La Loi 25 exige une Évaluation des facteurs relatifs à la vie privée (EFVP) pour tout projet impliquant des renseignements personnels. Pour une grande entreprise, c'est un processus formel avec juristes et consultants. Pour une PME de 5 personnes, c'est souvent une question sans réponse claire : par où commencer ?
Cette page répond à cette question directement.
Ce qu'est une EFVP – et ce qu'elle n'est pas
Une EFVP est une analyse documentée des risques pour la vie privée d'un projet spécifique. Elle n'est pas un audit général de votre entreprise. Elle ne s'applique pas à tous vos systèmes existants – mais à chaque nouveau projet qui collecte, utilise ou communique des renseignements personnels.
Exemples concrets qui déclenchent une EFVP : vous installez un nouveau logiciel de gestion des employés, vous commencez à utiliser un CRM pour les données clients, vous ajoutez un formulaire de contact à votre site web.
Les 5 étapes d'une EFVP pour une PME
Étape 1 : Décrire le projet. Qu'est-ce que vous allez faire ? Quels renseignements personnels vont être collectés ? (noms, adresses, courriels, données financières, données de santé). Qui y aura accès ?
Étape 2 : Identifier les risques. Pour chaque type de données, posez trois questions : Qu'arrive-t-il si ces données sont divulguées ? Qu'arrive-t-il si elles sont modifiées par erreur ? Qu'arrive-t-il si elles ne sont plus disponibles ?
Étape 3 : Évaluer les mesures en place. Quelles protections existent déjà ? Chiffrement, contrôle d'accès, sauvegardes. Sont-elles suffisantes pour les risques identifiés ?
Étape 4 : Documenter les mesures à ajouter. Pour chaque risque non couvert, notez ce que vous allez faire. Cela peut être aussi simple que « ajouter un mot de passe sur le fichier Excel des employés ».
Étape 5 : Conserver le document. La Commission d'accès à l'information (CAI) peut demander à voir votre EFVP. Gardez-la à jour lors de chaque modification du projet.
Ce que votre logiciel doit permettre
Si vous choisissez un logiciel hébergé chez un fournisseur étranger – notamment américain – votre EFVP doit démontrer que la protection équivalente est assurée. La Loi 25 exige un contrat écrit avec le fournisseur et une évaluation du cadre légal du pays d'hébergement.
Un logiciel hébergé sur votre propre serveur en Europe simplifie radicalement cette partie de l'EFVP : vous contrôlez l'hébergement, le cadre légal est clair, pas de transfert transfrontalier à justifier.
Combien de temps ça prend ?
Pour un projet simple (nouveau logiciel de gestion pour 5 employés) : 2 à 4 heures la première fois, 30 minutes pour les projets suivants une fois que vous avez un modèle. Il existe des modèles gratuits fournis par la CAI du Québec.
Logiciel hébergé en Europe – EFVP simplifiée pour les PME québécoises
→ Tycho Platform – serveur en Europe, données sous votre contrôle