Une évaluation des facteurs relatifs à la vie privée coûte 0 $ si vous la faites vous-même. Voici la marche à suivre

La Commission d'accès à l'information du Québec a reçu plus de 14 000 plaintes et demandes de renseignements au cours de l'exercice 2023-2024, selon son propre rapport annuel, et une part croissante de celles-ci concerne la manière dont les petites organisations traitent les renseignements personnels lorsqu'elles adoptent de nouveaux logiciels. Une évaluation des facteurs relatifs à la vie privée, ou EFVP, est le document que la Loi 25 exige avant cette adoption. Ça a l'air du genre de chose qui nécessite un avocat. Dans la plupart des cas, ce n'est pas vrai.

Voici un guide pour le ou la gestionnaire de bureau ou le propriétaire d'entreprise qui doit en produire une avant de mettre en service une nouvelle base de données clients, un outil marketing, ou une plateforme d'IA qui conserve des conversations et des documents. Pas de consultant, pas de facture de 4 000 $ — juste les sections dont une vraie EFVP a besoin, dans l'ordre, et les questions auxquelles une entreprise doit réellement répondre.

Ce que la Loi 25 exige, pas ce à quoi ça ressemble

La Loi sur la protection des renseignements personnels dans le secteur privé du Québec — celle que tout le monde appelle la Loi 25 — exige qu'une entreprise procède à une évaluation des facteurs relatifs à la vie privée avant tout projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services impliquant des renseignements personnels. Elle s'applique aussi avant l'envoi de données personnelles à l'extérieur du Québec.

Le libellé est assez large pour couvrir beaucoup de situations : un nouveau CRM, une appli de prise de rendez-vous qui conserve les numéros de téléphone des clients, un outil de clavardage IA utilisé pour rédiger des courriels aux clients si ces courriels sont conservés. Ça ne couvre pas tout achat de logiciel — une refonte statique d'un site Web sans collecte de données ne déclencherait généralement pas cette obligation — mais le seuil est plus bas que ce que la plupart des propriétaires croient. La CAI a publié des lignes directrices confirmant que c'est ce que fait le projet, et non la taille de l'entreprise qui le réalise, qui compte.

La loi elle-même ne prescrit aucun gabarit. Le guide d'autoévaluation de la CAI est ce qui s'en rapproche le plus d'un formulaire officiel, et il demande cinq éléments : une description du projet, un inventaire des renseignements personnels concernés, une analyse de risque, les mesures d'atténuation en place, et une décision, signée par une personne ayant l'autorité réelle, quant à savoir si le projet se poursuit.

Construire le document, section par section

Commencez par la description du projet : un paragraphe sur ce qu'est l'outil, ce qu'il fait, pourquoi l'entreprise l'achète. Cette section fait souvent trébucher les gens parce qu'ils la surchargent — une EFVP n'est pas un argumentaire de vente, c'est un compte rendu factuel.

L'inventaire des renseignements est la partie qui prend le plus de temps, et c'est normal. Dressez la liste de chaque catégorie de renseignements personnels que le nouveau système touchera — noms, courriels, numéros de téléphone, renseignements de paiement, dossiers d'employés, renseignements de santé le cas échéant — et pour chacune, notez d'où elle provient, où elle est stockée, et qui à l'interne peut y accéder. Si le fournisseur est un service infonuagique, cette section doit aussi préciser où ce fournisseur stocke et traite les renseignements, ce qui est précisément le moment où la plupart des entreprises découvrent qu'elles ne connaissent pas vraiment la réponse, parce que la plupart des fournisseurs de logiciels enfouissent cette information à la troisième page d'une politique de confidentialité.

Vient ensuite l'analyse de risque, qui n'exige pas de tables actuarielles. Trois questions couvrent l'essentiel : que se passe-t-il si ces données font l'objet d'une atteinte, que se passe-t-il si elles sont utilisées à une fin autre que celle déclarée, et que se passe-t-il si le fournisseur lui-même subit une atteinte ou se fait acquérir. Une firme comptable de quatre personnes n'a pas besoin d'une simulation de Monte-Carlo. Elle a besoin d'un paragraphe honnête sur chaque point.

Les mesures d'atténuation découlent directement des risques cernés — chiffrement en transit et au repos, contrôles d'accès, formation du personnel, calendrier de conservation des données, plan de notification en cas d'atteinte. Certaines de ces mesures relèvent directement de l'entreprise. D'autres sont héritées du fournisseur, ce qui explique pourquoi le choix du fournisseur et l'EFVP ne sont pas des exercices distincts.

La dernière section est le registre de décision : qui a examiné l'évaluation, ce qui a été décidé, et la date. C'est la partie que les régulateurs cherchent réellement s'ils reçoivent une plainte. Une EFVP qui n'a jamais été signée par personne est, en pratique, traitée comme si elle n'avait jamais existé.

Là où le choix du fournisseur change l'évaluation

Le fournisseur choisi pour n'importe lequel de ces éléments — CRM, stockage, clavardage IA — détermine la longueur de la section d'analyse de risque. Un outil bâti par une entreprise dont la liste de sous-traitants est floue et dont la politique de confidentialité est rédigée pour un public américain force l'entreprise à deviner, et deviner ne tient pas très bien la route si la CAI demande un jour à voir le document.

Augure, une plateforme d'IA basée à Vancouver conçue pour les organisations canadiennes réglementées, publie sa liste de sous-traitants et stocke les données des clients au Canada, ce qui raccourcit les sections d'inventaire et de résidence des données d'une EFVP par rapport à un fournisseur dont la réponse exigerait un courriel de suivi au service juridique. Selon la documentation d'Augure, l'inférence s'exécute sur une infrastructure canadienne pour la plupart des paliers de modèles, avec des partenaires européens vérifiés sous ententes de non-conservation des données pour certains paliers et pour la redondance; un traitement limité aux États-Unis subsiste encore pour les réseaux de cartes de paiement et l'envoi de courriels. Rien de tout cela n'élimine l'obligation de rédiger l'EFVP. Ça signifie que la réponse à « où vont ces données » tient en un paragraphe plutôt que dans un billet de soutien qui pourrait ne jamais recevoir de réponse.

Une EFVP qui n'a jamais été signée par personne est, en pratique, traitée comme si elle n'avait jamais existé.

La même logique s'applique en vertu de la Loi fédérale sur la protection des renseignements personnels et les documents électroniques (LPRPDE), qui n'utilise pas le terme « évaluation des facteurs relatifs à la vie privée » mais impose une obligation comparable de documenter l'analyse de risque pour toute organisation traitant des renseignements personnels dans le cadre d'activités commerciales hors Québec. Une entreprise en Ontario ou en Alberta qui utilise le même outil d'IA hérite du même problème de documentation, même sans le déclencheur explicite de la Loi 25.

La comparaison des coûts, sans détour

Une EFVP rédigée par un consultant pour une petite entreprise coûte généralement entre 1 500 $ et 6 000 $, selon les tarifs cités par des boutiques juridiques spécialisées en protection de la vie privée au Québec pour des évaluations simples portant sur un seul système. Une version faite soi-même à partir du gabarit de la CAI coûte à l'entreprise son propre temps — quatre à six heures pour une personne qui n'en a jamais rédigé, moins à la deuxième tentative.

Le calcul devient plus intéressant du côté des logiciels. Une petite entreprise qui paie 30 $ US par mois par utilisateur pour un abonnement de clavardage IA grand public, multiplié par cinq employés, dépasse les 2 000 $ CA par année avant même d'avoir écrit un mot de documentation de conformité, et cet abonnement exige encore les devinettes sur l'inventaire des fournisseurs décrites plus haut. Le palier Pro d'Augure, à 20 $ CA par mois par utilisateur pour une fonctionnalité comparable, coûte moins cher et répond à la question de la résidence des données directement sur sa page de tarification plutôt que dans une file d'attente de soutien. Aucun de ces chiffres ne remplace un avis juridique pour une entreprise qui traite des dossiers de santé ou des données de mineurs, où la CAI a signalé qu'elle s'attend à des évaluations plus rigoureuses. Pour la plupart des petites entreprises qui achètent des logiciels de productivité ordinaires, la voie du DIY combinée à un fournisseur canadien est celle qui aboutit avant l'échéance plutôt que de dormir dans une boîte de réception pendant trois mois en attendant la disponibilité d'un consultant.

La question non résolue, et la CAI ne l'a pas clarifiée publiquement, est de savoir comment elle traite une EFVP antérieure aux propres mises à jour de conformité d'un fournisseur — si une entreprise doit refaire son évaluation chaque fois qu'un fournisseur change ses conditions de traitement des données, ou seulement lorsque le changement est important. Pour l'instant, ce sont les entreprises elles-mêmes qui tranchent.