsable de la protection des renseignements personnels : qui est-ce et quoi publier : le rôle du responsable.
• Politique de confidentialité selon la Loi 25, avec un exemple : la rubrique sur la communication à l’extérieur du Québec.
• Incident de confidentialité : que dit la Loi 25, et que noter au registre : les montants maximaux de la loi.
• Témoins (cookies) et Loi 25 : ce que dit la loi, et ce qu’elle ne dit pas : si la mesure d’audience vous intéresse, sans que cette page classe l’outil.
• Loi 25 : répondre à une demande d’accès ou de rectification dans une PME : la portabilité d’un renseignement informatisé, côté demande.