Le piège du « tout conserver » : bâtir un calendrier de conservation des données défendable au Canada

Une agence de recrutement de taille moyenne en Ontario a subi une atteinte l'an dernier. L'attaquant a tiré une base de données et est reparti avec des CV, des NAS, des coordonnées de références, tout le bataclan. La partie laide n'était pas l'atteinte elle-même. C'était que 80 % des dossiers exposés appartenaient à des candidats qui avaient postulé pour des emplois entre 2009 et 2015 et qui n'avaient jamais été embauchés. Des gens qui, dans bien des cas, avaient depuis changé de carrière, changé de province, et oublié que l'agence existait. L'agence n'avait aucune raison de conserver quoi que ce soit de tout cela. Ils n'ont simplement jamais rien supprimé.

C'est le piège du « conserver pour toujours », et c'est l'échec de protection de la vie privée le plus courant que je vois dans les entreprises canadiennes. Le stockage est bon marché, supprimer semble risqué, et personne n'a jamais été congédié pour avoir conservé un fichier. Alors tout s'accumule. Jusqu'au jour où un organisme de réglementation, une atteinte ou une demande d'accès transforme cette archive poussiéreuse en une responsabilité portant votre nom.

Pourquoi « on pourrait en avoir besoin un jour » est un problème juridique, pas seulement d'hygiène

Les gens traitent la conservation des données comme une question de ménage informatique. Ce n'en est pas une. En vertu de la LPRPDE, c'est une obligation contraignante. Le principe 4.5 de l'annexe 1 dit que les renseignements personnels « ne doivent être conservés qu'aussi longtemps que nécessaire pour la réalisation de ces fins ». Le principe 4.5.3 va plus loin : les renseignements qui ne sont plus nécessaires à la réalisation des fins déterminées « devraient être détruits, effacés ou rendus anonymes ».

Relisez cela. L'état par défaut des renseignements personnels en vertu du droit canadien est la *suppression*. Les conserver est l'exception que vous devez justifier, et non l'inverse. La plupart des entreprises ont la logique à l'envers. Elles supposent qu'elles peuvent conserver les données indéfiniment à moins que quelqu'un ne leur dise d'arrêter, alors que la loi dit en fait qu'elles doivent en disposer une fois la fin disparue.

Le Commissariat à la protection de la vie privée a rendu cela concret dans ses conclusions. Le CPVP a statué qu'une organisation avait enfreint le principe de conservation simplement en n'ayant pas de calendrier, peu importe qu'un préjudice se soit produit. L'absence d'une pratique de conservation documentée et appliquée est en soi la conclusion. Vous n'avez pas le droit de plaider « pas de préjudice, pas de faute ». Ne pas limiter la conservation *est* la faute.

Le Québec a haussé les enjeux davantage. La Loi 25 a modifié la loi provinciale sur la protection de la vie privée du secteur privé de sorte que les organisations doivent détruire les renseignements personnels une fois la fin réalisée, ou les anonymiser selon les meilleures pratiques généralement reconnues. La Commission d'accès à l'information (CAI) peut imposer des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé, et poursuivre des amendes pénales qui grimpent à 25 millions de dollars ou 4 % du chiffre d'affaires. Pour les renseignements de santé, la LPRPS de l'Ontario ajoute ses propres devoirs de conservation et de disposition sécuritaire, avec le commissaire à l'information et à la protection de la vie privée de l'Ontario à l'affût. Aucun de ces organismes de réglementation n'est impressionné par un serveur plein de données dont vous « pourriez avoir besoin un jour ».

À quoi ressemble un calendrier de conservation des données que les organismes de réglementation canadiens accepteront réellement

Un calendrier de conservation n'est pas un document de politique qui dit « nous conservons les données seulement aussi longtemps que nécessaire ». Cette phrase est sans valeur en soi. Elle réénonce l'obligation sans la remplir. Un véritable calendrier de conservation des données que les autorités canadiennes accepteront est un tableau. Il associe chaque catégorie de renseignements personnels que vous détenez à trois choses : la fin pour laquelle vous les avez recueillis, la période de conservation précise, et la méthode de disposition.

Voici sa forme :

• Catégorie de données — soyez granulaire. « Données client » n'est pas une catégorie. « Dossiers de facturation client », « abonnés aux courriels marketing », « transcriptions de clavardage de soutien » et « coordonnées de panier abandonné » sont quatre catégories différentes avec quatre horloges différentes.
• Fin et base juridique — pourquoi vous les détenez, lié à une fin déterminée ou à une exigence légale.
• Période de conservation — un nombre, avec un déclencheur. « 7 ans à compter de la dernière transaction », pas « au besoin ».
• Méthode de disposition — suppression sécuritaire, déchiquetage cryptographique ou anonymisation documentée. « Nous cessons de les utiliser » n'est pas une disposition.

La période de conservation est l'endroit où réside le jugement, et où l'instinct du « conserver pour toujours » fait le plus de dégâts. Certaines périodes vous sont dictées. La Loi de l'impôt sur le revenu et les règles de l'ARC exigent de conserver les registres d'entreprise, y compris certains qui contiennent des renseignements personnels, pendant six ans à compter de la fin de l'année d'imposition à laquelle ils se rapportent. CANAFE, en vertu de la LRPCFAT, exige que les entités déclarantes telles que les banques, les entreprises de services monétaires, les courtiers immobiliers et les négociants en métaux précieux conservent les registres d'identification des clients et de transactions pendant cinq ans. Les dossiers d'emploi, les délais de prescription provinciaux pour les litiges, les registres de consentement de la LCAP — chacun porte son propre minimum défendable.

Mais voici la partie que les gens ratent. Une exigence légale de conservation est un plancher, pas un plafond, et elle ne s'applique qu'aux dossiers précis que la loi nomme. L'ARC ayant besoin de vos factures pendant six ans ne vous autorise pas à conserver le dossier d'accommodement médical d'un ancien employé pendant six ans, ni le CV d'un candidat rejeté pour quelque durée que ce soit au-delà de la décision d'embauche. L'agence de mon introduction aurait pu fixer une conservation de 12 mois sur les candidats non retenus et supprimer 80 % de ce qui a été compromis. Le coût de le faire : environ un après-midi et une tâche planifiée.

La moitié « disposition » est celle que tout le monde oublie

Rédiger le calendrier est la partie facile. Le CPVP et la CAI se soucient tous deux intensément de savoir si vous l'*exécutez* réellement, et si la disposition est sécuritaire. Un calendrier de conservation qu'aucun système n'applique est du théâtre. J'ai revu de nombreuses politiques de conservation bien rédigées reposant dans un dossier SharePoint pendant que les bases de données sous-jacentes conservaient joyeusement tout depuis 2011.

La disposition sécuritaire signifie que les données sont véritablement irrécupérables. Glisser des fichiers vers une icône de corbeille ne compte pas. Pour les données structurées, cela signifie des suppressions définitives de la production et des sauvegardes — avec une fenêtre de conservation des sauvegardes documentée et limitée dans le temps pour que les anciennes données disparaissent aussi des sauvegardes — ou un déchiquetage cryptographique, où vous détruisez les clés de chiffrement et le texte chiffré devient du bruit. Pour le Québec, l'anonymisation est maintenant une norme juridique précise : le règlement en vertu de la Loi 25 exige que les données anonymisées le soient de façon irréversible, évaluée par rapport à l'état de l'art. La pseudonymisation, où vous pouvez relier de nouveau avec une clé, n'est *pas* une anonymisation et ne vous libère pas de l'obligation de conservation.

Documentez aussi la disposition. Tenez un journal de destruction : quelle catégorie, quelle date, quelle méthode, qui l'a autorisée. Lorsque le CPVP enquête, l'écart entre « nous croyons que ces données ont été supprimées » et « voici le journal montrant 4 200 dossiers purgés le 2026-03-31 en vertu de la règle de conservation R-14 » est l'écart entre une conclusion contre vous et un dossier propre.

Commencez par une cartographie des données, puis réglez les horloges

Vous ne pouvez pas conserver et disposer de données dont vous ignorez l'existence. Tout calendrier défendable commence par un inventaire. Parcourez chaque système : le CRM, la plateforme de courriel, le centre de soutien, le système RH, la feuille de calcul de cet analyste, les soumissions de formulaires qui s'empilent dans une boîte de réception partagée, les sauvegardes, et l'environnement de développement amorcé avec une copie de la production. Ce dernier est un classique, et un sérieux. Pour chaque dépôt, énumérez les catégories de renseignements personnels et leurs flux.

Puis réglez les horloges pour chaque catégorie et choisissez l'événement déclencheur. Certaines horloges démarrent à la collecte, d'autres à la dernière activité, d'autres à la fermeture du compte, d'autres à la fin d'une période contractuelle ou légale. Le consentement marketing en vertu de la LCAP est un bon exemple : liez-le à l'engagement. Un abonné aux courriels qui n'a rien ouvert depuis trois ans est une donnée que vous détenez sans fin vivante, et sans doute sans consentement valable continu.

Le travail est réel mais limité. Une petite entreprise avec une douzaine de catégories de données peut bâtir un premier calendrier crédible en une semaine. La raison pour laquelle la plupart ne le font pas est que le faire à la main dans chaque outil, le garder à jour à mesure que de nouveaux systèmes sont ajoutés, et prouver son application est fastidieux et facile à laisser glisser. Ce fardeau de maintenance est exactement pourquoi les calendriers de conservation pourrissent.

C'est la partie que Valdra a été conçu pour vous enlever des mains. Il inventorie où vivent les données personnelles, génère un calendrier de conservation catégorie par catégorie aligné sur la LPRPDE, la Loi 25, la LPRPS et la LCAP, et suit la disposition pour que vous ayez le journal de destruction quand un organisme de réglementation le demande. Si vous comptiez régler le problème du « conserver pour toujours » et n'avez jamais trouvé l'après-midi, bâtissez votre calendrier de conservation avec Valdra.