Quand une évaluation des facteurs relatifs à la vie privée est-elle requise sous la Loi 25 du Québec?

Une entreprise de commerce électronique de Montréal avec qui j'ai discuté l'automne dernier était à trois semaines du lancement d'un nouveau programme de fidélité. Application soignée, offres personnalisées, tout y était. Son développeur avait choisi une plateforme d'analytique établie aux États-Unis parce qu'elle était bon marché et que le SDK s'intégrait facilement. Personne dans l'entreprise ne savait que cette seule décision l'avait fait basculer dans une obligation légale sous la Loi 25 du Québec. Ce n'était pas une banque. Ce n'était pas un hôpital. Elle vendait des articles de cuisine artisanaux. Et elle devait tout de même une évaluation des facteurs relatifs à la vie privée documentée avant qu'un seul octet de données client ne franchisse la frontière.

Cet écart, entre qui *croit* avoir besoin d'une ÉFVP et qui en a *réellement* besoin, est l'endroit où la plupart des organisations québécoises se font prendre. Alors réglons proprement la question du seuil.

Quand une évaluation des facteurs relatifs à la vie privée est-elle requise sous la Loi 25?

La Loi sur la protection des renseignements personnels dans le secteur privé, que tout le monde appelle la Loi 25 et qui a commencé sa vie sous le nom de projet de loi 64, crée deux déclencheurs distincts. Comprenez-les bien et vous aurez répondu à l'essentiel de la question.

Le premier se trouve à l'article 3.3. Vous devez mener une évaluation des facteurs relatifs à la vie privée (ÉFVP) pour tout projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services mettant en cause des renseignements personnels. C'est le déclencheur au niveau du système. Un nouveau CRM. Une nouvelle plateforme de réservation. Une migration de votre ancien serveur sur site vers un outil SaaS. Un portail client bâti à partir de zéro. Chacun est un projet qui traite des renseignements personnels, et chacun est visé.

Le second déclencheur est l'article 17, et c'est celui qui attrape les gens qui n'y penseraient jamais autrement. Avant de communiquer des renseignements personnels à l'extérieur du Québec, vous devez évaluer si les renseignements bénéficieront d'une protection adéquate, eu égard notamment aux principes de protection des données généralement reconnus. C'est un transfert transfrontalier. En 2026, cela capte presque tout service infonuagique dont les serveurs se trouvent en Virginie, en Irlande ou partout ailleurs qu'au Québec.

Lisez ces deux articles ensemble et la réponse à *quand une évaluation des facteurs relatifs à la vie privée est-elle requise* devient inconfortablement large. Une ÉFVP n'est pas réservée au profilage à haut risque ou à la biométrie. Elle se rattache à des décisions d'infrastructure ordinaires que des entreprises ordinaires prennent chaque trimestre.

Le piège transfrontalier dans lequel la plupart des entreprises tombent

L'article 17 est le discret, et c'est celui que je surveille le plus. La Commission d'accès à l'information, le régulateur de la vie privée du Québec et un organisme plus affirmé qu'on ne le croit, considère qu'une « communication à l'extérieur du Québec » inclut le stockage ou le traitement par un fournisseur de services situé ailleurs. Vous n'avez pas à poster un fichier au Texas. Laisser AWS us-east-1 héberger votre liste de clients compte.

Voici ce que cela signifie en pratique. Si vous utilisez l'un des éléments suivants, une évaluation au titre de l'article 17 est due pour ce flux de données :

• Un CRM hébergé aux États-Unis ou en Europe comme Salesforce ou HubSpot sur une infrastructure par défaut
• Une plateforme de marketing par courriel dont les serveurs sont à l'extérieur du Québec
• Un fournisseur de sauvegarde ou de stockage infonuagique dont le siège est à l'étranger
• Un outil de paiement ou d'analytique qui traite les données à l'étranger

Pas nécessairement un dossier d'entreprise de quarante pages. Mais une évaluation documentée des risques, des protections du territoire de destination et de toute mesure de protection contractuelle que vous avez mise en place. L'entreprise d'articles de cuisine a fait trébucher ce fil. Comme des milliers d'autres qui présument être « trop petites pour que cela s'applique ».

L'évaluation doit soupeser la sensibilité des renseignements, la finalité du transfert, les mesures de protection en place (y compris contractuelles) et le régime juridique du territoire récepteur. Si la protection n'est pas adéquate, vous la corrigez par des clauses contractuelles ou vous ne faites pas le transfert. Lorsque l'analyse est favorable, l'article 17 exige aussi une entente écrite reflétant les conclusions de l'évaluation. Voilà le mordant de l'article.

La proportionnalité : l'évaluation s'adapte au risque

Avant que quiconque ne panique et ne budgète un consultant pour chaque inscription à Mailchimp, lisez l'article 3.4. La loi intègre la proportionnalité. Votre ÉFVP doit être proportionnée à la sensibilité des renseignements concernés, à la finalité de leur utilisation, à leur quantité, à leur répartition et au support sur lequel ils reposent.

Une application de fidélité traitant des noms, des courriels et un historique d'achats ne porte pas le même risque qu'une clinique déplaçant 50 000 dossiers de patients, et la loi ne fait pas semblant du contraire. Pour un flux à faible sensibilité et faible volume, une évaluation proportionnée pourrait être un dossier d'une ou deux pages : quelles données, où elles vont, pourquoi, quelles mesures de protection s'appliquent, quel risque résiduel subsiste et quelle décision vous avez prise. Pour des données sensibles à grande échelle, pour du profilage ou pour tout ce qui touche des renseignements de santé ou financiers, vous regardez quelque chose de bien plus rigoureux, avec des mesures d'atténuation et l'approbation de votre responsable de la protection des renseignements personnels.

L'erreur va dans les deux sens. Certaines organisations transforment un transfert anodin en des mois de paralysie. D'autres balaient du revers de la main un projet véritablement sensible parce que « ce n'est qu'une petite application ». La proportionnalité n'est pas une excuse pour sauter l'évaluation. C'est un cadran qui règle la profondeur de l'évaluation.

Les projets qui en déclenchent presque toujours une

Vous voulez une liste de travail? Voici les situations où je traiterais une ÉFVP comme obligatoire et cesserais d'en débattre.

Lancer ou remplacer tout système qui recueille, stocke ou utilise des renseignements personnels compte. Une nouvelle plateforme RH, un portail patient, une base de données client, un moteur de réservation. C'est l'article 3.3, point final.

Envoyer des renseignements personnels à un fournisseur de services à l'extérieur du Québec couvre la plupart de l'adoption infonuagique. C'est l'article 17.

Déployer une technologie dotée d'une capacité de profilage, de géolocalisation ou d'identification en est un autre. L'article 8.1 donne aux personnes le droit d'être informées lorsqu'une telle technologie est en usage, et le droit de désactiver les fonctions d'identification, de localisation ou de profilage. Si votre projet inclut l'une d'elles, vous ne menez pas seulement une ÉFVP, vous intégrez la divulgation et le retrait au produit.

De même pour tout projet mettant en cause des renseignements personnels sensibles : santé, biométrie, finances, ou tout ce qui devient sensible en raison de son contexte. Ici, la question de savoir s'il faut s'en donner la peine se répond d'elle-même.

Une note pour le milieu réglementé. Cette obligation est distincte de vos obligations fédérales sous la LPRPDE, qu'applique le Commissariat à la protection de la vie privée du Canada, et de la LPRPS en Ontario, qui relève du Commissaire à l'information et à la protection de la vie privée de l'Ontario, et des règles de tenue de registres de lutte contre le blanchiment de CANAFE. Le régime québécois tient debout par lui-même. Être conforme à la LPRPDE au fédéral ne vous acquitte pas de votre obligation d'ÉFVP sous la Loi 25. Exercez dans plusieurs provinces et vous portez les deux.

Ce qui arrive si vous la sautez

La CAI peut imposer des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le plus élevé. La poursuite pénale devant la Cour du Québec grimpe à 25 millions de dollars ou 4 %. La Loi 25 a aussi créé un droit d'action privé pour le préjudice causé par une atteinte illicite, avec des dommages-intérêts punitifs d'au moins 1 000 $ par personne lorsque l'atteinte met en cause une faute intentionnelle ou une négligence grave. Pour un incident touchant des milliers de clients, l'arithmétique tourne vite au vinaigre.

Je ne vais pas faire peur avec des maximums qui retombent surtout sur une conduite flagrante et répétée. Mais l'absence d'ÉFVP n'est pas une omission passive. C'est une preuve documentaire que vous n'avez pas évalué un risque connu. Si un transfert tourne mal, ou qu'un système que vous avez mis en place laisse fuir des données, l'évaluation manquante est la première chose que demande la CAI et la première chose que pointe l'avocat du plaignant.

La réalité plus tranquille, c'est que l'évaluation *prévient* généralement le mauvais dénouement. Vous forcer à écrire où vont les données et ce qui les protège fait ressortir le SDK d'analytique que personne n'a vérifié, le contrat de fournisseur sans clause de protection des données, la sauvegarde qui se réplique discrètement sur un autre continent. Ce n'est pas de la paperasse. C'est la mesure de contrôle qui fait son travail.

Donc, la réponse honnête à la question du seuil : si votre projet construit ou achète un système qui touche des renseignements personnels, ou en déplace à l'extérieur du Québec, présumez qu'une ÉFVP est due et laissez la proportionnalité décider de son ampleur. Savoir *s'il en faut une* n'a jamais été le plus difficile. Le plus difficile est d'avoir une façon reproductible de réellement les mener sans un consultant à 500 000 $ sous contrat.

C'est cette partie que nous avons bâtie. Faites passer votre projet dans l'assistant guidé d'ÉFVP de Valdra et obtenez une évaluation proportionnée, prête pour la CAI, sans la facture de consultation.