Information générale à jour au 2026-11-03. Ne constitue pas un avis juridique.
EFVP est l’abréviation d’« évaluation des facteurs relatifs à la vie privée ». La LPRPSP la mentionne notamment aux articles 3.3, 17 et 21 ; ce billet cite les deux premiers. La Commission d’accès à l’information (CAI) en donne une définition et des exemples, présentés à part comme sa lecture, non contraignante.
Ce qu’est une EFVP, selon la CAI
Selon la CAI (non contraignant)« L'EFVP est une démarche préventive et évolutive visant à mieux protéger les renseignements personnels et à mieux respecter la vie privée des personnes. »
« Concrètement, l'EFVP est une analyse d’impact. Avant d’entamer un projet et au cours de celui-ci, cette démarche permet de considérer tous les facteurs ayant un effet positif ou négatif sur le respect de la vie privée des personnes concernées. »
« La réalisation d’une EFVP doit être proportionnée à la sensibilité des renseignements concernés, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support. »
La CAI reprend ici, dans sa dernière phrase, le quatrième alinéa de l’article 3.3, cité plus bas comme texte de loi.
Les cas où la loi la mentionne
Avant une communication à l’extérieur du Québec (art. 17)
L’article 17 prévoit qu’avant de communiquer à l’extérieur du Québec un renseignement personnel, l’entreprise procède à une évaluation des facteurs relatifs à la vie privée, en tenant compte notamment de la sensibilité du renseignement, de la finalité de son utilisation, des mesures de protection et du régime juridique de l’État visé. Il en est de même lorsque l’entreprise confie à l’extérieur du Québec la tâche de recueillir, d’utiliser, de communiquer ou de conserver pour son compte un tel renseignement.
La loi prévoit17. Avant de communiquer à l'extérieur du Québec un renseignement personnel, la personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée. Elle doit notamment tenir compte des éléments suivants:
1° la sensibilité du renseignement;
2° la finalité de son utilisation;
3° les mesures de protection, y compris celles qui sont contractuelles, dont le renseignement bénéficierait;
4° le régime juridique applicable dans l'État où ce renseignement serait communiqué, notamment les principes de protection des renseignements personnels qui y sont applicables.
La communication peut s'effectuer si l'évaluation démontre que le renseignement bénéficierait d'une protection adéquate, notamment au regard des principes de protection des renseignements personnels généralement reconnus. Elle doit faire l'objet d'une entente écrite qui tient compte notamment des résultats de l'évaluation et, le cas échéant, des modalités convenues dans le but d'atténuer les risques identifiés dans le cadre de cette évaluation.
Il en est de même lorsque la personne qui exploite une entreprise confie à une personne ou à un organisme à l'extérieur du Québec la tâche de recueillir, d'utiliser, de communiquer ou de conserver pour son compte un tel renseignement.
Le présent article ne s'applique pas à une communication prévue au paragraphe 7° du premier alinéa de l'article 18.
Source : LPRPSP (RLRQ, c. P-39.1), art. 17, LégisQuébec, à jour au 15 octobre 2026
Avant un projet de système d’information ou de prestation électronique de services (art. 3.3)
L’article 3.3 vise une évaluation « de tout projet d’acquisition, de développement et de refonte de système d’information ou de prestation électronique de services impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels ». Ses autres alinéas prévoient que l’entreprise consulte, dès le début du projet, son responsable de la protection des renseignements personnels ; que le projet permette de communiquer à la personne concernée un renseignement personnel informatisé recueilli auprès d’elle dans un format technologique structuré et couramment utilisé ; et que la réalisation de l’évaluation soit proportionnée à la sensibilité des renseignements, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support.
La loi prévoit3.3. Toute personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée de tout projet d’acquisition, de développement et de refonte de système d’information ou de prestation électronique de services impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels.
Aux fins de cette évaluation, la personne doit consulter, dès le début du projet, son responsable de la protection des renseignements personnels.
La personne doit également s’assurer que ce projet permet qu’un renseignement personnel informatisé recueilli auprès de la personne concernée soit communiqué à cette dernière dans un format technologique structuré et couramment utilisé.
La réalisation d’une évaluation des facteurs relatifs à la vie privée en application de la présente loi doit être proportionnée à la sensibilité des renseignements concernés, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support.
Source : LPRPSP (RLRQ, c. P-39.1), art. 3.3, LégisQuébec, à jour au 15 octobre 2026
Les trois situations nommées par la CAI
La CAI regroupe les cas en trois situations, dont la troisième ne concerne pas un site web au premier chef :
Selon la CAI (non contraignant)« Communication d’un renseignement personnel à l’extérieur du Québec »
« Projet d’acquisition, de développement ou de refonte de système d’information ou de prestation électronique de services »
« Communication de renseignements personnels sans consentement à un tiers à des fins d’étude, de recherche ou de production de statistiques »
Pourquoi un site web est cité en exemple
Parmi les cinq formes que peut prendre un système de prestation électronique de services, la CAI nomme notamment la zone membre d’un site web et l’application mobile :
Selon la CAI (non contraignant)« Un système de prestation électronique de services peut notamment prendre la forme : »
« D’une borne libre-service; »
« D’un service de paiement par RFID/NFC; »
« D’une zone membre d’un site Web; »
« D’un dossier électronique; »
« D’une application mobile. »
La loi prévoit que l’entreprise consulte, dès le début du projet, son responsable de la protection des renseignements personnels (art. 3.3, al. 2). Le troisième alinéa vise le même projet, qu’il s’agisse ou non d’une zone membre : le projet permet qu’un renseignement personnel informatisé recueilli auprès de la personne concernée lui soit communiqué dans un format technologique structuré et couramment utilisé.
Publication
Les articles 3.3 et 17 ne prévoient pas la publication de l’EFVP. Ce qui touche l’information du public est ailleurs : l’article 8 prévoit d’informer, le cas échéant, de la possibilité que les renseignements soient communiqués à l’extérieur du Québec.
Pour aller à la source
La CAI publie un guide d’accompagnement sur l’EFVP (PDF). Ce billet ne le cite pas : il n’a pas été lu pendant sa rédaction. Ce billet ne fournit pas de modèle d’EFVP.
Information générale à jour au 2026-11-03. Ne constitue pas un avis juridique.
