Arya Privacy — Conformité en matière de protection des renseignements personnels pour les organismes publics locaux dans dix provinces

Commencez ici

Dix provinces, et elles n’exigent pas les mêmes choses.

Choisissez la vôtre. La grille tarifaire ci-dessous, la règle d’attribution qui encadre la façon dont votre organisme peut l’acheter et l’estimateur s’ajustent tous à elle. Les sections 01 à 05 traitent l’Alberta en détail : elles sont là pour montrer avec quelle attention chaque loi est lue, et non parce que l’Alberta serait la seule province desservie.

§01 · Alberta · Ce qui a changé

Une seule loi est devenue deux lois, et les obligations se sont déplacées.

Les obligations d'accès sont passées dans l'Access to Information Act. Les obligations en matière de protection des renseignements personnels sont passées dans la Protection of Privacy Act, dont le détail est établi dans le Protection of Privacy (Ministerial) Regulation, AR 143/2025.

Pour une municipalité, cela a une conséquence qui passe facilement inaperçue. Les politiques, les formulations de consentement, les calendriers de conservation et les énoncés de confidentialité des sites Web rédigés en fonction de la FOIP citent aujourd'hui une loi qui ne contient plus les dispositions sur lesquelles ils s'appuient. Les obligations n'ont pas disparu — elles ont changé de place, et par endroits elles ont changé de forme.

Deux d'entre elles sont nouvelles sur le fond plutôt que dans la numérotation : l'obligation de mettre en place et d'appliquer un programme documenté de gestion de la protection des renseignements personnels, et un seuil d'évaluation des facteurs relatifs à la vie privée (ÉFVP) nettement plus restreint que ne le laissent entendre la plupart des résumés.

Qui est un organisme public

L'ATIA s.1(m) définit ce qu'est un organisme d'administration locale, et la liste est plus large que la plupart des gens ne l'imaginent : les municipalités, les districts d'amélioration, les secteurs spéciaux, les commissions régionales de services, les conseils des districts d'irrigation et de drainage, les organismes de gestion constitués sous le régime de l'Alberta Housing Act, les établissements métis et le Metis Settlements General Council, les commissions et les services de police, les conseils de bibliothèque municipaux et intermunicipaux, ainsi que tout conseil, comité, commission, groupe, organisme ou société créé par l'un d'eux ou lui appartenant.

Cela compte, parce qu'une prestation partagée avec un conseil de bibliothèque, un organisme de gestion du logement ou une commission régionale de services n'est pas une relation avec un fournisseur — il s'agit de deux organismes publics qui mènent un programme commun, ce qui change entièrement l'analyse.

§02 · Alberta · Le seuil

Quand une évaluation est vraiment exigée.

La POPA n'exige pas une ÉFVP pour chaque système qui touche à des renseignements personnels. L'article 7(1) établit un seuil à deux volets — et une pratique doit satisfaire aux conditions préalables avant même que l'un ou l'autre volet soit atteint.

Les conditions préalables : la pratique, le programme, le projet ou le service doit être nouveau, ou constituer une modification importante d'un élément existant, et il doit comporter la collecte, l'utilisation ou la communication de renseignements personnels. Un système qui fonctionne sans changement depuis six ans n'est pas visé par s.7(1) du seul fait qu'il contient des renseignements personnels.

s.7(1)(a)La perte des renseignements personnels, l'accès non autorisé à ceux-ci ou leur communication non autorisée pourrait causer un préjudice important, déterminé conformément à s.4.
s.7(1)(b)Un ou plusieurs des facteurs de transmission obligatoire prévus à s.7(5) s'appliquent.

L'asymétrie entre les deux est ce qu'il faut comprendre. Le volet (a) se suffit à lui-même : une pratique peut exiger qu'une évaluation soit réalisée pour des motifs de préjudice important, sans aucune obligation de la transmettre. Tout ce que vise le volet (b) doit être à la fois réalisé et transmis.

Les six facteurs prévus à s.7(5)

7(5)(a)Renseignements personnels réputés d'une sensibilité élevée
7(5)(b)Renseignements personnels d'un pourcentage important de la population desservie
7(5)(c)Appariement de données entre deux organismes publics ou plus
7(5)(d)Élément d'un programme ou d'un service commun ou intégré
7(5)(e)Élaboration ou utilisation d'une technologie novatrice
7(5)(f)Le Commissaire demande une copie en vertu de s.27(1)(j) de la POPA

« Sensibilité élevée », au volet (a), est un terme défini, et non une question d'appréciation. L'article 1 ne répute d'une sensibilité élevée que trois choses : les renseignements biométriques, les renseignements financiers et les renseignements personnels concernant un mineur, une personne âgée ou une personne vulnérable. C'est une liste fermée.

Trois dispositions qui allègent le travail

s.7(3) — le niveau de détail doit être proportionné à la complexité de la pratique. Pour un village de deux cents habitants, c'est une limite de portée prévue par le texte, et non une simple courtoisie.

s.7(4)(a) — lorsqu'une pratique fait déjà l'objet d'une ÉFVP, une modification importante peut être prise en compte en modifiant celle-ci plutôt qu'en recommençant à zéro.

s.7(4)(b) — pour un programme commun ou intégré, ou pour un appariement de données entre deux organismes publics ou plus, ces organismes peuvent préparer une seule ÉFVP conjointe, chacun y ajoutant un addenda propre à sa situation. Cela figure dans le règlement lui-même, et non dans des lignes directrices, et c'est la disposition la plus utile dont disposent les petites municipalités qui partagent un service.

Ce que doit contenir une évaluation — s.7(2)

(a)Un résumé des fins de la collecte, de l'utilisation ou de la communication
(b)Les types de renseignements personnels en cause, et les mesures de sécurité raisonnables qui les protègent
(c)Le fondement juridique de la collecte, de l'utilisation ou de la communication
(d)Les risques relevés pour la vie privée, et les stratégies qui les atténuent
(e)Les mesures de protection administratives, physiques et techniques
(f)Les procédures d'exactitude, de correction et de conservation
(g)Une structure de gouvernance lorsque deux organismes publics ou plus partagent un programme

Sept, et non six — et c'est le (b) qui est le plus souvent omis. En vertu de s.7(6), lorsque la transmission est exigée et qu'une entente sous-tend la pratique, les parties de cette entente qui portent sur la protection des renseignements personnels doivent être transmises en même temps.

§03 · Alberta · Examen préalable

Évaluez une pratique au regard de la disposition albertaine s.7(1).

Cet outil applique le critère prévu par la loi, et rien d'autre — la même séquence que je suis, système par système, dans un mandat d'examen préalable. Il répond à deux questions distinctes : une évaluation est-elle exigée, et doit-elle être transmise? Cet instrument n'applique que le règlement de l'Alberta. La Colombie-Britannique n'a aucun seuil équivalent à vérifier : les Directions 2-21 exigent une évaluation pour chaque nouvelle initiative et avant tout changement important, de sorte qu'un résultat « non exigée » obtenu ici ne dit rien au sujet d'un organisme public de la Colombie-Britannique. La grille tarifaire de la Colombie-Britannique se trouve au §06.

Examen préalable · Alberta · AR 143/2025 s.7 Prérempli avec un exemple concret

—

§04 · Alberta · Corrections

Sept affirmations qui circulent et qui sont fausses.

Elles proviennent de résumés, de documents de fournisseurs et de notes d'information de seconde main, et plusieurs sont très répandues. Chaque correction peut être vérifiée en quelques minutes à partir de l'article cité — les liens vers les sources figurent au bas de cette page. Les sept relèvent du droit albertain : la POPA, l'Access to Information Act et le règlement AR 143/2025. La Colombie-Britannique fonctionne à l'inverse pour la première d'entre elles, puisqu'une évaluation y est exigée pour chaque nouvelle initiative.

Ce qu'on entend souvent

Une ÉFVP est exigée pour tout système qui traite des renseignements personnels.

Ce que dit le droit albertain

Seulement pour une pratique nouvelle ou modifiée de façon importante, qui met en cause des renseignements personnels et qui satisfait ensuite au volet (a) ou au volet (b). Les systèmes en place de longue date qui fonctionnent sans changement se situent entièrement hors du champ de s.7(1).AR 143/2025 s.7(1)

Ce qu'on entend souvent

L'article 7(1) énonce six éléments déclencheurs d'une ÉFVP.

Ce que dit le droit albertain

L'article 7(1) compte deux volets. Cinq des six facteurs se trouvent à s.7(5), qui régit la transmission au commissaire — une obligation distincte de celle de préparer l'évaluation.AR 143/2025 s.7(1), s.7(5)

Ce qu'on entend souvent

Il existe cinq facteurs qui rendent la transmission obligatoire.

Ce que dit le droit albertain

Six. Sensibilité élevée, un pourcentage important de la population desservie, l'appariement de données entre organismes publics, un programme commun ou intégré, une technologie innovante et une demande du commissaire.AR 143/2025 s.7(5)(a)–(f)

Ce qu'on entend souvent

Les renseignements de santé et les renseignements médicaux sont de sensibilité élevée.

Ce que dit le droit albertain

L'article 1 définit la sensibilité élevée comme une liste fermée : les renseignements biométriques, les renseignements financiers et les renseignements concernant un mineur, une personne âgée ou une personne vulnérable. Les renseignements de santé y entrent habituellement par le troisième élément — et une évaluation devrait le dire plutôt que d'affirmer la sensibilité.AR 143/2025 s.1

Ce qu'on entend souvent

L'article 7(2) fixe six exigences de contenu.

Ce que dit le droit albertain

Sept, de (a) à (g). Celle qu'on omet le plus souvent est (b) — les types de renseignements personnels en cause ainsi que les mesures de sécurité raisonnables qui les protègent.AR 143/2025 s.7(2)

Ce qu'on entend souvent

Les ÉFVP conjointes sont une recommandation du gouvernement de l'Alberta.

Ce que dit le droit albertain

Elles sont dans le règlement. L'article 7(4)(b) permet une évaluation conjointe pour un programme commun ou intégré ou pour l'appariement de données, chaque organisme participant préparant un addenda. Il s'agit d'un droit, non d'une ligne directrice.AR 143/2025 s.7(4)(b)

Ce qu'on entend souvent

Les établissements métis ne sont pas des organismes publics au sens de la loi.

Ce que dit le droit albertain

ATIA s.1(m) énumère expressément les établissements métis et le Metis Settlements General Council parmi les organismes d'administration locale. Les Premières Nations n'y figurent pas et ne sont pas des organismes publics au sens de la Loi — la distinction est réelle, mais elle ne vise que les Premières Nations.ATIA, SA 2024 c A-1.4, s.1(m)

§05 · Portée des travaux

Quatre mandats, chacun avec un livrable défini.

Je les prends séparément. Rien ici ne dépend de l'achat des autres.

01 · POPA s.25 · AR 143/2025 s.6

Programme de gestion de la protection des renseignements personnels — examen, ou élaboration de toutes pièces

Lorsqu'un programme existe : un examen écrit au regard des cinq éléments exigés par s.6(1), des exigences supplémentaires imposées par s.6(2) lorsque le volume ou la sensibilité est élevée — y compris pour les systèmes automatisés et assistés par l'IA — et de l'obligation de publication prévue à s.6(3). Les programmes rédigés à l'interne sont le cas courant, et ce sont les plus difficiles à vérifier depuis le bureau même qui les a rédigés. Le livrable est un examen annoté, chaque lacune étant repérée par article, avec le libellé nécessaire pour la combler.

Lorsqu'il n'en existe aucun : le programme lui-même — politiques, procédures, rôles, un inventaire des renseignements, la formation du personnel, la réponse aux atteintes à la protection des renseignements personnels, et une version prête à publier en vertu de s.6(3). L'échéance du 11 juin 2026 est passée : il s'agit donc désormais d'un travail de régularisation plutôt que de préparation, et c'est le travail que la plupart des petites municipalités n'ont toujours pas accompli.

02 · AR 143/2025 s.7(1), s.7(5)

Examen préalable ÉFVP dans l'ensemble des systèmes d'une municipalité

Une détermination, système par système, de ce qui est réellement visé par s.7(1) et de ce qui ne l'est pas, et, pour tout ce qui l'est, si s.7(5) rend la transmission obligatoire. Le livrable est un dossier d'examen écrit — le document à produire lorsqu'on demande pourquoi aucune évaluation n'a été préparée pour un système donné.

03 · AR 143/2025 s.7(4)(b)

Évaluation conjointe des facteurs relatifs à la vie privée

Pour un service partagé, une commission ou une entente d'entraide : une seule évaluation, sur le modèle du commissaire, visant le programme commun, accompagnée d'un court addenda pour chaque organisme participant. Les coûts sont répartis entre les organismes plutôt qu'assumés par chacun. C'est la seule structure dans laquelle une évaluation complète est économiquement défendable pour les municipalités de moins de mille habitants.

04 · POPA s.26 · modèle de l'OIPC

Évaluation des facteurs relatifs à la vie privée pour un seul organisme

Une évaluation complète réalisée selon le modèle d'ÉFVP POPA de l'OIPC, sections A à H avec annexes, satisfaisant aux sept exigences de contenu de s.7(2) et, lorsque la transmission est requise, assemblée avec les parties relatives à la protection des renseignements personnels de toute entente sous-jacente, comme l'exige s.7(6).

§06 · Honoraires

Forfaitaires, et publiés.

Fixés avant que quoi que ce soit ne commence, et publiés ici pour qu'un directeur général puisse établir le coût d'une décision sans avoir à demander une proposition au préalable. Presque personne sur ce marché ne publie ses tarifs; il n'y a aucune bonne raison à cela. L'estimateur ci-dessous chiffre un mandat précis.

Travaux	Honoraires (CAD)
Programme de gestion de la protection des renseignements personnels — examen d'un programme existant, un organisme public	2 500 $
Chaque organisme additionnel relevant de la même administration	900 $
Programme de gestion de la protection des renseignements personnels — élaboré de toutes pièces, POPA s.25 et s.6	à partir de 6 500 $
Chaque organisme additionnel relevant de la même administration	1 500 $
Examen préalable ÉFVP dans l'ensemble des systèmes d'une municipalité	1 900 $
Évaluation conjointe des facteurs relatifs à la vie privée en vertu de s.7(4)(b) — évaluation partagée	à partir de 4 900 $
Addenda pour chaque organisme participant	750 $
Évaluation des facteurs relatifs à la vie privée pour un seul organisme, modèle A–H de l'OIPC	à partir de 5 200 $
Soutien continu en protection des renseignements personnels — demandes fondées sur la s.25(3), questions sur les atteintes, examen annuel	350 $ / mois
Travaux hors du cadre de ces mandats, à l'heure	165 $
Programme de gestion de la protection des renseignements personnels — examen au regard de la Direction 02/2022, un organisme public	2 400 $
Chaque organisme additionnel relevant de la même administration	1 200 $
Programme de gestion de la protection des renseignements personnels — conçu pour un petit organisme : village, conseil de bibliothèque, commission de police, commission constituée	4 800 $
Programme de gestion de la protection des renseignements personnels — conçu pour un district, une cité, un district scolaire ou un district régional	à partir de 6 500 $
Chaque organisme additionnel relevant de la même administration	1 200 $
Examen préalable d'une initiative — une initiative, conclusion et motifs consignés	850 $
Évaluation des facteurs relatifs à la vie privée — une initiative, Directions 2-21 D1 à D13	2 200 $
Évaluation complexe — nouveau système central, déploiement de caméras ou de biométrie, couplage de données	à partir de 3 400 $
Évaluation supplémentaire lorsque des renseignements sensibles sont conservés à l'extérieur du Canada	650 $
Modification d'une évaluation existante en prévision d'un changement important	950 $
Inventaire et tri des initiatives — tout ce qui a été adopté depuis le 26 novembre 2021	2 200 $
Programme commun ou intégré — l'entente prévue à la s.12 du Règlement, l'évaluation conjointe et la notification prévue à la s.69(5.4)	à partir de 7 500 $
Addenda pour chaque organisme participant	650 $
Forfait d'évaluations — petit organisme, jusqu'à quatre évaluations par année	250 $ / mois
Organisme standard, jusqu'à huit, modifications comprises	450 $ / mois
Travaux hors du cadre de ces mandats, à l'heure	165 $
Examen au regard de l'obligation de protection, des ententes avec les fournisseurs de services et de la procédure de notification	1 600 $
Chaque autorité locale supplémentaire partageant la même administration	800 $
Politiques et procédures conçues pour un petit organisme : village, village de villégiature, municipalité rurale (RM), conseil de bibliothèque, commission nommée par le conseil municipal	3 900 $
Politiques et procédures conçues pour une ville, une cité, un conseil scolaire ou un service de police	à partir de 5 200 $
Chaque autorité locale supplémentaire partageant la même administration	800 $
Inventaire et vérification des fournisseurs de services — chaque fournisseur contrôlé au regard des trois éléments exigés à la s.8.2 du Règlement, avec l'avenant	1 800 $
Chaque fournisseur au-delà de douze	150 $
Avenant mené jusqu'à la signature avec chaque fournisseur, si vous préférez ne pas les relancer	220 $ chacun
Procédure en cas d'atteinte à la protection des renseignements personnels prévue à s.28.1 — comprise dans l'élaboration des politiques	950 $
Soutien continu — les questions, un avenant pour chaque nouveau fournisseur, une révision annuelle	200 $ / mois
Travaux hors du cadre de ces mandats, à l'heure	165 $
Vérification du responsable et du coordonnateur — la désignation par règlement municipal ou résolution prévue à s.80 et la nomination prévue au Reg. s.2, avec un libellé type	450 $
Examen de ce dont dispose déjà le bureau au regard de la politique de conservation, des mesures de protection, de l'avis d'atteinte et des obligations du gestionnaire d'information et du responsable	1 700 $
Trousse d'intervention en cas d'atteinte — le compte rendu de la décision, l'avis comportant les neuf éléments prescrits, le rapport à l'Ombudsman et un journal des atteintes	1 100 $
Inventaire des gestionnaires d'information et ententes — chaque fournisseur recensé et vérifié au regard de s.44.1(3), avec l'avenant qui fournit ce qui manque	1 700 $
Ensemble de la politique de conservation et des mesures de protection, élaboré pour un petit organisme : municipalité rurale, village, district de bassin versant, district d'aménagement, commission de police	3 600 $
Ensemble de la politique de conservation et des mesures de protection, élaboré pour une ville, une cité ou une division scolaire	à partir de 4 900 $
Ensemble sur les renseignements médicaux sous le régime de la PHIA — la politique et les procédures de sécurité écrites, la liste des accès autorisés, la formation, les engagements de confidentialité et la première vérification biennale	à partir de 2 200 $
Chaque organisme public additionnel partageant la même administration — un district d'aménagement, un district de bassin versant ou une commission de police	850 $
Chaque gestionnaire d'information au-delà de douze	150 $
Avenant mené jusqu'à la signature avec chaque gestionnaire d'information, si vous préférez ne pas avoir à les relancer	220 $ chacun
Vérification de sécurité PHIA reprise au bout de deux ans, Reg 245/97 s.8(1)	900 $
Soutien continu — les questions au fur et à mesure, une entente pour chaque nouveau gestionnaire d'information, le premier appel en cas d'atteinte soupçonnée — l'évaluation et le rapport à l'Ombudsman — et une révision annuelle	225 $ / mois
Travaux hors du cadre de ces mandats, à l'heure	165 $
Inventaire des collectes et examen de l'état de préparation, ss.28(3), 30(5) et 30.1	1 800 $
Trousse d'évaluation élaborée, petite institution (canton, village, conseil de bibliothèque, commission de police, conseil d'aménagement)	2 900 $
Trousse d'évaluation élaborée, institution standard (ville, cité, conseil scolaire, conseil de santé, CADSS, office de protection de la nature, commission de transport)	à partir de 4 200 $
Évaluation écrite pour une collecte, les dix éléments prévus à s.28(3)	1 600 $
Trousse en cas d'atteinte : compte rendu de la décision, registre, rapport au commissaire, avis à la personne concernée	1 250 $
Procédure d'accès mise à jour selon les modifications du 1er juillet 2026	950 $
Chaque institution additionnelle partageant une même administration	+850 $
Collecte complexe — une caméra ou un lecteur de plaques d'immatriculation, la biométrie, le couplage de données, un nouveau système central	à partir de 2 900 $
Mise à jour d'une évaluation existante en cas de changement important de la finalité, s.28(5)	650 $
Variante pour conseil scolaire ajoutée à une trousse : l'avis aux parents prévu par O. Reg. 52/26, ainsi que le point de contact et le calendrier de maturité prévus par O. Reg. 51/26	+1 400 $
Soutien continu — jusqu'à quatre évaluations écrites ou décisions d'examen préalable consignées par année, le registre des atteintes et le décompte annuel, une révision de la trousse et les questions au fur et à mesure	275 $ / mois
Travaux hors du cadre de ces mandats, à l'heure	165 $
Examen de conformité au regard des articles 63.3, 63.4, 63.5, 63.11, 67.2 et 70.1, les deux documents publiés étant d’abord vérifiés de l’extérieur	2 200 $
Règles de gouvernance et politique de confidentialité rédigées, petit organisme (municipalité de moins de 5 000 habitants, régie intermunicipale, office d’habitation, organisme paramunicipal)	4 200 $
Idem, organisme standard (ville, MRC, communauté métropolitaine, centre de services scolaire, corps de police municipal)	à partir de 6 200 $
Fournisseurs et tout ce qui est hébergé à l’extérieur du Québec : les clauses exigées par l’article 67.2, les engagements de confidentialité et, pour chaque communication, une évaluation des facteurs relatifs à la vie privée assortie de son entente écrite	2 600 $
Registre des incidents de confidentialité et procédure de notification, articles 63.8 à 63.11, avec les huit éléments prescrits par le règlement	1 100 $
Évaluation des facteurs relatifs à la vie privée pour un projet, article 63.5	2 200 $
Collecte pour le compte d’un autre organisme par une MRC ou une régie, article 64 : l’évaluation, l’entente comportant les éléments prescrits et le délai de trente jours devant la Commission	à partir de 6 800 $
Chaque organisme public additionnel relevant de la même administration	+1 100 $
Évaluation complexe — nouveau système central, vidéosurveillance, biométrie, appariement de fichiers	à partir de 3 400 $
Modification à la suite d’un changement important au projet	950 $
Chaque fournisseur au-delà de huit, ou chaque communication à l’extérieur du Québec au-delà de trois	+400 $
Chaque organisme participant ajouté à une entente de l’article 64	+700 $
Soutien continu — jusqu’à quatre évaluations au titre de l’article 63.5 par année, une évaluation et une entente écrite au titre de l’article 70.1 pour chaque nouveau fournisseur ou plateforme, les clauses de l’article 67.2 dans chaque nouveau contrat, et le registre tenu à jour	300 $ / mois
Travaux hors du cadre de ces mandats, à l'heure	165 $
Examen de l'état de préparation au regard de la nouvelle loi, avec l'inventaire préparatoire à l'entrée en vigueur de 2027	2 200 $
Politique de protection des renseignements personnels, procédure publique de plainte et protocole en cas d'atteinte, élaborés — petit organisme	4 400 $
Politique de protection des renseignements personnels, procédure publique de plainte et protocole en cas d'atteinte, élaborés — organisme standard	à partir de 6 200 $
Évaluation des facteurs relatifs à la vie privée, un projet, programme, système ou activité	1 900 $
Registre des renseignements personnels conservés à l'étranger et rapport annuel au ministre	1 200 $
Forfait de services partagés : une seule évaluation pour un programme ou une activité de nature commune ou intégrée	à partir de 5 400 $
Chaque organisme additionnel partageant une même administration	+850 $
Chaque organisme participant ajouté à un forfait de services partagés	+600 $
Évaluation complexe — nouveau système central, déploiement de caméras, service partagé ou changement d'hébergement	à partir de 3 100 $
Modification d'une évaluation à la suite d'un changement important, s.53(1)(b)	750 $
Protocole en cas d'atteinte, pris séparément, s.78	950 $, ou compris dans l'élaboration des politiques
Révision de tout ce que j'ai rédigé, une fois pris les règlements prévus à s.143	sans frais
Forfait d'évaluations — jusqu'à quatre évaluations des facteurs relatifs à la vie privée par année, les modifications qu'exige un changement important, une révision annuelle de la politique et les questions au fur et à mesure	250 $ / mois
Travaux hors du cadre de ces mandats, à l'heure	165 $
Examen des pratiques en matière d'information au regard de s.48.1 et du Reg. 4.2 — village, communauté rurale ou conseil local	1 200 $
Examen des pratiques en matière d'information — ville, cité, municipalité régionale, commission de services régionaux ou force policière	1 900 $
Responsable désigné en vertu de s.48.1(4), la désignation de l'administrateur général, et les pratiques en matière d'information publiées à l'intention du public	950 $
Pratiques en matière d'information élaborées pour un petit organisme : village, communauté rurale, conseil d'administration ou commission nommés par le conseil municipal	3 400 $
Pratiques en matière d'information élaborées pour une ville, une cité, une municipalité régionale, une commission de services régionaux ou une force policière	à partir de 4 600 $
Service commun ou intégré — inventaire de chaque service partagé, puis l'entente écrite prévue à s.46.2 comportant les six éléments que prescrit le Reg. 4.1	à partir de 2 800 $
Registre et procédure en cas d'atteinte en vertu du Reg. 4.2(4) — compris dans l'élaboration des pratiques	850 $
Chaque organisme public additionnel partageant la même administration	650 $
Chaque organisme participant à une entente de services partagés	650 $
Prestation bilingue — chaque livrable en français et en anglais; un ensemble complet de politiques ou un forfait de services partagés fait l'objet d'un devis établi selon le nombre de mots	à partir de 650 $
Soutien continu — les questions au fur et à mesure, la mise à l'essai et l'évaluation périodiques qu'exige le Reg. 4.2(3), une nouvelle entente lorsqu'un service partagé s'ajoute, et une révision annuelle des pratiques	225 $ / mois
Travaux hors du cadre de ces mandats, à l'heure	165 $
Règlement municipal sur l'accès à l'information et la protection des renseignements personnels vérifié au regard du règlement provincial de 2020, une municipalité	850 $
Règlement municipal rédigé ou mis en conformité — municipalité rurale	1 900 $
Règlement municipal rédigé ou mis en conformité — ville	à partir de 2 600 $
Trousse de nomination du coordonnateur — la résolution, la description du rôle, la vérification de l'admissibilité et le gabarit du rapport annuel	650 $
Séance de formation pour un nouveau conseil — le conseil et le personnel, avec un compte rendu écrit pour le rapport annuel	750 $
Examen des mesures de sécurité et de la désignation du responsable — Charlottetown, Summerside, Cornwall ou Stratford	à partir de 2 200 $
Chaque municipalité supplémentaire partageant la même administration	450 $
Procédure d'intervention en cas d'atteinte à la protection des renseignements personnels — facultative, aucune loi ne l'exige; comprise dans la rédaction d'un règlement municipal	650 $
Le rapport annuel écrit du coordonnateur au conseil municipal, préparé les années suivantes	250 $
Soutien continu — les questions au fur et à mesure, le rapport annuel du coordonnateur, une vérification du règlement municipal par année — les questions au fur et à mesure, le rapport annuel écrit du coordonnateur au conseil municipal et une vérification du règlement municipal au regard du règlement provincial chaque année	150 $ / mois
Travaux hors du cadre de ces mandats, à l'heure	165 $
Procédure en cas d'atteinte à la protection des renseignements personnels et trousse de déclaration — le rapport au commissaire, l'évaluation du préjudice pour la personne concernée et les contrôles visant les courriels mal acheminés	850 $
Avis de collecte sur les formulaires de la ville — le recensement de chaque formulaire qui recueille des renseignements personnels et la rédaction de l'avis de trois lignes pour chacun	650 $
Séance pour le personnel et compte rendu de la formation — 45 minutes pour les employés autres que le coordonnateur, avec le compte rendu et les diapositives	900 $
Ensemble des désignations du responsable et du coordonnateur — la résolution, la lettre informant le ministre et un responsable nommé pour chaque entité créée par la ville	550 $
Examen des obligations prévues par l'ATIPPA — ce dont le bureau dispose actuellement au regard des dispositions de l'ATIPPA, 2015 qui lient une ville	1 200 $
L'ensemble complet, réalisé en un seul mandat — la procédure en cas d'atteinte, les avis sur les formulaires, les désignations et la séance pour le personnel	à partir de 2 400 $
Chaque entité ou commission supplémentaire créée par la ville et relevant du même bureau	350 $
Une atteinte traitée avec vous lorsqu'elle survient — les mesures pour circonscrire l'incident, la rédaction du formulaire du commissaire et la rédaction de l'évaluation du préjudice	450 $ chacune
Reprise de la séance pour le personnel plus tard dans la même année	450 $
Soutien continu — une atteinte traitée avec vous lorsqu'elle survient, les questions au fur et à mesure et un examen annuel des formulaires et de la procédure	150 $ / mois
Travaux hors du cadre de ces mandats, à l'heure	165 $

Attribution directe, sans appel d'offres

Tous les montants indiqués ici se situent bien en deçà de 75 000 $, le seuil prévu par le New West Partnership Trade Agreement : celui qui lie les municipalités de l'Alberta, et il est inférieur au montant prévu par l'Accord de libre-échange canadien (ALEC). Sous ce seuil, une municipalité peut attribuer le contrat de gré à gré, sans appel d'offres public.

Lorsque plusieurs municipalités partagent une même administration, comme le font les bureaux des villages d'été et bon nombre de villages limitrophes d'un comté, le travail est tarifé une seule fois puis étendu à chaque organisme — parce que c'est ainsi que s.7(4)(b) le traite. Sept organismes publics derrière un même bureau, c'est un examen et six addenda, et non sept examens.

Attribution directe, sans appel d'offres

La Saskatchewan est elle aussi partie au New West Partnership, de sorte que le même seuil de 75 000 $ s'applique. Tout ce qui figure ici se situe bien en deçà de ce seuil, et une autorité locale peut attribuer le contrat de gré à gré.

Le barème est plus court que ceux de l'Alberta et de la Colombie-Britannique parce que la Loi en demande moins. La LA FOIP ne comporte aucune disposition sur l'évaluation des facteurs relatifs à la vie privée et n'exige aucun programme de gestion de la protection des renseignements personnels au contenu prescrit, de sorte qu'il n'y a rien à déposer ni aucune échéance à respecter. Ce qu'elle exige, c'est une entente écrite avant que des renseignements personnels ne soient transmis.

Lorsqu'un même bureau administre plusieurs organismes, ce qui est le cas d'environ un quart des bureaux de la Saskatchewan, le travail est tarifé une seule fois puis étendu à chaque organisme.

Attribution directe, sans appel d'offres

Le Manitoba est partie au New West Partnership, et ses municipalités, ses conseils scolaires et ses organismes financés par des fonds publics sont assujettis aux obligations d'approvisionnement de l'accord depuis le 1er janvier 2019. Tout ce qui figure ici se situe bien en deçà du seuil de 75 000 $ pour les services : un organisme public peut attribuer le contrat directement, sans appel d'offres public — sous la seule réserve de la politique d'approvisionnement que chaque conseil municipal doit adopter en vertu de s.251.1 de The Municipal Act.

Le barème est plus restreint que ceux de l'Alberta et de la Colombie-Britannique parce que The Freedom of Information and Protection of Privacy Act en exige moins. Elle ne comporte aucun programme de gestion de la protection des renseignements personnels et aucune échéance. Là où elle a du mordant, c'est à l'article 41.1 : depuis le 1er janvier 2022, le responsable d'un organisme public doit aviser les personnes touchées et l'Ombudsman du Manitoba lorsqu'il est raisonnable de s'attendre à ce qu'une atteinte crée un risque réel de préjudice important; le règlement fixe les facteurs pour cette décision et neuf éléments que l'avis doit contenir, et omettre volontairement d'aviser constitue une infraction passible d'une amende pouvant atteindre 50 000 $. C'est pourquoi la trousse d'intervention en cas d'atteinte vient en tête.

Ce qui n'est pas dû compte tout autant. Le Manitoba n'impose aucune évaluation des facteurs relatifs à la vie privée — les lignes directrices de l'Ombudsman le disent expressément —, rien n'est déposé auprès de qui que ce soit, et aucune règle ne restreint le lieu de conservation des renseignements. Et si un district d'aménagement, un district de bassin versant ou une commission de police constitue un organisme public à part entière même lorsqu'un même administrateur en assure la gestion, un conseil de bibliothèque municipale ou une commission des loisirs ne l'est pas, et n'est donc jamais facturé comme tel.

Attribution directe, avec une exception

L'Ontario n'est pas partie au New West Partnership, de sorte que la limite de 75 000 $ qui régit les provinces de l'Ouest ne s'applique pas ici. Une municipalité ou un conseil local attribue ce mandat en vertu de son propre règlement d'approvisionnement (Loi de 2001 sur les municipalités, s.270); le plafond prévu par les accords commerciaux au-dessus de cette limite est le seuil de l'Accord de libre-échange canadien (ALEC), soit 139 000 $ pour les services, en vigueur jusqu'au 31 décembre 2027, et tout ce qui figure sur cette page se situe bien en deçà. L'exception, c'est le conseil scolaire : la Directive en matière d'approvisionnement dans le secteur parapublic prévoit que les services de consultation doivent faire l'objet d'un appel d'offres quelle qu'en soit la valeur, et un conseil ne peut donc attribuer directement aucun de ces mandats — en deçà de 121 200 $, cela signifie inviter au moins trois fournisseurs, et je suis heureux d'être l'un des trois. Les honoraires s'entendent hors TVH de 13%.

Le barème est construit autour d'une seule date. À compter du 1er janvier 2027, s.28(3) exige une évaluation écrite avant toute collecte de renseignements personnels et énumère dix éléments qu'elle doit contenir. Le déclencheur est chaque collecte, sans seuil de préjudice ni critère de sensibilité — plus large qu'en Alberta, et au moins aussi large qu'en Colombie-Britannique. Une obligation de cette forme ne se satisfait pas de l'achat d'évaluations à la pièce; le produit est donc le gabarit dont les rubriques reprennent les dix éléments prévus par la loi, et la discipline de le remplir. L'article est rédigé « sauf disposition contraire des règlements » et aucun règlement n'a été pris; si un règlement vient restreindre l'obligation avant janvier, je le signalerai ici.

À tous autres égards, l'Ontario exige moins que l'Alberta ou la Colombie-Britannique, et cette page ne prétend pas le contraire. Il n'y a pas de programme de gestion de la protection des renseignements personnels — s.30(5) énonce une norme de conduite. Il n'y a pas de responsable de la protection des renseignements personnels; s.3 fait du conseil municipal le responsable, à moins qu'il n'en désigne un. Rien n'est déposé : s.28(6) ne prévoit la remise d'une évaluation au commissaire que sur demande. Il n'existe aucune obligation d'entente écrite avec les fournisseurs de services, aucune règle de résidence des données et aucune périodicité de formation. Et le règlement sur la cybersécurité au sujet duquel on reçoit des courriels, le O. Reg. 51/26, vise les conseils scolaires, les hôpitaux, les collèges et les sociétés d'aide à l'enfance — non les municipalités, les conseils de bibliothèque, les commissions de police ou les offices de protection de la nature.

Sous le seuil, et deux dates déjà passées

Le Québec n’est pas partie au New West Partnership : le seuil de 75 000 $ qui régit les provinces de l’Ouest ne s’applique donc pas ici — pas plus que l’ancienne règle de la Loi sur les cités et villes, dont les dispositions sur les contrats ont été abrogées à l’entrée en vigueur de la Loi sur les contrats des organismes municipaux (RLRQ, chapitre C-65.01) le 1er avril 2026. Sous cette loi, un contrat de moins de 25 000 $ n’est soumis à aucune procédure prescrite : un organisme municipal peut donc l’attribuer de gré à gré, sous réserve de ce qu’exige son propre règlement sur la gestion contractuelle; à partir de 25 000 $ et jusqu’au seuil d’appel d’offres public de 139 000 $, l’attribution se fait sur invitation écrite. Pour un seul organisme, tout ce qui figure à cette grille se situe sous le premier seuil. Une précision qui vaut mieux venir de moi que d’être découverte par le directeur général : lorsque le total versé à un même fournisseur atteint 25 000 $ dans l’année, chaque contrat de 5 000 $ ou plus figure à la liste que l’organisme publie sur son propre site Web au plus tard le 31 mars. Les honoraires s’entendent avant la TPS et la TVQ.

Deux de ces obligations sont visibles de l’extérieur, ce qui évite à cette page d’avoir à croire qui que ce soit sur parole. Depuis le 22 septembre 2023, l’article 63.3 exige que les règles de l’organisme encadrant sa gouvernance à l’égard des renseignements personnels soient publiées sur son site Internet : les rôles et les responsabilités du personnel tout au long du cycle de vie de ces renseignements, un processus de traitement des plaintes, et une description des activités de formation et de sensibilisation offertes au personnel. Depuis le 1er janvier 2024, l’article 63.4 et son règlement exigent en outre une politique de confidentialité rédigée en termes simples et clairs, comportant quatorze éléments prescrits, dès que des renseignements personnels sont recueillis par un moyen technologique — un formulaire en ligne ou une inscription aux loisirs suffit. Derrière elles s’en trouvent deux qui ne sont pas visibles : le registre des incidents de confidentialité de l’article 63.11, qui doit exister avant que quoi que ce soit ne survienne, et l’article 70.1.

L’article 70.1 est celui qui rattrape tout le monde. Avant que des renseignements personnels soient communiqués à l’extérieur du Québec — ou lorsque l’organisme confie à une personne ou à un organisme à l’extérieur du Québec la tâche de les recueillir, de les utiliser, de les communiquer ou de les conserver — l’organisme doit évaluer la sensibilité du renseignement, la finalité de son utilisation, les mesures de protection dont il bénéficierait, y compris contractuelles, et le régime juridique applicable dans l’État destinataire; la communication doit en outre faire l’objet d’une entente écrite qui tient compte de cette évaluation. Microsoft 365, une plateforme de permis hébergée en Ontario, un service de paie aux États-Unis : tous visés. Cela vaut aussi pour la présente pratique, qui est établie en Alberta. Le mandat est donc conçu pour s’exécuter à partir des politiques, des registres, des contrats et d’exemples caviardés plutôt qu’à partir de renseignements personnels; lorsque c’est impossible, le contrat comporte les clauses exigées par l’article 67.2. L’évaluation, elle, demeure la vôtre : je fournis les faits dont elle a besoin et je ne la signe pas. Je ne suis pas non plus le responsable — cette fonction est exercée par la personne ayant la plus haute autorité au sein de l’organisme, ou par celle à qui elle l’a déléguée par écrit.

La date, le seuil, et ce qui n'est pas dû

Tout ce qui figure ici, sauf le registre des renseignements personnels conservés à l'étranger, prépare le 1er avril 2027, la date inscrite dans la nouvelle Freedom of Information and Protection of Privacy Act (SNS 2025 c.13, s.171). À compter de cette date, une évaluation des facteurs relatifs à la vie privée est exigée avant tout nouveau projet, programme, système ou activité qui recueille, utilise ou communique des renseignements personnels (s.53); une politique de protection des renseignements personnels et une procédure de plainte publiée sont exigées (s.52); et une atteinte susceptible de causer un préjudice grave est signalée à la personne concernée et au commissaire, qui pourra pour la première fois examiner les pratiques des municipalités en matière de protection des renseignements personnels (ss.78, 100–114). Les règlements qui fixeront la forme de la politique et de l'évaluation n'ont pas été pris, de sorte que personne ne peut honnêtement vous en donner le format exact aujourd'hui. Je travaille à partir du texte même de la loi et je révise gratuitement tout ce que j'ai rédigé lorsque les règlements paraîtront. C'est pourquoi ces honoraires se situent un peu en dessous de ceux de la Colombie-Britannique.

La Nouvelle-Écosse n'a aucun seuil issu du New West Partnership. Le montant prévu par les accords commerciaux pour les services municipaux est de 139 000 $ en vertu de l'Accord de libre-échange canadien (ALEC) et de l'Atlantic Trade and Procurement Partnership (Service Nova Scotia, février 2026), et la Public Procurement Act vise les municipalités, les services municipaux d'eau et les commissions de services. En deçà de ce montant, c'est votre propre politique d'approvisionnement qui s'applique, et ces plafonds sont bien plus bas — environ 3 000 $ avant que des soumissions ne soient exigées, dans les politiques que j'ai lues. Dites-moi quelle voie la vôtre impose et la proposition de prix sera rédigée en conséquence.

Ce qui n'est pas dû, en clair. Aujourd'hui, une municipalité doit ce que la partie XX de la Municipal Government Act exige réellement — des mesures de sécurité raisonnables en vertu de s.483(3), les limites de collecte de s.483(1), l'exactitude en vertu de s.483(2) lorsque le renseignement sert à prendre une décision visant une personne, la conservation en vertu de s.483(4) et le droit de rectification de s.484 — ainsi que les règles de résidence des données prévues par la PIIDPA. Ce qu'elle ne doit pas, c'est le reste : aucune évaluation des facteurs relatifs à la vie privée, aucune politique de confidentialité, aucun responsable de la protection des renseignements personnels, aucun programme de gestion, aucun avis d'atteinte, et aucune surveillance des municipalités en matière de vie privée. Même après le 1er avril 2027, il n'y a toujours aucun responsable de la protection des renseignements personnels à désigner, aucun programme portant ce nom, rien à déposer auprès du Commissaire, aucune obligation d'entente écrite avec un fournisseur de services, et aucune évaluation exigée pour ce qui a été entrepris ou institué au plus tard le 1er avril 2027 à moins que vous ne le modifiiez substantiellement (s.53(3)).

Attribution directe, sans appel d'offres

Le Nouveau-Brunswick n'est pas une province du New West Partnership, de sorte que le seuil de 75 000 $ utilisé dans l'Ouest ne s'applique pas ici. Les gouvernements locaux et les commissions de services régionaux sont des entités de l'annexe B au sens de la Loi sur la passation des marchés publics, et s.58 du Règlement sur les biens et services exempte les biens et services de moins de 100 000 $ de l'appel d'offres concurrentiel. Tous les montants de cette page se situent bien en deçà.

La grille est plus courte que celles de l'Alberta et de la Colombie-Britannique parce que la RTIPPA exige moins. Il n'y a aucune évaluation des facteurs relatifs à la vie privée, aucun programme de gestion de la protection des renseignements personnels portant ce nom, ni aucune échéance, de sorte qu'il n'y a rien à déposer et aucune date à respecter. Ce que s.48.1 et s.4.2 du Règlement général exigent depuis le 1er avril 2018, c'est un responsable désigné qui met les pratiques de l'organisme en matière de renseignements à la disposition du public, une liste écrite indiquant qui peut consulter quels renseignements personnels, ces modalités étant vérifiées périodiquement, et un registre de toutes les atteintes à la protection des renseignements personnels — tenu qu'il y en ait eu ou non.

Lorsqu'un service est partagé, qu'il s'agisse de votre commission de services régionaux ou d'une entente commune en matière d'incendie ou de police, s.46.2 exige une seule entente écrite contenant les six éléments énumérés au Reg. 4.1, et s.48.1(4) permet qu'un seul responsable désigné serve plusieurs organismes publics. Le travail est donc facturé une seule fois, puis étendu à chaque organisme. Là où la Loi sur les langues officielles vous lie, chaque livrable est produit dans les deux langues.

Attribution directe, sans appel d'offres

Le New West Partnership ne s'étend pas à l'Île-du-Prince-Édouard. Le plafond externe est ici le seuil prévu par l'Accord de libre-échange canadien pour les municipalités, les conseils scolaires, les organismes de santé et les établissements postsecondaires — 139 000 $ pour les biens et services, du 1er janvier 2026 au 31 décembre 2027 — et tout ce qui figure sur cette grille se situe bien en deçà. La limite qui tranche réellement est votre propre règlement municipal d'approvisionnement pris en vertu de MGA s.169. Cela vaut la peine d'être vérifié avant qu'une proposition de prix n'aille au conseil.

Cinquante-trois des cinquante-sept municipalités ne sont pas assujetties à la FOIPP. Ce qui les lie, c'est le règlement municipal sur l'accès à l'information et la protection des renseignements personnels que leur propre conseil a adopté en vertu de MGA ss.147 et 148, établi selon un règlement provincial de 2020 : le conseil nomme un coordonnateur, qui ne peut être ni un conseiller municipal ni le directeur général d'une autre municipalité (s.4(2)); ce coordonnateur forme le conseil et le personnel et fait rapport au conseil une fois par année (s.4(1)(c) et (f)); et le directeur général est responsable des mesures de sécurité raisonnables (s.17).

Il n'y a aucun programme de gestion de la protection des renseignements personnels à l'Île-du-Prince-Édouard, aucune évaluation des facteurs relatifs à la vie privée pour quelque projet que ce soit, et aucune déclaration obligatoire des atteintes à la protection des renseignements personnels. Rien n'est déposé auprès de qui que ce soit et, pour les cinquante-trois, le commissaire n'a aucune compétence — une plainte est soumise à un arbitre que votre propre conseil nomme et rémunère. C'est pourquoi cette grille ne comporte aucune ligne d'évaluation. Si quelqu'un vous propose un prix pour un programme ou une évaluation ici, ce n'est pas parce que la loi en exige un.

Trois soumissions, pas un appel d'offres

Terre-Neuve-et-Labrador n'est pas partie au New West Partnership, de sorte que le seuil de 75 000 $ utilisé dans les trois autres provinces ne s'applique pas ici. Une ville doit lancer un appel d'offres public pour tout contrat de 139 000 $ ou plus, TVH exclue (Public Procurement Regulations, NLR 13/18 s.5(2)(a)). Tout ce qui figure sur cette grille se situe bien en deçà, mais sous ce seuil, s.11 exige tout de même un appel d'offres restreint : des soumissions d'au moins trois fournisseurs, ou une conclusion écrite portant que le prix est juste et raisonnable. Rien ici n'est une attribution directe, et une ville qui obtient deux autres soumissions en plus de la mienne fait exactement ce que le règlement exige. Une dernière chose à savoir avant de les comparer : sous le seuil, s.14(1.1)(b) retranche 10% du prix d'un fournisseur de la province au moment de l'évaluation des soumissions. La présente pratique est établie en Alberta et n'y a pas droit.

C'est la plus petite grille du site, parce que la loi exige le moins d'une ville. Il n'y a aucun programme de gestion de la protection des renseignements personnels, aucune évaluation des facteurs relatifs à la vie privée, ni aucune entente écrite avec les fournisseurs de services — s.72 n'impose l'obligation d'évaluation qu'aux ministres provinciaux, et s.64(1) exige des mesures « raisonnables dans les circonstances » sans obliger à consigner quoi que ce soit par écrit. Aucun délai, aucun registre des atteintes, aucune liste des banques de renseignements personnels, aucune règle de résidence des données, et rien à transmettre au commissaire, sauf un rapport d'atteinte. L'examen législatif en cours porte sur une partie de ces questions et fera rapport au plus tard le 31 janvier 2027; tant que rien n'est adopté, aucune de ces mesures n'est une obligation.

Ce que la Loi exige, en revanche, est plus strict que partout ailleurs sur cette page. Selon s.64(4), le responsable signale au commissaire toute atteinte à la protection des renseignements personnels, sans seuil de préjudice; le critère du « risque de préjudice important » prévu à s.64(7) ne sert qu'à déterminer si la personne concernée en est informée. L'atteinte la plus fréquente dans les données 2024-25 du commissaire était l'envoi par courriel de renseignements personnels à la mauvaise adresse. Le Bureau provincial de l'ATIPP forme les coordonnateurs et publie un Guide for Towns qui contient un protocole en cas d'atteinte, sans frais, et le bureau du commissaire accompagne une ville tout au long d'une atteinte — il n'y a donc lieu d'acheter ce service que lorsqu'une ville veut sa propre procédure, ses propres formulaires arrêtés et sa propre trace écrite attestant que la séance avec le personnel a bien eu lieu.

Attribution directe, sans appel d'offres

La Colombie-Britannique est partie au New West Partnership, de sorte que le même seuil de 75 000 $ s'applique à une municipalité, à un district scolaire ou à un district régional de la Colombie-Britannique. En deçà de ce seuil, l'organisme peut attribuer le contrat directement, sans appel d'offres public.

La grille tarifaire est construite autrement ici, pour une seule raison. Selon les Directions 2-21, une évaluation est exigée pour chaque nouvelle initiative, et avant tout changement important, sans seuil de préjudice ni de sensibilité à franchir au préalable. Il s'agit d'une obligation récurrente; elle est donc tarifée sous forme de forfait plutôt que comme une série d'évaluations ponctuelles.

Pour un district régional, s.12(a) du Règlement exige une entente écrite signée par le responsable de chaque organisme participant. Un seul mandat couvre l'entente, l'évaluation conjointe et la notification que reçoit le commissaire en vertu de s.69(5.4).

§07 · Méthode

Comment je travaille.

Il s'agit d'une pratique indépendante. Je ne suis pas un cabinet d'avocats et je n'agis pas par l'entremise d'un cabinet.

Tout ce que je produis est tiré des sources primaires plutôt que de fiches d'information ou de résumés de seconde main : en Alberta, la Protection of Privacy Act, l'Access to Information Act, le AR 143/2025 et le gabarit du commissaire lui-même; en Colombie-Britannique, la FIPPA, son règlement et les directives ministérielles 02/2022 et 2-21; au Québec, la Loi sur l'accès et ses règlements, lus en français. Chacune des autres provinces est traitée de la même façon, à partir de sa propre loi et de ses règlements, et le §08 renvoie à chacun d'eux. Le §04 montre ce que cette différence donne. Chacun de ces sept énoncés circule en Alberta, et chacun est faux d'une manière qu'un lecteur travaillant à partir du règlement relèverait.

Le travail vise les municipalités les moins en mesure de l'absorber à l'interne : les villages, les villages d'été, les petites villes et les bureaux d'administration partagée qui portent à eux seuls cinq ou sept organismes publics. En Alberta, ces bureaux ont les mêmes obligations légales que Calgary et une fraction de la capacité — et le règlement, à s.7(3) et s.7(4)(b) ainsi que dans l'exigence de proportionnalité de la POPA s.25(2)(a), en tient compte bien davantage qu'on ne le leur dit habituellement. En Colombie-Britannique, il en va de même des villages, des districts régionaux et des conseils de bibliothèque et commissions de police : la Direction 02/2022 prévoit qu'un programme doit être proportionné au volume et à la sensibilité de ce que l'organisme détient réellement. La Saskatchewan en demande encore moins — aucun programme au contenu prescrit et aucune obligation d'évaluation — de sorte que le travail y porte sur l'obligation de protéger, sur les ententes que s.23.2 exige pour chaque fournisseur de services, et sur le fait de dire clairement duquel des trois régimes il s'agit.

Le Québec se travaille en français. La Loi, ses règlements et les orientations de la Commission sont lus en français, les documents sont livrés en français, et cette page existe en version française. La Charte de la langue française impose le français à l’organisme : le contrat de services est donc en français, accompagné d’une traduction anglaise destinée à être lue plutôt que signée.

Un seul endroit ne figure délibérément pas sur cette liste. Au Yukon, dans les Territoires du Nord-Ouest et au Nunavut, une municipalité n’est un organisme public que si les règlements la désignent, et aucune ne l’a été — le gouvernement du Nunavut le dit sur sa propre page —, de sorte qu’il n’y a rien à respecter là-bas et rien à y vendre.

Je suis tout à fait disposé à ce qu'on vérifie mon travail. Chaque affirmation ici indique la disposition sur laquelle elle repose.

§08 · Sources

Conformité en matière de protection des renseignements personnels pour les organismes publics locaux, établie à partir de la loi elle-même.

Dix provinces, et elles n’exigent pas les mêmes choses.

Une seule loi est devenue deux lois, et les obligations se sont déplacées.

Quand une évaluation est vraiment exigée.

Évaluez une pratique au regard de la disposition albertaine s.7(1).

Sept affirmations qui circulent et qui sont fausses.

Quatre mandats, chacun avec un livrable défini.

Programme de gestion de la protection des renseignements personnels — examen, ou élaboration de toutes pièces

Examen préalable ÉFVP dans l'ensemble des systèmes d'une municipalité

Évaluation conjointe des facteurs relatifs à la vie privée

Évaluation des facteurs relatifs à la vie privée pour un seul organisme

Forfaitaires, et publiés.

Comment je travaille.

Lisez-les vous-même.

Vous voulez savoir où votre organisme public se situe réellement?