Trousse de conformité Loi 25

Combien de temps garder les renseignements et quand les détruire

La loi ne donne aucune durée générale de conservation, ni en mois ni en années. L'article 23 fixe un événement, puisque vous devez détruire ou anonymiser le renseignement lorsque les fins pour lesquelles il a été recueilli ou utilisé sont accomplies, sous réserve d'un délai de conservation prévu par une autre loi. Votre travail consiste donc à nommer la fin de chaque catégorie de renseignements, puis à repérer les lois qui imposent un délai dans votre secteur.

La règle est un événement, pas un nombre de mois

Lorsque les fins auxquelles un renseignement personnel a été recueilli ou utilisé sont accomplies, la personne qui exploite une entreprise doit le détruire ou l'anonymiser pour l'utiliser à des fins sérieuses et légitimes, sous réserve d'un délai de conservation prévu par une loi.

Article 23

Trois conséquences se tirent de cette phrase. La première est qu'une durée ne se devine pas, elle se déduit de la fin que vous avez déterminée avant la collecte, selon l'article 4. La deuxième est que la conservation sans fin n'est pas une option neutre, puisque le verbe du texte est doit. La troisième est que les délais chiffrés viennent d'ailleurs, et la phrase « sous réserve d'un délai de conservation prévu par une loi » renvoie à d'autres lois, fiscales, comptables ou propres à votre secteur.

Nous ne reproduisons ici aucune durée précise tirée d'une autre loi. Les délais fiscaux, ceux des normes du travail et ceux des ordres professionnels relèvent de textes que cette page ne couvre pas, et une durée approximative serait pire qu'une case vide. Vérifiez chacun auprès de la source qui l'impose, puis inscrivez la référence dans votre calendrier.

Les deux seuls délais que la loi elle-même chiffre

Ils sont des minimums de conservation, pas des maximums, et ils vont donc dans le sens contraire de ce que l'on cherche d'habitude.

• L'article 11 impose que les renseignements soient à jour et exacts au moment où vous les utilisez pour prendre une décision concernant une personne, et il ajoute que « les renseignements utilisés pour prendre une telle décision sont conservés pendant au moins un an suivant la décision ».
• L'article 36 prévoit que celui qui détient un renseignement faisant l'objet d'une demande d'accès ou de rectification doit, s'il n'y acquiesce pas, « le conserver le temps requis pour permettre à la personne concernée d'épuiser les recours prévus par la loi ». Une demande d'accès gèle donc votre calendrier pour le dossier visé.

La politique de conservation est obligatoire

Toute personne qui exploite une entreprise doit établir et mettre en oeuvre des politiques et des pratiques encadrant sa gouvernance à l'égard des renseignements personnels et propres à assurer la protection de ces renseignements. Celles-ci doivent notamment prévoir l'encadrement applicable à la conservation et à la destruction de ces renseignements.

Article 3.2

Le même article ajoute trois exigences que l'on oublie. Les politiques doivent être proportionnées à la nature et à l'importance de vos activités, elles doivent être approuvées par votre responsable de la protection des renseignements personnels, et des informations détaillées à leur sujet doivent être publiées en termes simples et clairs sur votre site Internet.

Détruire ou anonymiser, deux issues qui ne s'équivalent pas

L'article 23 offre un choix, mais l'anonymisation est la voie exigeante. Le deuxième alinéa précise qu'un renseignement est anonymisé lorsqu'il est « en tout temps, raisonnable de prévoir dans les circonstances qu'il ne permet plus, de façon irréversible, d'identifier directement ou indirectement cette personne ». Le troisième alinéa ajoute que l'anonymisation doit se faire selon les meilleures pratiques généralement reconnues et selon les critères et modalités déterminés par règlement. Le règlement en cause est le Règlement sur l'anonymisation des renseignements personnels, codifié sous A-2.1, r. 0.1.

Retirer les noms d'un fichier en conservant la table de correspondance ne produit pas un renseignement anonymisé. Cela produit un renseignement dépersonnalisé au sens de l'article 12, qui demeure soumis à la loi. Pour une PME, la destruction est presque toujours plus simple à exécuter et plus facile à prouver.

Le calendrier de conservation à remplir

Une ligne par catégorie de renseignements, et non par logiciel. La colonne du déclencheur est celle qui fait le travail, parce qu'elle traduit l'article 23 en une date réelle.

Les quatre endroits où la destruction échoue en pratique

• Les sauvegardes. Supprimer dans le logiciel sans traiter les copies de sauvegarde laisse le renseignement en votre possession, donc sous votre responsabilité selon l'article 3.1.
• Les boîtes de courriel. Les pièces jointes y vivent plus longtemps que la fin qui justifiait leur envoi.
• Les fournisseurs. Le paragraphe 2° du deuxième alinéa de l'article 18.3 vous oblige à indiquer dans le mandat ou le contrat les mesures que le fournisseur doit prendre pour « qu'il ne le conserve pas après son expiration ». La fin du contrat ne suffit pas, l'effacement doit être demandé et confirmé.
• Les transactions commerciales avortées. Le paragraphe 4° du deuxième alinéa de l'article 18.4 exige que l'autre partie s'engage à détruire le renseignement si la transaction n'est pas conclue.

La destruction doit être sûre, pas seulement effectuée

L'article 10 couvre explicitement la destruction. Vous devez prendre les mesures de sécurité propres à assurer la protection des renseignements personnels « collectés, utilisés, communiqués, conservés ou détruits », raisonnables compte tenu notamment de leur sensibilité, de leur quantité et de leur support. Un bac de recyclage ouvert et un vieux disque jeté tel quel ne satisfont pas ce test. L'article 91 fait par ailleurs une infraction du fait de détruire des renseignements personnels en contravention à la loi, ce qui vise aussi une destruction trop hâtive de renseignements que vous devez conserver.

Pratiques recommandées, et non des obligations du texte

• Fixer une date de purge récurrente, par exemple deux fois par an, et en garder une trace écrite avec le nombre de dossiers traités.
• Demander au fournisseur une attestation écrite d'effacement à la fin de chaque contrat, plutôt qu'une mention verbale.
• Noter dans le calendrier la référence exacte de la loi qui impose chaque durée, pour que la case ne se remplisse pas de mémoire l'année suivante.

Pour aller plus loin

Le calendrier suppose un inventaire, décrit dans ce qui compte comme renseignement personnel. Les dossiers du personnel soulèvent des questions propres, traitées dans ce que vous pouvez garder dans un dossier d'employé. Les exigences à inscrire dans un contrat de fournisseur sont dans les clauses à exiger de vos fournisseurs. Le calendrier ci-dessus existe en version remplissable, avec des exemples, dans la trousse.

Articles cités, 3.1, 3.2, 4, 10, 11, 12, 18.3, 18.4, 23, 36, 91 de la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1, texte officiel, consulté le 7 novembre 2026.