Vous voulez comprendre les implications d’un système avant de retenir sa configuration. Les options de collecte, de partage et de conservation doivent être examinées avec les équipes concernées.
EFVP et évaluation de fournisseurs
Cadrez une EFVP ou l’évaluation d’un fournisseur : flux de données, risques, questions à résoudre et mesures à examiner avec Loupe Technologies.
Vous préparez un nouveau système, une intégration ou un service qui traite des renseignements personnels ? Loupe Technologies vous aide à cadrer une évaluation des facteurs relatifs à la vie privée et à examiner les informations fournies par vos prestataires.
Le travail proposé rassemble les faits nécessaires à la décision : données concernées, usages prévus, accès, responsabilités et mesures de protection. Une EFVP et une évaluation de fournisseur peuvent se compléter, tout en conservant leur propre périmètre.
Évaluer le projet avant de figer ses choix
Les réponses commerciales ne permettent pas de comprendre précisément les traitements. Vous avez besoin de questions structurées, de preuves à demander et d’une façon de suivre les réponses incomplètes.
Le projet combine un modèle, des documents et parfois des outils capables d’agir. Vous souhaitez préciser les usages et les transmissions à examiner avant de décider des conditions d’un essai.
Deux volets, une décision mieux documentée
Pour l’EFVP, nous proposons de définir le projet, de décrire le parcours des renseignements et d’examiner les risques pour les personnes. Le travail identifie les mesures envisagées, les options encore ouvertes et les validations à obtenir. La portée réglementaire est qualifiée avec les responsables concernés.
Pour le fournisseur, nous examinons les réponses et documents disponibles au regard de votre usage : accès, lieux de traitement déclarés, sous-traitants, conservation, effacement, gestion des incidents et conditions de sortie. Les affirmations du prestataire sont distinguées des éléments effectivement documentés.
Le mandat précise les volets retenus et la profondeur de vérification. Il ne présume ni un test technique du fournisseur ni une validation juridique de ses contrats. Les questions nécessitant ces interventions sont relevées pour définir le travail complémentaire.
Un dossier utilisable pour décider et suivre le projet
Selon le mandat convenu, vous disposez des éléments suivants.
Périmètre et flux
Une description du projet, des renseignements et des intervenants, avec les hypothèses et informations encore à confirmer.
Analyse et mesures proposées
Une synthèse des risques et des mesures envisagées, reliée aux choix de conception et aux décisions à prendre.
Questions et suivi fournisseur
Une grille de réponses, des demandes de précision et les points à soumettre aux responsables avant la décision ou la poursuite du projet.
Construire l’évaluation avec les bonnes personnes
-
Cadrer la décision
Nous identifions le projet, ses responsables et l’étape de décision à préparer. Les volets EFVP et fournisseur sont délimités séparément.
-
Rassembler les informations utiles
Nous travaillons à partir des descriptions de flux, configurations prévues et documents disponibles, en indiquant la provenance et les limites des éléments recueillis.
-
Examiner les options
Nous discutons des risques et des mesures possibles avec vos équipes. Les questions techniques et juridiques nécessitant une revue distincte sont identifiées.
-
Restituer et organiser les mises à jour
Le dossier présente les constats, les arbitrages attendus et les changements qui devraient conduire à revoir l’évaluation.
Vos questions avant de commencer
Quand faut-il commencer une EFVP ?
La CAI présente l’EFVP comme une démarche à mener avant un projet et pendant son évolution. Commencer tôt permet d’examiner les choix encore modifiables. Pour votre situation, le besoin et le périmètre de l’évaluation doivent être qualifiés.
L’évaluation d’un fournisseur remplace-t-elle une EFVP ?
Non. L’examen du fournisseur porte sur ses réponses et les conditions du service envisagé. L’EFVP examine plus largement le projet et ses effets sur la vie privée. Les résultats du premier volet peuvent alimenter le second.
Un hébergement au Canada suffit-il à valider un fournisseur ?
Nous proposons d’examiner aussi les accès, les sous-traitants, les usages permis et les conditions de sortie. La localisation déclarée est une information du dossier ; l’évaluation doit correspondre au fonctionnement réel du service et à votre contexte.
Que pouvons-nous préparer pour un premier échange ?
Une description du projet, la liste des outils et des catégories de renseignements, les coordonnées des responsables et la documentation publique du fournisseur sont utiles. Des données personnelles réelles ne sont pas nécessaires pour décrire le besoin initial.
Sources et références
- Responsabilité des entreprises — gouvernance et EFVP — Commission d’accès à l’information du Québec
Quel projet ou fournisseur devez-vous évaluer ?
Présentez le projet, son stade et la décision à préparer. Nous pourrons préciser les informations à réunir, les personnes à associer et le périmètre d’évaluation envisageable.