Conformité Loi 25 — Protégez votre organisation, pas seulement vos documents
Cartographie des données, processus opérationnels, analyse des écarts et gouvernance concrète — avec intégration du volet juridique, que ce soit via notre avocat partenaire ou le vôtre.
Pour qui ?
Municipalités, MRC et organismes publics québécois assujettis à la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels — qui doivent rendre compte au conseil municipal, aux élus ou à un comité de vérification, et qui veulent une démarche de conformité documentée et défendable. Factero Service Conseil est inscrit au SEAO — les marchés publics québécois peuvent être attribués directement.
PME exerçant leurs activités au Québec, assujetties à la Loi sur la protection des renseignements personnels dans le secteur privé (L.P.R.P.S.P.) — qui veulent structurer leur conformité de façon concrète et durable.
Organisations qui sortent d'un audit interne, d'une vérification externe ou d'une demande d'enquête de la CAI, et qui doivent combler des lacunes de conformité sous la L.P.R.P.S.P. telle qu'amendée par la Loi 25 — avec un plan d'action documenté et défendable.
OBNL et associations qui collectent des renseignements personnels de membres, de bénéficiaires ou de donateurs. L'assujettissement à la L.P.R.P.S.P. dépend de la nature des activités — un appel de cadrage de 30 minutes suffit à le confirmer. Beaucoup d'OBNL sont concernés sans le savoir.
Cabinets professionnels — comptables, avocats, notaires, cliniques privées — qui gèrent des dossiers clients sensibles et dont les obligations déontologiques de confidentialité s'articulent avec les exigences de la L.P.R.P.S.P.
Coopératives et organismes communautaires qui traitent des renseignements personnels de membres, d'usagers ou de bénéficiaires dans le cadre de leurs activités — souvent sans département TI ni budget de conformité dédié, et qui ont besoin d'une démarche proportionnée à leur réalité.
Entreprises en croissance au Québec dont la collecte de renseignements personnels a pris de l'ampleur et qui doivent structurer leur conformité sous la L.P.R.P.S.P. pour la première fois.
RPP désigné sans cartographie ni processus en place — gestionnaire TI, RH ou financier nommé RPP qui doit livrer des résultats à la direction sans département TI dédié, et qui cherche une infrastructure opérationnelle concrète pour exercer son mandat.
Quand est-ce utile ?
- Votre organisation n'a pas encore de cartographie de ses renseignements personnels — une obligation de base sous la L.P.R.P.S.P. (secteur privé) et la Loi sur l'accès (organismes publics).
- Vous devez structurer vos processus (incidents, demandes d'accès, consentement valide, conservation, ÉFVP).
- Vous avez déjà tenté de structurer votre conformité seul — et vous vous êtes retrouvé avec un document de politique sans processus derrière, ou des processus non testés que personne ne sait activer.
- Vous avez subi un incident, reçu une demande d'accès sans processus en place, ou perdu un appel d'offres en raison de lacunes documentées en conformité.
- Vous avez des systèmes dans le nuage (M365, AWS, GCP, SaaS divers) et ne savez pas exactement où sont vos renseignements personnels ni qui y accède réellement.
Qu'est-ce que vous obtenez ?
Cartographie des renseignements personnels — document versionné couvrant : (1) inventaire des systèmes, (2) flux de données vers les tiers et accès internes (qui, en interne, accède à quels renseignements et selon quel besoin légitime), (3) durées de conservation par catégorie, (4) classification par sensibilité avec identification des renseignements sensibles (santé, origine ethnique, croyances, orientation sexuelle, etc.), (5) fin déterminée, claire et légitime pour chaque traitement. Propriété du RPP — vérifiable par un auditeur externe, mise à jour à chaque changement de système et révisée au minimum annuellement.
Maintien annuel de la conformité (disponible comme mandat récurrent distinct) — révision de la cartographie, mise à jour des processus et de la politique de conservation, vérification du registre des incidents, renouvellement du plan de sensibilisation et mise à jour du rapport de mandat. La conformité Loi 25 n'est pas un projet ponctuel : les systèmes changent, les pratiques évoluent, les lignes directrices de la CAI se précisent. Ce volet de maintien est disponible comme mandat récurrent distinct.
Politique de conservation et de destruction des renseignements personnels — document approuvé qui fixe les durées de conservation par catégorie de renseignements et les méthodes de destruction sécurisée (NIST SP 800-88 pour les supports numériques, destruction certifiée pour les supports physiques). Document distinct de la cartographie : là où la cartographie décrit les durées actuelles, la politique les officialise et les rend opposables. Approuvée par la direction, révisée au minimum tous les deux ans.
Processus documentés et approuvés par le RPP et la direction (incidents de confidentialité, demandes d'accès, consentement valide, conservation et destruction, ÉFVP, portabilité des renseignements collectés depuis le 22 septembre 2023, communication de renseignements à l'extérieur du Québec) — chaque processus identifie le propriétaire, les délais applicables, les étapes d'escalade et les critères de déclenchement. Livrés sous forme opérationnelle, pas théorique — avec un plan de test pour valider chaque processus avant sa mise en vigueur.
Charte du responsable de la protection des renseignements personnels (RPP) : document qui formalise le mandat, les responsabilités, les pouvoirs, les ressources allouées et le lien hiérarchique du RPP avec la direction. Un RPP sans charte approuvée est nominatif — sans autorité réelle pour faire appliquer les mesures de conformité. La charte est datée, signée par la direction et révisée au minimum tous les deux ans. Elle documente également les coordonnées du RPP à publier sur le site web de l'organisation — obligation distincte prévue à l'art. 3.1 L.P.R.P.S.P. Le mandat inclut également un transfert de connaissances au RPP sur les obligations de la loi applicable, les outils livrés et les réflexes à adopter pour maintenir la conformité dans le temps.
Analyse des écarts (gap analysis) entre les mesures de protection en place et celles requises par la L.P.R.P.S.P. — couvrant les contrôles techniques (authentification, chiffrement au repos et en transit, gestion des accès, journalisation) autant que la gouvernance documentaire — avec un plan d'action priorisé, des mesures concrètes recommandées et un niveau d'effort estimé (jours-personnes ou fourchette de coût) pour chaque item. Vérifiable par un auditeur externe dès la livraison — présenté à la direction pour approbation et appropriation du plan d'action.
Registre des incidents de confidentialité opérationnel — structure et gabarit documenté conforme au contenu minimal requis par la L.P.R.P.S.P. (date et nature de l'incident, renseignements visés, nombre de personnes touchées, circonstances et mesures prises), et processus de détection, de classification et d'escalade. Inclut les critères pour déterminer quels incidents déclenchent l'obligation de notification à la CAI et aux personnes concernées. Un exercice de simulation (tabletop) est proposé en option pour valider que l'équipe sait activer le registre et le processus de notification en conditions réelles.
Inventaire des tiers qui traitent des renseignements personnels pour votre compte — avec évaluation du niveau de risque de chacun et identification des tiers situés hors Québec (qui déclenchent l'obligation d'ÉFVP et d'accord écrit conformément à la L.P.R.P.S.P.), statut de conformité contractuelle (clauses présentes / manquantes), et liste des ententes à mettre à jour ou à conclure pour satisfaire aux obligations de la L.P.R.P.S.P. — et identification des tiers pour lesquels une ÉFVP devra être complétée avant tout nouveau mandat ou renouvellement impliquant un changement de portée, de volume de renseignements ou de localisation des données.
Document des pratiques de gestion des renseignements personnels : description des finalités de collecte, des mesures de protection en place, des processus de traitement et des droits des individus — document TI qui sert de base factuelle à la rédaction de la politique de confidentialité par l'avocat partenaire (L.P.R.P.S.P. pour le secteur privé, Loi sur l'accès pour les organismes publics). Maintenu par le RPP — mis à jour à chaque changement de système ou de pratique, et revu au minimum annuellement.
Gabarit d'avis de confidentialité : modèle de la mention que l'organisation doit communiquer aux individus au moment de la collecte de leurs renseignements personnels — formulaires, courriels, site web, contrats. La L.P.R.P.S.P. exige que les finalités de collecte soient communiquées clairement et au plus tard au moment de la collecte — incluant les droits des individus (accès, correction, retrait de consentement, destruction, droit de porter plainte à la CAI) et les coordonnées du RPP. Ce gabarit est adapté aux différents points de collecte de l'organisation et transmis à l'avocat partenaire pour validation juridique.
Volet juridique intégré : Factero et son avocat partenaire spécialisé en protection des renseignements personnels forment une équipe TI + droit qui couvre les deux volets en tandem — sans que vous ayez à gérer deux mandats séparés. L'avocat partenaire s'appuie directement sur les livrables TI de Factero — cartographie, document des pratiques de gestion, gabarit d'avis de confidentialité, processus, inventaire des tiers — pour rédiger des politiques de confidentialité exactes, robustes et opposables. Il peut aussi fournir des avis légaux et assurer la représentation devant la CAI si requis. Vous pouvez mandater cet avocat directement, ou travailler avec votre propre conseiller juridique si vous en avez un.
Plan de sensibilisation des employés : contenu, fréquence minimale (au moins annuelle) et modalités de formation sur les obligations de la loi applicable (L.P.R.P.S.P. ou Loi sur l'accès) et les pratiques de l'organisation — incluant les règles de traitement des renseignements personnels, la procédure en cas d'incident et les droits des individus. Un employé non sensibilisé est un vecteur de risque non couvert par la conformité documentaire. Le plan inclut un mécanisme de suivi des complétions (attestations) — prouvable lors d'un audit ou d'une enquête CAI.
Rapport de mandat : synthèse des constats, des lacunes identifiées, des mesures mises en place et des actions en suspens avec échéances et responsables désignés — document remis au RPP et à la direction. Versionné, daté et approuvé par la direction — sert de preuve de diligence raisonnable en cas d'enquête de la CAI, de litige ou de demande d'assurance cyber. Une mise à jour annuelle ou à chaque changement significatif est recommandée pour maintenir sa valeur probante.
Pas un bon fit ?
- Ce service couvre le volet TI et gouvernance de la Loi 25 — pas le volet juridique autonome. Si votre besoin principal est uniquement un avis légal ou une représentation devant la CAI sans volet TI, un avocat seul sera plus adapté. Si vous avez besoin des deux volets — ce qui est le cas pour la plupart des mandats de conformité — Factero et son avocat partenaire couvrent l'ensemble en tandem. C'est la seule configuration qui permet de produire une politique de confidentialité exacte : l'avocat travaille sur la base des livrables TI de Factero, pas sur des hypothèses. Vous gérez un seul mandat coordonné, pas deux.