Avez-vous besoin d'une évaluation des facteurs relatifs à la vie privée? Un guide décisionnel pour les entreprises canadiennes

Vous avez probablement besoin d'une évaluation des facteurs relatifs à la vie privée si vous touchez les renseignements personnels de personnes au Québec et que vous construisez ou refondez un système d'information, ou que vous transférez ces données hors du Québec — la Loi 25 rend l'ÉFVP obligatoire dans ces deux cas. Ailleurs au Canada, une ÉFVP est fortement attendue, sans toujours être légalement imposée, dès que vous traitez des données sensibles, en faites un usage nouveau, ou qu'un dérapage de confidentialité pourrait causer un préjudice réel.

Ce qu'est une ÉFVP, et pourquoi le terme fait peur

Une évaluation des facteurs relatifs à la vie privée (ÉFVP) est un examen structuré que vous menez avant de lancer ou de modifier quelque chose qui traite des renseignements personnels, pour repérer les risques pour la vie privée pendant qu'il est encore temps de les éliminer par conception. Le nom évoque un lourd exercice d'entreprise, et dans les grandes organisations c'est parfois le cas. Mais dépouillée, une ÉFVP répond à une courte liste de questions : quels renseignements personnels sont en cause, pourquoi, où circulent-ils, qu'est-ce qui pourrait mal tourner, et qu'y faisons-nous?

Pour la plupart des petites et moyennes entreprises canadiennes, l'appréhension dépasse le travail réel. La vraie question n'est pas « pouvons-nous survivre à une évaluation de 40 pages » — c'est « ce projet précis en exige-t-il réellement une, et si oui, à quel point pouvons-nous la garder légère? » Ce guide répond aux deux.

Quand une ÉFVP est légalement attendue

Le fait le plus important pour les entreprises canadiennes en 2026 : la Loi 25 du Québec rend les ÉFVP obligatoires dans des situations définies. Si votre entreprise recueille, utilise ou communique les renseignements personnels de personnes au Québec, la Loi 25 exige une évaluation des facteurs relatifs à la vie privée avant que vous ne :

• acquériez, développiez ou refondiez un projet de système d'information ou de prestation électronique de services mettant en cause des renseignements personnels, et
• transfériez des renseignements personnels hors du Québec.

Ce deuxième déclencheur vise bien plus d'entreprises qu'elles ne le pensent, car il s'active dès l'instant où vous adoptez un outil infonuagique, une plateforme d'analytique ou un service d'IA qui stocke ou traite les données de résidents québécois sur des serveurs situés hors de la province — ce qui décrit la majorité des logiciels modernes. Cela vous ressemble? Alors une ÉFVP sur le transfert n'est pas optionnelle.

Ailleurs au Canada, le portrait est plus souple, mais net. La LPRPDE n'emploie pas l'expression « évaluation des facteurs relatifs à la vie privée » comme obligation légale générale pour les entreprises du secteur privé, mais le Commissariat à la protection de la vie privée recommande fortement les ÉFVP comme moyen concret de respecter les principes de responsabilité et de mesures de sécurité, et elles sont l'outil attendu lorsque vous introduisez quelque chose de nouveau ou de plus risqué. Les institutions du gouvernement fédéral ont leur propre obligation d'ÉFVP en vertu de la politique du Conseil du Trésor, ce qui compte si vous vendez au secteur public. Et gardez la tendance à l'esprit : le projet de loi C-27 et l'EU AI Act reposent tous deux sur l'évaluation de l'incidence avant de déployer des systèmes à risque plus élevé.

Un guide décisionnel simple

Faites passer un projet nouveau ou modifié par ces questions. Plus il y a de « oui », plus le dossier en faveur d'une ÉFVP est solide — et si l'une des deux premières est oui et que vous touchez le Québec, traitez-la comme obligatoire.

• Le projet met-il en cause des renseignements personnels de personnes au Québec, et soit construit/refond-il un système, soit envoie-t-il ces données hors du Québec? Si oui, la Loi 25 attend une ÉFVP. C'est le déclencheur le plus clair.
• Traitez-vous des renseignements sensibles — santé, finances, biométrie, localisation, ou données sur des enfants? La sensibilité augmente les enjeux et l'attente.
• Faites-vous quelque chose de nouveau avec les données — une nouvelle fonction d'IA, un nouvel outil tiers (à suivre dans un inventaire des fournisseurs), du profilage ou des décisions automatisées? La nouveauté est un déclencheur classique d'ÉFVP.
• Le projet augmente-t-il la quantité de données recueillies, élargit-il qui peut les voir, ou prolonge-t-il leur durée de conservation? L'élargissement du champ est exactement ce qu'une ÉFVP vise à capter.
• Un problème de confidentialité ici causerait-il un préjudice réel aux personnes — perte financière, discrimination, atteinte à la réputation, sécurité? Un fort préjudice potentiel justifie l'effort.

Vous avez répondu non partout — une modification mineure à un outil interne à faible risque qui touche peu de données personnelles et reste au Canada? Alors une ÉFVP complète est probablement excessive, et une courte note documentée expliquant pourquoi suffit.

Ce que contient réellement une ÉFVP

Une fois écartés les gabarits intimidants, une ÉFVP a un squelette constant :

• Description du projet. Ce que vous construisez ou modifiez, en termes simples.
• Inventaire et flux des données. Quels renseignements personnels sont recueillis, auprès de qui, pourquoi, où ils sont stockés, qui peut y accéder, avec qui ils sont partagés et combien de temps vous les conservez — c'est ici qu'une cartographie de découverte des données fait l'essentiel du travail.
• Nécessité et proportionnalité. Chaque donnée est-elle réellement nécessaire à la fin, ou la recueillez-vous parce que vous le pouvez.
• Évaluation des risques. Ce qui pourrait mal tourner pour les personnes en cause, et la probabilité et la gravité de chaque risque.
• Mesures d'atténuation. Les mesures concrètes qui réduisent chaque risque — minimisation, chiffrement, limites d'accès, consentement, garanties contractuelles pour les transferts, révision humaine des décisions automatisées.
• Risque résiduel et approbation. Le risque qui subsiste après atténuation, et une décision de la personne responsable quant à son acceptabilité.

Pour un transfert transfrontalier sous la Loi 25, ajoutez une analyse précise visant à déterminer si les données bénéficieront d'une protection adéquate là où elles vont, en soupesant la sensibilité des données, les fins, les garanties du contrat et le régime juridique de la destination. (Notre guide sur la résidence des données au Canada détaille précisément ce qu'il faut soupeser ici.)

Une approche légère pour les PME

Vous n'avez pas besoin d'un consultant et d'un document de 40 pages pour bien faire cela. Une ÉFVP légère qui tient la route ressemble à ceci :

• Utilisez un gabarit de deux à quatre pages. Une section par point ci-dessus. De la prose, pas un roman. L'idée est d'y réfléchir à fond et de laisser une trace.
• Fixez-lui une durée. Une demi-journée ciblée pour un projet simple est réaliste une fois que vous avez un gabarit. Les projets complexes ou à risque élevé méritent davantage.
• Faites-la tôt. La valeur réside dans la détection des problèmes avant de construire; menez donc l'ÉFVP pendant la conception, pas après le lancement. Une ÉFVP livrée la semaine avant la mise en service a déjà perdu l'essentiel de son intérêt.
• Réutilisez et mettez à jour. Votre première ÉFVP est la plus ardue. Ensuite, vous la clonez, et lorsqu'un projet change de façon importante, vous révisez les sections pertinentes au lieu de recommencer.
• Attribuez un responsable. Quelqu'un — souvent la personne responsable de la protection des renseignements personnels sous la Loi 25 — approuve et conserve le dossier. Cette approbation transforme une feuille de travail en une reddition de comptes que vous pouvez réellement montrer à un organisme de réglementation.

Conservez chaque ÉFVP terminée au même endroit — une bibliothèque de documents de conformité centrale fonctionne bien. Ensemble, elles deviennent la preuve documentée que vous évaluez délibérément le risque pour la vie privée, ce qui est le cœur du principe de responsabilité et la première chose qu'un organisme de réglementation demande à voir.

L'essentiel

Si vous touchez des données de résidents québécois et que vous construisez un système ou envoyez des données à l'étranger, traitez une ÉFVP comme obligatoire et gardez-la proportionnée. Partout ailleurs au Canada, appuyez-vous sur le guide décisionnel : données sensibles, traitement nouveau, champ élargi ou réel potentiel de préjudice vous poussent chacun à en mener une. Les entreprises qui réussissent ne sont pas celles aux gabarits les plus élaborés — ce sont celles qui mènent réellement l'évaluation tôt et conservent la trace.

Cet article constitue de l'information générale et non un avis juridique; savoir si une ÉFVP est requise pour votre projet dépend de vos faits particuliers, et vous devriez consulter un professionnel qualifié avant d'agir.

Décider quels projets nécessitent une ÉFVP, et en mener de légères et défendables sans consultant, c'est précisément ce que Canuckt a conçu Valdra pour rendre gérable — des gabarits, des déclencheurs et une trace que vous pouvez remettre à un organisme de réglementation, en anglais et en français, avec vos données conservées au Canada.