Trousse de conformité Loi 25

Votre fournisseur traite vos renseignements personnels, voici ce que le contrat doit prévoir

L'article 18.3 vous permet de confier des renseignements personnels à un fournisseur sans le consentement des personnes concernées, à deux conditions. Le mandat ou le contrat doit être confié par écrit, et il doit indiquer les mesures que le fournisseur prend pour protéger la confidentialité, pour n'utiliser les renseignements que dans l'exécution du contrat et pour ne pas les conserver après son expiration. Si le fournisseur est à l'extérieur du Québec, l'article 17 ajoute une évaluation des facteurs relatifs à la vie privée et une entente écrite.

La permission et ses conditions

Confier la paie, le CRM ou les sauvegardes à un tiers n'exige pas le consentement de chaque employé ou client. Le texte le permet, à condition que la communication soit nécessaire à l'exécution du mandat ou du contrat.

Une personne qui exploite une entreprise peut, sans le consentement de la personne concernée, communiquer un renseignement personnel à toute personne ou à tout organisme si cette communication est nécessaire à l'exercice d'un mandat ou à l'exécution d'un contrat de service ou d'entreprise qu'elle confie à cette personne ou à cet organisme. Dans ce cas, la personne qui exploite une entreprise doit: 1° confier le mandat ou le contrat par écrit; 2° indiquer, dans le mandat ou le contrat, les mesures que le mandataire ou l'exécutant du contrat doit prendre pour assurer la protection du caractère confidentiel du renseignement personnel communiqué, pour que ce renseignement ne soit utilisé que dans l'exercice de son mandat ou l'exécution de son contrat et pour qu'il ne le conserve pas après son expiration.

Article 18.3

Trois obligations sont donc à inscrire au contrat, et elles portent sur la confidentialité, sur la limitation de l'usage et sur la non-conservation après l'expiration. Le texte vous demande d'indiquer les mesures, il ne vous dit pas lesquelles. Ce choix vous appartient et il doit être proportionné à ce que le fournisseur traite.

Les obligations que le texte impose au fournisseur

Le même article impose deux devoirs au fournisseur, et ils existent dès que l'article 18.3 s'applique.

• Aviser sans délai votre responsable de la protection des renseignements personnels de toute violation ou tentative de violation, par quiconque, des obligations de confidentialité relatives au renseignement communiqué.
• Vous permettre d'effectuer toute vérification relative à cette confidentialité.

Le mot « tentative » mérite d'être souligné. Une attaque repoussée est aussi un événement à signaler selon le texte. C'est utile de l'écrire noir sur blanc dans le contrat, parce que beaucoup de fournisseurs ne signalent que les intrusions réussies.

Une exception qui concerne votre comptable et votre avocat

Le dernier alinéa de l'article 18.3 précise que le paragraphe 2° du deuxième alinéa ne s'applique pas lorsque le mandataire ou l'exécutant du contrat est un organisme public ou un membre d'un ordre professionnel. L'obligation d'indiquer les mesures au contrat tombe donc pour un comptable professionnel agréé ou un avocat, qui sont déjà tenus par leur ordre. L'écrit, lui, demeure exigé par le paragraphe 1°.

Les clauses à insérer

Les formulations qui suivent sont une proposition de rédaction, pas un modèle approuvé par une autorité. Faites-les relire si le contrat porte sur des renseignements sensibles ou sur un volume important.

Limitation de l'usage

Le Fournisseur n'utilise les renseignements personnels que vous lui communiquez que dans l'exercice de son mandat ou l'exécution du présent contrat. Il ne les utilise à aucune autre fin, notamment pas à des fins de prospection, de développement de produit, d'entraînement de modèle ou de statistiques, sans votre autorisation écrite préalable.

Mesures de protection

Le Fournisseur limite l'accès aux renseignements personnels aux membres de son personnel qui en ont besoin dans l'exercice de leurs fonctions, tient un registre de ces accès, chiffre les renseignements en transit et au repos, exige une authentification à deux facteurs pour les accès administratifs et n'a recours à un sous-traitant qu'avec votre accord écrit préalable, à des conditions au moins équivalentes à celles du présent contrat.

Le choix des mesures est le vôtre. Celles énumérées ci-dessus sont une pratique recommandée, l'article 18.3 exige seulement que des mesures soient indiquées au contrat.

Non-conservation après l'expiration

À l'expiration ou à la résiliation du présent contrat, le Fournisseur détruit les renseignements personnels, y compris les copies de sauvegarde, et vous transmet une attestation écrite de destruction dans les 30 jours. Il ne conserve aucun renseignement personnel au-delà de ce délai, sauf dans la mesure strictement exigée par une loi, en précisant alors laquelle.

Avis de violation et vérification

Le Fournisseur avise sans délai le responsable de la protection des renseignements personnels de l'Entreprise, aux coordonnées suivantes [coordonnées], de toute violation ou tentative de violation des obligations de confidentialité, et lui transmet les éléments nécessaires à l'évaluation du risque de préjudice. Il permet au responsable d'effectuer toute vérification relative à cette confidentialité, sur préavis raisonnable.

Vous pouvez fixer un délai contractuel plus précis, par exemple 24 heures. Ce délai serait le vôtre, par contrat. La loi dit « sans délai » et ne chiffre rien.

Hébergement et transferts

Le Fournisseur déclare les pays et les provinces où les renseignements personnels sont conservés et traités, y compris par ses sous-traitants, et ne les transfère ailleurs qu'avec votre accord écrit préalable.

Si le fournisseur est à l'extérieur du Québec

L'article 17 ajoute une étape avant la communication. Vous devez procéder à une évaluation des facteurs relatifs à la vie privée, en tenant compte notamment de la sensibilité du renseignement, de la finalité de son utilisation, des mesures de protection dont il bénéficierait, y compris contractuelles, et du régime juridique applicable dans l'État visé. La communication peut s'effectuer si l'évaluation démontre une protection adéquate, et elle doit faire l'objet d'une entente écrite qui tient compte des résultats de l'évaluation.

Le texte précise qu'il en va de même lorsque vous confiez à une personne ou à un organisme à l'extérieur du Québec la tâche de recueillir, d'utiliser, de communiquer ou de conserver des renseignements pour votre compte. Un service infonuagique hébergé hors Québec entre donc dans cette logique. La façon de mener l'évaluation est expliquée dans quand une évaluation des facteurs relatifs à la vie privée est obligatoire.

L'inventaire à remplir cette semaine

Avant de réécrire des contrats, vous avez besoin de savoir lesquels sont concernés. Remplissez ce tableau avec les fournisseurs qui voient des renseignements sur vos employés, vos clients ou vos candidats. L'inventaire lui-même est une pratique recommandée, le texte ne l'exige pas, mais il est difficile de respecter l'article 18.3 sans savoir qui est visé.

Les lignes sans contrat écrit sont votre priorité, parce que le paragraphe 1° de l'article 18.3 est la condition la plus simple à constater. Les lignes où la case des mesures est vide viennent ensuite.

Ce que le contrat ne vous enlève pas

L'article 10 vous oblige à prendre les mesures de sécurité propres à assurer la protection des renseignements personnels, et cette obligation reste la vôtre. Un contrat solide ne vous décharge pas, il répartit le travail. De même, un incident chez votre fournisseur est un incident qui implique des renseignements que vous détenez, donc il entre dans votre procédure et dans votre registre. Voyez quoi faire quand un incident vient de se produire.

L'avis du fournisseur doit parvenir à une personne précise, celle dont le titre et les coordonnées sont publiés. Si cette désignation n'est pas faite chez vous, commencez par la fonction de responsable. Les clauses ci-dessus, en version complète et accompagnées d'une lettre type à envoyer à un fournisseur dont le contrat est muet, se trouvent dans la trousse.

Articles cités, 10, 17, 18.3 de la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1, texte officiel, consulté le 7 novembre 2026.