Qu'est-ce qu'une ÉFVP sous la Loi 25?

L'évaluation des facteurs relatifs à la vie privée (ÉFVP) est une analyse structurée des risques qu'un projet fait courir aux renseignements personnels, menée avant sa mise en oeuvre. Elle est requise pour certains projets de système d'information ou de service électronique (art. 3.3), pour une communication à des fins de recherche, et pour un transfert de renseignements hors du Québec (art. 17).

Quand une ÉFVP est-elle obligatoire?

Dans trois cas : un projet d'acquisition, de développement ou de refonte d'un système d'information ou d'une prestation électronique de services touchant des renseignements personnels ; une communication de renseignements à un tiers à des fins d'étude, de recherche ou de statistiques ; et une communication de renseignements personnels à l'extérieur du Québec.

Faut-il soumettre l'ÉFVP à la Commission d'accès à l'information?

Non. L'ÉFVP n'a pas à être transmise à la Commission d'accès à l'information avant de procéder. Elle doit être conservée au dossier de l'organisation et pouvoir être présentée si la Commission mène une vérification ou une enquête.

Une ÉFVP simplifiée est-elle possible pour un petit projet?

Oui. La loi exige que l'évaluation soit proportionnée à la sensibilité des renseignements, à la finalité, à la quantité, à la diffusion et au support. Un projet mineur, comme un module d'infolettre qui ne recueille qu'une adresse courriel, appelle une évaluation plus légère qu'un projet touchant des renseignements de santé ou financiers, pourvu que la démarche reste documentée.

Comment HelionAI aide-t-il pour les ÉFVP?

HelionAI aide les organisations à organiser et documenter leurs évaluations des facteurs relatifs à la vie privée, aux côtés du registre des incidents et des plaintes, pour que la preuve soit prête au moment d'une vérification. C'est un outil logiciel, et non un cabinet d'avocats, et il ne remplace pas le responsable ni un avis juridique.

ÉFVP Loi 25 : évaluer les facteurs relatifs à la vie privée

HelionAI//

The privacy impact assessment (ÉFVP) under Quebec's Law 25 (English)

Quebec's Law 25 requires a privacy impact assessment, called an ÉFVP (évaluation des facteurs relatifs à la vie privée), in three situations: a project to acquire, develop, or redesign an information system or electronic service that involves collecting, using, disclosing, keeping, or destroying personal information (section 3.3); disclosing personal information to a third party for a study, research, or statistics project; and disclosing personal information outside Quebec (section 17). The assessment must be proportionate to the sensitivity of the information, its purpose, its volume, its distribution, and the medium involved, and the person in charge of the protection of personal information must be consulted from the start of the project. For a cross-border transfer, the assessment must weigh the sensitivity of the information, the purpose of its use, the protective measures in place including contractual ones, and the legal regime in the destination jurisdiction, and the transfer may only proceed if adequate protection is demonstrated. The ÉFVP does not need to be submitted to the Commission d'acces a l'information in advance, but it must be kept on file and be ready to present in the event of an audit or investigation. HelionAI helps organizations organize and document their ÉFVPs alongside the incident and complaints registers.

Not legal advice. HelionAI is a software tool, not a law firm. The information provided is general in nature and does not constitute legal advice. For a specific project, consult qualified legal counsel.