Mise en place gouvernance — partie 1
les cinq documents de base, à partir de templates et d'un cas-modèle

Module 1 · Mandat RPRP

Construire le mandat du Responsable de la protection des renseignements personnels

Qu'est-ce que c'est : un document interne qui désigne formellement la personne responsable de la conformité PRP et qui précise son rôle, son autorité et son temps dédié.

À quoi ça sert : c'est le premier livrable exigé par la Loi 25 (art. 3.1) — sans mandat formel, votre RPRP n'a pas l'autorité documentée pour agir, ce qui fragilise toute la gouvernance qui en découle.

Ce que le mandat doit contenir :

• Identification du RPRP désigné et de son lien avec l'organisation
• Responsabilités précises (pas juste « gérer la conformité »)
• Temps dédié estimé par semaine ou par mois
• Autorité décisionnelle — accès aux dossiers, capacité d'arrêter un projet non conforme
• Publication des coordonnées (politique de confidentialité, signature courriel)
• Conditions de révision et de remplacement

Cas particulier : si vous n'avez pas la capacité interne, un mandat RPRP externe est une alternative documentée et reconnue.

Module 2 · Registre des activités de traitement

Démarrer le registre des activités de traitement

Qu'est-ce que c'est : un inventaire structuré de tous les traitements de renseignements personnels effectués par l'organisation. C'est le point de départ de toute la gouvernance — sans inventaire, impossible de rédiger une politique juste ou de définir des durées proportionnées.

À quoi ça sert : preuve documentaire de votre gouvernance (Loi 25 art. 3.2). C'est le premier document que la CAI demande à voir lors d'une enquête, et c'est l'outil de pilotage qui permet de répondre rapidement à une demande d'accès ou de rectification. Il alimente directement la politique interne (module 3) et la table de durées de conservation (partie 2).

Colonnes minimales d'un registre :

• Nom et description du traitement
• Finalité (pourquoi ce traitement existe)
• Catégories de renseignements traités
• Catégories de personnes concernées
• Source de la collecte (directe, indirecte, tiers)
• Destinataires internes et externes
• Sous-traitants impliqués (référence aux DPA — voir partie 2 du Bloc 2)
• Transferts hors Québec (avec mention de l'EFVP)
• Durée de conservation prévue
• Mesures de sécurité en place

Astuce de mise en place : commencez par les traitements à plus fort enjeu (paie et RH, finances, marketing, vidéosurveillance) avant d'inventorier les traitements opérationnels courants. Mieux vaut un registre partiel mais juste qu'un registre complet inventé.

Module 3 · Politique interne

Construire la politique interne de protection des renseignements personnels

Qu'est-ce que c'est : un document interne qui détaille comment votre organisation applique la Loi 25 dans son quotidien — règles, rôles, procédures, escalades. Elle s'appuie directement sur le registre construit au module précédent : les procédures décrites ici encadrent les traitements inventoriés là. Ce n'est pas la politique publique affichée sur le site (celle-là sera traitée en 4ᵉ heure du Bloc 2 car elle réutilise et adapte la politique interne).

À quoi ça sert : donner aux employés et aux gestionnaires une référence opérationnelle claire pour traiter les renseignements personnels au quotidien (collecte, accès, rectification, conservation, incidents, sous-traitance). C'est aussi le socle de la formation interne et la preuve que l'organisation a une gouvernance documentée au-delà des documents publics.

Sections typiques d'une politique interne :

• Objet, portée et champ d'application (qui, quoi, à partir de quand)
• Définitions des termes clés (renseignement personnel, sensibilité, RPRP, incident)
• Rôles et responsabilités (RPRP, dirigeants, gestionnaires, employés, sous-traitants)
• Principes directeurs de l'organisation (alignés sur les six principes Loi 25)
• Procédures internes — collecte, consentement, accès, rectification, retrait, portabilité
• Procédure de gestion des incidents (qui détecte, qui décide, qui notifie, quels délais)
• Encadrement des sous-traitants (référence aux DPA — voir partie 2)
• Conservation et destruction (référence à la table de durées — voir partie 2)
• Formation et sensibilisation du personnel
• Audit interne, amélioration continue et révisions
• Sanctions internes en cas de manquement

Différence clé avec la politique publique : la politique interne décrit le comment opérationnel (procédures détaillées, escalades, sanctions). La politique publique décrit le quoi (finalités, droits, contacts) en langage accessible aux personnes concernées.

Module 4 · Registre des incidents

Initialiser le registre des incidents et la procédure de notification

Qu'est-ce que c'est : un registre structuré de tous les incidents de confidentialité, accompagné d'une procédure interne de réponse.

À quoi ça sert : obligation depuis 2022 (Loi 25 art. 3.8) — preuve documentaire que vous détectez et traitez les incidents, et base pour les notifications obligatoires à la CAI et aux personnes concernées (art. 3.5 à 3.7) en cas de risque de préjudice sérieux.

Colonnes minimales du registre :

• Date et heure de l'incident
• Date et mode de détection
• Nature de l'incident (perte, accès non autorisé, communication erronée, etc.)
• Catégories de renseignements et de personnes touchées
• Évaluation du risque de préjudice sérieux (critères standardisés)
• Mesures correctives prises et leur date
• Notifications (CAI, personnes concernées) avec dates et destinataires

Procédure associée : qui décide de l'évaluation du préjudice sérieux, qui notifie, dans quels délais (réflexe « notification rapide » dès qu'un risque sérieux est confirmé).

Module complémentaire · Pour aller plus loin

Référentiels internationaux de gouvernance

Qu'est-ce que c'est : un ensemble de guides pratiques web gratuits qui situent cette formation par rapport aux référentiels internationaux (ISO 27001, ISO 27701, RGPD, LPRPDE).

À quoi ça sert : approfondir les liens entre la Loi 25 et les régimes internationaux que les clients institutionnels, les sous-traitants étrangers et les certifications volontaires demandent.

⚖️ Avis important — statut de la formation

Cette formation a pour but de guider les organisations dans la mise en place des meilleures pratiques en protection des renseignements personnels. Elle est fournie à titre informatif et pédagogique et ne constitue en aucun cas un conseil juridique ni un avis juridique formel. Pour les situations particulières — secteur réglementé, incident en cours, litige —, consultez un avocat spécialisé.