Loi 25 | Devez-vous procéder à une évaluation des facteurs relatifs à la vie privée?

Nouvelles obligations à compter du 22 septembre 2023

D’ici le 22 septembre 2023, les entreprises devront obligatoirement évaluer les facteurs relatifs à la vie privée dans les cas suivants :

• un projet d’acquisition, de développement et de refonte d’un système d’information ou de prestation électronique de services impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels;

(passage à l’infonuagique, modernisation d’un système de paie accessible par les employés sur une plateforme en ligne, utilisation d’un système de géolocalisation ou implantation d’un système/logiciel de gestion des relations avec la clientèle)

• avant de communiquer un renseignement personnel à l’extérieur du Québec ou de confier à une personne ou à un organisme à l’extérieur du Québec la tâche de recueillir, d’utiliser, de communiquer ou de conserver pour son compte un tel renseignement.

(communication de renseignements personnels concernant les clients ou les employés à une entreprise ontarienne en prévision d’une fusion, recours à des fournisseurs, consultants ou professionnels situés à l’extérieur du Québec impliquant la communication ou la conservation de renseignements personnels, comme des comptables, consultants en ressources humaines ou en informatique, gestionnaires de paie, compagnies d’entreposage de boîtes d’archives, centres d’appels, etc., hébergement de renseignements personnels sur des serveurs situés à l’extérieur du Québec)

Note : Certains fournisseurs de stockage infonuagique enregistrent les renseignements dans des centres de données situés au Québec (ex. : Google, Microsoft Azure, Amazon Web Services) tandis que d’autres les stockent à l’extérieur du Québec (ex. : Dropbox). Il s’agit d’un aspect à vérifier lors du choix de votre fournisseur.

Vous devez savoir où seront situées les données et qui seront les gens qui pourront accéder aux renseignements.

Il n’est plus possible de se lancer dans un projet technologique sans s’interroger sur ses répercussions sur la vie privée et la protection des renseignements personnels. L’entreprise doit prendre des décisions réfléchies en adoptant une approche préventive et sécuritaire.

Il est important de retenir que cette évaluation doit être proportionnée à la sensibilité des renseignements concernés (ex. : âge, date de naissance, numéro d’assurance sociale, numéro de cartes de crédit), à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support. Ainsi, plus les renseignements sont sensibles et nombreux, plus l’évaluation devra être approfondie et rigoureuse.

Qu’est-ce qu’une « évaluation des facteurs relatifs à la vie privée »?

Selon la Commission d’accès à l’information, l’évaluation des facteurs relatifs à la vie privée est une démarche préventive visant une meilleure protection des renseignements personnels et un plus grand respect de la vie privée des individus.

Concrètement, il s’agit d’une analyse d’impact qui tient compte de tous les facteurs ayant un effet positif ou négatif sur le respect de la vie privée des personnes concernées, par exemple :

• la conformité du projet aux lois applicables en matière de protection des renseignements personnels;
• les risques d’atteinte à la vie privée de ce projet et l’évaluation de leurs conséquences;
• les stratégies pouvant éviter ces risques ou les réduire efficacement.

Ce processus permet à l’entreprise de respecter ses obligations et d’éviter les problèmes pouvant découler d’une gestion inadéquate des renseignements. Pensons par exemple aux scandales et aux poursuites résultant de vols de données et d’incidents de confidentialité au cours des dernières années.

À quel moment devez-vous procéder à cette évaluation?

L’évaluation doit être amorcée au début des projets, avant les communications hors Québec. Pour être efficace, elle doit évoluer en continu et être revue au besoin pendant tout le projet.

Pour les projets de grande envergure, vous pouvez faire une évaluation préliminaire, plus courte et moins exhaustive, puis une évaluation complète. Il peut être intéressant de procéder afin d’éviter d’engager des frais pour des solutions qui pourraient s’avérer non conformes ou engendrer des enjeux disproportionnés pour les personnes par rapport à vos objectifs d’affaires.

Particularités pour les projets

Le responsable de la protection des renseignements personnels doit être consulté dès le début du projet. Il pourra ainsi suggérer des mesures pour protéger les renseignements personnels. Il est aussi pertinent d’impliquer des personnes au courant des bonnes pratiques en matière de respect de la vie privée, de protection des renseignements personnels et de sécurité de l’information.

Existe-t-il un guide d’accompagnement?

La Commission d’accès à l’information, responsable de l’application de la Loi, a préparé un guide d’accompagnement intitulé Réaliser une évaluation des facteurs relatifs à la vie privée.

Il est important de noter que ce guide a été conçu avant que l’évaluation des facteurs relatifs à la vie privée ne devienne obligatoire et qu’il sera mis à jour. Entretemps, il vous permet de mieux comprendre la démarche et de vous inspirer de celle qui est proposée pour savoir comment procéder lors de vos évaluations. Voici un résumé des étapes recommandées par la Commission :

• Définir votre projet (page 3);
• Établir le partage des rôles et des responsabilités (page 5);
• Repérer les renseignements personnels impliqués dans votre projet (page 8);
• Identifier les points où votre organisation entre en interaction avec les renseignements personnels (page 10);
• Identifier et décrire les risques du projet sur la vie privée des personnes concernées (page 15);
• Évaluer l’impact des risques identifiés (page 19);
• Éliminer ou réduire les risques d’atteintes à la vie privée (page 21);
• Faire le suivi de l’évaluation des facteurs relatifs à la vie privée (page 23);
• Rédiger un rapport d’évaluation (page 24).

Retour