Qu'est-ce qu'une EFVP?
Une évaluation des facteurs relatifs à la vie privée (EFVP, ou PIA en anglais) est une analyse structurée des risques qu'un projet fait peser sur la protection des renseignements personnels. La Loi 25 en fait une obligation pour plusieurs situations, avant le lancement du projet.
Quand une EFVP est-elle obligatoire?
- Acquisition ou développement d'un système qui traite des renseignements personnels
- Refonte majeure d'un système existant
- Communication hors Québec de renseignements personnels
- Communication à un tiers sans le consentement (recherche, statistiques)
- Profilage ou décision automatisée impactant un individu
Les 6 sections d'une EFVP conforme
1. Description du projet
Contexte, objectifs, parties prenantes, technologies utilisées.
2. Cartographie des flux de données
Quels renseignements sont collectés, par qui, comment, où sont-ils stockés et transférés.
3. Analyse de conformité
Vérification point par point des obligations Loi 25 : finalités, consentement, conservation, destruction.
4. Identification des risques
Risques résiduels pour les personnes concernées (probabilité x gravité).
5. Mesures d'atténuation
Contrôles techniques, organisationnels et juridiques pour réduire les risques.
6. Recommandation et décision
Avis du RPRP, décision d'aller de l'avant, revue périodique prévue.
Qui doit la réaliser?
L'EFVP est coordonnée par le RPRP (responsable de la protection des renseignements personnels), en collaboration avec les équipes projet, TI, juridique et conformité. Pour une PME, elle peut être rédigée à l'interne ou confiée à un consultant externe.
Que risque-t-on sans EFVP?
L'absence d'EFVP avant le lancement d'un projet constitue un manquement à la Loi 25. En cas d'incident ou de plainte, cette omission est un facteur aggravant pouvant mener à des sanctions administratives pouvant atteindre 10 M$ ou 2 % du chiffre d'affaires mondial, et jusqu'à 25 M$ au pénal.