Modèle d'accord de traitement des renseignements personnels (Québec)

Présentation

L'accord de traitement des renseignements personnels organise, au Québec, la relation entre une entreprise responsable de la collecte de renseignements personnels et un prestataire (« mandataire » ou « sous-traitant ») auquel elle confie tout ou partie du traitement de ces renseignements pour son compte. Il trouve son fondement dans la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP), profondément modernisée par la Loi 25, entrée en vigueur par étapes entre septembre 2022 et septembre 2024. Cette réforme a considérablement renforcé les obligations des entreprises québécoises : tenue d'un registre des incidents de confidentialité, notification obligatoire à la Commission d'accès à l'information du Québec (CAI) et aux personnes concernées en cas d'incident présentant un risque de préjudice sérieux, réalisation d'une évaluation des facteurs relatifs à la vie privée (EFVP) avant certains projets impliquant des renseignements personnels (notamment l'acquisition, le développement ou la refonte de systèmes d'information ou de services électroniques), et sanctions administratives pécuniaires pouvant atteindre des montants substantiels en cas de manquement grave. La LPRPSP, bien qu'elle s'inspire par endroits du RGPD (droit à la portabilité, consentement renforcé, désignation d'un responsable de la protection des renseignements personnels au sein de l'entreprise), demeure un régime distinct : l'autorité de contrôle compétente est la Commission d'accès à l'information du Québec (CAI), et non la CNIL ni aucune autorité de contrôle européenne ; la terminologie (« renseignement personnel » plutôt que « donnée à caractère personnel », « personne responsable de la protection des renseignements personnels » plutôt que « délégué à la protection des données ») et certains mécanismes procéduraux diffèrent également. Contenu essentiel de l'accord : l'objet, la durée et la finalité du traitement confié au prestataire ; les catégories de renseignements personnels et de personnes concernées ; les obligations du prestataire (traiter les renseignements uniquement selon les instructions reçues, garantir la confidentialité, mettre en œuvre des mesures de sécurité raisonnables) ; les conditions de recours à un sous-traitant ultérieur ; l'assistance apportée à l'entreprise responsable en cas de demande d'exercice de droits ou d'incident de confidentialité, y compris les délais de notification permettant à l'entreprise de respecter ses propres obligations envers la CAI ; le sort des renseignements à l'issue du contrat ; et, lorsque les renseignements sont transférés hors du Québec, l'évaluation des facteurs relatifs à la vie privée exigée par la Loi 25 avant tout transfert vers un tiers situé à l'extérieur du Québec. Quand l'utiliser : chaque fois qu'une entreprise québécoise confie le traitement de renseignements personnels (hébergement infonuagique, gestion de la paie, service SaaS, sous-traitance de la relation client) à un prestataire tiers agissant pour son compte. Erreurs à éviter : reprendre un DPA calibré pour le RGPD en se contentant de remplacer « CNIL » par « CAI », sans adapter les mécanismes propres à la Loi 25 (registre des incidents, EFVP) ; omettre l'évaluation des facteurs relatifs à la vie privée avant un transfert de renseignements hors du Québec ; et ne pas prévoir de délai de notification suffisamment court pour permettre à l'entreprise responsable de respecter ses propres obligations de notification à la CAI.

Informations à personnaliser

• Dénomination sociale de l'entreprise responsable

• Numéro d'entreprise du Québec (NEQ) de l'entreprise responsable

• Siège de l'entreprise responsable

• Dénomination sociale du prestataire

• Numéro d'entreprise du Québec (NEQ) du prestataire

• Siège du prestataire

• Objet et finalité du traitement confié

• Durée du traitement

• Catégories de renseignements personnels traités

• Catégories de personnes concernées

• Mesures de sécurité mises en œuvre

• Lieu(x) de traitement des renseignements

  À préciser si le traitement a lieu hors du Québec.

• Sous-traitants ultérieurs autorisés

• Délai de notification d'un incident de confidentialité à l'entreprise responsable

• Sort des renseignements à l'issue du contrat

  Ex. : restitution ou suppression.

• Date de signature de l'accord

Personnalisez votre modèle

Questions fréquentes

Cet accord est-il identique à un DPA conforme au RGPD ?

Non. Il s'appuie sur la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP) du Québec, réformée en profondeur par la Loi 25 entre 2022 et 2024, qui s'inspire par endroits du RGPD sans s'y identifier. Si le prestataire traite aussi des données de personnes situées dans l'Union européenne, un accord distinct conforme au RGPD peut être requis en complément.

Qui contrôle le respect de la Loi 25 par le prestataire ?

La Commission d'accès à l'information du Québec (CAI), autorité distincte de la CNIL française et des autorités de contrôle des États membres de l'Union européenne.

Qu'est-ce que le registre des incidents de confidentialité ?

Depuis la Loi 25, toute entreprise doit tenir un registre de tous les incidents de confidentialité touchant les renseignements personnels qu'elle détient, et notifier la CAI ainsi que les personnes concernées lorsque l'incident présente un risque de préjudice sérieux.

Qu'est-ce qu'une évaluation des facteurs relatifs à la vie privée (EFVP) ?

C'est une analyse préalable, exigée par la Loi 25 pour certains projets impliquant des renseignements personnels (notamment l'acquisition ou la refonte de systèmes d'information, ou un transfert hors du Québec), qui doit être réalisée par l'entreprise responsable avant la mise en œuvre du traitement.

Quelles sanctions en cas de manquement à la Loi 25 ?

La Loi 25 a introduit des sanctions administratives pécuniaires pouvant atteindre des montants substantiels, ainsi que des sanctions pénales en cas de manquement grave, un renforcement important par rapport au régime antérieur de la LPRPSP.

Le prestataire peut-il recourir à un sous-traitant ultérieur ?

Uniquement dans les conditions fixées par l'accord, en général sous réserve d'une information préalable ou d'une autorisation écrite de l'entreprise responsable.

Modèles associés