EFVP et Loi 25 : guide pratique pour cabinets fiscaux

L’évaluation des facteurs relatifs à la vie privée (EFVP) est obligatoire sous la Loi 25 dans plusieurs situations clés, en vigueur depuis 2024. Si votre cabinet acquiert, développe ou refonte un système traitant des renseignements personnels, la réponse est oui : une EFVP doit être conduite avant le lancement.

Les cinq déclencheurs légaux selon la Commission d’accès à l’information (CAI) :

• Acquisition, développement ou refonte d’un système d’information traitant des renseignements personnels
• Communication de renseignements à l’extérieur du Québec
• Communication à des tiers sans consentement (fins de recherche ou statistiques)
• Partage de renseignements entre organismes pour une mission commune
• Projets de profilage ou de décision automatisée ayant un impact sur un individu

La CAI est l’autorité de contrôle. En cas d’incident, l’absence d’EFVP documentée constitue un facteur aggravant. C’est le point de départ de toute décision de conformité pour un cabinet fiscal.

---

Table des matières

• Quand votre projet déclenche-t-il une EFVP obligatoire ?
• Que doit contenir une EFVP pour être défendable devant la CAI ?
• Comment conduire une EFVP proportionnée, étape par étape ?
• Comment intégrer l’EFVP à la gouvernance de votre cabinet ?
• Quelle durée et quels coûts prévoir pour une EFVP de cabinet ?
• Quels pièges éviter pour que votre EFVP soit réellement valide ?
• Points clés
• Ce que l’EFVP révèle vraiment sur la maturité d’un cabinet
• Acumis accompagne vos EFVP de bout en bout
• Sources et références réglementaires

Quand votre projet déclenche-t-il une EFVP obligatoire ?

Chaque déclencheur mérite un examen concret, parce que les cabinets fiscaux y tombent plus souvent qu’ils ne le croient.

Acquisition ou développement d’un système. Vous intégrez un logiciel de gestion de dossiers clients, un outil de recherche jurisprudentielle ou une plateforme de signature électronique ? Dès que des renseignements personnels transitent, l’obligation s’applique. Un cabinet qui déploie un outil d’intelligence artificielle pour analyser des avis fiscaux entre directement dans ce périmètre.

Refonte majeure d’un système existant. Migrer votre CRM vers un nouvel hébergeur ou modifier en profondeur les droits d’accès à votre base de données clients constitue une refonte au sens de la Loi 25. La règle : si l’architecture de traitement change, l’EFVP recommence.

Communication hors Québec. C’est le déclencheur le plus sous-estimé. Utiliser un service infonuagique dont les serveurs sont situés aux États-Unis ou en Europe suffit à l’activer. Les risques liés aux transferts internationaux sont réels et documentés : un contrat de sous-traitance mal rédigé peut créer une faille de conformité immédiate.

Communication à des tiers sans consentement. Un cabinet qui partage des données anonymisées avec un partenaire à des fins d’analyse statistique doit évaluer si ce partage respecte les conditions légales — et le documenter dans une EFVP.

Profilage et décision automatisée. Tout outil qui classe des clients, prédit un comportement ou génère une recommandation personnalisée à partir de données personnelles entre dans cette catégorie.

Pour les cabinets fiscaux, le déclencheur le plus fréquent reste l’acquisition d’un outil IA ou infonuagique. L’EFVP n’est pas optionnelle dès que des données de clients sont impliquées.

---

Que doit contenir une EFVP pour être défendable devant la CAI ?

La Loi 25 n’impose pas de format strict : ce qui compte, c’est la qualité de l’analyse et la traçabilité des décisions. Le rapport doit pouvoir être produit en cas d’enquête.

Sections minimales recommandées

Matrice de risque adaptée aux dossiers fiscaux

Pour un cabinet, les variables clés sont : sensibilité du renseignement (numéro d’assurance sociale, données financières), volume de dossiers concernés, localisation des serveurs et niveau d’accès des tiers. Une matrice simple à deux axes (probabilité : faible/moyenne/élevée ; gravité : limitée/importante/critique) suffit pour la plupart des projets de taille moyenne.

• Risque faible : accès interne limité, données non sensibles, hébergement local
• Risque moyen : accès partagé avec un prestataire, données financières, serveurs hors Québec
• Risque élevé : profilage automatisé, transfert international, données de santé ou d’identification

Conseil de pro : Documentez chaque décision de conception qui réduit un risque — par exemple, le choix d’un hébergeur québécois plutôt qu’américain. Cette traçabilité est exactement ce que la CAI cherche lors d’un audit.

---

Comment conduire une EFVP proportionnée, étape par étape ?

Les six étapes opérationnelles

1. Cadrage : définir le périmètre du projet, les catégories de renseignements et les parties prenantes impliquées.
2. Cartographie des flux : tracer le parcours de chaque donnée, de la collecte à la suppression.
3. Analyse des risques : appliquer la matrice probabilité × gravité pour chaque scénario de risque identifié.
4. Plan d’atténuation : associer une mesure concrète à chaque risque retenu, avec responsable et échéance.
5. Validation du RPRP : le responsable de la protection des renseignements personnels approuve formellement le rapport avant la mise en production.
6. Revue post-déploiement : vérifier l’efficacité des mesures à 3 et 12 mois après le lancement.

Tableau de responsabilités (RACI) pour un cabinet fiscal

R = Responsable, A = Approbateur, C = Consulté, I = Informé

Les livrables attendus d’un prestataire externe : rapport EFVP signé, liste des mesures techniques et organisationnelles retenues, calendrier de revue documenté.

---

Comment intégrer l’EFVP à la gouvernance de votre cabinet ?

L’EFVP isolée ne suffit pas. Sa valeur réelle tient à son intégration dans un programme de gouvernance de l’information, qui devient alors une preuve de diligence raisonnable opposable en cas d’incident.

Checklist d’intégration minimale :

• Publier le nom et les coordonnées du RPRP (obligation légale)
• Tenir un registre des EFVP réalisées, avec date, version et statut
• Intégrer une clause EFVP dans tous les contrats de prestataires traitant des données personnelles
• Planifier des revues annuelles pour chaque EFVP active
• Conserver les preuves de formation des équipes sur les obligations Loi 25

Un programme de gouvernance structuré protège aussi la réputation du cabinet : un client qui confie ses données fiscales veut savoir que l’information ne circulera pas librement entre des serveurs étrangers.

Conseil de pro : Conservez toujours la version du rapport EFVP qui existait au moment de la mise en production. La CAI vérifie que l’évaluation a précédé le déploiement, pas qu’elle a été rédigée après un incident.

---

Quelle durée et quels coûts prévoir pour une EFVP de cabinet ?

Checklist avant de commander une EFVP

• Avez-vous une description fonctionnelle du projet (périmètre, données, accès) ?
• Connaissez-vous la localisation des serveurs du prestataire pressenti ?
• Le RPRP est-il désigné et disponible pour valider le rapport ?
• Disposez-vous d’un inventaire des données personnelles traitées par le cabinet ?

Estimation des ressources selon la complexité du projet

Pour un cabinet de taille moyenne (5–20 professionnels), une EFVP sur un projet d’outil IA mobilise typiquement 15 à 30 heures de travail interne, auxquelles s’ajoutent les honoraires d’un prestataire spécialisé si le projet implique des transferts hors Québec ou du profilage.

---

Quels pièges éviter pour que votre EFVP soit réellement valide ?

L’erreur la plus fréquente n’est pas l’absence d’EFVP : c’est une EFVP trop générique, copiée d’un modèle sans adaptation au projet réel. La complexité d’application de la Loi 25 tient précisément à cet écueil du formalisme sans substance.

Signaux d’alerte à surveiller avant de valider un livrable :

• Le rapport ne nomme pas les systèmes et prestataires réels du projet
• Les risques sont tous classés « faibles » sans justification
• Les transferts hors Québec ne sont pas identifiés alors que le prestataire est américain
• Aucune mesure d’atténuation n’est associée à un responsable ou une échéance
• Le consentement des personnes concernées n’est pas documenté ou est supposé acquis

L’absence d’EFVP documentée avant la mise en production est fréquemment retenue comme facteur aggravant par la CAI lors de l’examen d’un incident. Ce n’est pas une nuance : c’est la différence entre une sanction administrative et une sanction majorée.

Conseil de pro : Demandez systématiquement au prestataire de vous fournir la localisation exacte des serveurs et les garanties contractuelles associées. Un contrat qui dit « données hébergées en Amérique du Nord » ne satisfait pas aux exigences de la Loi 25 sur les transferts hors Québec.

---

Points clés

L’EFVP sous la Loi 25 est une obligation préventive, proportionnée et documentée qui doit précéder tout déploiement de système traitant des renseignements personnels dans un cabinet fiscal.

---

Ce que l’EFVP révèle vraiment sur la maturité d’un cabinet

La plupart des cabinets abordent l’EFVP comme une case à cocher. C’est compréhensible : la Loi 25 est dense, les guides sont techniques, et la pression du quotidien laisse peu de place à une réflexion préventive sur la vie privée.

Mais voilà ce que l’expérience d’Acumis auprès de cabinets fiscaux québécois montre concrètement : les cabinets qui traitent l’EFVP sérieusement découvrent presque toujours des flux de données qu’ils ne soupçonnaient pas. Un outil de signature électronique dont les serveurs sont en Irlande. Un prestataire de comptabilité qui sous-traite le stockage à un tiers américain. Des accès non révoqués à d’anciens employés.

L’EFVP n’est pas un exercice de rédaction. C’est un audit de réalité. Et pour un cabinet qui gère des données fiscales sensibles — numéros d’assurance sociale, revenus, structures corporatives — cette réalité mérite d’être regardée en face avant qu’un incident ne l’impose.

Ce qui distingue une EFVP utile d’une EFVP cosmétique, c’est la décision qu’elle génère : changer de prestataire infonuagique, restreindre un accès, ajouter une clause contractuelle. Si votre EFVP ne change rien à votre projet, elle n’a probablement pas été faite sérieusement.

La souveraineté des données n’est pas un argument marketing. Pour un cabinet fiscal québécois, c’est une condition de confiance avec ses clients, et une exigence réglementaire que la CAI vérifiera tôt ou tard.

---

Acumis accompagne vos EFVP de bout en bout

Réaliser une EFVP conforme demande du temps, une expertise pluridisciplinaire et une connaissance fine des exigences de la CAI. Pour les cabinets fiscaux qui déploient des outils d’intelligence artificielle, la complexité monte d’un cran : cartographie des flux de données, évaluation des risques liés au profilage, garanties contractuelles avec les prestataires infonuagiques.

Acumis intervient à chaque étape : cadrage du périmètre, rédaction du rapport EFVP, validation avec votre RPRP et mise en place des mesures d’atténuation. Toutes les données restent hébergées au Québec, conformément aux exigences de la Loi 25. La grille comparative Loi 25 développée par Acumis permet d’évaluer rapidement les trois modes de déploiement possibles et de choisir l’architecture adaptée à votre cabinet. Pour un mandat sur mesure ou une formation pratique de vos équipes, consultez les solutions disponibles ou contactez directement l’équipe.

---

Sources et références réglementaires

Références primaires (CAI et gouvernement du Québec) :

• Guide d’accompagnement EFVP — CAI : document de référence officiel sur la démarche, le contenu et la proportionnalité de l’EFVP. Point de départ obligatoire pour toute EFVP au Québec.
• Évaluation des facteurs relatifs à la vie privée — Gouvernement du Québec : page officielle listant les articles de loi qui déclenchent l’obligation d’EFVP pour les organismes publics.
• Protection des renseignements personnels — Gouvernement du Québec : cadre général des obligations législatives issues de la Loi 25.

Références interprétatives et pratiques :

Cet article présente une information générale à des fins éducatives. Pour votre situation spécifique, consultez la CAI ou un conseiller juridique qualifié.

Recommandation

• Étude de cas — Des heures de recherche aux minutes | Acumis
• Acumis — IA sur mesure pour cabinets fiscaux | Montréal, Québec
• À propos d’Acumis — Architectes IA pour cabinets fiscaux
• Formation IA pour cabinets fiscaux et comptables · Acumis