📋 Conformité GRC pour CMMC 2.0, PCCC, CPA Canada, OCRCVM…Découverte des SaaS pour la gouvernance des donnéesModule de clavardage Web enrichi gratuit🚀 Soutien à distance enrichi, sans votre portable

Évaluations des facteurs relatifs à la vie privée

Évaluez un système, un fournisseur, un transfert ou un outil d’IA une seule fois, au regard de chaque loi sur la vie privée que vous sélectionnez, et conservez le dossier que demandera un auditeur ou un organisme de réglementation.

Ouvrir les évaluations des facteurs relatifs à la vie privée dans votre console

Où la trouver
Compliance › Privacy Impact, ou Resilience › Privacy Impact. Également sous More dans la barre Compliance.
Qui peut l’utiliser
Toute personne dont le rôle de conformité (GRC) permet la consultation; la création et la modification, l’approbation et la suppression exigent chacune l’autorisation de conformité correspondante
Destiné à
Responsables de la protection de la vie privée, responsables de la conformité et personnes qui sont propriétaires d’un système ou d’un fournisseur
Forfait
Plateforme de conformité GRC (incluse dans Complete) ou Resilience : Vendor Risk & Business Impact. L’un ou l’autre ouvre cette page. Voir les tarifs

À quoi sert la page

Une évaluation des facteurs relatifs à la vie privée (EFVP) consigne les renseignements personnels qu’un projet, un système, un fournisseur ou un transfert traite, ce qui pourrait mal tourner pour les personnes concernées et ce que vous ferez pour y remédier. La Loi 25 du Québec en exige déjà une avant l’implantation d’un nouveau système d’information ou d’un transfert à l’extérieur du Québec. Le projet de loi C-36, la Protecting Privacy and Consumer Data Act (PPCDA) proposée, en exigerait une avant de transférer des renseignements personnels à l’extérieur du Canada (art. 57) et avant de se fonder sur l’intérêt légitime (art. 18). Sous le régime de la LPRPDE, le Commissaire à la protection de la vie privée s’attend déjà à en voir une pour les nouveaux programmes.

Chaque évaluation couvre toutes les lois sur la vie privée que vous sélectionnez. Vous répondez une seule fois à chaque question, et des étiquettes indiquent quelles lois la posent. Une seule évaluation démontre la conformité à la LPRPDE aujourd’hui et la préparation à la PPCDA demain, sans refaire le travail.

Il existe six types : General privacy impact assessment (évaluation générale), Transfer outside Canada (transfert à l’extérieur du Canada), Legitimate interest assessment (évaluation de l’intérêt légitime), AI and automated decisions (IA et décisions automatisées), Alberta PIA (Health Information Act) et British Columbia PIA (FIPPA). Chaque type ne pose que les questions qui s’y appliquent.

Une évaluation approuvée compte comme preuve pour les contrôles qui en demandent une, comme PRIV-001 Privacy Impact Assessment et PPCDA-001 Cross-Border Transfer Privacy Impact Assessment, dans tous les cadres de référence qui associent ces contrôles.

Ce que vous voyez

La page Évaluations des facteurs relatifs à la vie privée avec un bouton New assessment et des suggestions sous Probably needs an assessment : un outil d’IA et deux transferts de renseignements personnels à l’extérieur du Canada.
La page Évaluations des facteurs relatifs à la vie privée avant la première évaluation. Les suggestions proviennent de vos fournisseurs et de vos flux de données. Données d’exemple.
  1. New assessment : ouvre l’assistant en deux étapes.
  2. Probably needs an assessment : suggestions tirées de vos données Resilience. Les flux de données qui transportent des renseignements personnels au-delà d’une frontière, les fournisseurs qui détiennent des renseignements personnels à l’extérieur du Canada et les fournisseurs désignés comme utilisant des fonctions d’IA figurent ici tant qu’ils n’ont pas d’évaluation. La découverte des SaaS repère les applications d’IA que les gens utilisent, ce qui vous permet de les ajouter comme fournisseurs et de les évaluer. Sélectionnez Démarrer pour en commencer une déjà remplie.
  3. Le tableau des évaluations : Évaluation, Type, Laws covered, Statut, Remaining risk, Open risks, Next review et Mis à jour. Sélectionnez un en-tête de colonne pour trier et saisissez du texte dans Filter pour restreindre la liste.
  4. L’évaluation : les lois qu’elle couvre, les questions regroupées en sections (Describe it, Necessity and proportionality, Authority and transparency, Sharing and transfers, Safeguards, Individual rights, et des sections propres au type choisi), Risks and mitigations, Conclusion et Controls this assessment evidences.

Comment commencer une évaluation

  1. Sélectionnez New assessment, ou Démarrer à côté d’un élément sous Probably needs an assessment.
  2. Sous Kind of assessment, choisissez le type. Lorsque l’un des cadres de référence sélectionnés exige ce type, la carte l’indique sous Your frameworks.
  3. Saisissez un Nom et, au besoin, le Business process, le Data flow ou le Vendor visé. Chacune de ces listes est consultable : saisissez une partie d’un nom pour la restreindre. Pour en ajouter un qui n’y figure pas encore, choisissez + Add a new ... au bas de la liste (ou saisissez d’abord le nom et choisissez + Add "name"). Un court formulaire s’ouvre par-dessus celui où vous vous trouvez; le nouvel élément est sélectionné lorsque vous l’enregistrez, et vous pourrez remplir le reste plus tard, sur sa propre page. Sélectionnez Suivant.
  4. Sous Which privacy laws should this one assessment cover?, les lois que vous suivez dans Compliance sont déjà cochées. Cochez-en d’autres au besoin.
  5. Pour repérer les lois que vous auriez pu oublier, ouvrez Add other privacy laws by location and audience, cochez Where are the people? et Who is involved?, puis sélectionnez Tick the laws that apply.
  6. Sélectionnez Create assessment. L’évaluation s’ouvre à l’état Draft.
Étape 1 de l’assistant de nouvelle évaluation des facteurs relatifs à la vie privée, avec six types d’évaluation. Chaque carte indique ce que vos cadres de référence sélectionnés attendent, par exemple la PPCDA qui exigerait une évaluation de transfert si elle était adoptée.
Étape 1 de l’assistant. Chaque type d’évaluation indique ce que les cadres de référence que vous suivez en attendent. Données d’exemple.

Comment remplir une évaluation

  1. Répondez une seule fois à chaque question. Les étiquettes sous une question indiquent lesquelles des lois sélectionnées la posent et à quel endroit, par exemple PIPEDA Principle 4.4 ou PPCDA (Bill C-36, proposed) s. 57.
  2. Sous Risks and mitigations, sélectionnez Add a risk, décrivez What could go wrong, and for whom?, définissez Likelihood et Impact on people, puis consignez la Mitigation, le Owner, la date d’Échéance et le Statut. Sélectionnez Save risk.
  3. Sous Conclusion, choisissez Risk before mitigation, Remaining risk et la Decision (Proceed, Proceed with conditions ou Do not proceed), puis rédigez les Reasons and conditions.
  4. Saisissez l’Owner et la date de Next review, puis sélectionnez Enregistrer.
  5. Lorsqu’elle est prête, sélectionnez Send for review.

Comment approuver une évaluation

  1. Ouvrez l’évaluation et vérifiez les réponses, les risques et la conclusion.
  2. Sélectionnez Approve. La décision et le risque résiduel doivent d’abord être consignés.
  3. Si vous avez rédigé l’évaluation, une autre personne doit l’approuver, à moins que votre administrateur n’autorise l’auto-approbation dans Paramètres de conformité. Un motif d’au moins dix caractères vous est alors demandé; les auditeurs peuvent le consulter.
  4. Une fois l’évaluation approuvée, la date de la prochaine révision est fixée à un an à compter d’aujourd’hui, à moins que vous n’en ayez choisi une.

Comment imprimer, retirer ou supprimer une évaluation

  1. Sélectionnez Rapport pour obtenir une copie imprimable. Utilisez la boîte de dialogue d’impression de votre navigateur pour l’enregistrer en PDF.
  2. Sélectionnez Retire lorsque le système ou le transfert n’existe plus. Une évaluation retirée reste au dossier, mais ne compte plus comme preuve. Sélectionnez Reopen pour la rétablir comme brouillon.
  3. Sélectionnez Supprimer pour retirer définitivement un brouillon et ses risques. Seuls les brouillons peuvent être supprimés.

Où les évaluations apparaissent ailleurs

  • Contrôles : un contrôle qu’une EFVP appuie affiche un panneau Privacy impact assessments qui énumère les vôtres, avec Start an assessment. Voir Détail du contrôle.
  • Flux de données : un flux qui transporte des renseignements personnels au-delà d’une frontière comporte un bouton en forme de bouclier pour lancer une évaluation de transfert ou ouvrir celle qui existe. Voir Flux de données.

Conseils

  • Lorsque deux lois établissent des règles différentes, par exemple la règle COPPA pour les moins de 13 ans et la définition d’enfant de la PPCDA (moins de 18 ans), consignez les deux et concevez en fonction de la plus stricte.
  • La PPCDA est un projet de loi, pas encore une loi. L’inclure dès maintenant signifie que le même dossier est prêt si elle est adoptée, sans seconde évaluation.
  • Associez l’évaluation au flux de données ou au fournisseur visé : la suggestion disparaît et le lien s’affiche sur la page Flux de données.
  • Modifier une évaluation approuvée, ou l’un de ses risques, la renvoie à In review. Approuvez-la de nouveau une fois la modification vérifiée.
  • Prévoyez une révision au moins une fois par année, et chaque fois que le système, le fournisseur ou les pays concernés changent.

Dépannage

« Privacy impact assessments are not set up yet. »
La mise à jour de cette fonctionnalité pour votre organisation n’est pas terminée. Communiquez avec votre administrateur ou avec notre équipe de soutien.
« You wrote this, so someone else has to approve it. »
Demandez à un collègue dont le rôle de conformité comprend l’approbation. Un administrateur peut autoriser l’auto-approbation avec un motif dans Paramètres de conformité.
« Record the decision and the remaining risk, and save, before approving. »
Remplissez Remaining risk et Decision sous Conclusion, puis sélectionnez Enregistrer.
« Only a draft can be deleted. »
Sélectionnez plutôt Retire. Le dossier est conservé pour votre piste d’audit.
Une loi dont j’ai besoin ne figure pas dans la liste.
La liste présente les lois sur la vie privée du catalogue de cadres de référence de Lavawall. Indiquez à notre équipe de soutien de quelle loi vous avez besoin.

Besoin d’aide?

Consultez le centre de soutien ou communiquez avec notre équipe de soutien en nous indiquant la page où vous étiez :

Les noms, entreprises, appareils et chiffres figurant dans les images sont des exemples. Les autres noms de produits et d’entreprises sont des marques de commerce de leurs propriétaires respectifs.

Nous utilisons des statistiques respectueuses de la vie privée, sans témoins, pour compter les visites, et un seul témoin pour faire fonctionner notre clavardage en direct. Les deux ne se chargent que si vous acceptez. Nous n’utilisons aucun traceur publicitaire et nous ne vous profilons pas d’un site à l’autre. Les témoins essentiels au fonctionnement du site restent toujours actifs. Consultez notre politique de confidentialité.