L'Évaluation des facteurs relatifs à la vie privée (ÉFVP)
L'ÉFVP est une analyse de risque structurée à réaliser avant de lancer un projet touchant des renseignements personnels — pas après.
Qu'est-ce qu'une ÉFVP?
L'évaluation des facteurs relatifs à la vie privée (ÉFVP) est une démarche structurée d'analyse de risque réalisée avant de lancer un projet touchant des renseignements personnels. Elle vise à identifier les risques pour la vie privée et à les atténuer dès la conception — c'est le principe de « privacy by design ».
Quand l'ÉFVP est-elle obligatoire?
La loi exige qu'une ÉFVP soit réalisée notamment :
- Pour tout projet d'acquisition, de développement ou de refonte d'un système d'information impliquant des renseignements personnels
- Avant de communiquer des renseignements à l'extérieur du Québec (chapitre 9)
- Avant de communiquer des renseignements sans consentement à des fins d'étude, de recherche ou de production de statistiques
L'ampleur doit être proportionnée au risque
La loi reconnaît que toutes les ÉFVP ne doivent pas être identiques. Un petit projet à faible risque appelle une évaluation légère ; un projet impliquant des données de santé de milliers de personnes appelle une analyse approfondie.
7 étapes d'une ÉFVP
- Décrire le projet : finalités, flux de données, acteurs, technologies impliquées
- Cartographier les renseignements : nature, sensibilité, volume, durée de conservation
- Identifier les risques : accès non autorisé, surcollecte, communication non encadrée, etc.
- Évaluer la gravité et la probabilité de chaque risque (Faible / Moyen / Élevé)
- Définir des mesures d'atténuation : chiffrement, minimisation, contrôle d'accès, contrats
- Consigner l'évaluation et la faire approuver par le RPRP
- Réviser l'ÉFVP si le projet évolue de façon significative
Grille simplifiée d'ÉFVP
| Élément | Description | Risque (F/M/É) | Mesure d'atténuation |
|---|---|---|---|
| Données recueillies | |||
| Finalité | |||
| Conservation | |||
| Communication à des tiers | |||
| Hébergement / localisation | |||
| Accès interne |
Voir aussi le chapitre 13 pour les gabarits complets téléchargeables.
✓ Checklist ÉFVP
- ☐ Avons-nous un modèle d'ÉFVP réutilisable (voir gabarits)?
- ☐ Le RPRP approuve-t-il formellement les ÉFVP?
- ☐ Réalisons-nous une ÉFVP avant toute nouvelle communication hors Québec?
- ☐ Réalisons-nous une ÉFVP avant tout nouveau système d'information?