renseignement personnel, définition

Ce qui compte comme renseignement personnel dans votre entreprise

La loi définit le renseignement personnel en une seule phrase, à l'article 2, et cette phrase est large. Tout renseignement qui concerne une personne physique et qui permet de l'identifier, même indirectement, en est un. La seule exclusion prévue par le texte porte sur le nom, la fonction et les coordonnées de travail d'une personne, et elle ne vaut que pour deux sections de la loi.

La définition, en une phrase du texte

Est un renseignement personnel, tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l'identifier.
Article 2

Trois éléments portent tout le poids. Il doit s'agir d'une personne physique, donc une entreprise cliente n'a pas de renseignements personnels, alors que les personnes qui y travaillent en ont. Le renseignement doit concerner cette personne. Et il doit permettre de l'identifier, directement ou indirectement.

Le mot indirectement est celui qui surprend le plus souvent. Un fichier sans aucun nom contient quand même des renseignements personnels si vous pouvez remonter à la personne en le croisant avec autre chose que vous détenez déjà. Un numéro de dossier, un numéro d'employé sur une feuille de temps, une adresse de courriel de la forme prénom point nom, une adresse IP consignée dans un journal de connexion, une image vidéo où un visage est reconnaissable, tout cela entre dans la définition dès que le rapprochement est possible chez vous.

La définition n'exige pas que le renseignement soit confidentiel, ni sensible, ni écrit. L'article 1 précise que la loi s'applique quel que soit le support, écrit, graphique, sonore, visuel, informatisé ou autre. Un message vocal et une note manuscrite dans un cartable comptent autant qu'une ligne dans votre logiciel de facturation.

Ce que vous détenez déjà, probablement sans l'avoir compté

Dans une PME de 20 à 200 personnes, les renseignements personnels se trouvent presque toujours aux mêmes endroits.

Le dossier de chaque employé, le formulaire d'embauche, le numéro d'assurance sociale, le dépôt direct, les absences, les évaluations, les billets médicaux.
Les candidatures reçues, retenues ou non, et les notes d'entrevue.
Le fichier des clients, avec adresse de résidence, téléphone personnel, historique d'achat, mode de paiement.
Les listes d'infolettre et les formulaires du site web, y compris les demandes de soumission qui n'ont rien donné.
Les images des caméras, les journaux de contrôle d'accès par carte, les traces de géolocalisation des véhicules.
Les boîtes de courriel partagées, où les pièces jointes survivent à la raison pour laquelle elles ont été envoyées.
Les sauvegardes, les vieux disques, les anciens téléphones et les copies locales sur les postes de travail.

La seule exclusion du texte, et elle est étroite

On résume souvent cette exclusion en disant que les coordonnées professionnelles ne sont pas protégées. C'est plus restreint que cela, voici le dernier alinéa de l'article 1.

Les sections II et III de la présente loi ne s'appliquent pas à un renseignement personnel qui a un caractère public en vertu de la Loi. Elles ne s'appliquent pas non plus aux renseignements personnels qui concernent l'exercice par la personne concernée d'une fonction au sein d'une entreprise, tels que son nom, et sa fonction, de même que l'adresse, l'adresse de courrier électronique et le numéro de téléphone de son lieu de travail.
Article 1

Deux limites à retenir. D'abord la portée, puisque seules les sections II et III sont écartées, soit la collecte et le caractère confidentiel. Les obligations de la section I.1, dont la désignation du responsable de la protection des renseignements personnels, les politiques de gouvernance, l'évaluation des facteurs relatifs à la vie privée et la déclaration des incidents, ne sont pas touchées par cet alinéa. Ensuite le contenu, puisque l'exclusion nomme le nom, la fonction et les coordonnées du lieu de travail. Le salaire, l'évaluation de rendement, le numéro d'assurance sociale, l'adresse personnelle et le téléphone cellulaire personnel d'un employé ne figurent pas dans cette liste.

Trois mots à ne pas confondre

Le texte emploie trois qualificatifs qui n'ont pas le même effet. La différence se joue sur ce que vous avez le droit de faire ensuite.

Mot	Où il est défini	Ce qu'il change pour vous
Sensible	Article 12, dernier alinéa. Un renseignement l'est lorsque, « de par sa nature notamment médicale, biométrique ou autrement intime, ou en raison du contexte de son utilisation ou de sa communication, il suscite un haut degré d'attente raisonnable en matière de vie privée ».	Le consentement doit être « manifesté de façon expresse », aux articles 12 et 13. Un consentement implicite ne suffit plus.
Dépersonnalisé	Article 12. Le renseignement « ne permet plus d'identifier directement la personne concernée ».	Il reste un renseignement personnel. Le même article vous oblige à limiter les risques de réidentification.
Anonymisé	Article 23. Il est « en tout temps, raisonnable de prévoir dans les circonstances qu'il ne permet plus, de façon irréversible, d'identifier directement ou indirectement cette personne ».	Le renseignement sort du régime. Le même article exige les meilleures pratiques généralement reconnues et le respect des critères déterminés par règlement.

Remplacer les noms par des numéros de dossier tout en gardant la table de correspondance produit un renseignement dépersonnalisé, pas anonymisé. La distinction n'est pas cosmétique, puisque l'article 91 fait une infraction du fait de procéder ou de tenter de procéder à l'identification d'une personne à partir de renseignements dépersonnalisés sans l'autorisation de celui qui les détient.

Le test que le texte vous impose, et le réflexe en cas de doute

L'article 4 vous demande de déterminer les fins de la collecte avant de recueillir. L'article 5 limite ensuite ce que vous pouvez prendre.

La personne qui recueille des renseignements personnels sur autrui ne doit recueillir que les renseignements nécessaires aux fins déterminées avant la collecte. Ces renseignements doivent être recueillis par des moyens licites.
Article 5

L'article 9 ajoute une règle de décision que l'on oublie souvent de citer. Vous ne pouvez pas refuser un bien, un service ou une demande relative à un emploi parce qu'une personne refuse de fournir un renseignement, sauf si la collecte est nécessaire à la conclusion ou à l'exécution du contrat, si elle est autorisée par la loi, ou s'il y a des motifs raisonnables de croire que la demande n'est pas licite. La dernière phrase de cet article tranche les cas gris. « En cas de doute, un renseignement personnel est réputé non nécessaire. » La charge est donc de votre côté, et non de celui de la personne qui refuse.

L'inventaire à remplir aujourd'hui

Le troisième alinéa de l'article 8 vous oblige à informer la personne concernée, sur demande, des renseignements recueillis auprès d'elle, des catégories de personnes qui y ont accès au sein de l'entreprise, de la durée de conservation et des coordonnées de votre responsable. Si vous ne pouvez pas remplir le tableau, vous ne pouvez pas répondre à cette demande.

Où se trouvent les renseignements	Quels champs exactement	Pour quelle fin déterminée	Qui y a accès chez vous	Combien de temps, et pourquoi	Hébergé ou traité hors Québec
Exemple, logiciel de paie	Nom, date de naissance, numéro d'assurance sociale, compte bancaire, salaire	Verser la rémunération et produire les relevés	Direction et adjointe à la paie	À déterminer, selon les délais prévus par d'autres lois	Oui ou non, et le nom du fournisseur

Une ligne par endroit, pas une ligne par logiciel. Une boîte de courriel partagée, un classeur verrouillé et une clé USB dans un tiroir sont trois endroits. La colonne des fins est celle qui fait le plus de travail, parce qu'un champ dont vous n'arrivez pas à nommer la fin est un champ à retirer.

Pratiques recommandées, et non des obligations du texte

Ce qui suit ne se trouve pas dans la loi. Ce sont des façons de faire qui facilitent la preuve, rien de plus.

Dater l'inventaire et le revoir à date fixe, par exemple au même moment que la fin d'exercice financier.
Faire valider chaque ligne par la personne qui utilise réellement le système, plutôt que par la direction seule.
Marquer dans une colonne distincte les champs que vous jugez sensibles au sens de l'article 12, parce que ce sont eux qui changent la nature du consentement exigé.

Cette page explique le texte de la loi. Elle ne remplace pas un avis juridique sur votre situation.

Les suites logiques

Une fois l'inventaire fait, deux questions se posent dans l'ordre. Celle du fondement de chaque collecte, traitée dans quand le consentement est exigé et comment le recueillir, et celle de la durée, traitée dans combien de temps garder les renseignements et quand les détruire. Si vous partez de zéro, l'ordre des travaux est dans par où commencer dans une PME. Le tableau d'inventaire ci-dessus existe en version remplissable dans la trousse.

Articles cités, 1, 2, 4, 5, 8, 9, 12, 23, 91 de la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1, texte officiel, consulté le 7 novembre 2026.

Obtenir la trousse, 149 $ CA

Douze gabarits à remplir, 14 fichiers, téléchargement immédiat.
Autodiagnostic gratuit en douze questions, aucune adresse demandée.