Conservation et destruction des renseignements
personnels selon la Loi 25

Contexte : la conformité couvre tout le cycle de vie

Les régimes de protection des renseignements personnels, dont la Loi 25, ne se limitent pas à encadrer la collecte. Ils couvrent toutes les étapes — utilisation, communication, conservation, destruction — et imposent des obligations à chacune d'elles. C'est justement dans les étapes post-collecte que se concentrent la majorité des risques et des incidents observés dans les PME québécoises.

Une politique de conservation claire, des procédures de destruction sécurisées et une gestion rigoureuse des accès forment le socle opérationnel de la conformité — souvent négligé au profit d'investissements plus visibles en sécurité ou en documentation.

Le cycle de vie selon la Loi 25

Le principe central est la limitation temporelle et d'usage : les renseignements personnels ne doivent être conservés que le temps nécessaire aux finalités qui ont justifié leur collecte. Au-delà, ils doivent être détruits ou anonymisés de manière sécurisée et documentée.

Cadre juridique applicable

Obligation de limitation de la conservation

La Loi 25 impose que les renseignements personnels soient détruits ou anonymisés lorsque les finalités de leur collecte sont atteintes. Certaines obligations légales peuvent prolonger la durée (obligations fiscales, garanties légales, exigences sectorielles), mais en l'absence de telles justifications, la conservation prolongée constitue une violation directe.

Obligation d'anonymisation à titre d'alternative à la destruction

La loi permet l'anonymisation comme alternative à la destruction, à condition qu'elle soit réalisée selon des règles de l'art rendant l'identification impossible, même par recoupement. La dépersonnalisation (simple pseudonymisation) n'est pas équivalente — elle conserve le statut de renseignement personnel.

Obligation de gestion des accès

Les accès aux renseignements personnels doivent être limités aux personnes dont les fonctions le justifient. Ce principe impose une gestion active lors des changements de rôle, des départs et des intégrations de sous-traitants.

Obligations des organisations sur le cycle de vie

Les obligations concrètes couvrent l'ensemble des 5 étapes :

• Déterminer et documenter les durées de conservation pour chaque catégorie de renseignements.
• Adopter une politique de conservation accessible et appliquée.
• Limiter les accès aux employés dont les fonctions le justifient.
• Réviser les accès aux changements de rôle, aux départs et périodiquement.
• Encadrer les communications et partages par des ententes et des restrictions claires.
• Mettre en œuvre une destruction sécurisée adaptée au support (papier, numérique).
• Anonymiser plutôt que conserver lorsque les finalités sont atteintes mais que les données peuvent servir à des usages statistiques ou de recherche.
• Documenter les opérations de destruction et d'anonymisation (registre).

Obligation légale ou bonne pratique? La distinction compte.

Certaines exigences du cycle de vie sont strictement encadrées par la loi ; d'autres relèvent de pratiques de gestion qui démontrent la diligence.

L'absence de ces pratiques rend très difficile la démonstration de la diligence en cas de contrôle ou d'incident.

Exemples d'application concrète

Politique de conservation par catégorie de renseignements

Une PME rédige un tableau des durées de conservation selon les catégories : coordonnées clients (durée du contrat + 3 ans pour garanties), dossiers fiscaux (6-7 ans), CV non retenus (6 à 12 mois), registres des employés (selon obligations sectorielles). Chaque durée est justifiée et révisée annuellement.

Procédure de destruction sécurisée

L'organisation adopte une procédure documentée : déchiquetage des documents papier via une déchiqueteuse sécurisée ou un service externe certifié ; effacement cryptographique des supports numériques avant mise au rebut ; registre des destructions avec date, nature et méthode.

Révision des accès aux changements de rôle

Un processus formel est déclenché à chaque changement : suppression des accès liés au rôle précédent, attribution des nouveaux accès selon les fonctions, validation par le gestionnaire et le RPRP. Une revue trimestrielle capture les oublis éventuels.

Risques en cas de non-conformité

L'exposition se mesure sur deux axes : les sanctions juridiques et les coûts opérationnels d'une accumulation non maîtrisée.

Angle 1 — Sanctions juridiques

• Sanctions administratives pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial.
• Sanctions pénales pouvant atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial.
• Ordonnances de la CAI exigeant des mesures correctives (purge, anonymisation, révision des accès).
• Actions privées pour les personnes ayant subi un préjudice lié à des données conservées abusivement.
• Impact réputationnel lié aux incidents révélant des masses de données obsolètes.

Angle 2 — Coûts opérationnels d'une accumulation non maîtrisée

• Incident amplifié — une fuite touche toutes les données accumulées, pas seulement celles utiles.
• Notifications multipliées — nombre de personnes à informer beaucoup plus élevé, mobilisation accrue.
• Purge rétroactive coûteuse — nettoyer une base accumulée depuis 10 ans est long et risqué.
• Difficulté à justifier — absence de politique = absence de défense crédible lors d'une enquête.
• Dégradation de la performance — stockage, sauvegardes, outils alourdis par des données non nécessaires.

Une politique de cycle de vie bien tenue réduit ces coûts — elle ne les crée pas. Elle diminue également la surface d'exposition en cas de cyberattaque.

Lien avec la gouvernance PRP

La gestion du cycle de vie s'inscrit transversalement dans l'ensemble de la gouvernance PRP :

• Politique de conservation — document fondateur de la gouvernance, accessible et révisé.
• Registre des traitements — inclut les durées de conservation et les modalités de destruction.
• EFVP — évaluations intégrant les risques liés à la conservation prolongée et aux accès.
• Contrats avec sous-traitants — clauses sur la restitution ou destruction des données en fin de mandat.
• Formation des employés — sensibilisation à la destruction sécurisée et à la limitation des accès.
• Processus de gestion des incidents — cartographie rapide des données touchées, utile pour calibrer la réponse.

Questions fréquentes

Quelle durée de conservation fixer par défaut pour des dossiers clients?

Il n'existe pas de durée universelle. Elle doit être justifiée par la finalité (durée du contrat), les obligations légales (ex. 6-7 ans pour certains documents fiscaux), les garanties applicables ou les exigences sectorielles. Une durée « par défaut » de 10 ou 15 ans sans justification précise n'est généralement pas conforme.

L'anonymisation est-elle toujours possible?

Non. Pour être conforme, l'anonymisation doit rendre l'identification impossible même par recoupement — ce qui requiert une méthode rigoureuse, parfois complexe pour les petites bases. Lorsque ce n'est pas réalisable, la destruction reste la seule option.

Faut-il détruire les sauvegardes qui contiennent des renseignements expirés?

Oui, dans la mesure du raisonnable. Les politiques de sauvegarde doivent être coordonnées avec les politiques de conservation — sinon les données « détruites » persistent dans les sauvegardes. Une durée de rotation des sauvegardes permet généralement de gérer cette cohérence.

Un employé peut-il conserver ses notes personnelles après un projet?

Les notes contenant des renseignements personnels demeurent assujetties à la loi, même si elles sont informelles. Elles devraient être détruites selon les mêmes règles que les documents officiels, ou explicitement transférées et intégrées aux archives de l'organisation.

Doit-on tenir un registre des destructions effectuées?

La loi n'exige pas formellement un registre des destructions au même titre que le registre des incidents, mais cette pratique est fortement recommandée pour démontrer la diligence. Le registre doit mentionner la date, la nature des données, la méthode et la personne responsable.

Concrètement

Les obligations de conservation et de destruction existent indépendamment de la capacité de votre organisation à les appliquer. Sans politique documentée, sans procédure de destruction sécurisée, sans révision régulière des accès :

• vos obligations existent quand même ;
• mais vos données s'accumulent sans contrôle, y compris celles qui auraient dû disparaître ;
• votre exposition au prochain incident est amplifiée par votre propre base de données.

La formation des équipes et la mise en place d'une politique de cycle de vie documentée sont les deux leviers opérationnels prioritaires — avant les outils, avant la technologie, avant les évaluations.