Quand votre entreprise est obligée de faire une évaluation des facteurs relatifs à la vie privée
Deux situations rendent l'évaluation obligatoire pour une PME. L'article 3.3 l'exige pour tout projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services qui implique des renseignements personnels. L'article 17 l'exige avant toute communication de renseignements personnels à l'extérieur du Québec, y compris lorsque vous confiez leur conservation à un fournisseur établi ailleurs. L'ampleur de l'évaluation doit être proportionnée au projet.
Premier déclencheur, un projet de système d'information
Toute personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée de tout projet d'acquisition, de développement et de refonte de système d'information ou de prestation électronique de services impliquant la collecte, l'utilisation, la communication, la conservation ou la destruction de renseignements personnels.
Article 3.3
Le mot « acquisition » est celui qui surprend. Vous n'avez pas besoin de développer un logiciel pour être visé, l'achat ou l'abonnement en est un cas. Dans une PME, les décisions suivantes entrent dans la lettre du texte dès qu'elles touchent des renseignements personnels.
- Changer de logiciel de paie ou de système comptable.
- Adopter un CRM, un outil de billetterie ou une plateforme de recrutement.
- Refaire le site web avec un formulaire de demande d'information ou une boutique en ligne.
- Installer un système de caméras, de contrôle d'accès par carte ou de pointage biométrique.
- Migrer les dossiers d'employés d'un serveur local vers un service infonuagique.
La qualification d'un cas limite demande du jugement, et le texte ne fournit pas de liste. Un tableur maison qui remplace un cahier papier se discute. Un système qui reçoit, conserve et transmet des renseignements personnels se discute beaucoup moins.
Deuxième déclencheur, une communication à l'extérieur du Québec
L'article 17 impose une évaluation avant de communiquer un renseignement personnel à l'extérieur du Québec, et il énumère les éléments à considérer.
- La sensibilité du renseignement.
- La finalité de son utilisation.
- Les mesures de protection, y compris celles qui sont contractuelles, dont le renseignement bénéficierait.
- Le régime juridique applicable dans l'État où ce renseignement serait communiqué, notamment les principes de protection des renseignements personnels qui y sont applicables.
La communication peut s'effectuer si l'évaluation démontre que le renseignement bénéficierait d'une protection adéquate, et elle doit faire l'objet d'une entente écrite qui tient compte des résultats de l'évaluation et des modalités convenues pour atténuer les risques relevés. Le texte précise qu'il en va de même lorsque vous confiez à une personne ou à un organisme à l'extérieur du Québec la tâche de recueillir, d'utiliser, de communiquer ou de conserver un tel renseignement pour votre compte.
Autrement dit, l'hébergement compte autant que l'envoi. Les clauses à mettre dans l'entente écrite sont détaillées dans ce que le contrat d'un fournisseur doit prévoir.
Troisième cas, plus rare
L'article 21 permet de communiquer des renseignements personnels sans consentement à une personne ou à un organisme qui veut les utiliser à des fins d'étude, de recherche ou de production de statistiques. Cette communication n'est possible que si une évaluation des facteurs relatifs à la vie privée conclut sur cinq points, dont l'impossibilité d'atteindre l'objectif autrement et le caractère déraisonnable de l'exigence du consentement. Peu de PME sont dans cette situation, mais elle existe, par exemple lorsqu'une association sectorielle demande vos données.
Proportionnée, et pas plus
Le dernier alinéa de l'article 3.3 est une bonne nouvelle pour une entreprise de 30 employés.
La réalisation d'une évaluation des facteurs relatifs à la vie privée en application de la présente loi doit être proportionnée à la sensibilité des renseignements concernés, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support.
Article 3.3
Une évaluation de deux pages pour un nouveau formulaire de contact respecte le texte. Un document de quarante pages pour le même formulaire ne le respecte pas davantage, il vous coûte seulement du temps.
Qui doit être consulté, et quand
Le deuxième alinéa de l'article 3.3 exige que vous consultiez votre responsable de la protection des renseignements personnels dès le début du projet. Pas à la signature du contrat, pas à la mise en production. L'article 3.4 ajoute que le responsable peut suggérer, à toute étape, des mesures de protection, et il en donne quatre exemples, soit la nomination d'une personne chargée de la mise en oeuvre des mesures, l'inscription de mesures dans les documents du projet, la description des responsabilités des participants, et la tenue d'activités de formation.
Si vous n'avez pas encore désigné cette personne, commencez par la fonction de responsable, parce que l'article 3.3 renvoie à elle.
Une exigence technique cachée dans le même article
Le troisième alinéa de l'article 3.3 demande de s'assurer que le projet permet qu'un renseignement personnel informatisé recueilli auprès de la personne concernée puisse lui être communiqué dans un format technologique structuré et couramment utilisé. C'est une question à poser au fournisseur avant de signer, parce qu'elle est difficile à régler après. Une exportation en CSV ou en JSON des renseignements d'une personne répond à la description.
Le gabarit d'évaluation, une page
La structure qui suit est une pratique recommandée. Les articles 3.3 et 17 n'imposent ni formulaire ni modèle, et ils n'exigent pas que l'évaluation soit transmise à la Commission d'accès à l'information. Le contenu des sections, lui, reprend les éléments que ces articles nomment.
| Section | Ce que vous écrivez |
|---|---|
| Projet et date | Le nom du projet, la date de début, la personne responsable du projet, la date de consultation du responsable de la protection des renseignements personnels. |
| Renseignements visés | La liste des champs, leur source, leur volume approximatif et leur support. |
| Sensibilité | Si des renseignements sont sensibles au sens de l'article 12, par leur nature ou par le contexte. |
| Finalités | Les fins déterminées avant la collecte, comme l'exige l'article 4, et les fins que le projet ajoute. |
| Nécessité | Pourquoi chaque champ est nécessaire aux fins déterminées, selon l'article 5. Les champs que vous retirez du projet. |
| Hébergement et transferts | Les pays et provinces où les renseignements seront conservés, les sous-traitants du fournisseur. |
| Mesures de protection | Les mesures techniques et contractuelles, y compris celles exigées par l'article 18.3 si un fournisseur est en cause. |
| Conservation et destruction | La durée de conservation et le mécanisme de destruction ou d'anonymisation, puisque l'article 23 l'exige lorsque les fins sont accomplies. |
| Portabilité | Comment le système exporte les renseignements d'une personne dans un format structuré et couramment utilisé. |
| Risques et décisions | Les risques relevés, les mesures d'atténuation retenues, les risques acceptés et par qui. |
| Conclusion | Le projet va de l'avant, va de l'avant avec conditions, ou est suspendu. Signature et date. |
Quand la faire, concrètement
- Au moment où le projet devient un projet, donc avant la démonstration du fournisseur et avant tout engagement financier.
- Avant la signature du contrat, parce que les mesures de protection et la portabilité se négocient à ce moment.
- Avant la mise en production, pour vérifier que ce qui a été promis est livré.
Ces trois moments sont une pratique recommandée. Le texte exige la consultation du responsable dès le début du projet et l'évaluation avant la communication hors Québec, il ne fixe pas d'autre jalon.
Si vous découvrez que des projets déjà en service n'ont jamais été évalués, ne reprenez pas tout. Traitez d'abord ceux qui touchent des renseignements sensibles ou qui envoient des données hors Québec. L'ordre de priorité complet est dans par où commencer quand rien n'est fait. Un gabarit d'évaluation de deux pages, avec un exemple rempli pour une migration de paie, se trouve dans la trousse.
Articles cités, 3.3, 3.4, 4, 5, 12, 17, 18.3, 21, 23 de la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1, texte officiel, consulté le 7 novembre 2026.
Douze gabarits à remplir, 14 fichiers, téléchargement immédiat.
Autodiagnostic gratuit en douze questions, aucune adresse demandée.
- Combien coûtent vraiment les manquements à la loi 25, et pourquoi les chiffres se contredisent
- Votre fournisseur traite vos renseignements personnels, voici ce que le contrat doit prévoir
- Utiliser un fournisseur américain, ce que la loi 25 exige avant
- Quand le consentement est exigé, et comment le recueillir validement