La Loi 25 est maintenant pleinement en vigueur au Québec, et pourtant, dans bien des projets TI, la protection des renseignements personnels arrive encore à la fin — quand l’architecture est figée, que l’échéancier est serré et que chaque nouvelle exigence ressemble à un frein. C’est exactement le scénario que la loi voulait éliminer : l’Évaluation des facteurs relatifs à la vie privée (EFVP) doit précéder tout projet impliquant des renseignements personnels, pas le conclure.
La bonne nouvelle, c’est qu’intégrer l’EFVP dans le cycle de vie d’un projet n’a rien d’insurmontable quand on s’y prend au bon moment, avec les bons rôles. La mauvaise, c’est que l’improvisation coûte cher — en reprises d’architecture, en retards, et potentiellement en sanctions qui peuvent atteindre 25 millions de dollars ou 4 % du chiffre d’affaires mondial. Voici comment nous abordons la question dans les projets que nous accompagnons.
Pour un gestionnaire de projet TI, quatre obligations structurent l’essentiel. D’abord, chaque organisation doit avoir désigné un responsable de la protection des renseignements personnels — par défaut la personne à la plus haute autorité, avec possibilité de délégation. Ensuite, une EFVP est requise avant tout projet d’acquisition, de développement ou de refonte de système impliquant des renseignements personnels, et la loi vise explicitement les projets d’intelligence artificielle, de profilage et les communications de renseignements hors Québec.
S’ajoutent les obligations d’incident : lorsqu’un incident de confidentialité présente un risque sérieux de préjudice, il faut notifier la Commission d’accès à l’information et les personnes concernées, et tenir un registre des incidents. Enfin, le régime de sanctions donne du mordant à l’ensemble, avec des amendes pouvant atteindre 25 millions de dollars ou 4 % du chiffre d’affaires mondial. Ce dernier point a une vertu pratique : il rend la conversation avec la direction beaucoup plus simple qu’avant.
Une EFVP n’est pas un rapport de conformité de deux cents pages produit par des juristes en fin de projet. C’est une démarche d’analyse proportionnée à la sensibilité des renseignements et à l’ampleur du projet : quels renseignements personnels sont en jeu, pourquoi les collecte-t-on, qui y aura accès, où seront-ils hébergés, combien de temps seront-ils conservés, et quels risques le projet fait-il courir aux personnes concernées. Pour un petit projet manipulant peu de données sensibles, l’exercice peut rester léger ; pour un système de profilage ou un transfert hors Québec, il sera nécessairement plus poussé.
Ce que l’EFVP n’est pas non plus : un veto systématique. Son rôle est d’identifier les risques et les mesures pour les atténuer — minimisation des données, anonymisation, contrôles d’accès, clauses contractuelles avec les fournisseurs. Bien menée, elle améliore souvent la conception du système au passage, parce qu’elle force des questions que l’équipe aurait dû se poser de toute façon.
L’erreur la plus coûteuse est de traiter l’EFVP comme une étape de validation finale. Si l’évaluation révèle qu’un fournisseur infonuagique héberge les données dans une juridiction problématique, ou qu’une fonctionnalité de profilage exige un consentement qui n’a pas été prévu dans les parcours utilisateurs, le corriger en fin de projet peut signifier des semaines de reprise. Le même constat posé au cadrage se règle par un choix d’architecture ou de fournisseur, à coût presque nul.
En pratique, nous recommandons de déclencher une première analyse dès la phase de cadrage : un questionnaire de quelques questions suffit à déterminer si le projet touche des renseignements personnels et à quel niveau de profondeur l’EFVP devra être menée. L’évaluation se raffine ensuite au fil des jalons — choix d’architecture, sélection de fournisseurs, conception détaillée — plutôt que d’arriver comme un bloc monolithique. Dans un contexte agile, cela se traduit par des critères de vie privée intégrés à la définition de prêt des travaux concernés, et une révision de l’EFVP quand le périmètre change substantiellement.
Le responsable de la protection des renseignements personnels ne peut pas être le seul à porter l’EFVP — sinon il devient le goulot d’étranglement de tous les projets de l’organisation. Son rôle est d’encadrer la démarche, de fournir les outils et de trancher les cas difficiles. Le chargé de projet, lui, est responsable de déclencher l’évaluation au bon moment et d’en suivre les actions comme n’importe quel autre risque projet. L’architecte et les analystes alimentent l’évaluation avec les faits : flux de données, lieux d’hébergement, accès, mécanismes de sécurité.
Cette répartition a un effet secondaire vertueux : elle diffuse la culture de protection des renseignements personnels dans les équipes de livraison, au lieu de la confiner à une fonction de conformité. Les équipes qui ont vécu une ou deux EFVP bien menées posent ensuite les bonnes questions spontanément, dès la conception. C’est le principe de la protection de la vie privée dès la conception — « privacy by design » — que la loi encourage.
Pour rendre tout cela opérationnel, voici la trame que nous suggérons d’intégrer au gabarit de démarrage de tout projet TI :
La Loi 25 a changé le statut de la protection des renseignements personnels dans les projets TI : d’une bonne pratique qu’on repoussait faute de temps, elle est devenue une obligation dont l’absence expose l’organisation à des sanctions sérieuses et à une perte de confiance durable. Mais l’expérience montre que les organisations qui l’intègrent tôt dans leurs projets n’en sortent pas ralenties — elles en sortent avec des systèmes mieux conçus et des décisions mieux documentées.
Si vos projets impliquent des renseignements personnels et que l’EFVP reste pour vous une zone grise, c’est le bon moment d’y mettre de l’ordre — avant que ce soit un incident qui vous y oblige. Nos équipes accompagnent régulièrement des organisations publiques et privées dans ces démarches ; n’hésitez pas à en discuter avec nous. Créer de la valeur, ensemble, ça passe aussi par des projets qui inspirent confiance.