EFVP selon la Loi 25 —
quand, pourquoi, comment démarrer?

Une EFVP — Évaluation des Facteurs relatifs à la Vie Privée — est une analyse structurée des risques PRP d'un projet avant sa mise en œuvre. Sous la Loi 25, elle est obligatoire dans plusieurs situations — et la plupart des PME ne savent pas qu'elles y sont déjà soumises. Ce module présente les déclencheurs, les étapes de base, et le moment où une expertise approfondie devient nécessaire.

Qu'est-ce qu'une EFVP?

Quand une EFVP est-elle obligatoire?

La Loi 25 impose une EFVP dans plusieurs situations précises :

• Transfert de RP hors du Québec — toute communication à l'extérieur de la province (hébergeur américain, fournisseur européen).
• Acquisition, développement ou refonte de système d'information impliquant des RP — nouveau CRM, nouvelle base de données.
• Projets impliquant un traitement important ou sensible de RP — analytics avancés, profilage client.
• Décisions automatisées basées sur des RP qui ont un effet sur une personne.

En pratique pour une PME, les deux premiers déclencheurs sont les plus fréquents. Chaque fois que vous adoptez un nouvel outil infonuagique ou un nouveau logiciel traitant des RP, une EFVP proportionnée est attendue.

Projets sans EFVP vs avec EFVP

Les 5 étapes de base d'une EFVP

Une EFVP proportionnée pour une PME peut tenir en quelques pages. Les étapes essentielles :

• 1. Description du projet — quoi, pourquoi, quels RP, quel volume, quelles personnes concernées.
• 2. Cartographie des flux — qui collecte, qui utilise, qui transmet, qui conserve.
• 3. Analyse des risques — qu'est-ce qui peut mal tourner? quels préjudices potentiels?
• 4. Mesures d'atténuation — comment réduire chaque risque identifié.
• 5. Décision et suivi — feu vert, feu orange avec conditions, ou arrêt.

Ce n'est pas un document parfait qui compte — c'est la démarche structurée avant d'agir. Une EFVP de quelques pages bien faite vaut mieux qu'un rapport beaucoup plus long jamais lu.

Comment conduire une EFVP — démarche pas-à-pas

Une EFVP proportionnée se conduit en quelques heures pour la majorité des projets PME. Le tout est de ne pas la confondre avec une étude académique : c'est une décision documentée, pas un rapport académique.

1. Identifier le déclencheur. Loi 25 art. 3.3 — communication hors Québec, acquisition ou refonte d'un système traitant des RP, traitement important ou sensible. Si un de ces déclencheurs est présent, l'EFVP est obligatoire.
2. Décrire le projet en une page. Objectifs, fonctionnalités touchant des RP, calendrier, parties prenantes. Pas de jargon technique non nécessaire.
3. Cartographier les flux de données. D'où viennent les renseignements, qui les manipule, où ils transitent, où ils sont stockés, qui y a accès. Inclure les sous-traitants et la localisation.
4. Identifier les risques pour les personnes concernées. Pas pour l'organisation — pour les personnes : utilisation non autorisée, perte, divulgation, discrimination algorithmique, profilage, etc.
5. Évaluer probabilité et gravité de chaque risque. Échelle simple (faible / moyenne / élevée). La gravité regarde le préjudice possible, pas le coût pour l'organisation.
6. Définir les mesures d'atténuation. Pour chaque risque significatif, une mesure technique, organisationnelle ou contractuelle (DPA, chiffrement, restriction d'accès, minimisation).
7. Trancher la décision. Lancer (feu vert), lancer avec conditions (feu orange), ne pas lancer (feu rouge). La décision est signée par le responsable habilité.
8. Planifier le suivi. Conditions de réévaluation (nouveau sous-traitant, nouvelle fonctionnalité, incident), date de revue.

Template — Grille EFVP commentée

Cette grille couvre une EFVP proportionnée pour la majorité des projets PME. Pour les projets complexes (traitement à grande échelle de données sensibles, profilage automatisé, IA décisionnelle), une expertise approfondie est requise — voir la section dédiée plus bas.

Pourquoi l'EFVP est stratégique, pas bureaucratique

• Elle évite les surprises — les risques identifiés en amont sont rarement une catastrophe en aval.
• Elle structure les discussions — avec le fournisseur, la direction, les équipes techniques.
• Elle documente la diligence — preuve directe en cas de plainte ou d'enquête.
• Elle accélère les projets ensuite — les questions PRP sont traitées une fois, pas à répétition.

Quand faire appel à un expert?

Les bases couvertes par ce module suffisent pour la plupart des EFVP simples dans une PME. Une expertise approfondie est recommandée si :

• Transferts multi-juridictions — données qui passent par plusieurs pays.
• Traitements d'intelligence artificielle — profilage, décisions automatisées complexes.
• Projets à fort volume ou forte sensibilité — santé, finance, données biométriques.
• EFVP contestée ou audit de la CAI — enjeu juridique formel.

Pour ces cas, une formation dédiée ou un mandat de conseil spécifique sont plus appropriés qu'une EFVP standard.

Erreurs fréquentes à éviter

• Faire l'EFVP après coup — une EFVP rétroactive a peu de valeur juridique.
• Confondre EFVP avec contrat DPA — deux outils distincts qui se complètent.
• Viser la perfection — une EFVP de 4 pages suffit pour la plupart des projets PME.
• Ne pas documenter la décision finale — l'EFVP doit se conclure par une décision traçable.
• Ne pas réviser à chaque changement substantiel — un nouveau sous-traitant, un nouveau pays, un nouvel usage déclenche une révision.

Ce que la Loi 25 implique concrètement

• Réaliser une EFVP avant tout projet visé par les déclencheurs légaux.
• Documenter l'analyse — risques, mesures, décision.
• Appliquer les mesures d'atténuation retenues.
• Réviser l'EFVP à chaque changement substantiel du projet.
• Rendre l'EFVP accessible à la CAI sur demande.

Pourquoi c'est critique

Sans EFVP sur les projets qui la requièrent :

• Vous êtes en non-conformité immédiate, indépendamment de la qualité du projet.
• Vous ne pouvez pas justifier vos choix d'outils et de fournisseurs en cas d'enquête.
• Chaque incident devient plus grave car non anticipé.

Une EFVP bien faite en amont coûte moins qu'une ordonnance de la CAI en aval.

En résumé

Construire ma gouvernance PRP Obtenir mon Analyse gouvernance PRP