Leçon 2.3 : L’ÉFVP : évaluation des facteurs relatifs à la vie privée
Évaluer les risques avant de déployer, pas après
L’Évaluation des facteurs relatifs à la vie privée (ÉFVP) est l’instrument concret du Privacy by Design. Obligatoire depuis septembre 2023, elle doit être réalisée avant tout projet d’acquisition, de développement ou de refonte impliquant des renseignements personnels.
Quand une ÉFVP est-elle obligatoire?
- Acquisition d’un nouveau logiciel : CRM, ERP, outil RH, plateforme de paiement, tout outil traitant des données personnelles.
- Nouvelle fonctionnalité : Recommandation IA, géolocalisation, personnalisation, chatbot.
- Refonte substantielle : Nouveau CMS, migration d’hébergeur, changement de prestataire de paiement.
- Transferts hors Québec : Toute communication de données hors Québec déclenche une ÉFVP obligatoire.
- Nouveau partenariat avec tiers : Agences marketing, plateformes publicitaires, intégrateurs.
Le contenu d’une ÉFVP
- Cartographie des données : Quelles données, collectées comment, pour quelles fins?
- Identification des risques : Accès non autorisé, collecte excessive, transfert non sécurisé, durée excessive.
- Évaluation de la proportionnalité : Les données sont-elles strictement nécessaires?
- Analyse des tiers : Garanties contractuelles des fournisseurs (DPA).
- Mesures d’atténuation : Chiffrement, accès restreint, minimisation, anonymisation.
- Risque résiduel : Après mesures, le risque restant est-il acceptable?
La CAI ne prescrit pas de format spécifique, mais le document doit démontrer une réflexion sérieuse, pas un formulaire d’une page coché en 5 minutes. Elle peut le demander lors d’un audit.
Transferts hors Québec : le cas de Google et Microsoft
Google Analytics, Microsoft 365, AWS, Salesforce, chacun déclenche une ÉFVP. La loi impose de vérifier que le pays d’accueil offre une protection équivalente à la Loi 25 et de signer un Data Processing Agreement (DPA) avec le fournisseur.
Proportionnalité : ÉFVP simplifiée pour les PME
La Loi 25 prévoit une approche proportionnelle. Une PME ajoutant un module de newsletter peut faire une ÉFVP simplifiée, l’essentiel est que la démarche soit documentée et archivée. SiteQC propose un assistant ÉFVP guidé adapté aux PME.
Points clés
- Obligatoire avant tout nouveau système, refonte ou partenariat impliquant des données.
- 6 composantes : cartographie, risques, proportionnalité, tiers, mesures, risque résiduel.
- Transfert hors Québec = ÉFVP + DPA contractuel obligatoires.
- Proportionnelle à la taille du projet, simplifiable pour les PME.
- Document archivable : la CAI peut le demander lors d’un audit.