Loi 25 Québec — registre des traitements, registre des incidents de confidentialité et responsable désigné (Community)

Guide utilisateur — Loi 25 Québec, socle lite

Ce guide concerne les registres internes de l'entreprise dans Odoo 19. Non éprouvé en production.

1. Désigner le responsable et donner les accès

Le groupe Loi 25 : Consultation et déclaration d'incident consulte les registres et peut créer un incident. Le groupe Loi 25 : Responsable de la protection des renseignements personnels tient les traitements, apprécie le risque et entretient le paramétrage. Sélectionner la société concernée. Le premier groupe lit aussi le registre des incidents : attribuer cet accès en connaissance du contenu, sans supposer une confidentialité incident par incident.

Dans Renseignements personnels → Configuration → Responsable désigné, saisir nom, titre, coordonnées et date de désignation. Documenter le mode de désignation. En cas de délégation, préciser délégant, portée et écrit. Renseigner le moyen, l'adresse et la date de publication après publication effective hors du module. Le module conserve ces déclarations ; il ne publie ni ne vérifie la page Web. Lors d'un remplacement, conserver le dossier historique et retirer son statut de responsable en fonction.

2. Décrire les traitements

Créer les catégories utiles dans Configuration → Catégories de renseignements et Catégories de personnes. Dans Registres → Activités de traitement, saisir :

• une activité identifiable et sa finalité concrète ;
• les catégories de renseignements et de personnes, les destinataires internes et externes, ainsi que les communications hors Québec connues ;
• la durée de conservation et sa justification, la base juridique et les mesures de sécurité ;
• le responsable désigné, le pilote de l'activité et la date de revue.

La durée de conservation est du texte libre : l'exemple d'une autre activité n'est pas une durée réglementaire applicable à la vôtre. Mettre en vigueur change l'état du dossier interne ; Arrêter l'activité consigne l'arrêt. Ce sont des actions de tenue du registre, pas des autorisations de traitement.

3. Consigner un incident

Dans Registres → Incidents de confidentialité, saisir l'intitulé, les circonstances et la nature. Distinguer la date ou période de l'incident de celle où l'entreprise en a pris connaissance. Décrire les renseignements visés ; si c'est impossible, remplir la raison prévue à cet effet.

Indiquer le nombre de personnes et préciser s'il est approximatif. Le champ « Nombre inconnu à ce jour » sert à suivre une investigation incomplète ; il ne dispense pas de compléter l'estimation attendue dans le registre. Rattacher les traitements concernés quand ils sont connus.

Le responsable complète Appréciation du risque et Éléments menant à cette appréciation. Toute appréciation retenue ou écartée doit être motivée ; une fiche non appréciée ne signifie pas un risque faible. Le module journalise le changement, mais ne choisit pas le niveau de risque à votre place.

4. Tenir à jour les mesures et les avis

Saisir les mesures prises, puis les dates et références des avis réellement transmis à la Commission et aux personnes. Si un avis public est utilisé, documenter sa date et le motif proposé par la fiche. Ne pas remplacer un avis individuel par une simple publication sans examen des conditions applicables.

Le lite ne produit ni courrier ni envoi. Le délai d'avis à la CAI est laissé non chiffré dans les données : aucune échéance automatique ne permet d'attendre. Utiliser les instructions et le formulaire officiels en vigueur.

5. Journal et conservation

Relire Registres → Journal d'événements et les journaux accessibles depuis les fiches. Le registre d'incidents doit rester à jour. La donnée livrée indique un minimum de cinq ans depuis la prise de connaissance, et non depuis l'incident. La sauvegarde et la conservation restent à organiser ; le lite n'apporte pas la garde de suppression et les rappels du premium. Archiver une fiche n'est pas la détruire ni la faire sortir de toutes les obligations de conservation.

6. Ce que le premium ajoute

Le guide premium décrit les demandes d'accès, de rectification et de portabilité, les ÉFVP, les textes d'avis, les rappels et le suivi de conservation. Les questionnaires sont des aides de travail ; les extraits produits ne sont pas le formulaire officiel de la CAI. Même avec le premium, aucune transmission n'est effectuée par ces boutons.

Sources et réserves

Consultées le 27/09/2026 : CAI — entreprises privées, incidents et registre, droits et champ d'application. Le formulaire officiel a été repéré à cette date ; son contenu n'a pas fait l'objet d'une correspondance complète avec les champs. Aucune valeur nouvelle n'est introduite dans le code.