Mise en place gouvernance — partie 2
conservation, DPA sous-traitants et EFVP — les trois sujets de jugement

Module 1 · Conservation et sensibilité

Établir les durées de conservation selon la sensibilité des renseignements

Qu'est-ce que c'est : les règles qui définissent combien de temps vous gardez chaque catégorie de renseignements et comment vous les détruisez ensuite, modulées par le niveau de sensibilité.

À quoi ça sert : limiter votre exposition au risque (Loi 25 art. 23). Chaque jour de conservation au-delà du nécessaire augmente votre exposition sans contrepartie — un incident sur des données qui auraient dû être détruites reste votre responsabilité.

Logique de définition :

• Chaque durée est justifiée par une finalité active ou une obligation légale
• Plus la donnée est sensible (Loi 25 art. 12), plus la durée doit être courte et les mesures de sécurité renforcées
• La méthode de destruction est documentée par support (papier, fichier, base, sauvegarde)
• La traçabilité de la destruction est elle-même conservée

Le guide approfondit avec un tableau de durées suggérées par catégorie (clients, employés, candidats, factures, vidéosurveillance, etc.) et un tableau des niveaux de sensibilité (ordinaire, personnel non sensible, sensible art. 12, mineurs art. 8.1 et 9.1) avec exemples concrets et implications opérationnelles.

Module 2 · DPA — sous-traitants

Encadrer les sous-traitants par une entente de protection des données

Qu'est-ce que c'est : une entente écrite (Data Processing Agreement, DPA) qui précise les obligations PRP de chaque sous-traitant ayant accès à des renseignements personnels traités pour votre compte.

À quoi ça sert : la Loi 25 (art. 18.3) impose au responsable de s'assurer que les sous-traitants protègent les renseignements communiqués. Sans DPA, votre organisation reste seule responsable des manquements du sous-traitant. Le DPA documente la répartition des rôles, des obligations et des recours.

Clauses essentielles d'un DPA :

• Identification des parties et description du traitement confié
• Finalités autorisées (le sous-traitant ne peut pas réutiliser les données pour autre chose)
• Mesures de sécurité minimales à respecter
• Sous-traitance ultérieure (obligation d'autorisation préalable)
• Localisation des données et transferts hors Québec (avec EFVP)
• Notification des incidents — délai, format, contact
• Droits d'audit du responsable
• Sort des données à la fin du contrat (restitution ou destruction)
• Durée et conditions de résiliation

Cas particulier : les grands fournisseurs cloud (Microsoft, Google, AWS, etc.) proposent leurs propres DPA standards. Le guide explique comment évaluer si leur DPA couvre les exigences Loi 25 ou s'il faut négocier un complément.

Module 3 · EFVP

Structurer une Évaluation des facteurs relatifs à la vie privée

Qu'est-ce que c'est : une analyse documentée des risques PRP d'un projet, produite avant son déploiement. Elle force à se poser les bonnes questions avant que la décision soit prise et coûteuse à revenir en arrière.

À quoi ça sert : la Loi 25 (art. 3.3) exige une EFVP avant toute communication de renseignements personnels hors du Québec, avant l'acquisition, le développement ou la refonte d'un système d'information impliquant des renseignements personnels, et pour les projets à traitement important ou sensible. C'est l'outil de gestion des risques PRP au niveau projet.

Étapes d'une EFVP proportionnée :

• Description du projet et des traitements envisagés
• Identification des renseignements personnels concernés et de leur sensibilité
• Cartographie des flux (qui collecte, qui transmet, qui reçoit, où, pourquoi)
• Identification des risques pour les personnes concernées
• Évaluation de la probabilité et de la gravité de chaque risque
• Mesures de mitigation proposées
• Décision documentée (lancer, ajuster, ne pas lancer)
• Plan de suivi et conditions de réévaluation

Principe de proportionnalité : une EFVP n'est pas toujours un document de cinquante pages. Pour les cas simples, une EFVP de quelques pages avec une grille standardisée suffit. Le guide propose une grille EFVP proportionnée que vous pouvez utiliser pour la majorité des projets PME, et indique quand passer à une EFVP approfondie.

Module complémentaire · Pour aller plus loin

Référentiels internationaux de gouvernance

Qu'est-ce que c'est : un ensemble de guides pratiques web gratuits qui situent cette formation par rapport aux référentiels internationaux (ISO 27001, ISO 27701, RGPD, LPRPDE).

À quoi ça sert : approfondir les liens entre la Loi 25 et les régimes internationaux que les clients institutionnels, les sous-traitants étrangers et les certifications volontaires demandent.

⚖️ Avis important — statut de la formation

Cette formation a pour but de guider les organisations dans la mise en place des meilleures pratiques en protection des renseignements personnels. Elle est fournie à titre informatif et pédagogique et ne constitue en aucun cas un conseil juridique ni un avis juridique formel. Pour les situations particulières — secteur réglementé, incident en cours, litige —, consultez un avocat spécialisé.