La première question d’un dossier Loi 25 n’est pas « que faut-il écrire », mais « de quelles données parle-t-on ». Beaucoup de PME québécoises rédigent une politique de confidentialité avant d’avoir fait la liste des renseignements qu’elles détiennent. Le document est alors joli et faux.
Cette page couvre la portée réelle de la loi : ce qui est un renseignement personnel, ce qui est sensible, la différence entre dépersonnaliser et anonymiser, et l’obligation de destruction que presque personne ne respecte.
Réponse rapide : Un renseignement personnel est tout renseignement qui concerne une personne physique et qui permet, directement ou indirectement, de l’identifier. Le mot « indirectement » élargit beaucoup la portée : adresse IP, numéro d’employé, image de caméra. Quand les fins de la collecte sont accomplies, l’article 23 oblige à détruire ou à anonymiser, et l’anonymisation est un seuil bien plus exigeant qu’un simple retrait de la colonne « nom ».
1. Ce qu’est un renseignement personnel
L’article 2 de la loi le définit ainsi : tout renseignement qui concerne une personne physique et qui permet, directement ou indirectement, de l’identifier. Deux mots font tout le travail.
« Personne physique » exclut les personnes morales. Le nom d’une entreprise cliente, son numéro d’entreprise du Québec et son adresse de facturation ne sont pas des renseignements personnels. Le nom, le courriel et le numéro de cellulaire de la personne ressource chez ce client, eux, en sont.
« Indirectement » élargit beaucoup la portée. Une adresse IP, un identifiant d’appareil, un numéro d’employé, une plaque d’immatriculation ou une image de caméra de surveillance permettent d’identifier quelqu’un une fois recoupés avec autre chose que vous détenez déjà.
Dans une PME typique, la liste ressemble à ceci : dossiers d’employés et de candidats, dossiers de paie, listes de clients et de contacts, enregistrements téléphoniques, images de caméras, journaux de connexion, historique de navigation sur votre site, boîtes courriel du personnel, dossiers liés à l’assurance collective, dossiers de crédit de clients.
2. Le renseignement sensible et le poids du contexte
L’article 12 définit le renseignement sensible : celui qui, par sa nature notamment médicale, biométrique ou autrement intime, ou en raison du contexte de son utilisation ou de sa communication, suscite un haut degré d’attente raisonnable en matière de vie privée.
La conséquence est directe. Pour un renseignement sensible, le consentement doit être manifesté de façon expresse. Un consentement implicite ou déduit ne suffit pas.
Le contexte compte autant que la nature de la donnée. Une liste de noms n’est pas sensible. La même liste de noms intitulée « employés en invalidité » l’est. C’est pourquoi un inventaire qui se limite aux types de champs, sans regarder à quoi sert le fichier, rate la moitié du risque.
3. Dépersonnalisé n’est pas anonymisé
La loi distingue les deux, et la différence est importante.
Un renseignement est dépersonnalisé lorsqu’il ne permet plus d’identifier directement la personne. Il reste un renseignement personnel, et la loi continue de s’appliquer. L’article 12 exige d’ailleurs de prendre des mesures raisonnables pour limiter le risque de réidentification.
Un renseignement est anonymisé lorsqu’il est, en tout temps, raisonnable de prévoir dans les circonstances qu’il ne permet plus, de façon irréversible, d’identifier directement ou indirectement la personne. C’est le seuil de l’article 23. Une fois franchi, ce n’est plus un renseignement personnel.
Ce seuil est exigeant. Retirer la colonne « nom » d’un fichier n’anonymise rien. L’article 23 précise que l’anonymisation doit se faire selon les meilleures pratiques généralement reconnues et selon des critères et modalités déterminés par règlement. En pratique, pour une PME, la voie réaliste est la destruction, pas l’anonymisation.
4. Détruire quand les fins sont accomplies
L’article 23 pose l’obligation : quand les fins pour lesquelles un renseignement a été recueilli ou utilisé sont accomplies, l’entreprise doit le détruire ou l’anonymiser, sous réserve d’un délai de conservation prévu par une loi.
C’est l’obligation la moins respectée de tout le régime. La plupart des PME conservent tout, indéfiniment, parce que le stockage ne coûte presque rien. Deux réflexes à installer.
Fixez une durée de conservation par catégorie de données, pas par fichier. Une grille tient sur une page : candidatures non retenues, dossiers d’employés après le départ, enregistrements de caméras, journaux d’accès. Les durées elles-mêmes se valident avec votre conseiller juridique, parce que certaines découlent de la législation fiscale ou des normes du travail.
Vérifiez que la destruction atteint les copies. Une donnée effacée du serveur reste dans les sauvegardes, dans la corbeille du service infonuagique, dans les archives courriel et sur le poste de la personne qui l’avait exportée en chiffrier. C’est un travail technique, pas un travail de politique, et c’est exactement le genre de vérification que couvrent nos services de sauvegarde et de gestion des données.
5. Ce que la loi ne couvre pas
Le matériel journalistique, historique ou généalogique diffusé à des fins d’information légitime du public fait l’objet d’un régime distinct.
Les organismes publics, les municipalités, les centres de services scolaires et les établissements de santé relèvent d’une autre loi, la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels. Si vous êtes fournisseur d’un organisme public, ses exigences se transmettent à vous par contrat, ce qui revient au même en pratique.
Les ordres professionnels et certains secteurs ont des règles additionnelles qui s’ajoutent à la Loi 25 sans la remplacer.
Un point mérite d’être validé avec un conseiller juridique : l’application de la loi aux organismes à but non lucratif dépend du fait qu’ils exercent ou non une activité économique organisée au sens de l’article 1525 du Code civil. La lecture dominante est qu’un organisme qui vend des services, perçoit des cotisations ou emploie du personnel est visé.
Foire aux questions
Une adresse IP est-elle un renseignement personnel au Québec ?
Elle peut l’être. La définition de l’article 2 couvre ce qui permet d’identifier une personne indirectement. Une adresse IP recoupée avec des journaux de connexion ou un compte client identifie souvent quelqu’un, donc elle doit être traitée comme un renseignement personnel.
Quelle est la différence entre données anonymisées et dépersonnalisées ?
Un renseignement dépersonnalisé n’identifie plus directement la personne mais demeure un renseignement personnel soumis à la loi. Un renseignement anonymisé ne permet plus, de façon irréversible, d’identifier la personne, et sort du champ de la loi. Le second seuil est beaucoup plus difficile à atteindre.
Combien de temps peut-on conserver les dossiers d’anciens employés ?
La loi ne fixe pas de durée unique. Elle exige de détruire ou d’anonymiser quand les fins sont accomplies, sous réserve des délais prévus par d’autres lois, notamment fiscales et en matière de normes du travail. La bonne pratique est une grille de conservation par catégorie, validée juridiquement.
Faire l’inventaire de vos données, à Trois-Rivières comme ailleurs
Aucune politique ne vaut plus que l’inventaire sur lequel elle repose. Savoir quelles données personnelles vivent dans vos serveurs, votre suite bureautique, votre système de paie et vos sauvegardes est un travail technique qui se fait une fois et se maintient ensuite. Nos services informatiques gérés incluent cette cartographie pour les PME de la Mauricie et du Québec. Pour en parler, passez par le formulaire de contact ou composez le 450-231-3836.
Ce guide vulgarise des obligations légales. Il n’est pas un avis juridique et ne remplace pas la lecture du texte de loi ni les conseils d’un conseiller juridique. Les références légales renvoient à la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1), telle que modifiée par la Loi 25.