Protection des renseignements personnels
Loi 25 et hébergement des données : ce qu’un cabinet d’avocats doit vérifier
Un serveur au Canada est un bon point de départ, mais il ne règle pas à lui seul l’analyse. Pour un cabinet, il faut suivre les renseignements, les accès et les sous-traitants, puis documenter les risques avant la mise en service.
Révision juridique à compléter avant publication définitive
L’essentiel
- L’article 17 exige une ÉFVP avant de communiquer ou de confier la conservation de renseignements personnels hors Québec.
- L’analyse tient compte de la sensibilité, de la finalité, des mesures de protection et du régime juridique applicable dans le territoire visé.
- La communication ne devrait avoir lieu que si l’analyse conclut à une protection adéquate, et elle doit être encadrée par une entente écrite.
- Le lieu du serveur ne suffit pas : les accès de soutien, les sauvegardes, les sous-traitants et les lois auxquelles le fournisseur est soumis comptent aussi.
Ce que l’article 17 demande réellement
Avant de communiquer des renseignements personnels à l’extérieur du Québec, une entreprise doit réaliser une évaluation des facteurs relatifs à la vie privée. La même exigence s’applique lorsqu’elle confie à une personne ou à un organisme hors Québec la collecte, l’utilisation, la communication ou la conservation de tels renseignements pour son compte.
L’évaluation doit notamment considérer la sensibilité des renseignements, la finalité de leur utilisation, les mesures de protection prévues, y compris celles du contrat, et le régime juridique applicable dans l’État où les renseignements seraient communiqués. Le texte de loi exige ensuite une entente écrite.
Pour un cabinet d’avocats, cette analyse doit aussi intégrer le secret professionnel, les devoirs de confidentialité, la nature des dossiers et les conséquences concrètes d’un accès indu à une pièce, une note ou un calendrier.
Pourquoi « hébergé au Canada » ne suffit pas
La résidence des données répond à la question de l’emplacement principal. Elle ne dit pas nécessairement d’où le soutien technique peut se connecter, où les sauvegardes sont copiées, quels sous-traitants interviennent ou quel droit s’applique à la société qui exploite le service.
Un fournisseur canadien peut dépendre d’un sous-traitant étranger. Une société étrangère peut exploiter une région canadienne. Un agenda externe peut recevoir le titre d’un rendez-vous même si le dossier principal reste à Montréal. Une ÉFVP utile décrit ces flux concrets plutôt que de s’arrêter à une adresse de centre de données.
Les questions à poser à un fournisseur
Demandez une réponse écrite et rattachez chaque réponse au contrat, à une annexe de sécurité ou à une preuve technique.
Faites glisser le tableau horizontalement pour voir toutes les colonnes.
| Question | Preuve à obtenir | Pourquoi elle compte |
|---|---|---|
| Où sont la base de données, les fichiers, les sauvegardes et les journaux? | Liste des régions et schéma d’architecture | Un seul service peut avoir plusieurs lieux de traitement. |
| Qui peut accéder aux données depuis l’extérieur du Québec? | Procédure de soutien, rôles et journalisation | Un accès administratif est aussi un flux à évaluer. |
| Quels sous-traitants sont utilisés et comment un changement est-il annoncé? | Liste contractuelle et mécanisme d’avis | Le risque peut changer sans modification visible du produit. |
| Comment les données sont-elles exportées et supprimées? | Format d’export, délai, attestation et sauvegardes visées | La fin du contrat doit être praticable et vérifiable. |
| Qu’arrive-t-il lors d’un incident ou d’une demande gouvernementale? | Clause d’avis, coopération, délais et statistiques | Le cabinet doit pouvoir évaluer et gérer les conséquences. |
| Quels contrôles protègent les comptes et les accès privilégiés? | MFA, rôles, chiffrement, journaux et tests de reprise | La conformité sur papier doit correspondre aux contrôles réels. |
Une méthode d’ÉFVP en cinq décisions
- 01
Définir la finalité
Nommer le besoin, les personnes concernées, les renseignements requis et les options moins intrusives.
- 02
Cartographier les flux
Inclure les systèmes sources, les copies, le soutien, les sauvegardes, les intégrations et la sortie des données.
- 03
Évaluer la conformité et les risques
Mesurer la vraisemblance et la gravité, puis analyser le régime juridique et les engagements contractuels.
- 04
Imposer les mesures
Attribuer un responsable, une échéance et une preuve à chaque mesure technique, contractuelle ou organisationnelle.
- 05
Décider et surveiller
Documenter l’approbation, les conditions, la date de révision et les changements qui déclencheront une nouvelle analyse.
Checklist ÉFVP pour cabinets d’avocats
Une grille de 8 pages pour définir le projet, cartographier les flux, analyser le contrat, consigner les risques et documenter la décision. Elle comporte un champ distinct pour la révision juridique.
PDF, 8 pages, version de travail du 20 août 2026
Questions fréquentes
Une ÉFVP est-elle obligatoire si les serveurs sont au Canada?
Pas automatiquement pour la seule raison que le serveur est au Canada. Il faut analyser le projet et ses flux. Une ÉFVP est notamment requise avant une communication ou une conservation hors Québec au sens de l’article 17.
Une certification de sécurité remplace-t-elle l’ÉFVP?
Non. Une certification peut constituer une preuve utile, mais l’ÉFVP doit rester adaptée aux renseignements, aux finalités, aux territoires, aux risques et au contexte du cabinet.
Faut-il refaire l’ÉFVP chaque année?
La loi ne transforme pas toute ÉFVP en exercice annuel uniforme. Il faut toutefois la tenir à jour et la revoir lorsqu’un changement important touche le projet, les flux, les sous-traitants, les lieux ou les risques.
Sources officielles
Sources consultées le 20 août 2026
- 01LégisQuébec
- 02Commission d’accès à l’information du Québec
- 03Commission d’accès à l’information du Québec
Information générale seulement. Ce guide et sa checklist ne constituent pas un avis juridique et doivent être adaptés au contexte de votre cabinet.