EFVP : quand est-elle obligatoire ?
L'évaluation des facteurs relatifs à la vie privée (EFVP) est l'un des outils les plus importants — et les plus mal compris — de la Loi 25. Bonne nouvelle : savoir quand elle s'impose est plus simple qu'il n'y paraît.
Les principaux déclencheurs
Sous la Loi 25, une EFVP est généralement requise dans les situations suivantes :
- tout projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services impliquant des renseignements personnels ;
- toute communication de renseignements personnels à l'extérieur du Québec, afin d'évaluer si la protection y est équivalente.
Pourquoi c'est utile, au-delà de l'obligation
Une EFVP force à se poser les bonnes questions avant de lancer un projet : quelles données, pour quelles finalités, avec quels risques et quelles mesures d'atténuation. C'est un réflexe de « protection de la vie privée dès la conception ».
Ne pas partir d'une page blanche
Rédiger une EFVP complète peut sembler lourd. Catégo détecte automatiquement les déclencheurs à partir de vos activités de traitement, puis génère un brouillon structuré à partir des données déjà présentes dans votre inventaire et votre registre. Ce brouillon est clairement marqué « généré par IA » et doit être révisé et approuvé par une personne autorisée.
Planifiez la réévaluation
Une EFVP n'est pas gravée dans le marbre : lorsque le contexte change, elle doit être revue. Fixez une date de réévaluation dès le départ pour ne pas laisser votre analyse vieillir en silence.
