L'évaluation des facteurs relatifs à la vie privée (EFVP)
Une EFVP évalue les risques d'un projet pour la vie privée avant sa réalisation. Elle est requise notamment pour tout projet d'acquisition, de développement ou de refonte d'un système d'information ou d'une prestation électronique de services impliquant des renseignements personnels (art. 3.3 et 17), et avant de communiquer des renseignements à l'extérieur du Québec (art. 17).
Déclencheurs techniques
- nouveau système d'entreprise ou nouvelle application;
- refonte majeure d'architecture ou de base de données;
- hébergement ou accès hors Québec (ex. région AWS américaine ou européenne);
- intégration d'un nouveau fournisseur ou d'une API tierce (paiement, courriel, analytics, IA);
- nouvelle finalité d'utilisation de données existantes.
Votre rôle
Vous fournissez ce que le RPRP ne peut pas deviner :
- la cartographie des flux : quelles données, d'où, vers où, stockées où, pour combien de temps;
- les mesures de sécurité en place (chiffrement, accès, journalisation);
- la localisation des données et des sous-traitants.
Modèle simplifié
| Section | Contenu attendu |
|---|---|
| Description | Objectif, périmètre, données traitées |
| Flux | Diagramme source → traitement → stockage → destinataires |
| Risques | Probabilité × gravité pour les personnes |
| Mesures | Techniques et organisationnelles |
| Hors Québec | Évaluation de la protection adéquate, contrat |
| Décision | Validation du RPRP, date, réévaluation |
Cadre juridique détaillé : voir le guide de référence — L'évaluation des facteurs relatifs à la vie privée.