EFVP et Loi 25 : quand un SaaS doit-il en faire une?

Une évaluation des facteurs relatifs à la vie privée (EFVP) est obligatoire dans certaines situations bien précises, dont deux touchent souvent un logiciel-service (SaaS). Selon le guide de la Commission d’accès à l’information (CAI) (version 3.1, avril 2024, celle que nous citons ici), la Loi sur la protection des renseignements personnels dans le secteur privé (que le guide appelle « Loi sur le privé ») en prévoit l’obligation dans deux situations qui touchent directement les équipes techniques : avant de communiquer des renseignements à l’extérieur du Québec, et avant d’acquérir, de développer ou de refondre un système d’information qui en implique. Voici ce que dit le guide, ce que cela change pour une équipe produit et ce que nous vérifierions d’abord. Ce texte explique des obligations; il ne constitue pas un avis juridique.

Qu’est-ce qu’une EFVP, au juste?

C’est une démarche d’analyse, faite avant un projet, pour mesurer ses effets sur la vie privée des personnes concernées. Le guide de la CAI définit un « projet » comme tout projet, technologique ou autre, susceptible d’impliquer la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels. Il donne comme exemple le stockage de renseignements personnels en infonuagique à l’extérieur du Québec.

L’EFVP sert aussi à réfléchir à la nécessité et à la proportionnalité du projet. Le guide présente la nécessité et la proportionnalité comme des conditions incontournables de légalité.

Dans quelles situations une EFVP est-elle obligatoire?

Le guide recense cinq situations dans la Loi sur l’accès et la Loi sur le privé. Trois concernent le secteur privé (guide de la CAI, version 3.1, avril 2024) :

Les deux premières situations sont celles qui touchent le plus souvent un SaaS. Dans ces situations, le guide ajoute qu’il faut aussi en faire une si vous modifiez un projet (par exemple une refonte du système), ou si votre projet implique une communication hors Québec après le 22 septembre 2023.

Une région AWS aux États-Unis ou un fournisseur d’IA : est-ce « hors Québec »?

Le guide précise que l’EFVP est requise avant de communiquer un renseignement à l’extérieur du Québec, mais aussi avant de confier à une personne ou à un organisme à l’extérieur du Québec la tâche de recueillir, d’utiliser, de communiquer ou de conserver un tel renseignement pour votre compte.

Un service hébergé dans une région située hors Québec, ou un fournisseur dont les serveurs sont ailleurs, est donc concerné, selon notre lecture du guide. Le guide parle d’ailleurs du stockage en infonuagique à l’extérieur du Québec comme exemple de projet. La région choisie, le lieu du traitement et les sous-traitants du fournisseur font partie des faits à établir. C’est aussi le cas d’une fonctionnalité d’IA qui envoie les renseignements personnels de vos clients à un fournisseur d’IA externe dont le traitement a lieu hors Québec.

1. 1Inventorier les données
2. 2Évaluer la protection
3. 3Décider
4. 4Entente écrite

Étapes inspirées du guide de la CAI sur l’EFVP pour une communication hors Québec.

Que doit examiner l’EFVP pour une communication hors Québec?

Selon le guide, vous devez notamment tenir compte de quatre éléments :

• la sensibilité du renseignement communiqué;
• la finalité de son utilisation;
• les mesures de protection, y compris contractuelles, dont il bénéficierait;
• le régime juridique de l’État de destination, notamment ses principes de protection des renseignements personnels.

Vous pouvez communiquer les renseignements si l’EFVP démontre qu’ils bénéficieraient d’une protection adéquate, notamment au regard des principes généralement reconnus. Si vous concluez le contraire, le guide dit que vous devez refuser de les communiquer ou vous abstenir de les confier à un tiers hors du Québec.

La loi ne définit ni « protection adéquate » ni « principes généralement reconnus ». Le guide donne une liste non exhaustive de principes intégrés dans de nombreuses lois et d’autres documents, comme des normes ou des lignes directrices, dont la responsabilité, la limitation de la collecte, le consentement, la sécurité, la transparence, les droits des personnes et les recours. Il cite en note les lignes directrices de l’OCDE, la loi fédérale sur la protection des renseignements personnels et les documents électroniques (LPRPDE) et le RGPD de l’Union européenne comme exemples de sources.

Faut-il une entente écrite avec le fournisseur?

Oui, selon le guide : la communication hors Québec doit faire l’objet d’une entente écrite entre vous et le tiers. Elle doit tenir compte des résultats de l’EFVP et, au besoin, prévoir des modalités qui atténuent les risques relevés pour parvenir à une protection adéquate.

Concrètement, les conditions générales d’un fournisseur ne disent pas toujours où les données sont traitées, qui y a accès ni combien de temps elles sont conservées. Ces réponses alimentent à la fois l’EFVP et l’entente.

Quelle doit être l’ampleur de l’évaluation?

Le guide indique que, si la loi vous oblige à faire une EFVP, vous devez la faire sans exception, mais que son ampleur doit être proportionnée à :

1. la sensibilité des renseignements;
2. la finalité de leur utilisation;
3. leur quantité;
4. leur répartition;
5. leur support.

Par exemple, un outil interne qui touche quelques noms d’employés n’appelle pas la même analyse qu’une base de dossiers de santé hébergée chez un tiers. Le guide juge important de documenter ce qui guide votre décision sur l’ampleur.

Que vérifierions-nous d’abord?

Voici l’ordre que nous suivrions pour une équipe SaaS, comme démarche et non comme promesse de conformité :

1. Dresser l’inventaire. Quels renseignements personnels entrent dans le produit, où vont-ils (bases de données, sauvegardes, journaux, outils d’analyse, fournisseurs d’IA) et qui y a accès? Le guide de la CAI propose lui-même de préparer un inventaire et le parcours des renseignements.
2. Repérer ce qui sort du Québec. Régions infonuagiques, sous-traitants, outils de soutien, services d’IA. Notez le lieu du traitement, pas seulement celui du fournisseur.
3. Classer par sensibilité. C’est ce qui détermine l’ampleur de l’EFVP.
4. Réunir les garanties du fournisseur. Chiffrement, contrôle des accès, sous-traitants, durée de conservation, avis d’incident de confidentialité, clauses contractuelles.
5. Consigner la décision. Conclusion, risques résiduels, mesures retenues, date et personnes consultées.
6. Prévoir la réévaluation. Selon le guide, un projet modifié exige que l’EFVP soit mise à jour ou reprise; un changement de fournisseur ou de région en serait un exemple, à valider avec la personne responsable de la protection des renseignements personnels.

Pour les aspects techniques (choix de région, chiffrement, journalisation, architecture), notre équipe peut vous aider avec ses services d’infonuagique et d’IA. Les conclusions juridiques, elles, reviennent à la personne responsable de la protection des renseignements personnels et à vos conseillers.

Limites du guide

Le guide ne donne pas de liste de pays « adéquats » ni de fournisseurs approuvés. Il rappelle aussi que les communications hors Québec et hors Canada sont soumises à un encadrement particulier par les lois provinciales et fédérales, et que d’autres obligations peuvent viser certaines catégories de renseignements. Si votre entreprise exerce ses activités dans d’autres provinces, vérifiez leurs lois. Pour les mises à jour et les autres guides, le site de la Commission d’accès à l’information est la référence.

Ce texte présente de l’information générale tirée du guide de la CAI; ce n’est ni un avis juridique ni une attestation de conformité. Consultez les publications de la CAI et un juriste pour votre situation.