La Loi 25 s'applique à vous, quelle que soit votre taille

Toute personne qui exploite une entreprise doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits et qui sont raisonnables compte tenu, notamment, de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support.

Ce que ça veut dire

La norme est proportionnelle : plus le renseignement est sensible, plus la mesure attendue est forte. La Loi 25 n'a pas touché à cet article, mais elle lui a donné des dents — ne pas prendre ces mesures est devenu une infraction pénale distincte (art. 91, par. 4°).

Ce que nous y répondons

Instance dédiée au Canada, chiffrement au repos et en transit — celui de la plateforme Azure, avec des clés gérées par Microsoft, pas une clé qui vous appartiendrait — coffre à clés avec contrôle par rôle pour les secrets d'intégration, droits par objet, journal d'audit, et un contrat qui engage des mesures administratives, techniques et organisationnelles (art. 14.5). L'article 10 demande des mesures raisonnables et proportionnées, pas une certification : le droit de vérification de l'article 14.10 vous permet de les contrôler vous-même.

droit dur·2006, non modifié par la Loi 25·Source officielle

Toute personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée de tout projet d'acquisition, de développement et de refonte de système d'information ou de prestation électronique de services impliquant la collecte, l'utilisation, la communication, la conservation ou la destruction de renseignements personnels. […] La personne doit également s'assurer que ce projet permet qu'un renseignement personnel informatisé recueilli auprès de la personne concernée soit communiqué à cette dernière dans un format technologique structuré et couramment utilisé.

Ce que ça veut dire

Adopter une plateforme d'IA est l'acquisition d'un système d'information : la Commission range explicitement le « système d'intelligence artificielle » parmi les formes que prend un système d'information (Guide EFVP v3.1, § 7.2, p. 51). L'évaluation est donc obligatoire pour le projet — non pas « avant le projet », mais avant sa mise en service, votre responsable de la protection des renseignements personnels devant être consulté dès le début du projet (al. 2). L'alinéa 3, souvent oublié, ajoute une exigence de conception : au moment d'acquérir le système, vous devez vous assurer qu'il permettra de restituer à une personne, dans un format technologique structuré et couramment utilisé, les renseignements informatisés recueillis auprès d'elle.

Ce que nous y répondons

L'ÉFVP est la vôtre — la loi la met sur l'entreprise, pas sur le fournisseur. Nous fournissons les intrants : description du flux de données, catégories transmises hors Québec, régions d'hébergement, politiques publiées des fournisseurs de modèles, mesures de sécurité, engagements contractuels et cette page. Le contrat prévoit expressément que nous collaborons à documenter ces évaluations (art. 14.8). Sur l'alinéa 3, en revanche, nous ne vous mettons pas en position de répondre oui : l'export existe (conversations, documents, bases de connaissances) mais n'est pas normalisé dans un format d'échange structuré. C'est un écart de notre côté, à consigner tel quel dans votre évaluation.

droit dur·En vigueur le 22 septembre 2023·Source officielle

Avant de communiquer à l'extérieur du Québec un renseignement personnel, la personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée. […] La communication peut s'effectuer si l'évaluation démontre que le renseignement bénéficierait d'une protection adéquate […]. Elle doit faire l'objet d'une entente écrite.

Ce que ça veut dire

Contrairement à une idée répandue, l'article 17 n'interdit pas de sortir des données du Québec et n'impose aucune règle de localisation. Il impose trois choses : une évaluation préalable pesant quatre facteurs, une conclusion de protection adéquate, et une entente écrite. Son troisième alinéa vise expressément le cas où vous confiez à un tiers hors Québec la tâche de conserver ou de traiter pour votre compte — c'est exactement le cas d'une plateforme d'IA infonuagique.

Ce que nous y répondons

L'hébergement lui-même est déjà visé, et c'est le point que la plupart des lecteurs manquent : votre instance est en région Azure Canada Centre par défaut, c'est-à-dire à Toronto — au Canada, mais à l'extérieur du Québec. Nous confier la conservation de vos renseignements pour votre compte tombe donc sous le troisième alinéa, et l'inférence chez les fournisseurs de modèles, dont plusieurs aux États-Unis, sous le premier. Votre évaluation, votre conclusion de protection adéquate et votre entente écrite doivent couvrir les deux, pas seulement l'appel au modèle. Ce qui sort à l'exécution : le contenu de la requête, le temps du calcul, et le texte intégral des documents versés à une base de connaissances, envoyé dès l'indexation pour être vectorisé. Nous déployons une région québécoise en hébergement privé seulement — mais soyons exacts, parce que la phrase inverse traînait ici : cela ne retire PAS l'hébergement du champ de l'article 17. Les sauvegardes de la base sont géo-répliquées vers la région jumelée — Canada Est, à Québec — donc dans la province, alors que l'instance elle-même est à Toronto ; les fichiers que vous versez, eux, ne sont pas répliqués hors de la région de votre instance. L'engagement de résidence de l'hébergeur porte de toute façon sur le Canada, pas sur la province. Le troisième alinéa reste donc engagé même dans une région québécoise ; ce que la région rapproche, c'est le traitement courant, pas le périmètre légal. L'inférence, elle aussi, y reste. L'entente écrite existe : c'est l'article 14 du contrat-maître — mais le deuxième alinéa en veut une qui TIENNE COMPTE DES RÉSULTATS de votre évaluation, que nous ne connaissons pas d'avance. Si la vôtre conclut à des mesures particulières, elles se consignent en avenant ; l'article 14 seul n'y suffit pas. La conclusion de protection adéquate vous appartient : nous donnons les éléments, vous rendez le jugement. Nous ne garantissons pas par défaut que l'inférence reste au Canada.

droit dur·En vigueur le 22 septembre 2023·Source officielle

Une personne qui exploite une entreprise peut, sans le consentement de la personne concernée, communiquer un renseignement personnel à toute personne ou à tout organisme si cette communication est nécessaire à l'exercice d'un mandat ou à l'exécution d'un contrat de service ou d'entreprise qu'elle confie à cette personne ou à cet organisme.

Ce que ça veut dire

C'est la disposition qui répond à « dois-je caviarder avant d'utiliser l'IA ». Lisez précisément ce qu'elle fait, et rien de plus : elle écarte LE CONSENTEMENT de la personne concernée pour la communication à un mandataire ou à l'exécutant d'un contrat. Le reste de la loi tient debout — l'article 10 (sécurité), l'article 12 (finalité de l'utilisation au sein de l'entreprise), les articles 3.3 et 17 (les deux évaluations) et les articles 3.5 à 3.8 (incidents). Elle porte aussi son propre seuil, dans la phrase citée : la communication n'est permise que si elle « est nécessaire à l'exercice d'un mandat ou à l'exécution d'un contrat ». C'est une exigence de minimisation, pas un blanc-seing. En contrepartie, l'alinéa 2 impose de confier le mandat ou le contrat par écrit et d'y indiquer les mesures de confidentialité, de limitation d'usage et de non-conservation après expiration ; l'avis sans délai de toute violation et le droit de vérification, eux, sont imposés directement à l'exécutant par la loi — ce n'est pas au contrat de les créer.

Ce que nous y répondons

Les six éléments sont dans notre contrat : écrit et signé ; mesures de sécurité (14.5, 14.6) ; usage limité à des finalités énumérées (14.2) ; suppression après la période de transition (14.11) ; avis sans délai au responsable (14.9) ; droit de vérification (14.10). Le tableau de correspondance, clause par clause, figure plus haut sur cette page. Ce que cela règle vraiment : vous n'avez pas à obtenir le consentement de vos clients ou de vos employés pour nous confier leurs renseignements — un contrat conforme remplace ce consentement. Ce que cela ne règle pas : l'article 12 exige que l'utilisation serve la finalité de la collecte, l'article 18.3 ne couvre que ce qui est nécessaire au mandat, et la Commission, qui a coélaboré les principes canadiens du 7 décembre 2023 sur l'IA générative, demande aux organisations utilisatrices d'employer des renseignements anonymisés ou dépersonnalisés dans les requêtes lorsque c'est possible et raisonnable. Conclusion honnête : caviarder n'est pas une obligation générale, mais « ne rien caviarder » n'est pas la règle non plus — c'est un arbitrage à faire requête par requête, et à écrire dans votre politique interne.

droit dur·En vigueur le 22 septembre 2023·Source officielle

Si l'incident présente un risque qu'un préjudice sérieux soit causé, elle doit, avec diligence, aviser la Commission d'accès à l'information […]. Elle doit également aviser toute personne dont un renseignement personnel est concerné par l'incident, à défaut de quoi la Commission peut lui ordonner de le faire.

Ce que ça veut dire

Un incident, ce n'est pas seulement un piratage : l'article 3.6 vise tout accès, toute utilisation et toute communication non autorisés par la loi, et la simple perte d'un renseignement. Le seuil de l'avis est le « risque qu'un préjudice sérieux soit causé », apprécié selon la sensibilité du renseignement, les conséquences appréhendées de son utilisation et la probabilité d'un usage préjudiciable (art. 3.7). Le registre, lui, est inconditionnel et vient d'un autre article : « La personne qui exploite une entreprise doit tenir un registre des incidents de confidentialité » (art. 3.8, al. 1), dont une copie est transmise à la Commission sur demande. Le détail opérationnel est dans le Règlement sur les incidents de confidentialité (RLRQ, c. A-2.1, r. 3.1, en vigueur le 29 décembre 2022) : onze éléments obligatoires dans l'avis à la Commission (art. 3), le contenu de l'avis aux personnes concernées (art. 5), les huit éléments du registre (art. 7) et sa conservation pendant au moins cinq ans après la prise de connaissance de l'incident (art. 8).

Ce que nous y répondons

Le contrat nous oblige à aviser sans délai votre responsable désigné, avec la nature de l'incident, les personnes visées, la période et les mesures prises (art. 14.9) — sans engagement chiffré en heures. L'avis à la Commission, l'avis aux personnes concernées et la tenue du registre restent vos obligations. Une nuance qui compte : vos obligations restent les vôtres, mais les nôtres ne disparaissent pas pour autant. Nous exploitons nous-mêmes une entreprise assujettie à la Loi 25 pour les renseignements que nous détenons, et l'article 1 du Règlement sur les incidents vise « toute personne qui exploite une entreprise et qui est visée par la Loi sur la protection des renseignements personnels dans le secteur privé » : nos obligations d'avis et de registre s'ajoutent aux vôtres au lieu de s'y substituer. Notre plan de réponse existe mais n'a jamais été exercé, et nous le disons.

droit dur·En vigueur le 22 septembre 2022·Source officielle

Toute personne qui exploite une entreprise et qui utilise des renseignements personnels afin que soit rendue une décision fondée exclusivement sur un traitement automatisé de ceux-ci doit en informer la personne concernée au plus tard au moment où elle l'informe de cette décision.

Ce que ça veut dire

Le déclencheur est le mot « exclusivement ». Une IA qui rédige un projet de lettre, propose un classement ou résume un dossier ne rend aucune décision : un humain décide. Une IA branchée sur une automatisation qui refuse, tarifie ou trie sans intervention humaine, oui. Ce que la personne obtient alors est plus étroit qu'on ne le dit couramment. D'office : être informée de l'existence de la décision, au plus tard au moment où on la lui annonce (al. 1), et se voir donner « l'occasion de présenter ses observations à un membre du personnel de l'entreprise en mesure de réviser la décision » (al. 3) — un droit d'être entendue, pas un droit à ce que la décision soit révisée. À sa demande seulement (al. 2) : les renseignements utilisés, les raisons ainsi que les principaux facteurs et paramètres, et son droit de faire rectifier ces renseignements. À lire avec l'article 11 : les renseignements utilisés pour prendre une décision doivent être à jour et exacts au moment de l'usage, et se conservent au moins un an après la décision.

Ce que nous y répondons

La plateforme rédige, résume et propose ; elle ne rend pas de décision par elle-même. Mais elle sait automatiser, et c'est vous qui construisez ces automatisations. Si l'une d'elles décide seule, l'article 12.1 s'applique à vous. Le contrat le rappelle en propres termes : aucun résultat généré ne doit être une décision automatisée finale sans validation humaine appropriée (art. 17 du contrat).

droit dur·En vigueur le 22 septembre 2023·Source officielle

Lorsque les fins auxquelles un renseignement personnel a été recueilli ou utilisé sont accomplies, la personne qui exploite une entreprise doit le détruire ou l'anonymiser pour l'utiliser à des fins sérieuses et légitimes, sous réserve d'un délai de conservation prévu par une loi. […] un renseignement concernant une personne physique est anonymisé lorsqu'il est, en tout temps, raisonnable de prévoir dans les circonstances qu'il ne permet plus, de façon irréversible, d'identifier directement ou indirectement cette personne.

Ce que ça veut dire

Conserver n'est pas neutre : une fois la finalité accomplie, il faut détruire ou anonymiser. Deux membres de phrase que l'on saute souvent changent pourtant tout. « Pour l'utiliser à des fins sérieuses et légitimes » : on n'anonymise pas pour anonymiser, l'usage visé doit être établi avant de lancer le processus (Règlement sur l'anonymisation des renseignements personnels, D. 783-2024, art. 3). « Sous réserve d'un délai de conservation prévu par une loi » : l'article 11, al. 2, oblige par exemple à conserver au moins un an les renseignements utilisés pour prendre une décision — supprimer trop vite est aussi un manquement. Et l'anonymisation est une démarche formelle, pas une case à cocher : supervision par une personne compétente (art. 4), retrait des identifiants directs puis analyse préliminaire des risques de réidentification selon les critères d'individualisation, de corrélation et d'inférence (art. 5), analyse post-processus démontrant des risques résiduels « très faibles » (art. 7), réévaluation périodique (art. 8) et registre (art. 9). Un renseignement seulement dépersonnalisé n'est pas anonymisé : il reste un renseignement personnel (art. 12, al. 4, 1°).

Ce que nous y répondons

Vous pouvez supprimer conversations, documents et bases de connaissances, et le mode confidentialité rend une conversation éphémère. Trois des horloges non désactivables du produit bornent ce qui traîne (30 jours, 7 jours, 48 heures), mais il n'existe aucune rétention configurable : vous ne pouvez pas programmer « détruire à 24 mois » par espace de travail. Nous n'émettons pas de certificat de destruction, et nous ne documentons aucun délai de purge des sauvegardes — et il ne faut pas confondre cela avec la fenêtre de restauration de 30 jours ni les instantanés de 14 jours indiqués ailleurs : ce sont des capacités de reprise, pas un engagement de destruction, et l'article 23 porte précisément sur ce qui survit dans une sauvegarde — posez-nous la question avant de vous engager sur un calendrier de destruction, parce qu'une destruction incomplète au sens de l'article 23 est celle qui survit dans une sauvegarde. La plateforme n'anonymise rien au sens de l'article 23 : les analyses de conformité repèrent rétrospectivement les échanges contenant des renseignements personnels pour que vous les traitiez, ce qui est un signal, pas un processus d'anonymisation. Ce sont les minuteries qui touchent un dossier ; d'autres horloges existent ailleurs dans le produit, et la page Confidentialité et conformité en publie l'inventaire complet.

droit dur·En vigueur le 22 septembre 2023·Source officielle

Un renseignement personnel ne peut être utilisé au sein de l'entreprise qu'aux fins pour lesquelles il a été recueilli, à moins du consentement de la personne concernée. Ce consentement doit être manifesté de façon expresse dès qu'il s'agit d'un renseignement personnel sensible. Un renseignement personnel peut toutefois être utilisé à une autre fin sans le consentement de la personne concernée dans les seuls cas suivants: 1° lorsque son utilisation est à des fins compatibles avec celles pour lesquelles il a été recueilli; […]

Ce que ça veut dire

L'article 18.3 règle la COMMUNICATION au fournisseur ; l'article 12 règle l'UTILISATION à l'intérieur de l'entreprise, et c'est lui qui décide si vous pouvez verser un dossier client ou un dossier d'employé dans un assistant. La règle est la finalité de la collecte. En sortir n'est permis que dans cinq cas limitativement énumérés — fin compatible, bénéfice manifeste de la personne, prévention et détection de la fraude ou amélioration des mesures de sécurité, fourniture d'un produit ou prestation d'un service demandé, étude ou recherche sur des renseignements dépersonnalisés — ou avec le consentement de la personne, exprès si le renseignement est sensible. Et une fin n'est « compatible » que s'il existe un lien pertinent et direct avec la fin de collecte (al. 3). C'est cet article, plus que l'article 18.3, qui répond à « puis-je mettre ce dossier dans l'outil ».

Ce que nous y répondons

Cette qualification est structurellement la vôtre : nous n'avons aucune visibilité sur la finalité pour laquelle vous avez recueilli un dossier. Ce que la plateforme donne, ce sont des moyens de la faire respecter — accès par utilisateur et par groupe, cloisonnement des bases de connaissances, mode confidentialité, journal d'audit, et la détection Loi 25 qui signale message par message la présence de renseignements personnels (option payante, désactivée par défaut, et elle-même un appel sortant vers un modèle). Ce sont des instruments de contrôle et de preuve, pas une conformité : si l'usage envisagé ne sert pas la finalité de collecte et ne tombe dans aucune exception, aucun réglage de notre côté ne le rend licite. La décision d'autoriser un type de dossier dans l'outil est une politique interne, écrite, pas un paramètre.

droit dur·En vigueur le 22 septembre 2023·Source officielle

Le cas échéant, la personne concernée est informée du nom du tiers pour qui la collecte est faite, du nom des tiers ou des catégories de tiers à qui il est nécessaire de communiquer les renseignements aux fins visées au paragraphe 1° du premier alinéa et de la possibilité que les renseignements soient communiqués à l'extérieur du Québec.

Ce que ça veut dire

Le moment de cette information est ce qui la rend contraignante : elle se donne LORS DE LA COLLECTE, et par la suite sur demande. Une entreprise qui branche ses dossiers sur une plateforme dont l'hébergement et l'inférence sortent du Québec devait donc avoir annoncé, dans son avis de collecte et sa politique de confidentialité, les catégories de tiers destinataires et la possibilité d'une communication à l'extérieur du Québec. Un contrat impeccable signé après coup et une évaluation complète ne réparent pas une information qui n'a pas été donnée : ce sont deux obligations distinctes, et celle-ci se juge à la date de la collecte.

Ce que nous y répondons

Nous ne pouvons rien y faire à votre place, et c'est le genre d'écart qui se découvre tard. Ce que nous fournissons pour que vous puissiez corriger vos textes : la liste de nos sous-traitants d'hébergement et d'inférence, les régions où ils opèrent, et les catégories de renseignements qui sortent du Québec. À vous de reprendre l'avis de collecte, la politique de confidentialité et, pour vos employés, la documentation d'embauche, afin qu'ils nomment les catégories de tiers et la possibilité d'une communication hors Québec. Pour les renseignements déjà recueillis sous un avis muet sur ce point, la question de savoir si l'usage envisagé reste possible se pose sous l'article 12, pas sous l'article 18.3.

droit dur·En vigueur le 22 septembre 2023·Source officielle

À moins que cela ne soulève des difficultés pratiques sérieuses, un renseignement personnel informatisé recueilli auprès du requérant, et non pas créé ou inféré à partir d'un renseignement personnel le concernant, lui est, à sa demande, communiqué dans un format technologique structuré et couramment utilisé.

Ce que ça veut dire

Le droit à la portabilité n'est pas une particularité européenne : il est en vigueur au Québec depuis le 22 septembre 2024 et s'exerce sans dimension européenne, par n'importe quel client ou employé. Sa portée est bornée — il vise ce qui a été recueilli AUPRÈS de la personne, pas ce qui a été créé ou inféré à son sujet, de sorte qu'un extrant d'IA la concernant en sort (il reste accessible sous l'al. 1, en simple copie). Et l'article 3.3, al. 3, en fait une exigence de conception : c'est avant de signer, au moment de l'acquisition, que vous devez vous assurer que le système le permettra.

Ce que nous y répondons

Nous ne satisfaisons pas cette exigence aujourd'hui, et il vaut mieux le lire ici que le découvrir sur une demande d'accès. Conversations, documents et bases de connaissances s'exportent intégralement, par utilisateur — mais l'export n'est pas normalisé dans un format d'échange structuré et couramment utilisé. En pratique, vous répondriez par une transcription intelligible (ce que permet l'al. 2), pas par un fichier structuré. C'est le même écart que celui nommé du côté du RGPD à l'article 20 ; nous le comptons une fois, pas deux, et nous ne l'annonçons pas comme résolu.

droit dur·En vigueur le 22 septembre 2024 (art. 27, al. 3) ; le 22 septembre 2023 (art. 3.3, al. 3)·Source officielle

Le montant maximal de la sanction administrative pécuniaire est de 50 000 $ dans le cas d'une personne physique et, dans les autres cas, de 10 000 000 $ ou du montant correspondant à 2% du chiffre d'affaires mondial de l'exercice financier précédent si ce dernier montant est plus élevé.

Ce que ça veut dire

Les manquements décrits sur cette page sont exactement ceux que l'article 90.1 rend passibles d'une sanction administrative pécuniaire : ne pas informer les personnes conformément aux articles 7 et 8, recueillir ou utiliser des renseignements en contravention à la loi, ne pas déclarer un incident, ne pas prendre les mesures de sécurité de l'article 10, ne pas informer la personne visée par une décision automatisée ou ne pas lui donner l'occasion de présenter ses observations (art. 12.1). Le plafond est celui de la phrase citée. À côté, la voie pénale de l'article 91 va de 5 000 $ à 100 000 $ pour une personne physique et de 15 000 $ à 25 000 000 $ — ou 4 % du chiffre d'affaires mondial si c'est plus élevé — dans les autres cas, montants doublés en cas de récidive (art. 92.1). Et l'article 93.1 ouvre des dommages-intérêts punitifs d'au moins 1 000 $ lorsqu'une atteinte illicite est intentionnelle ou résulte d'une faute lourde : c'est le levier des actions collectives, et souvent la ligne de risque la plus concrète pour une entreprise dont les clients se comptent en milliers.

Ce que nous y répondons

Ce risque ne se transfère pas par contrat : une sanction administrative ou une amende frappe la personne en défaut, et aucune clause d'indemnisation d'un fournisseur ne l'efface. Ce que nous pouvons faire porte sur la probabilité et sur la preuve : chiffrement en transit et au repos, accès par utilisateur et par groupe, journal d'audit — dont l'export CSV de la console ne couvre que la page de 50 lignes affichée, détection des renseignements personnels message par message (option payante, désactivée par défaut, et elle-même un appel sortant vers un modèle), avis sans délai en cas d'incident (art. 14.9) et droit de vérification annuel (art. 14.10) — de quoi documenter la diligence que la Commission examine dans le cadre général d'application des sanctions. Nous ne vendons pas d'assurance de conformité, et vous devriez vous méfier de qui le fait.

droit dur·En vigueur le 22 septembre 2023·Source officielle

Dans les autres cas, il n'est pas nécessaire de transmettre proactivement un rapport d'EFVP à la Commission. Celle-ci pourrait toutefois demander à en prendre connaissance dans le cadre de ses activités de surveillance.

Ce que ça veut dire

La Commission publie un guide de soixante pages qui structure l'ÉFVP et, surtout, sa documentation. C'est la référence sur laquelle un enquêteur s'appuiera pour juger si votre évaluation tenait debout. Le § 1.1 (p. 11) énumère les situations où l'évaluation est obligatoire ; le § 7.1 (p. 49) traite de la sortie du Québec ; le § 7.2 (p. 51) range le « système d'intelligence artificielle » parmi les formes d'un système d'information. Le rapport lui-même n'a pas à être déposé à la Commission hors des cas où l'évaluation précède une entente (p. 43 et § 5.4), mais la démarche doit exister et pouvoir être produite.

Ce que nous y répondons

Deux ÉFVP se déclenchent en même temps quand vous adoptez une plateforme d'IA : celle de l'article 3.3 pour l'acquisition du système, celle de l'article 17 pour l'hébergement et le traitement hors Québec. Elles peuvent tenir dans un seul document. Si le RGPD vous vise aussi, comptez-en trois : l'analyse d'impact de son article 35 s'ajoute, avec ses propres exigences. Demandez-nous la trousse d'intrants : flux de données, catégories transmises, régions, politiques des fournisseurs, clauses contractuelles correspondantes.

attente du régulateur·Avril 2024·Source officielle

lorsque possible et raisonnable, utiliser des renseignements anonymisés ou dépersonnalisés dans les requêtes d'un système d'IA générative plutôt que des renseignements personnels; lorsque des renseignements personnels (et, en particulier, des renseignements sensibles ou confidentiels) doivent être entrés dans une requête, ne le faire que si cela est autorisé

Ce que ça veut dire

C'est le seul document publié qui porte directement sur le sujet de cette page, et la Commission l'a coélaboré : son propre Guide EFVP y renvoie comme au « document de principes élaboré par la Commission et ses homologues canadiens ». Ce n'est pas du droit dur — le document emploie « devrait » — mais c'est la position à laquelle un enquêteur vous confrontera. Lisez la recommandation telle qu'elle est écrite : ni « caviardez tout », ni « ne caviardez rien ». Elle demande d'employer des renseignements anonymisés ou dépersonnalisés dans les requêtes lorsque c'est possible et raisonnable, et de n'y saisir des renseignements personnels que si cela est autorisé. La même section demande de traiter les inférences produites sur une personne identifiable comme des renseignements personnels et de ne pas conserver les requêtes pour des fins secondaires.

Ce que nous y répondons

Nous ne dépersonnalisons pas vos requêtes : il n'y a pas de passerelle de pseudonymisation entre vos utilisateurs et le modèle, et c'est un choix que nous préférons dire plutôt que laisser deviner. Ce que la plateforme offre pour appliquer cette attente : le mode confidentialité, qui rend une conversation éphémère ; la détection Loi 25, qui signale message par message la présence de renseignements personnels et vous donne la mesure du phénomène plutôt qu'une impression — mais il faut voir ce qu'elle coûte ici : c'est une option payante, désactivée par défaut, et la détection est elle-même un appel sortant qui envoie le texte du message à un modèle. Comme mesure de minimisation, elle augmente l'exposition avant de la mesurer ; les accès par utilisateur et par groupe, qui limitent qui peut soumettre quoi ; et trois des horloges non désactivables du produit (30 jours, 7 jours, 48 heures) qui bornent la durée de vie des traces — mais aucune rétention configurable ni certificat de destruction. Le geste de dépersonnaliser, quand il est possible et raisonnable, reste celui de vos utilisateurs ; nous fournissons le signal et le journal qui permettent de vérifier qu'ils le font. Ce sont les minuteries qui touchent un dossier ; d'autres horloges existent ailleurs dans le produit, et la page Confidentialité et conformité en publie l'inventaire complet.

attente du régulateur·7 décembre 2023·Source officielle

Une organisation est responsable des renseignements personnels qu'elle a en sa possession ou sous sa garde, y compris les renseignements confiés à une tierce partie aux fins de traitement. L'organisation doit, par voie contractuelle ou autre, fournir un degré comparable de protection aux renseignements qui sont en cours de traitement par une tierce partie.

Ce que ça veut dire

La LPRPDE ne disparaît pas parce que vous êtes au Québec : le décret DORS/2003-374 n'exclut une entreprise québécoise que « à l'égard de la collecte, de l'utilisation et de la communication de renseignements personnels qui s'effectuent à l'intérieur de la province de Québec », et ne vise jamais les entreprises fédérales. Les flux qui franchissent la frontière provinciale — un hébergement à Toronto, une inférence aux États-Unis, un client ou un employé dans une autre province — restent dans le champ fédéral, en parallèle de la Loi 25. Ce que le principe cité y ajoute est simple et exigeant : confier des renseignements à un tiers pour traitement ne transfère pas la responsabilité, et il faut fournir un degré COMPARABLE de protection, par voie contractuelle ou autre. Le contrat est donc le moyen, pas la fin.

Ce que nous y répondons

Les engagements de l'article 14 du contrat-maître sont précisément le « moyen contractuel » que le principe 4.1.3 demande : finalités énumérées, sous-traitants, mesures de sécurité, avis d'incident, droit de vérification annuel. Deux limites à énoncer. D'abord, « comparable » se plaide sur le contrat et non sur le régime juridique lorsque l'inférence a lieu chez des fournisseurs étrangers, dont plusieurs aux États-Unis : c'est une conclusion que vous devez pouvoir défendre, pas une case cochée. Ensuite, nous ne produisons aucune attestation d'un tiers ; le droit de vérification de l'article 14.10 est ce que vous avez à la place, et il ne vaut que si vous l'exercez.

droit dur·LPRPDE sanctionnée en 2000 ; décret d'exclusion en vigueur le 19 novembre 2003·Source officielle

Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l'Union ou du droit d'un État membre, qui lie le sous-traitant à l'égard du responsable du traitement...

Ce que ça veut dire

Si vous traitez des données de personnes de l'UE/EEE et que vous nous confiez ce traitement, un contrat de sous-traitance (DPA) distinct de notre contrat-maître est requis : instructions documentées, confidentialité du personnel, mesures de sécurité de l'article 32, recours à des sous-traitants ultérieurs avec autorisation, assistance pour les droits des personnes concernées, notification de violation, suppression ou retour des données en fin de contrat.

Ce que nous y répondons

Nous n'offrons pas encore, au catalogue, un DPA conforme à l'article 28. C'est un écart que nous nommons plutôt que de prétendre le contraire. Si votre usage touche des données de personnes de l'UE ou de l'EEE, dites-le-nous avant de signer : nous évaluerons avec vous si un addendum peut être négocié, sans engagement de notre part tant qu'il n'est pas signé. Elles se négocient au bon de commande, au cas par cas ; leur mise en produit n'est pas planifiée.

droit dur·En vigueur depuis le 25 mai 2018·Source officielle

Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins: a) la pseudonymisation et le chiffrement des données à caractère personnel […]

Ce que ça veut dire

L'article 32 nomme explicitement le chiffrement, la capacité à rétablir la disponibilité après un incident, et un processus de test régulier des mesures de sécurité. Le niveau attendu est fonction du risque pour les personnes concernées, pas d'un standard unique.

Ce que nous y répondons

Chiffrement au repos et en transit, contrôle d'accès par rôle, journal d'audit et plan de continuité font partie de l'architecture décrite sur cette page — les mêmes mesures que celles évaluées pour la Loi 25. L'article 32 demande des mesures appropriées au risque, et le droit de vérification de l'article 14.10 vous permet de les auditer plutôt que de les croire. Mais l'article 32 nomme un quatrième élément que nous ne satisfaisons pas : « une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité » des mesures. Notre plan de réponse aux incidents est écrit et publie ses paliers, mais il n'a jamais été exercé ; nous n'avons pas non plus d'objectifs de temps et de point de reprise documentés et éprouvés par un exercice de restauration. Un plan jamais exercé est une hypothèse, et le droit de vérification de l'article 14.10 vous laisse le constater — il ne remplace pas le test que l'article exige de nous.

droit dur·En vigueur depuis le 25 mai 2018·Source officielle

La personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées...

Ce que ça veut dire

Accès, rectification, effacement, limitation, portabilité et opposition : six droits distincts, chacun avec ses propres conditions et délais — l'opposition est à l'article 21, hors de la plage 15 à 20, et l'article 19, qui y est, ajoute l'obligation de notifier toute rectification, tout effacement et toute limitation à chacun des destinataires. En tant que responsable du traitement, c'est vous qui répondez à la personne concernée — mais vous avez besoin que votre sous-traitant puisse retrouver et produire ses données.

Ce que nous y répondons

Conversations, documents et bases de connaissances s'exportent et se suppriment, par utilisateur, et un message se rectifie sur place avec une entrée au journal d'audit. L'export sert la portabilité de l'article 20 ; il n'est pas normalisé dans un format d'échange structuré. Ne rangez pas cet écart du seul côté européen : le même manquement touche le droit québécois — l'article 27, al. 3 de la Loi 25, en vigueur depuis le 22 septembre 2024, et l'article 3.3, al. 3, qui vous demande de vous en assurer avant même d'acquérir le système.

droit dur·En vigueur depuis le 25 mai 2018·Source officielle

Un transfert, vers un pays tiers ou à une organisation internationale, de données à caractère personnel qui font ou sont destinées à faire l'objet d'un traitement après ce transfert ne peut avoir lieu que si, sous réserve des autres dispositions du présent règlement, les conditions définies dans le présent chapitre sont respectées par le responsable du traitement et le sous-traitant, y compris pour les transferts ultérieurs de données à caractère personnel au départ du pays tiers ou de l'organisation internationale vers un autre pays tiers ou à une autre organisation internationale.

Ce que ça veut dire

La fin de la phrase citée est la règle qui compte ici : le chapitre V suit les transferts ULTÉRIEURS, pas seulement le premier saut. Le Canada bénéficie d'une décision d'adéquation PARTIELLE de la Commission européenne (décision 2002/2/CE, maintenue au réexamen de janvier 2024) : elle ne couvre que les organisations privées effectivement assujetties à la LPRPDE, ce qui, pour un hébergeur québécois, ne va pas de soi et se vérifie plutôt qu'il ne se présume — le décret DORS/2003-374 exclut de la LPRPDE la collecte, l'utilisation et la communication qui s'effectuent à l'intérieur du Québec. Le saut suivant, vers un fournisseur de modèle hors UE, exige sa propre base : des clauses contractuelles types, ou, pour un fournisseur américain certifié, la décision d'adéquation UE–États-Unis (Data Privacy Framework) du 10 juillet 2023.

Ce que nous y répondons

Nous ne proposons pas encore de clauses contractuelles types signées au catalogue. C'est un écart direct pour toute donnée de personnes de l'UE/EEE transitant par notre plateforme, et nous préférons vous le dire maintenant plutôt qu'en diligence raisonnable. Parlez-nous de votre besoin précis : la solution dépend de la nature du transfert.

droit dur·En vigueur depuis le 25 mai 2018 ; clauses types du 4 juin 2021·Source officielle

En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l'autorité de contrôle compétente conformément à l'article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la notification à l'autorité de contrôle n'a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard.

Ce que ça veut dire

Soixante-douze heures, mais pas un délai inconditionnel : l'obligation tombe si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés, et une notification tardive doit être accompagnée des motifs du retard. Comparé à l'article 3.5 de la Loi 25, sur cette même page, le RGPD est plus strict deux fois : sur le délai (72 heures contre « avec diligence ») et sur le seuil (un simple risque, contre un « risque qu'un préjudice sérieux soit causé »). Le sous-traitant, lui, notifie le responsable « dans les meilleurs délais » (par. 2), ce qui permet à l'horloge du responsable de démarrer à temps. Et l'article 33 n'est que le premier geste : si le risque est ÉLEVÉ, l'article 34 impose en plus de communiquer la violation aux personnes concernées, dans les meilleurs délais.

Ce que nous y répondons

Le contrat nous oblige à vous aviser sans délai, avec la nature de l'incident, les personnes visées, la période et les mesures prises (art. 14.9) — mais sans nombre d'heures chiffré. Pour un traitement soumis au RGPD, c'est une clause à négocier explicitement au bon de commande : un engagement en heures, pas seulement « sans délai ».

droit dur·En vigueur depuis le 25 mai 2018·Source officielle

Lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel.

Ce que ça veut dire

Si le RGPD vous vise, ce ne sont pas deux évaluations qui se déclenchent mais trois : les deux ÉFVP québécoises, plus l'analyse d'impact de l'article 35. Une plateforme d'IA générative appliquée à des dossiers de clients ou d'employés en est le cas d'école — nouvelles technologies et risque élevé — et le paragraphe 3 du même article vise en particulier l'évaluation systématique fondée sur un traitement automatisé et le traitement à grande échelle de catégories particulières de données. Son pendant permanent est l'article 30 : un registre des activités de traitement, tenu à jour, où l'ajout de la plateforme crée une entrée — finalités, catégories de personnes et de données, destinataires, transferts hors UE, délais d'effacement. C'est le premier document qu'une autorité de contrôle réclame.

Ce que nous y répondons

L'analyse d'impact et le registre sont les vôtres ; nous fournissons les mêmes intrants que pour l'ÉFVP québécoise — flux de données, catégories transmises, régions d'hébergement, sous-traitants d'inférence et leurs politiques publiées, mesures de sécurité, clauses contractuelles correspondantes. Trois faits à inscrire tels quels dans votre registre, parce qu'ils sont contre-intuitifs : les minuteries de rétention (30 jours, 7 jours, 48 heures) ne sont pas désactivables, il n'existe aucune rétention configurable au-delà, et l'export n'est pas normalisé dans un format d'échange structuré. Rappel utile : sans contrat de sous-traitance conforme à l'article 28, l'analyse d'impact conclura à un écart — nous le nommons ailleurs sur cette page plutôt que de le laisser passer ici. Ce sont les minuteries qui touchent un dossier ; d'autres horloges existent ailleurs dans le produit, et la page Confidentialité et conformité en publie l'inventaire complet.

droit dur·En vigueur depuis le 25 mai 2018·Source officielle

La personne concernée a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire.

Ce que ça veut dire

Ne lisez pas cet article comme un jumeau de l'article 12.1 de la Loi 25. L'article 12.1 est une obligation d'INFORMATION : il présuppose que la décision peut être rendue. L'article 22 est une interdiction de principe, à laquelle on n'échappe que par l'une des trois exceptions du paragraphe 2 — nécessité contractuelle, autorisation par le droit de l'Union ou d'un État membre, consentement explicite — et, dans les cas contractuel et consensuel, en mettant en place des garanties comprenant au moins l'intervention humaine du responsable, l'expression du point de vue de la personne et la contestation de la décision. Le paragraphe 4 ferme presque entièrement la porte aux catégories particulières de données. La question n'est donc pas « ai-je informé ? » mais « ai-je le droit de rendre cette décision ainsi ? ».

Ce que nous y répondons

La plateforme rédige, résume et propose ; elle ne rend pas de décision par elle-même. Mais elle sait automatiser, et c'est vous qui construisez ces automatisations — si l'une d'elles décide seule au sujet d'une personne située dans l'UE, vous devez d'abord établir votre base au titre du paragraphe 2, puis démontrer les garanties du paragraphe 3. Sur ce dernier point, soyez avertis : nous n'offrons pas de flux d'« intervention humaine » outillé — pas de file de révision, pas de trace normalisée d'un réexamen humain. Ce que le contrat pose est une garde-fou juridique, pas technique : aucun résultat généré ne doit être une décision automatisée finale sans validation humaine appropriée (art. 17 du contrat).

droit dur·En vigueur depuis le 25 mai 2018·Source officielle

Lorsque l'article 3, paragraphe 2, s'applique, le responsable du traitement ou le sous-traitant désigne par écrit un représentant dans l'Union.

Ce que ça veut dire

C'est la conséquence immédiate de la situation que cette page décrit ailleurs — être visé par le RGPD sans établissement dans l'Union. La désignation est ÉCRITE, le représentant est établi dans un des États membres où se trouvent les personnes concernées, et il faut l'avoir avant le traitement, pas après une première demande. L'exception du paragraphe 2 est étroite : un traitement occasionnel, sans traitement à grande échelle de catégories particulières et sans risque pour les droits et libertés. Verser des dossiers de clients européens dans une plateforme d'IA n'a rien d'occasionnel. L'obligation vise le responsable du traitement comme le sous-traitant, donc vous et nous, chacun pour soi.

Ce que nous y répondons

Nous n'avons pas d'établissement dans l'Union et nous n'avons désigné aucun représentant au sens de l'article 27. C'est un écart de notre côté, et il rejoint les deux autres que nous nommons déjà : pas de contrat de sous-traitance conforme à l'article 28 au catalogue, pas de clauses contractuelles types signées. Si votre usage touche des personnes situées dans l'UE ou l'EEE, traitez ces trois manques comme un même chantier et parlez-nous-en avant de signer, pas après. De votre côté, la désignation d'un représentant est une démarche distincte, qui vous incombe et que personne ne peut faire à votre place.

droit dur·En vigueur depuis le 25 mai 2018·Source officielle