La plupart des organisations québécoises conservent des renseignements personnels bien au-delà de ce qui est nécessaire. Dossiers d'employés des années 1990, anciennes bases de prospects qui n'ont plus servi depuis cinq ans, sauvegardes de fichiers clients accumulées sans rotation : ces accumulations sont fréquentes et risquées.
L'article 23 de la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25) impose une obligation claire : lorsque la finalité de la collecte est atteinte, les renseignements personnels doivent être détruits ou anonymisés. Cette obligation s'applique à toutes les organisations, et son non-respect est sanctionnable.
Ce guide explique ce qu'exige l'article 23, comment fixer des durées de conservation défendables, la différence entre destruction et anonymisation, et comment bâtir une politique de conservation pour une PME.
Ce que dit l'article 23
L'article 23 énonce le principe suivant : lorsqu'une organisation a atteint la finalité pour laquelle elle a collecté un renseignement personnel, elle doit :
- Détruire ce renseignement, ou
- L'anonymiser, à condition de respecter les meilleures pratiques généralement reconnues et les critères et modalités déterminés par règlement.
L'organisation peut conserver les renseignements plus longtemps lorsque la loi l'exige (par exemple, les pièces fiscales conservées six ans selon la Loi de l'impôt sur le revenu) ou lorsque c'est nécessaire pour des fins compatibles avec la finalité initiale.
L'article impose donc trois exigences pratiques :
- Définir la finalité de chaque collecte de renseignements personnels
- Fixer une durée de conservation raisonnable pour atteindre cette finalité
- Détruire ou anonymiser les renseignements à l'échéance
Ces trois étapes doivent être documentées dans une politique de conservation.
Destruction, anonymisation, pseudonymisation : trois mécanismes distincts
Ces trois termes sont souvent confondus. Sous la Loi 25, ils ne se valent pas.
La destruction rend les renseignements définitivement inaccessibles et irrécupérables. Pour des fichiers numériques, cela implique une suppression sécurisée (multiple passes d'écriture, destruction physique des supports en fin de vie). Pour des documents papier, le déchiquetage croisé conforme à des normes reconnues.
L'anonymisation transforme les renseignements de manière à ce qu'ils ne puissent plus, raisonnablement, être associés à une personne identifiable. Cette transformation doit être irréversible. L'anonymisation conforme à l'article 23 doit respecter les meilleures pratiques reconnues et les critères du règlement gouvernemental sur l'anonymisation, en vigueur depuis mai 2024.
La pseudonymisation remplace les identifiants directs (nom, courriel, numéro d'assurance sociale) par des codes, mais conserve la possibilité de réidentifier la personne via une table de correspondance. Sous la Loi 25, les renseignements pseudonymisés restent des renseignements personnels et conservent toutes les protections associées.
En pratique, la destruction est la voie la plus simple pour la majorité des PME. L'anonymisation est techniquement exigeante et coûte généralement plus cher à valider qu'une simple destruction.
Bâtir un calendrier de conservation
Un calendrier de conservation (ou « schedule de rétention ») est le document central. Pour chaque catégorie de renseignements personnels, il indique :
- La nature des renseignements (catégorie)
- La finalité de la collecte
- La durée de conservation
- La justification de cette durée
- L'action à l'échéance (destruction ou anonymisation)
- Le responsable de l'exécution
Voici les durées les plus fréquentes pour une PME québécoise.
| Catégorie | Durée typique | Source de la durée | |---|---|---| | Pièces comptables et fiscales | 6 ans | Loi de l'impôt sur le revenu (LIR) | | Dossiers d'employés (actifs) | Durée d'emploi | Code du travail, Loi sur les normes du travail | | Dossiers d'employés (anciens) | 3 à 5 ans après le départ | Loi sur les normes du travail, prescription civile | | Candidatures non retenues | 6 à 12 mois | Bonne pratique RH, défense en cas de plainte | | Données de paie | 6 ans | Loi de l'impôt sur le revenu | | Renseignements sur des prospects (jamais clients) | 12 à 24 mois | Bonne pratique CRM | | Coordonnées de clients actifs | Durée de la relation + délai de prescription | Code civil du Québec | | Coordonnées de clients inactifs | 3 à 7 ans selon le type de service | Prescription civile, obligations sectorielles | | Dossiers de santé (cliniques) | Selon le code de déontologie professionnel | Codes de déontologie | | Vidéosurveillance | 30 à 90 jours | Bonne pratique, principe de minimisation | | Journaux d'accès informatique | 6 à 24 mois | Sécurité, audits, principe de minimisation |
Ces durées sont indicatives. Elles doivent être ajustées selon les obligations sectorielles, les règles professionnelles applicables et le contexte particulier de l'organisation.
Comment fixer une durée défendable
Pour chaque catégorie, posez quatre questions :
- La loi impose-t-elle une durée ? Pièces fiscales (6 ans), dossiers RH (variable selon les contextes), dossiers cliniques (codes de déontologie). Lorsque la loi impose une durée, elle constitue le minimum.
- Une obligation contractuelle exige-t-elle la conservation ? Garanties, services après-vente, ententes de services qui prévoient des accès historiques.
- Quel est le risque d'être incapable de répondre à une demande légitime ? Plainte, action en justice, contrôle réglementaire.
- Au-delà de ces nécessités, la conservation a-t-elle encore une finalité ? Si la réponse est non, la conservation n'est plus justifiée et doit cesser.
La réponse honnête à la quatrième question dicte la durée maximale. Conserver « au cas où » n'est pas une finalité valable sous la Loi 25.
L'exécution : automatiser autant que possible
La meilleure politique de conservation est inutile si la destruction n'est jamais exécutée. Trois approches complémentaires fonctionnent :
Automatisation technique. Configurer les outils (CRM, GED, courriel, sauvegardes) pour purger automatiquement les enregistrements après l'échéance. La plupart des plateformes modernes offrent ces fonctions, mais elles ne sont presque jamais activées par défaut.
Revue périodique manuelle. Pour les catégories qui ne se prêtent pas à l'automatisation, planifier une revue annuelle ou semestrielle. Le RPP devrait pouvoir confirmer chaque année que la revue a été faite.
Destruction documentée. Chaque destruction (papier ou numérique) devrait laisser une trace : date, catégorie, volume, méthode, responsable. Cette traçabilité est essentielle en cas de plainte ou d'audit.
Erreurs fréquentes
- Conserver « au cas où » sans finalité réelle. Cette pratique est explicitement non conforme à la Loi 25.
- Confondre archivage et conservation à des fins actives. Un archivage dormant qui n'est jamais consulté n'est pas une conservation à des fins compatibles.
- Négliger les sauvegardes. Détruire les enregistrements actifs sans purger les sauvegardes laisse les renseignements accessibles. La politique de rétention doit couvrir les sauvegardes.
- Penser que l'anonymisation est rapide. Une anonymisation conforme exige une analyse rigoureuse du risque de réidentification. Pour la plupart des PME, la destruction est plus simple et moins risquée.
- Confondre anonymisation et pseudonymisation. Les renseignements pseudonymisés restent soumis à la Loi 25.
Comment Observantia accompagne cette démarche
Observantia centralise le calendrier de conservation, signale les renseignements à détruire à l'échéance, et conserve la documentation des destructions effectuées. Le tableau de bord aide le responsable de la protection des renseignements personnels à démontrer la diligence de l'organisation lors d'une inspection ou d'une plainte. Essayez gratuitement pendant 14 jours.
Articles connexes
- Gérer un incident de confidentialité : guide étape par étape sous la Loi 25
- Encadrer ses sous-traitants : les communications à un tiers selon l'article 18.3 de la Loi 25
- Politique de confidentialité : guide de rédaction pour les PME québécoises
Ce contenu est fourni à titre informatif seulement et ne constitue pas un avis juridique. Pour des questions spécifiques à votre situation, consultez un conseiller juridique qualifié.