Commencer par le flux de données
Listez les renseignements concernés, leur provenance, les personnes qui y accèdent, les systèmes utilisés et les fournisseurs impliqués. Ajoutez les lieux de traitement et les transferts hors Québec lorsqu'ils sont connus.
Repérer les déclencheurs
La Commission d'accès à l'information indique notamment qu'une évaluation des facteurs relatifs à la vie privée est requise pour certains projets d'acquisition, de développement ou de refonte d'un système d'information ou d'une prestation électronique de services impliquant des renseignements personnels. Une communication de renseignements personnels à l'extérieur du Québec demande également une analyse conforme aux règles applicables.
- Nouveau CRM ou portail contenant des dossiers de personnes.
- Migration vers un fournisseur infonuagique.
- Outil d'IA recevant des documents, conversations ou profils.
- Nouvelle intégration qui communique les données à un tiers.
- Changement important des accès, des finalités ou de la conservation.
Le bon moment : avant de signer le fournisseur et avant de transmettre les données. L'analyse peut influencer l'architecture, le contrat, les accès et même le choix de la solution.
Documenter les mesures
L'exercice doit mener à des décisions concrètes : minimisation des champs, contrôles d'accès, authentification multifacteur, journalisation, durée de conservation, destruction, gestion des incidents et mécanisme de sortie du fournisseur.
Leviers peut documenter le flux et mettre en œuvre les contrôles opérationnels. Une question d'interprétation juridique doit être confiée à un juriste.
Source officielle : Commission d'accès à l'information — responsabilité, gouvernance et EFVP. Vérifiez toujours la version officielle applicable à votre situation.