En bref : Critères protection des renseignements personnels TGV : la famille dite PRP est la deuxième de la grille, avec 108 critères sur 382, soit 28 % du total. Elle vise l’inventaire, l’usage et la protection des données personnelles traitées par le produit certifié, au-delà de la seule sécurité informatique. Avec la famille Sécurité, elle compte pour 58 % de l’évaluation totale.
Dans cet article
Que couvrent les critères protection des renseignements personnels TGV, et quel poids ont-ils dans la grille ?
La famille PRP est la deuxième plus grande des sept familles de la grille TGV. Elle compte 108 critères sur 382, soit 108 ÷ 382, environ 28 %. Un critère sur quatre de votre dossier de certification touche donc, directement, la façon dont votre produit traite les renseignements personnels, et pas seulement la façon dont il les sécurise.
Mise en contexte avec les six autres familles :
| Famille | Nombre de critères | Part de la grille |
|---|---|---|
| Sécurité | 112 | 29 % |
| Protection des renseignements personnels | 108 | 28 % |
| Intelligence artificielle | 69 | 18 % |
| Interopérabilité | 58 | 15 % |
| Technique | 26 | 7 % |
| Performance | 7 | 2 % |
| Gouvernance | 2 | 1 % |
Sécurité et PRP additionnées comptent pour 220 des 382 critères, soit 220 ÷ 382, environ 58 %. Plus de la moitié de votre démarche de certification se joue sur ces deux familles. Nous avons détaillé la famille Sécurité, ses 112 critères, dans Famille Sécurité de la TGV : 112 critères au cœur de la grille. Celui-ci se concentre sur la seconde.
Pour un dirigeant qui ne lit pas la grille au quotidien, ce chiffre a une conséquence directe sur la planification. La famille PRP n’est pas un sous-ensemble mineur qu’on traite en fin de dossier. Elle pèse presque autant que la Sécurité dans la décision du Bureau de certification, et elle mobilise des compétences différentes de celles de votre équipe de développement.
Que couvre la famille PRP de la TGV, concrètement, au-delà de la sécurité informatique ?
La famille PRP vérifie ce que vous faites des renseignements personnels une fois qu’ils sont chez vous, légitimement : consentement, conservation, destruction, droits des personnes concernées. C’est différent de la sécurité informatique, qui vérifie plutôt comment vous protégez ces mêmes données contre un accès non autorisé. Une confusion revient souvent chez les équipes techniques : penser que la première couvre déjà la seconde. Les deux familles se recoupent, elles ne se substituent pas l’une à l’autre.
Sans reproduire ici les 108 critères un à un, voici les grandes zones qu’une famille de cette nature couvre généralement, à partir de ce que nous observons dans ce type de démarche :
- l’inventaire des renseignements personnels que le produit collecte, utilise et conserve ;
- les mécanismes de consentement et d’information des utilisateurs ;
- les délais de conservation et les modalités de destruction des données ;
- la gestion des incidents de confidentialité, du repérage jusqu’à la notification ;
- les ententes avec les sous-traitants et les fournisseurs qui touchent aux données ;
- les droits d’accès, de rectification et de retrait des personnes concernées.
Critères protection des renseignements personnels TGV : chacun vise un geste précis, jamais une intention générale.
Une équipe qui aborde cette famille avec des réflexes uniquement techniques risque de bien répondre à la mauvaise question. Elle démontrera que les données sont chiffrées et sauvegardées, sans jamais démontrer combien de temps elles sont conservées, ni qui a le droit d’y accéder, ni comment une personne peut exercer son droit de retrait. Ce sont deux choses différentes, et le Bureau de certification les vérifie séparément.
Rien de tout cela ne se règle avec un pare-feu supplémentaire ou un chiffrement plus fort. C’est un exercice de gouvernance et de documentation, pas seulement un exercice technique, exactement ce que rappelle notre guide sur l’autoévaluation en 7 familles : cette famille se prépare avec les équipes juridique, conformité et produit à la même table que l’équipe technique, pas dans un coin isolé du développement.
Comment cette famille recoupe-t-elle un programme RGPD ou ISO/IEC 27701 ?
Beaucoup d’éditeurs qui vendent déjà en Europe, ou qui visent une clientèle internationale, ont un programme de conformité au Règlement général sur la protection des données de l’Union européenne (RGPD). D’autres détiennent une certification ISO/IEC 27701:2025, la norme internationale de gestion de la protection de la vie privée. La question qui revient dans nos échanges : est-ce que ce travail sert pour la TGV ?
En partie, oui. Selon notre cartographie interne, le RGPD recoupe 110 points de la famille PRP. ISO/IEC 27701:2025 en recoupe 119. Un même contrôle chez vous, un registre des traitements par exemple, peut répondre à plusieurs critères à la fois, ce qui explique que ces chiffres dépassent les 108 critères de la famille : une correspondance couvre un lien entre un critère TGV et une exigence externe, pas un critère unique.
Deux précisions pour ne pas mal lire ces chiffres.
Aucun des deux référentiels ne couvre la famille au complet. Le RGPD et ISO/IEC 27701:2025 sont bâtis pour un contexte différent : le premier est un règlement européen, le second une norme de management internationale. La TGV a ses propres exigences, propres au réseau de la santé québécois, que ni l’un ni l’autre n’anticipe en entier.
La correspondance n’est pas l’équivalence. Un contrôle qui recoupe partiellement un critère TGV ne le satisfait pas automatiquement : il faut vérifier que la preuve produite pour le RGPD ou pour ISO 27701 répond exactement à ce que le Bureau de certification attend, pas seulement à l’esprit du critère. Nous détaillons cet exercice de conversion dans RGPD, ISO 27701 et TGV : convertir son programme vie privée.
Critères protection des renseignements personnels TGV : une correspondance avec le RGPD ou ISO 27701 n’est jamais une équivalence automatique.
Que faire si mon entreprise n’a ni RGPD ni ISO 27701 ?
Vous partez du socle que vous impose déjà la Loi 25, puis vous comblez le reste directement contre la grille TGV, sans attendre une certification externe. La majorité des PME technologiques québécoises n’ont ni RGPD ni ISO 27701. Ce n’est pas un problème en soi, mais ça change le point de départ.
La Loi 25, officiellement la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), s’applique déjà à toute entreprise privée québécoise qui traite des renseignements personnels. Si votre programme de conformité à la Loi 25 est réel, pas seulement une politique de confidentialité collée sur votre site, une partie du travail est déjà faite : désignation d’un responsable de la protection des renseignements personnels, évaluation des facteurs relatifs à la vie privée, registre des incidents de confidentialité.
Mais la Loi 25 ne couvre pas non plus la famille PRP au complet, et surtout, elle ne se traduit pas automatiquement en preuves recevables pour un dossier TGV. Sans RGPD, sans ISO 27701 et sans programme Loi 25 mature, une bonne partie des 108 critères se construit à partir de rien. C’est plus long, ce n’est pas impossible : c’est un facteur de calendrier à connaître dès le départ, pas à découvrir pendant la vérification externe.
C’est particulièrement vrai pour une PME qui vend d’abord au Québec. Le RGPD ne s’applique pas à elle si elle n’a pas de clientèle européenne, et une certification ISO coûte cher à obtenir pour le seul bénéfice d’un recoupement partiel avec la TGV. Dans ce cas, mieux vaut construire directement contre la grille TGV que de viser un détour par un référentiel qui ne sert pas votre marché principal.
Comment se préparer concrètement aux critères de renseignements personnels de santé au Québec ?
Critères protection des renseignements personnels TGV : quatre gestes suffisent pour structurer la préparation, dans l’ordre.
- Faites l’inventaire réel des renseignements personnels que votre produit collecte, traite et conserve, jusqu’aux copies dans vos environnements de test et vos journaux techniques. C’est souvent là que se cachent les écarts les plus coûteux à corriger.
- Situez ce que vous avez déjà, RGPD, ISO 27701, programme Loi 25, contre les 108 critères, sans présumer qu’une certification existante en couvre automatiquement une autre.
- Identifiez qui, dans votre organisation, porte cette famille. Ce n’est pas un chapeau que porte votre équipe de développement seule : conformité, juridique et produit doivent être à la table.
- Documentez au fur et à mesure. Un contrôle qui existe dans les faits mais qui n’est écrit nulle part n’est pas une preuve recevable pour le Bureau de certification.
Notre cartographie interne des correspondances entre la TGV et les référentiels de vie privée les plus courants sera publiée en données ouvertes d’ici la fin du mois. En attendant, nous accompagnons des équipes de conformité et des dirigeants dans cet exercice, de la cartographie de vos programmes existants jusqu’au dossier déposé. Vous pouvez diagnostiquer votre couverture PRP avec nous : un premier échange suffit pour situer votre point de départ réel.
Pour aller plus loin avec Factero :
Foire aux questions
Comment savoir si mon produit traite des renseignements personnels de santé au sens de la TGV ?
Si votre produit touche, même indirectement, à des données qui identifient un patient ou un usager du réseau de la santé, la réponse est probablement oui. La question mérite d’être tranchée tôt, avec votre dossier réel et non sur une intuition, puisqu’elle détermine l’ampleur du travail à prévoir pour la famille PRP.
Un certificat ISO 27701 suffit-il pour couvrir la famille PRP de la TGV ?
Non. Il couvre une partie substantielle, 119 points de recoupement selon notre cartographie interne, mais pas la totalité des 108 critères de la famille. Une correspondance n’équivaut pas automatiquement à une preuve acceptée par le Bureau de certification : ISO 27701 accélère le travail si vous l’avez déjà, ce n’est pas un prérequis pour déposer un dossier TGV.
La Loi 25 couvre-t-elle automatiquement les critères PRP de la TGV ?
Non. La Loi 25 (RLRQ c. P-39.1) donne un socle utile si votre programme de conformité est réel : responsable désigné de la protection des renseignements personnels, évaluation des facteurs relatifs à la vie privée, registre des incidents de confidentialité. Elle ne remplace pas la démonstration critère par critère qu’exige la TGV, ni les preuves documentées propres à chacun des 108 critères de la famille.
Combien de temps faut-il pour combler les écarts de la famille PRP avant un dépôt TGV ?
Ça dépend entièrement de votre point de départ. Une entreprise avec un programme RGPD ou ISO 27701 mature part avec une longueur d’avance sur l’inventaire et la documentation déjà faits ailleurs. Une entreprise qui part de zéro doit prévoir davantage de temps pour construire son inventaire des renseignements personnels et documenter chaque contrôle avant même d’aborder la vérification externe.
Qui doit s’occuper de la famille PRP de la TGV dans mon entreprise ?
Pas seulement l’équipe de développement. La famille PRP touche le consentement, la conservation et les droits des personnes concernées, des sujets de gouvernance et de documentation autant que de technique. Conformité, juridique et produit doivent être à la table avec l’équipe technique dès le départ, pas ajoutés en fin de dossier pour valider ce qui a déjà été construit sans eux.
Sources citées
- Règlement général sur la protection des données (UE 2016/679, RGPD)
- Page certification des solutions numériques (Santé Québec / MSSS)
- Orientation — Certification TGV (MSSS, publication 24-715-38W)
- ISO/IEC 27701:2025
- Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1, « Loi 25 »)
