Responsable de la protection des renseignements personnels pour école privée au Québec : Loi 25, coûts et organisation

La Loi 25 crée une obligation que beaucoup d'établissements sous-estiment encore

La Loi 25 — Loi modernisant des dispositions législatives en matière de protection des renseignements personnels est entrée en vigueur au Québec en trois phases entre septembre 2022 et septembre 2023. Son exigence la plus structurante pour les établissements d'enseignement supérieur privés n'est pas la politique de confidentialité, ni le formulaire de consentement : c'est l'obligation de désigner un responsable de la protection des renseignements personnels (RPRP).

Ce rôle est distinct du DPO européen prévu par le RGPD. Il ne s'appelle pas « délégué à la protection des données » et n'obéit pas aux mêmes règles qu'en France, en Belgique ou en Suisse. C'est une fonction créée par la loi québécoise, supervisée par la Commission d'accès à l'information (CAI), qui s'applique à toute organisation du secteur privé qui collecte des renseignements personnels — ce qui inclut l'ensemble des universités privées, des cégeps privés subventionnés, des collèges privés non subventionnés et des écoles de gestion ou de technologie au Québec.

Cet article s'adresse aux directions d'établissement, aux secrétaires généraux, aux responsables marketing et aux équipes d'admission qui veulent comprendre ce qu'implique concrètement cette obligation, comment l'organiser, et ce que coûte un RPRP externalisé au Québec. Pour le cadre général de la protection des renseignements personnels dans l'enseignement supérieur québécois, consultez notre guide complet Loi 25 et données étudiantes.

Ce que la Loi 25 exige réellement : le RPRP, pas un DPO

La confusion entre le RPRP québécois et le DPO européen est fréquente — et coûteuse si elle conduit un établissement à confier la mission à quelqu'un qui n'en connaît que le cadre européen. Les différences sont substantielles.

Le RPRP québécois est désigné par la plus haute autorité de l'organisation (article 3.1 de la Loi sur la protection des renseignements personnels, version modernisée par la Loi 25). En pratique pour un cégep ou une université, c'est le directeur général ou la rectrice qui assume cette responsabilité par défaut — et qui peut la déléguer formellement à un membre du personnel ou à un tiers externe. Cette désignation au plus haut niveau institutionnel est significative : elle signifie que la protection des renseignements personnels est une responsabilité de gouvernance, pas simplement une fonction technique ou juridique.

Les responsabilités concrètes du RPRP couvrent :

• La mise en place et le maintien d'un programme de gestion de l'information personnelle (politiques, procédures, formation du personnel)
• La conduite ou la supervision des évaluations des facteurs relatifs à la vie privée (EFVP) avant le déploiement de tout nouveau projet ou technologie traitant des renseignements personnels
• La gestion des incidents de confidentialité (violations de données) : évaluation, notification à la CAI dans les 30 jours si l'incident présente un risque de préjudice sérieux, notification aux personnes concernées
• Le traitement des demandes d'exercice de droits (accès, rectification, désindexation, suppression) dans le délai de 30 jours prévu par la Loi 25
• La tenue d'un registre des incidents de confidentialité communicable à la CAI sur demande
• La publication des coordonnées du RPRP sur le site de l'établissement

Les trois modèles d'organisation du RPRP au Québec

Contrairement au cadre européen, la Loi 25 ne prévoit pas explicitement la notion de « DPO mutualisé » entre organisations distinctes. Cependant, la délégation à un tiers externe est expressément autorisée — le responsable de la plus haute autorité peut « déléguer par écrit » la fonction à un employé ou à un tiers. Cette délégation ne décharge pas l'établissement de sa responsabilité légale : la haute direction reste imputable devant la CAI.

L'EFVP : une obligation distincte que le RPRP doit maîtriser

L'une des spécificités les plus importantes de la Loi 25 par rapport au cadre européen est l'obligation d'évaluation des facteurs relatifs à la vie privée (EFVP) avant la mise en œuvre de tout projet comportant la collecte, l'utilisation, la communication, la conservation ou la destruction de renseignements personnels.

Pour un établissement d'enseignement supérieur québécois, cela signifie concrètement qu'une EFVP est requise avant de déployer :

• Un chatbot IA de recrutement étudiant (collecte de renseignements personnels sur les prospects)
• Un nouveau CRM ou système de gestion des candidatures
• Une plateforme d'apprentissage en ligne intégrant du profilage ou de l'analytics comportemental
• Un système de vidéosurveillance sur le campus
• Toute intégration avec un prestataire dont les serveurs sont situés hors du Québec

L'EFVP n'est pas un simple formulaire administratif. C'est une analyse structurée qui documente les renseignements collectés, les fins poursuivies, les risques pour la vie privée, et les mesures d'atténuation mises en place. Elle doit être transmise à la CAI si elle conclut à l'existence de risques résiduels significatifs.

Le RPRP externalisé doit être en mesure de conduire ou de superviser ces EFVP. Vérifiez que le prestataire a une expérience documentée dans la conduite d'EFVP pour des établissements d'enseignement supérieur au Québec — c'est un critère de sélection déterminant.

Notification des incidents à la CAI : 30 jours, pas 72 heures

Une différence fondamentale entre la Loi 25 québécoise et le RGPD européen concerne le délai de notification des incidents de confidentialité. En Europe, la notification à l'autorité de contrôle doit intervenir dans les 72 heures suivant la prise de connaissance de la violation (article 33 RGPD). Au Québec, la Loi 25 prévoit un délai de 30 jours pour notifier la CAI lorsque l'incident présente un risque de préjudice sérieux.

Ce délai plus long ne signifie pas que l'urgence est moindre. Le RPRP doit :

1. Évaluer immédiatement si l'incident présente un risque de préjudice sérieux (vol d'identité, discrimination, atteinte à la réputation, perte financière pour les personnes concernées)
2. Si oui, documenter l'incident dans le registre et préparer la notification à la CAI dans les 30 jours
3. Notifier également les personnes concernées si l'incident leur présente un risque de préjudice sérieux
4. Documenter toutes les mesures prises pour contenir l'incident et prévenir la récurrence

Un établissement qui gère plusieurs milliers de dossiers de renseignements personnels — prospects, étudiants inscrits, diplômés, partenaires coopératifs — a un risque non nul d'incident. La gestion des incidents est l'une des missions les plus opérationnelles du RPRP, et celle qui demande le plus de réactivité. L'externalisation à un cabinet ayant une permanence d'urgence est un avantage concret dans ce contexte.

Chatbot IA, Loi 25 et responsabilités du RPRP

Les établissements québécois qui déploient un chatbot IA pour le recrutement étudiant ont des obligations spécifiques sous la Loi 25 que le RPRP doit documenter et superviser. La bonne nouvelle opérationnelle : 72 % des questions posées par les prospects sont automatisables par chatbot IA (Source : Classification Skolbot, 12 000 conversations, 2025). Cela justifie pleinement l'investissement — sous réserve que la mise en conformité soit assurée.

Les vérifications prioritaires du RPRP pour un chatbot de recrutement :

Localisation des serveurs et transferts hors Québec. L'article 17 de la Loi 25 impose qu'avant de communiquer des renseignements personnels à un tiers situé hors du Québec, l'établissement procède à une EFVP et s'assure que ce tiers offre une protection équivalente à la Loi 25. Un chatbot hébergé aux États-Unis ou dans un datacenter hors Canada doit faire l'objet d'une EFVP et d'un contrat de sous-traitance conforme.

Politique de confidentialité et consentement éclairé. Le chatbot doit informer le prospect des renseignements collectés, des fins poursuivies, et des droits dont il dispose. Cette information doit être accessible et rédigée en termes simples — exigence expresse de la Loi 25. Un bouton « J'accepte les conditions » sans information claire ne satisfait pas cette obligation.

Durée de conservation et purge automatique. Les renseignements collectés via le chatbot (prénom, courriel, programme d'intérêt, questions posées) ne peuvent être conservés que le temps nécessaire aux fins déclarées. Le RPRP doit s'assurer que le contrat avec le fournisseur prévoit une durée de conservation définie et une procédure de purge automatique.

Les établissements avec chatbot IA voient +62 % de leads qualifiés (Source : Résultats médians Skolbot, 18 écoles, 2024-2025). Cette performance est atteignable et maintenable dans le cadre de la Loi 25 — à condition que la conformité soit intégrée dès le déploiement, pas ajoutée après coup. Pour les bonnes pratiques de protection des renseignements personnels dans votre pipeline d'admission, consultez notre guide sur la protection des données des prospects.

Comment sélectionner un RPRP externalisé pour votre établissement québécois

Le marché québécois du RPRP externalisé est moins mature que le marché européen du DPO — la Loi 25 n'est pleinement en vigueur que depuis septembre 2023. Mais des cabinets et consultants spécialisés en droit de la vie privée québécois proposent désormais des mandats de RPRP externalisé.

Les critères déterminants pour un établissement d'enseignement supérieur :

Connaissance de la Loi 25 et de son application sectorielle. La Loi 25 est une loi québécoise distincte du RGPD. Un prestataire dont l'expertise est principalement européenne ne sera pas aussi efficace qu'un cabinet spécialisé en droit québécois de la vie privée. Demandez des références dans le secteur de l'enseignement supérieur (universités, cégeps, collèges privés) et vérifiez la connaissance des spécificités sectorielles : BCI, SRAM, SRACQ, AFE, droits de scolarité différenciés (Québécois, hors-Québec, internationaux).

Capacité à conduire des EFVP. L'EFVP est une obligation centrale de la Loi 25 qui n'a pas d'équivalent direct dans de nombreux autres systèmes juridiques. Vérifiez que le prestataire a une méthodologie documentée pour les EFVP et une expérience avec les types de technologies déployées dans votre établissement.

Disponibilité pour la gestion des incidents. Le délai de 30 jours pour la notification à la CAI en cas d'incident semble long, mais l'évaluation initiale du risque doit être immédiate. Le contrat doit prévoir un service d'urgence joignable hors heures ouvrées.

Langue et droit applicable. Les échanges avec la CAI se font en français. Toute la documentation — registre des incidents, politiques, formulaires d'exercice des droits — doit être en français. Le prestataire doit maîtriser la terminologie exacte de la Loi 25 : « renseignements personnels » (pas « données personnelles »), « RPRP » (pas « DPO »), « EFVP » (pas « AIPD »).

Foire aux questions — RPRP et Loi 25 au Québec

La Loi 25 s'applique-t-elle aux cégeps publics ou seulement aux établissements privés ?

La Loi 25 a un champ d'application différencié. La Loi sur la protection des renseignements personnels dans le secteur public (LPRP) s'applique aux organismes publics, y compris les cégeps publics et les universités du réseau UQ (UQAM, UQTR, etc.). La Loi sur la protection des renseignements personnels dans le secteur privé (modernisée par la Loi 25) s'applique aux établissements privés. Les obligations sont similaires dans leur contenu mais relèvent de régimes distincts et d'autorités différentes (la CAI supervise les deux). Cet article traite principalement du régime du secteur privé.

Le RPRP doit-il être membre du Barreau du Québec ?

Non. La Loi 25 ne requiert pas que le RPRP soit avocat. Elle exige que la personne désignée ait les qualifications et les ressources nécessaires pour exercer la fonction. En pratique, les RPRP ont souvent un profil juridique (droit de la vie privée), un profil en gestion des risques, ou un profil technologique avec formation spécialisée en protection des renseignements personnels. Ce qui compte, c'est la maîtrise de la Loi 25 et des exigences de la CAI.

L'établissement doit-il publier les coordonnées du RPRP ?

Oui. La Loi 25 exige que les coordonnées du RPRP (ou le moyen de le joindre) soient publiées sur le site de l'établissement. Il n'est pas nécessaire de publier l'identité personnelle du RPRP — un courriel dédié (exemple : protection.donnees@monecole.qc.ca) suffit, à condition qu'il soit activement surveillé et que les demandes reçoivent une réponse dans les délais légaux.

Quelle est la différence entre l'EFVP et une politique de confidentialité ?

La politique de confidentialité est un document public qui informe les personnes des renseignements collectés et de leurs droits. L'EFVP est un document interne de gestion des risques qui analyse, avant le lancement d'un projet, les risques que celui-ci fait peser sur la vie privée et les mesures pour les atténuer. La politique de confidentialité est un résultat de la gouvernance ; l'EFVP est un outil de décision. Les deux sont exigés par la Loi 25, mais ils ont des fonctions distinctes.

Notre checklist d'audit Loi 25 couvre-t-elle la vérification du RPRP ?

Oui. Consultez notre checklist d'audit Loi 25 pour établissement d'enseignement supérieur qui inclut la vérification de la désignation formelle du RPRP, la publication de ses coordonnées, et la délégation écrite conforme à la Loi 25.