Loi 25 et projet informatique : que doit prévoir votre portail ou votre application ?
Un portail client réunit des noms, des documents, parfois des secrets. Avant de dessiner le premier écran, la loi demande de se poser quelques questions simples.
6 min de lectureAu Québec, tout projet qui crée ou refait un système traitant des renseignements personnels, comme un portail client ou une application, exige une évaluation des facteurs relatifs à la vie privée (EFVP). Le projet doit aussi prévoir la confidentialité par défaut, des accès limités, la sécurité, la conservation et, si les données quittent le Québec, une évaluation du transfert.
Cet article est informatif et ne constitue pas un avis juridique. Pour votre situation, consultez un avocat ou la Commission d’accès à l’information.
Un portail client réunit souvent ce qu’une entreprise a de plus sensible : des noms, des adresses, des documents, parfois des renseignements de santé ou financiers. La Loi 25 ne l’interdit pas ; elle demande d’y penser avant de construire. C’est ce que nous faisons pour chaque portail client et chaque application web.
Ce que l’EFVP demande vraiment
L’évaluation des facteurs relatifs à la vie privée est un document qui répond, avant le développement, à quelques questions simples : quels renseignements le système va-t-il recueillir, pourquoi, qui y aura accès, où seront-ils conservés, combien de temps, et quels risques cela crée-t-il pour les personnes concernées.
Elle est obligatoire pour tout projet d’acquisition, de développement ou de refonte d’un système d’information qui traite des renseignements personnels. Elle est proportionnée : une simple liste de rendez-vous n’appelle pas la même analyse qu’un dossier médical.
Sept précautions, dès le premier croquis
| Exigence | Ce que cela change dans le portail ou l’application |
|---|---|
| Confidentialité par défaut | Les réglages les plus protecteurs sont actifs dès le départ |
| Collecte limitée | Le système ne demande que ce dont il a besoin |
| Accès selon le rôle | Chaque personne ne voit que ce qui la concerne |
| Sécurité | Comptes personnels, connexions chiffrées, sauvegardes |
| Conservation et destruction | Une durée définie, puis une suppression réelle |
| Données hors du Québec | Une évaluation avant tout transfert, y compris vers un hébergeur |
| Portabilité | Pouvoir remettre à une personne ses renseignements dans un format courant |
Garder la trace de chaque porte ouverte
Garder la trace de qui a consulté ou modifié quoi n’est pas toujours exigé mot pour mot, mais c’est souvent la meilleure façon de démontrer la sécurité d’un système, et de comprendre un incident s’il survient. Dans un portail qui contient des renseignements sensibles, nous la prévoyons dès le départ.
Où dorment les données
La loi n’oblige pas à héberger les données au Québec. Mais si elles sont conservées ou traitées ailleurs, l’entreprise doit d’abord évaluer si elles y seront protégées adéquatement. Choisir un hébergement au Canada simplifie souvent cette évaluation, et rassure les clients.
La maison et l’artisan
L’entreprise reste responsable des renseignements de ses clients. Le fournisseur qui construit et héberge le système agit pour elle : il doit le faire selon des règles écrites, et la responsable de la protection des renseignements personnels de l’entreprise doit être consultée dès le début du projet.
Questions fréquentes
Faut-il une EFVP pour un petit projet ? Oui, dès que le système traite des renseignements personnels, mais elle peut être courte si les renseignements sont peu sensibles.
Qui rédige l’EFVP ? L’entreprise en est responsable. Le fournisseur peut la préparer et la documenter avec elle ; nous le faisons pour chaque projet concerné.
L’EFVP retarde-t-elle le projet ? Peu, si elle est faite au début. Elle évite surtout de corriger après coup un système déjà construit.
Que risque une entreprise ? La Commission d’accès à l’information peut imposer des sanctions pouvant atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial.
Une plateforme bien pensée protège vos clients avant même qu’ils ne s’en rendent compte. Racontez-nous ce que la vôtre doit garder.