Wet 25 Québec — register van verwerkingen, register van privacyincidenten en aangewezen verantwoordelijke (Community)

Het register van verwerkingsactiviteiten

Eén fiche per activiteit — de loonadministratie, de nieuwsbrief, de klantendossiers, de camerabewaking van het magazijn. Zes rubrieken, dat zijn de zes vragen die men u stelt: waarom (het doel), wat (de categorieën persoonsgegevens), over wie (de categorieën betrokkenen), voor wie (de ontvangers, intern en extern), hoelang (de bewaartermijn en wat ze rechtvaardigt), en op welke grond (de rechtsgrond).

De rechtsgrond is een vrij veld, en dat is bewust. De bron die op 14 september 2026 is geraadpleegd, publiceert geen gesloten lijst van de gronden die in de private sector van Québec zijn toegelaten. Een keuzelijst zou neerkomen op het verzinnen van een taxonomie en die laten doorgaan voor de wet.

Het register van privacyincidenten

Alle incidenten worden er genoteerd, ook die welke geen risico op ernstige schade inhouden. Dat is het punt dat spreadsheets missen: men noteert er enkel wat lawaai heeft gemaakt, en het register bewijst uiteindelijk het tegendeel van wat men wilde aantonen.

De zeven elementen die de bron vereist, staan er, één voor één: de bedoelde gegevens of de reden waarom het onmogelijk is ze te beschrijven, de omstandigheden, de datum of de periode van het incident, de datum of de periode van kennisname, het aantal betrokken personen of een benadering ervan, de elementen die leiden tot de conclusie dat er al dan niet een risico op ernstige schade is, en ten slotte de data van de meldingen en de genomen maatregelen.

De datum van kennisname is een apart veld, en de module weigert dat ze aan het incident voorafgaat. Het is geen detail voor de vorm: de bewaring van het register wordt vanaf die datum geteld, en zij laat de meldingsverplichtingen ingaan.

De aangewezen verantwoordelijke

Zonder schriftelijke delegatie valt de functie standaard toe aan de persoon met de hoogste bevoegdheid: er is nooit ‘niemand’. De delegatie gebeurt schriftelijk, in zijn geheel of gedeeltelijk, en de module weigert een delegatie waarvan de tekst noch bijgevoegd noch beschreven is. De titel en de contactgegevens worden gepubliceerd op de website van het bedrijf, of bij ontstentenis van een website via elk ander geschikt middel.

En de Commissie hoeft van deze aanwijzing niet op de hoogte te worden gebracht. Dat staat op het scherm, omdat velen het geloven en tijd verliezen met het zoeken naar een procedure die niet bestaat.

Het logboek wordt niet herschreven

Registratie van een verwerking, wijziging van een doeleinde, registratie van een incident, beoordeling van het risico, doorgegeven advies, genomen maatregelen: elke handeling laat een gedateerde en ondertekende regel na. Een registratieregel weigert wijziging en verwijdering aan iedereen, de verantwoordelijke inbegrepen.

Een incidentenregister dat achteraf kan worden gecorrigeerd — een kennisname antedateren, een hinderlijk geworden incident wissen — bewijst niets bij de Commission d’accès à l’information. Het bewijst zelfs het tegendeel: dat men het heeft kunnen doen.

De module stelt vast, ze concludeert niet

Ze zegt dat een incident nog niet het voorwerp is geweest van een geregistreerd advies. Ze zegt niet dat het risico op schade ernstig is, noch dat het bedrijf in gebreke is. Die twee oordelen zijn geen berekeningen: ze worden beoordeeld, met een raadsman, en ze worden door de gebruiker ingevoerd, gedateerd en ondertekend.

Geen enkele reglementaire waarde staat in de code

De termijnen, de duur en de bedragen van sancties worden geleverd als gedateerde records met de URL van hun primaire bron en de datum van raadpleging. Ze worden gecorrigeerd vanaf het scherm, zonder codelevering.

De termijn voor de melding aan de Commissie wordt gemarkeerd als "waarde niet gevonden" geleverd, met haar schriftelijk voorbehoud: de bron zegt "s'empresser" en geeft geen cijfer. De module geeft dus geen cijfer en berekent geen enkele vervaldatum voor die melding. Een valse bevestiging is erger dan de afwezigheid: ze dooft de waakzaamheid.

Wat deze module niet doet

Geen beoordeling van de privacyfactoren, geen generatie van berichten, geen opvolging van toegangsverzoeken met hun vervaldatum, geen waarschuwing voor bewaring, geen indiening bij de Commission. Deze functies zijn samengebracht in dyo_loi25_qc, de volledige editie.

Ook gezocht onder: Wet 25 Odoo, Law 25 Quebec Odoo, register van vertrouwelijkheidsincidenten, register van verwerkingsactiviteiten Quebec, verantwoordelijke voor de bescherming van persoonsgegevens, CAI Quebec, wet voor de privésector.