Wet 25 Québec — privacy-impactbeoordelingen, toegangsverzoeken en incidentmeldingen (volledige editie)

Binnen de termijn antwoorden, of weten dat men het niet gedaan heeft

Een verzoek tot toegang, rectificatie of overdraagbaarheid doet een termijn lopen. De bron zegt dat het uitblijven van een antwoord gelijkstaat met een weigering: de termijn is dus geen formaliteit, het is een beslissing die door nalatigheid wordt genomen.

De module dateert de ontvangst, berekent de vervaldatum, plaatst een activiteit bij het naderen ervan, en stelt achteraf vast of het antwoord tijdig is geregistreerd. Ze zegt niet dat u in gebreke bent: ze herinnert u aan wat de bron over die situatie schrijft.

De termijn staat niet in de code

Het komt uit het record delai_reponse_demande dat de gratis editie meelevert, met de URL van zijn primaire bron en de datum van raadpleging. Als de waarde verandert, wordt ze vanuit het scherm gecorrigeerd, zonder codelevering — en de vervaldatum van alle aanvragen volgt.

En als die waarde wordt verwijderd of gemarkeerd als "waarde niet gevonden", blijft de vervaldatum leeg. Een vervaldatum berekend op een geraden termijn zou erger zijn dan helemaal geen vervaldatum: men zou erop vertrouwen.

De incidentmelding, en haar zes elementen

De melding aan de betrokken persoon moet zes elementen bevatten, en de bron somt ze op: de bedoelde gegevens, de omstandigheden, de datum of de periode van het incident, de genomen maatregelen om het risico te verminderen, de aan de persoon voorgestelde maatregelen, en de contactgegevens van een contactpersoon.

De module weigert een advies te genereren waaraan er één ontbreekt, en ze benoemt welk. Vijf elementen op zes is een onvolledig advies dat op een advies lijkt.

Eenmaal verzonden wordt de melding niet meer herschreven. Het is wat de persoon ontvangen heeft: ze achteraf corrigeren zou het register doen zeggen dat de verzonden tekst de nieuwe was. Het ontvangstbewijs daarentegen wordt altijd genoteerd — het komt per definitie na de verzending.

De beoordeling van de privacyfactoren

De bron noemt drie projecten — aankoop, ontwikkeling, herwerking van een informatiesysteem of van een elektronische dienstverlening — en eist de deelname van de verantwoordelijke van meet af aan. De module houdt de drie types bij, maakt de verantwoordelijke verplicht en vergelijkt de datum van zijn deelname met die van de opening.

Er werd geen officiële vragenlijst gevonden. Opgezocht op 14 september 2026 op de site van de Commission d’accès à l’information: ze beschrijft wanneer de beoordeling moet worden uitgevoerd, ze publiceert geen verplicht raster. De eenentwintig geleverde vragen dragen dus alle het label “niet officieel” en hun schriftelijk voorbehoud. Het is een beginlijst, geen verkapt reglementair formulier.

De bewaring wordt geteld vanaf de kennisname

Vijf jaar na de datum waarop de onderneming kennis nam van het incident, niet na het incident. Dat is de meest natuurlijke fout, en ze verkort de bewaring evenveel als de ontdekking laat kwam.

De module berekent de ondergrensdatum, toont ze, en weigert de verwijdering van een nog gedekt incident — met vermelding van haar bron, en met het voorstel te archiveren, wat bewaart in plaats van wist.

De Commissie opent geen enkele interface, en de module zegt het

Opgezocht op 14 september 2026: de Commission d’accès à l’information stelt een formulier voor incidentmelding ter beschikking, en niets anders. Geen toegangspunt, geen documentatie, geen token, geen sandbox.

De bronnenketen van dyo_connexions_base draagt hier dus de handmatige opvolging als eerste, en actief bij levering. Het is geen terugvaloptie: het is de normale weg. De bron "automatische interface" wordt inactief geleverd en antwoordt altijd "niet beschikbaar" met de reden erbij — ze bestaat om de afwezigheid te benoemen, zodat niemand eindeloos zoekt naar een optie die niet bestaat. Op de dag dat de Commissie er een opent, worden haar URL en sleutel op het scherm ingevoerd en gaat ze voorop.

De module stelt vast, ze concludeert niet

Ze zegt dat de vervaldatum is verstreken zonder geregistreerd antwoord. Ze zegt niet dat het risico op schade ernstig is, noch dat het bedrijf in gebreke is. Die oordelen worden beoordeeld, met een raadsman.

Niet beproefd in productie. Geen enkel door deze module geproduceerd bericht is ingediend bij de Commission d'accès à l'information.

Ook gezocht onder: ÉFVP Odoo, EFVP Wet 25, privacyeffectbeoordeling, verzoek tot toegang tot persoonsgegevens Quebec, incidentmelding CAI, overdraagbaarheid Wet 25, privacy impact assessment Quebec Odoo.