---------------------------
Title: ÉFVP (évaluation des facteurs relatifs à la vie privée) : quand, comment et pourquoi la réaliser selon la Loi 25
URL: https://usercentrics.com/fr/knowledge-hub/fr-ca-efvp-loi-25/
---------------------------

# ÉFVP (évaluation des facteurs relatifs à la vie privée) : quand, comment et pourquoi la réaliser selon la Loi 25

L'ÉFVP est l'analyse de risques exigée par la Loi 25 avant certains projets ou transferts de renseignements personnels hors Québec.

## Qu'est-ce qu'une ÉFVP ?

L'évaluation des facteurs relatifs à la vie privée est une démarche structurée qui vise à repérer, à mesurer et à réduire les risques qu'une activité fait peser sur les renseignements personnels des personnes concernées. Elle s'inscrit dans le principe de protection de la vie privée dès la conception (*privacy by design*) : on évalue les risques **avant** de lancer le projet, pas après.

Concrètement, une ÉFVP décrit le projet, recense les renseignements en jeu, vérifie que la collecte est nécessaire et proportionnée, identifie les risques et prévoit des mesures pour les atténuer. Le résultat est un document que vous conservez et que vous pouvez présenter en cas de vérification.

L'ÉFVP est le pendant québécois de l'AIPD européenne, mais les deux ne se recouvrent pas parfaitement.

ÉFVP (Loi 25, Québec)AIPD (RGPD, Europe)**Terme**Évaluation des facteurs relatifs à la vie privéeAnalyse d'impact relative à la protection des données**Déclencheur**Trois cas précis : système d'information; transfert hors Québec; communication sans consentement à des fins d'étudeTraitement susceptible d'engendrer un risque élevé pour les droits et libertés**Transfert transfrontalier**Une ÉFVP est exigée avant toute communication hors Québec, sans seuil de risqueEncadré séparément (clauses types, décisions d'adéquation) plutôt que par l'AIPD elle-même**Proportionnalité**L'ÉFVP doit être proportionnée à la sensibilité, à la finalité, à la quantité et au support des renseignementsAnalyse requise surtout pour les traitements à risque élevé**Autorité**Commission d'accès à l'information (CAI)Autorité de protection des données compétente

La différence la plus lourde de conséquences en pratique : sous la Loi 25, **tout** transfert de renseignements personnels hors Québec déclenche une ÉFVP, alors que le RGPD traite les transferts par d'autres mécanismes.

## Quand une ÉFVP est-elle obligatoire ?

La *Loi sur la protection des renseignements personnels dans le secteur privé*, modifiée par la Loi 25, prévoit trois situations où l'ÉFVP est obligatoire.

**1. Un projet touchant un système d'information (art. 3.3).** Avant d'acquérir, de développer ou de refondre un système d'information ou de prestation électronique de services qui implique la collecte, l'utilisation, la communication, la conservation ou la destruction de renseignements personnels. Cela vise, par exemple, l'adoption d'un nouveau CRM ou d'un nouvel outil RH, le changement de plateforme de paiement, une migration d'hébergeur ou l'ajout d'une fonctionnalité de personnalisation ou de géolocalisation.

**2. Une communication à l'extérieur du Québec (art. 17).** Avant de communiquer des renseignements personnels hors Québec. Le seuil n'est pas « hors du Canada » : un fournisseur dont les serveurs sont en Ontario, en Colombie-Britannique ou aux États-Unis déclenche l'obligation. La communication n'est permise que si l'évaluation démontre que les renseignements bénéficieraient d'une protection adéquate, et elle doit faire l'objet d'une entente écrite.

**3. Une communication sans consentement à des fins d'étude, de recherche ou de statistiques.** Avant de communiquer des renseignements personnels à un tiers, sans le consentement des personnes concernées, lorsque ce tiers souhaite les utiliser à ces fins.

Dans les trois cas, l'ÉFVP doit être **proportionnée** à la sensibilité des renseignements, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support. Un petit projet appelle une évaluation courte; un projet complexe ou portant sur des renseignements sensibles appelle une analyse approfondie.

## Qui réalise l'ÉFVP ?

La responsabilité de la démarche relève du **responsable de la protection des renseignements personnels (RPRP)**. Par défaut, cette fonction revient à la personne ayant la plus haute autorité dans l'entreprise, mais elle peut être déléguée, en tout ou en partie, à une autre personne.

En pratique, une ÉFVP utile est rarement le travail d'une seule personne. Le RPRP coordonne, mais s'appuie généralement sur les responsables du projet, sur l'équipe des TI ou de la sécurité, et sur un conseiller juridique lorsque les enjeux le justifient. Les organisations plus grandes constituent parfois un comité chargé d'encadrer les questions de protection des renseignements personnels.

## Comment réaliser une ÉFVP en 7 étapes

La CAI n'impose pas de modèle unique, mais son guide et la pratique convergent vers une démarche en sept temps. Voici un gabarit que vous pouvez adapter.

### Décrire le projet

Objectif, portée, acteurs, calendrier. Qu’est-ce qui est mis en place, et pourquoi ?

### Faire l'inventaire des renseignements

Quels renseignements personnels sont recueillis, par quels moyens, où ils circulent, où ils sont conservés et qui y a accès. C’est la cartographie des données.

### Évaluer la nécessité et la proportionnalité

Chaque renseignement recueilli est-il nécessaire à la finalité déclarée ? Pourrait-on atteindre l’objectif en recueillant moins ?

### Identifier les risques

Pour les personnes concernées : accès non autorisé, communication excessive, conservation trop longue, transfert vers un territoire moins protecteur, etc.

### Déterminer les mesures d'atténuation

Chiffrement, contrôle des accès, minimisation, clauses contractuelles, anonymisation, paramètres de confidentialité par défaut au plus haut niveau.

### Prendre et consigner la décision

Le risque résiduel est-il acceptable ? Le projet va-t-il de l’avant, avec quelles conditions ? La décision est documentée

### Assurer le suivi

L’ÉFVP n’est pas figée : on la révise si le projet change, si un nouveau fournisseur entre en jeu ou si les finalités évoluent.

ÉtapeQuestion cléÀ documenter1. DescriptionQue fait-on et pourquoi ?Portée, acteurs, échéancier2. InventaireQuels renseignements, où ?Cartographie des données3. Nécessité / proportionnalitéEst-ce nécessaire ?Justification par finalité4. RisquesQu'est-ce qui peut mal tourner ?Liste des risques5. MesuresComment réduire le risque ?Mesures techniques et organisationnelles6. DécisionLe risque résiduel est-il acceptable ?Décision motivée7. SuiviQu'est-ce qui a changé ?Date de révision, responsable

## ÉFVP et site Web : témoins, analytique, CMP et fournisseurs américains

C'est le point aveugle le plus fréquent. La plupart des sites Web s'appuient sur des outils tiers — analyse d'audience, pixels publicitaires, widgets de clavardage, hébergement — dont beaucoup sont établis hors Québec. Dès qu'un de ces outils entraîne une communication de renseignements personnels à l'extérieur du Québec, l'obligation d'ÉFVP s'applique.

Quelques cas typiques : un outil d'analyse d'audience qui traite les adresses IP et les comportements de navigation sur des serveurs américains; un pixel de réseau social; un service d'infonuagique dont la société mère ou les sous-traitants se trouvent à l'étranger. Chaque fournisseur représente un transfert distinct, avec sa propre chaîne de responsabilité : en principe, chacun mérite sa propre évaluation.

Une plateforme de gestion du consentement (CMP) ne réalise pas l'ÉFVP à votre place, mais elle en facilite plusieurs étapes : elle recense les témoins et technologies de suivi actifs sur votre site (l'inventaire de l'étape 2), bloque les outils non essentiels jusqu'au consentement, et conserve des registres de consentement horodatés qui documentent vos pratiques.

## Documentation et conservation : ce que la CAI attend

L'ÉFVP n'a **pas** à être transmise à la CAI de façon systématique. Mais la Commission peut la demander lors d'une vérification, et l'absence d'ÉVFP là où elle était requise constitue un manquement. Vous devez donc la produire, la dater et la conserver avec vos autres documents de conformité.

La loi ne fixe pas de durée de conservation précise pour l'ÉFVP. La pratique prudente consiste à la garder aussi longtemps que le système ou la relation avec le fournisseur demeure actif, puis un certain nombre d'années après la fin de la relation, au cas où la démarche serait remise en question.

## Erreurs fréquentes à éviter

**Ne réaliser aucune ÉFVP.** Beaucoup d'organisations utilisent des dizaines d'outils étrangers sans avoir jamais documenté la moindre évaluation. C'est le manquement le plus répandu.

**Confondre l'ÉFVP et la politique de confidentialité.** L'ÉFVP est une analyse de risques interne; la politique de confidentialité est un document public. Les deux sont exigées, mais elles ne remplissent pas la même fonction.

**Oublier les outils « gratuits ».** Les services d'analyse d'audience, les pixels et les widgets gratuits impliquent souvent un transfert de renseignements hors Québec — donc potentiellement une ÉFVP.

**Croire que le seuil est « hors Canada ».** Un fournisseur en Ontario suffit à déclencher l'obligation. Le critère est la sortie du Québec, pas du pays.

**Produire une évaluation disproportionnée.** L'ÉFVP doit être à la mesure du risque. Une PME qui ajoute un simple formulaire n'a pas besoin de la même analyse qu'une grande plateforme de données.

---

## Footer

### Produits
- [Usercentrics Web CMP](https://usercentrics.com/fr/website-consent-management/)
- [Usercentrics App CMP](https://usercentrics.com/fr/in-app-sdk/)
- [Usercentrics CTV CMP](https://usercentrics.com/fr/usercentrics-ctv-cmp/)
- [Usercentrics Privacy Policy Generator](https://usercentrics.com/fr/privacy-policy-generator/)
- [Server-side Tagging Solution](https://usercentrics.com/fr/server-side-tracking-solution/)
- [Usercentrics Preference Manager](https://usercentrics.com/preference-management/)
- [Audience Unlocker](https://usercentrics.com/audience-unlocker/)
- [Integrations](https://usercentrics.com/fr/integrations/)
- [Scan de conformité | Site web](https://usercentrics.com/fr/privacy-compliance-scanner/)
- [Scan de conformité web | Apps](https://usercentrics.com/app-data-privacy-audit/)
- [ROAS calculator](https://usercentrics.com/roas-calculator/)

### Règlementations
- [DMA (UE)](https://usercentrics.com/fr/legislation-sur-marches-numeriques-dma/)
- [RGPD & CNIL (UE)](https://usercentrics.com/fr/rgpd/)
- [CCPA (Californie)](https://usercentrics.com/fr/ccpa/)
- [VCDPA (Virginie)](https://usercentrics.com/fr/vcdpa/)
- [LGPD (Brésil)](https://usercentrics.com/fr/lgpd/)
- [POPIA (Afrique du sud)](https://usercentrics.com/fr/popia/)
- [LPD (Suisse)](https://usercentrics.com/fr/lpd/)
- [TCF v2.4 (IAB)](https://usercentrics.com/fr/cmp-pour-editeurs/)
- [Google Consent Mode (UE)](https://usercentrics.com/fr/usercentrics-cmp-et-google-consent-mode-v2/)
- [Microsoft UET Consent Mode (EU)](https://usercentrics.com/fr/usercentrics-cmp-et-mode-consentement-microsoft/)

### Ressources
- [Blog](https://usercentrics.com/fr/knowledge-hub/)
- [Livres blancs](https://usercentrics.com/whitepapers/)
- [Check-lists](https://usercentrics.com/checklists/)
- [Études de cas](https://usercentrics.com/case-studies/)
- [Privacy-Led Marketing](https://usercentrics.com/fr/privacy-led-marketing/)
- [Événements](https://usercentrics.com/webinar/)
- [Podcast CONSENTED](https://usercentrics.com/consented/)
- [Notes de version](https://releases.usercentrics.com/)
- [Guides pour les développeurs](https://usercentrics.com/docs/)
- [Modèle de RFI](https://usercentrics.com/resources/usercentrics-rfi-template/)
- [Répertoire clients](https://usercentrics.com/fr/usercentrics-repertoire-clients/)

### Entreprise
- [À propos](https://usercentrics.com/fr/a-propos/)
- [Presse](https://usercentrics.com/press/)
- [Nos bureaux](https://usercentrics.com/fr/contacter/)
- [Trust Center](https://trust.usercentrics.com/)
- [Carrières](https://usercentrics.com/career/)
- [Postes vacants](https://apply.workable.com/usercentrics/)
- [Diversité et inclusion](https://usercentrics.com/fr/dei/)

### Assistance
- [Assistance générale](https://support.usercentrics.com/hc/en-us)
- [Contacter l'équipe commerciale](https://usercentrics.com/fr/book-a-consultation/)
- [Assistance technique](https://support.usercentrics.com/hc/en-us/requests/new)
- [Compte et facturation](https://support.usercentrics.com/hc/en-us/categories/12253804608156-Account-and-billing)
- [Suggérer une fonctionnalité](https://support.usercentrics.com/hc/en-us/requests/new?ticket_form_id=10610312381340)
- [Connexion partenaires](https://partnerportal.usercentrics.com/)
- [Programme de partenariat](https://usercentrics.com/fr/partner-program-overview/)
- [Programme d’affiliation](https://usercentrics.com/fr/affiliates/)