Évaluation des facteurs relatifs à la vie privée au Québec : le guide à 0 $ pour la Loi 25

La Commission d'accès à l'information (CAI) du Québec traite des milliers de plaintes et de demandes chaque année, et une part importante d'entre elles concerne la façon dont les organisations traitent les renseignements personnels lorsqu'elles adoptent de nouveaux logiciels. Une évaluation des facteurs relatifs à la vie privée, ou ÉFVP, est le document que la Loi 25 exige avant cette adoption. Ça a l'air du genre de chose qui nécessite un avocat. La plupart du temps, ce n'est pas le cas, et une évaluation des facteurs relatifs à la vie privée que les entreprises québécoises peuvent produire à l'interne est tout à fait réaliste pour la majorité des achats de logiciels ordinaires.

Voici un guide pour le gestionnaire de bureau ou le propriétaire qui doit en produire une avant de mettre en service une nouvelle base de données clients, un outil de marketing ou une plateforme d'IA qui conserve des conversations et des documents. Pas de consultant, pas de facture de 4 000 $. Juste les sections qu'une véritable ÉFVP requiert, dans l'ordre, et les questions auxquelles une entreprise doit réellement répondre. Rien de ce qui suit ne constitue un avis juridique; considérez ceci comme une structure de départ et validez les cas particuliers avec un avocat spécialisé en protection des renseignements personnels ou avec la CAI.

Ce que les propriétaires de petites entreprises assujettis à la Loi 25 doivent réellement faire

La Loi sur la protection des renseignements personnels dans le secteur privé du Québec, que tout le monde appelle la Loi 25, exige qu'une entreprise, en vertu de l'article 3.3, procède à une évaluation des facteurs relatifs à la vie privée avant tout projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services impliquant des renseignements personnels. Elle s'applique aussi avant l'envoi de renseignements personnels à l'extérieur du Québec.

Le libellé est suffisamment large pour couvrir beaucoup de situations : un nouveau CRM, une application de prise de rendez-vous qui conserve les numéros de téléphone des clients, un outil de clavardage IA utilisé pour rédiger des courriels aux clients s'il conserve ces courriels. Ça ne couvre pas tous les achats de logiciels. Une refonte de site Web statique sans collecte de données ne déclencherait généralement pas cette obligation. Mais le seuil est plus bas que ce que la plupart des propriétaires supposent, et les documents publics de la CAI laissent entendre que c'est la nature du projet, plutôt que la taille de l'entreprise qui le réalise, qui détermine si l'obligation s'applique. Les entreprises qui se posent des questions connexes, comme celle de savoir si une collecte de données donnée nécessite un nouveau consentement, peuvent voir comment ces obligations s'articulent dans la question du consentement que les petites entreprises comprennent mal.

Il n'y a pas de modèle prescrit dans la loi elle-même. Le guide d'autoévaluation de la CAI est ce qui s'en approche le plus, et il demande cinq éléments : une description du projet, un inventaire des renseignements personnels concernés, une analyse de risques, les mesures d'atténuation en place, et une décision, signée par une personne ayant réellement l'autorité, quant à savoir si le projet se poursuit.

Les pénalités pour un manquement ne sont pas anodines. L'article 102 de la Loi 25 fixe les sanctions administratives pécuniaires à un maximum de 25 000 000 $ ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé, pour les violations les plus graves, avec des dispositions pénales distinctes qui peuvent être encore plus élevées pour les cas répétés ou flagrants. La plupart des mesures d'application prises jusqu'à maintenant ont privilégié les ordonnances de conformité plutôt que les amendes maximales pour les petits exploitants, mais le plafond est bien réel, et vaut la peine d'être lu en parallèle avec les directives du Commissariat à la protection de la vie privée du Canada sur la conformité à la LPRPDE pour les entreprises qui opèrent aussi à l'extérieur du Québec.

Construire le document section par section

Commencez par la description du projet : un paragraphe sur ce qu'est l'outil, ce qu'il fait, pourquoi l'entreprise l'achète. Cette section fait souvent trébucher les gens parce qu'ils la surchargent. Une ÉFVP est un dossier factuel, pas un argumentaire de vente.

L'inventaire des renseignements prend le plus de temps, et c'est normal. Dressez la liste de chaque catégorie de renseignements personnels que le nouveau système touchera : noms, courriels, numéros de téléphone, renseignements de paiement, dossiers d'employés, renseignements de santé le cas échéant. Pour chacune, notez d'où elle provient, où elle est stockée et qui, à l'interne, peut y accéder. Les dossiers d'employés méritent une attention particulière ici; voir les données des employés et le droit canadien de la vie privée : ce que les propriétaires de PME comprennent mal pour les pièges précis qui font trébucher cette section. Si le fournisseur est un fournisseur infonuagique, cette section doit aussi indiquer où ce fournisseur stocke et traite les renseignements, ce qui est le moment où la plupart des entreprises découvrent qu'elles ne connaissent pas vraiment la réponse, parce que la plupart des fournisseurs de logiciels enfouissent cette information trois pages plus loin dans une politique de confidentialité.

L'analyse de risques vient ensuite, et elle n'exige pas de tables actuarielles. Trois questions couvrent l'essentiel : que se passe-t-il si ces données sont compromises, que se passe-t-il si elles sont utilisées à d'autres fins que celles annoncées, et que se passe-t-il si le fournisseur lui-même subit une brèche ou est acquis. Un cabinet comptable de quatre personnes n'a pas besoin d'une simulation Monte-Carlo. Il lui faut un paragraphe honnête pour chaque question.

Les mesures d'atténuation découlent directement des risques recensés : chiffrement en transit et au repos, contrôles d'accès, formation du personnel, calendrier de conservation des données, plan de notification en cas de brèche. Certains de ces éléments relèvent directement de l'entreprise. D'autres sont hérités du fournisseur, raison pour laquelle le choix du fournisseur et l'ÉFVP ne sont pas des exercices distincts. Un regard plus large sur la façon dont l'adoption de l'IA change spécifiquement ces obligations se trouve dans l'IA et vos obligations en matière de vie privée : ce qui change quand votre équipe adopte l'IA.

La dernière section est le registre de décision : qui a examiné l'évaluation, ce qui a été décidé, et la date. C'est la partie que les organismes de réglementation cherchent réellement si une plainte survient. Une ÉFVP que personne n'a signée n'a aucune valeur si la CAI vient poser des questions.

Comment le choix du fournisseur change l'évaluation

Le fournisseur choisi pour n'importe lequel de ces éléments, que ce soit un CRM, un stockage ou un outil de clavardage IA, détermine la longueur de la section d'analyse de risques. Un outil conçu par une entreprise dont la liste de sous-traitants est floue et dont la politique de confidentialité est rédigée pour un public américain force l'entreprise à deviner, et deviner ne tient pas bien la route si la CAI demande un jour à consulter le document.

Augure, une plateforme d'IA basée à Vancouver conçue pour les organisations canadiennes réglementées, publie sa liste de sous-traitants et stocke les données des clients au Canada, ce qui raccourcit les sections d'inventaire et de résidence des données d'une ÉFVP par rapport à un fournisseur dont la réponse exige un courriel de suivi au service juridique. La documentation d'Augure indique que l'inférence pour la plupart des paliers de modèles s'effectue sur une infrastructure canadienne, avec des partenaires européens vérifiés opérant sous des ententes de rétention zéro pour certains paliers et pour la capacité de reprise après sinistre; un traitement limité aux États-Unis s'applique encore aux réseaux de cartes de paiement et à l'acheminement des courriels. Les entreprises devraient vérifier directement auprès de tout fournisseur les listes de sous-traitants actuelles avant de s'y fier dans une ÉFVP déposée, puisque ces ententes peuvent changer. Rien de tout ça n'élimine l'obligation de rédiger l'ÉFVP. Ça signifie simplement que la réponse à « où vont ces données » tient en un paragraphe plutôt que dans un billet de soutien qui pourrait ne jamais recevoir de réponse.

Une ÉFVP que personne n'a signée n'a aucune valeur si la CAI vient poser des questions.

Sur le plan fédéral, la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) n'utilise pas le terme « évaluation des facteurs relatifs à la vie privée » et n'en impose pas une dans le sens structuré et déclenché de la Loi 25. Elle exige plutôt que les organisations qui traitent des renseignements personnels dans le cadre d'activités commerciales en rendent compte et disposent de politiques proportionnelles à la sensibilité des données, ce qui, en pratique, pousse les entreprises hors Québec vers une documentation similaire même sans clause explicite d'ÉFVP. Une entreprise en Ontario ou en Alberta qui adopte le même outil d'IA qu'une entreprise québécoise hérite d'un problème comparable de suivi documentaire, mais sous un déclencheur légal plus souple. Le Commissariat à la protection de la vie privée du Canada publie ses propres directives d'ÉFVP pour les organisations sous réglementation fédérale, qui valent la peine d'être lues en parallèle avec les documents de la CAI.

Pour les entreprises qui hésitent entre investir d'abord dans des outils de conformité ou d'abord dans une ÉFVP, la conformité à petit budget : où les petites entreprises canadiennes devraient dépenser en premier propose un ordre de priorité qui place généralement l'ÉFVP avant le logiciel payant.

Comparaison des coûts, simplement

Une ÉFVP rédigée par un consultant pour une petite entreprise coûte généralement entre 1 500 $ et 6 000 $, selon les tarifs cités de façon informelle par des cabinets-boutiques québécois spécialisés en droit de la vie privée pour des évaluations simples à système unique; une entreprise devrait obtenir ses propres soumissions plutôt que de considérer cette fourchette comme fixe. Une version faite maison à partir du modèle de la CAI coûte à l'entreprise son propre temps, soit environ quatre à six heures pour une personne qui n'en a jamais rédigé une, et moins lors d'une deuxième tentative.

Le calcul devient plus intéressant du côté des logiciels. Une petite entreprise qui paie 30 $ US par mois par utilisateur pour un abonnement de clavardage IA grand public, multiplié par cinq employés, dépasse 2 000 $ CA par année avant même que quelqu'un ait rédigé un seul mot de documentation de conformité, et cet abonnement exige quand même les devinettes sur l'inventaire des fournisseurs décrites plus haut. Le palier Pro d'Augure, à 20 $ CA par mois par utilisateur pour une fonctionnalité comparable, coûte moins cher et répond à la question de la résidence des données directement sur sa page de tarification plutôt que dans une file d'attente de soutien. Aucun de ces chiffres ne remplace un avis juridique pour une entreprise qui traite des dossiers de santé ou des données de mineurs, où la CAI a signalé qu'elle s'attend à des évaluations plus rigoureuses. Pour la plupart des petites entreprises qui achètent des logiciels de productivité ordinaires, la voie du fait maison combinée à un fournisseur canadien a tendance à se terminer avant l'échéance plutôt que de traîner dans une boîte de réception pendant trois mois en attendant la disponibilité d'un consultant.

Certains de ces mythes vont plus loin que la simple question de coût. Cinq mythes sur la conformité en matière de vie privée qui coûtent cher aux petites entreprises canadiennes couvre quelques idées reçues, comme croire qu'un contrat signé avec un fournisseur remplace une ÉFVP, qui amènent les propriétaires à sauter complètement cette étape.

La question non résolue, que la CAI n'a pas clarifiée publiquement, est de savoir comment elle traite une ÉFVP qui précède les propres mises à jour de conformité d'un fournisseur : est-ce qu'une entreprise doit refaire son évaluation chaque fois qu'un fournisseur change ses conditions de traitement des données, ou seulement lorsque le changement est important? Les entreprises prennent, pour l'instant, cette décision elles-mêmes, et une position par défaut prudente, qui consiste à traiter les changements importants comme de nouveaux sous-traitants ou des changements dans la résidence des données comme des éléments déclencheurs, est la lecture la plus sûre jusqu'à ce que la CAI en dise autrement.

Les entreprises qui construisent cette documentation à partir de zéro peuvent commencer avec un modèle en main plutôt qu'une page blanche. Augure offre un espace de travail IA hébergé au Canada qui peut rédiger les sections d'inventaire et d'analyse de risques d'une ÉFVP directement à partir d'une description de projet, la décision finale demeurant là où elle doit rester, entre les mains du propriétaire de l'entreprise.