Les employés génèrent énormément de renseignements personnels : numéro d'assurance sociale, dossier médical pour invalidité, évaluations de rendement, données de pointage, courriels professionnels, traces de navigation, dossiers d'accident de travail. La Loi 25 s'applique à toutes ces données et impose aux directions des ressources humaines des obligations qui dépassent ce que la plupart des PME ont mis en place.
Ce guide résume les obligations clés de la Loi 25 en contexte RH : ce qui peut être collecté, comment le conserver, comment encadrer la surveillance électronique, comment gérer la biométrie, et comment l'article 12.1 sur les décisions automatisées s'applique aux outils RH alimentés par l'IA.
Le principe de base : un employé est une personne concernée
Sous la Loi 25, l'employé est une personne concernée à part entière. Les renseignements que l'employeur détient à son sujet sont des renseignements personnels au sens de la Loi. Cette qualification déclenche tous les principes habituels :
- Finalité : la collecte doit être justifiée par une finalité claire (contrat de travail, paie, gestion du rendement, obligations légales)
- Minimisation : seuls les renseignements nécessaires à la finalité peuvent être collectés
- Consentement : sauf exceptions légales (obligations contractuelles, légales, intérêt légitime), un consentement libre et éclairé est requis
- Durée : la conservation est limitée par la finalité atteinte
- Sécurité : des mesures raisonnables doivent protéger les dossiers
- Droits d'accès et de rectification : l'employé peut demander à consulter et corriger son dossier
Ces principes interagissent avec d'autres lois : la Loi sur les normes du travail, le Code du travail, la Loi sur les accidents du travail et les maladies professionnelles, le Code civil du Québec (articles 35 à 41 sur le droit à la vie privée). En cas de conflit, les protections les plus généreuses pour l'employé prévalent généralement.
Ce que vous pouvez collecter (et ce que vous ne pouvez pas)
À l'embauche
Au moment du recrutement, la collecte est strictement limitée à ce qui est nécessaire pour évaluer la candidature. Sont généralement justifiés :
- Coordonnées
- Curriculum vitae et expérience pertinente
- Références professionnelles (avec consentement préalable du candidat)
- Diplômes et certifications pertinents
- Permis de travail si applicable
Sont rarement justifiés à cette étape :
- Numéro d'assurance sociale (à exiger seulement après l'offre acceptée, pour la paie)
- Casier judiciaire (sauf si la nature du poste le justifie objectivement)
- Renseignements médicaux (sauf si requis par la nature du poste)
- Renseignements sur la situation familiale
- Données biométriques
Un formulaire de candidature qui demande l'âge, l'état civil ou les antécédents médicaux sans justification spécifique au poste pose problème.
Pendant l'emploi
Une fois la personne en poste, la collecte se justifie par la nature du contrat de travail et les obligations légales. Sont généralement justifiés :
- Données de paie complètes (NAS, coordonnées bancaires, retenues)
- Dossier de présence et d'absences
- Évaluations de rendement
- Formations suivies
- Dossier d'accident ou de maladie professionnelle (encadrement particulier sous la LATMP)
- Coordonnées d'urgence
Le principe directeur reste la minimisation : ne pas collecter plus que nécessaire pour la finalité visée.
Candidatures non retenues
Les renseignements des candidats non retenus doivent être détruits ou anonymisés à l'échéance d'une durée raisonnable. Pour la plupart des organisations, 6 à 12 mois suffisent pour répondre à une éventuelle plainte ou contestation.
La surveillance électronique au travail
C'est l'enjeu Loi 25 le plus visible en milieu de travail moderne. La surveillance électronique inclut :
- Vidéosurveillance des espaces de travail
- Géolocalisation des véhicules de fonction
- Suivi de la productivité par logiciel (clics, applications, sites visités)
- Surveillance du courriel professionnel
- Lecture des messages instantanés professionnels (Teams, Slack)
- Outils d'IA qui analysent le rendement à partir de comportements observés
Ces formes de surveillance impliquent toutes une collecte continue de renseignements personnels. Elles déclenchent les obligations Loi 25, et elles sont également encadrées par le Code civil du Québec (articles 35 à 41) qui protège la vie privée.
Pour qu'une surveillance électronique soit défendable, l'organisation doit généralement démontrer :
- Une finalité légitime (sécurité physique, protection des biens, obligations légales)
- La proportionnalité entre la surveillance et la finalité
- La transparence : les employés doivent être informés à l'avance
- La minimisation : la portée et la durée de la surveillance doivent être limitées
- L'absence de moyens moins intrusifs pour atteindre la finalité
Une politique de surveillance électronique écrite, communiquée à tous les employés, est essentielle. Elle devrait préciser ce qui est surveillé, comment, à quelles fins, et qui a accès aux données collectées.
Données biométriques : un régime particulier
Les empreintes digitales, la reconnaissance faciale, la reconnaissance vocale et autres données biométriques sont considérées comme des renseignements personnels sensibles. Leur usage en milieu de travail (pointage, accès aux installations, identification) est encadré par la Loi concernant le cadre juridique des technologies de l'information en plus de la Loi 25.
Pour utiliser des données biométriques :
- Le consentement de la personne est en principe requis
- Une déclaration à la CAI est requise lors de la mise en place d'une banque de données biométriques
- Une EFVP est généralement nécessaire
- Des mesures de sécurité renforcées sont attendues
- L'usage doit être proportionnel : si un autre moyen permet d'atteindre la finalité, il doit être préféré
Pour la plupart des PME, le pointage par carte d'employé reste plus simple et moins risqué que la biométrie.
Décisions automatisées en RH (article 12.1)
Plusieurs outils RH modernes intègrent de l'IA pour trier des candidatures, évaluer le rendement, ou identifier des employés à risque de quitter. Lorsque la décision finale est prise exclusivement par le système (sans intervention humaine significative), l'article 12.1 de la Loi 25 s'applique.
L'organisation doit alors :
- Informer la personne que la décision est fondée exclusivement sur un traitement automatisé
- Lui permettre de connaître les renseignements personnels utilisés
- Lui permettre de comprendre les principaux facteurs et paramètres
- Lui permettre de présenter ses observations à un membre du personnel ayant le pouvoir de réviser la décision
En pratique, la majorité des PME devrait éviter les décisions 100 % automatisées en RH. Garder un humain dans la boucle (qui examine réellement la recommandation, pas seulement clique « approuver ») évite l'application stricte de l'article 12.1 et réduit les risques de discrimination algorithmique.
Droit d'accès des employés à leur dossier
Sous la Loi 25, un employé peut demander à consulter les renseignements personnels que l'employeur détient à son sujet. L'organisation a 30 jours pour répondre.
Le droit d'accès s'étend généralement :
- Au dossier d'employé tenu par les RH
- Aux évaluations de rendement
- Aux courriels professionnels que l'employeur a archivés
- Aux notes prises lors d'enquêtes internes (sous certaines réserves)
- Aux données de surveillance électronique le concernant
Certains éléments peuvent être restreints, par exemple les renseignements concernant un tiers (collègue), les notes préliminaires d'évaluation, ou les renseignements protégés par un secret professionnel. Toute restriction doit être motivée par écrit.
Conservation et destruction après le départ
À la fin de la relation d'emploi, certains documents doivent être conservés pour répondre à des obligations légales :
- Pièces fiscales : 6 ans (Loi de l'impôt sur le revenu)
- Dossiers liés à un accident du travail : selon les délais de la LATMP
- Évaluations et lettres disciplinaires : 3 à 5 ans selon la prescription civile et la nature des faits
Les renseignements qui n'ont plus de finalité légitime doivent être détruits ou anonymisés. Conserver indéfiniment l'ensemble du dossier d'un ex-employé n'est pas justifié.
Comment Observantia accompagne les RH
Observantia centralise le calendrier de conservation des dossiers d'employés, le registre des incidents touchant des renseignements de RH, et la documentation des EFVP réalisées pour les outils RH (logiciels d'évaluation, plateformes de paie, systèmes de surveillance). Le tableau de bord aide le RPP et la direction RH à coordonner leurs obligations. Essayez gratuitement pendant 14 jours.
Articles connexes
- Politique de conservation et de destruction des renseignements personnels sous la Loi 25
- IA et Loi 25 : encadrer l'usage de ChatGPT, Copilot et Gemini en entreprise
- Demandes d'accès aux renseignements personnels : répondre dans les délais
Ce contenu est fourni à titre informatif seulement et ne constitue pas un avis juridique. Pour des questions spécifiques à votre situation, consultez un conseiller juridique qualifié.