Leçon 6.1 : Conservation, anonymisation et destruction des données

De la collecte à la destruction : le cycle de vie légal

La Loi 25 impose une vision du cycle de vie complet des données : collecter uniquement ce qui est nécessaire, conserver seulement aussi longtemps que nécessaire, et détruire ou anonymiser de façon sécurisée lorsque la finalité est atteinte. Ce principe de minimisation transforme la gestion des données d’une thésaurisation passive en une gouvernance active.

Le principe de minimisation

Dès qu’un renseignement personnel n’est plus nécessaire à la réalisation de la finalité pour laquelle il a été collecté, l’organisation a l’obligation légale de le détruire ou de l’anonymiser. La conservation indéfinie de données « au cas où » est une violation.

• Données de candidats non retenus : supprimer dans les 6 mois suivant la décision (directives CAI mars 2025).
• Soumissions de formulaires de contact : supprimer après 90 jours si aucune relation d’affaires établie.
• Données de paniers abandonnés : supprimer après 30 jours.
• Données de comptes clients inactifs : notifier + supprimer après 24 mois d’inactivité.

Anonymisation vs pseudonymisation : une distinction légale cruciale

Pseudonymisation (dépersonnalisation) :

• On remplace les identifiants directs par des codes ou hachages.
• La réidentification reste techniquement possible avec la clé.
• Les données pseudonymisées sont toujours soumises à la Loi 25.

Anonymisation :

• Processus irréversible, il est mathématiquement impossible de réidentifier la personne.
• Les données vraiment anonymisées échappent au régime de la Loi 25.
• Un règlement québécois spécifique (adopté en 2024) définit les critères d’anonymisation valide.
• L’organisation doit documenter les procédés d’anonymisation et tenir un registre.

Attention : un simple hachage MD5 d’une adresse courriel n’est pas une anonymisation valide, la réidentification est techniquement possible. La Loi 25 exige une analyse des risques de réidentification documentée.

La destruction sécurisée

Supprimer un fichier ne suffit pas, les données restent récupérables sur le disque. La destruction sécurisée implique :

• Numérique : écrasement sécurisé (DoD 5220.22-M) ou chiffrement irréversible de la clé.
• Physique : broyage des supports physiques pour les données très sensibles.
• Documentation de la destruction dans le registre.

SiteQC : cycles de purge automatisés

SiteQC implémente des politiques de rétention configurables par catégorie de données, avec purge automatique programmée et notifications préalables aux utilisateurs concernés. Les destructions sont journalisées pour démonstration de conformité devant la CAI.

Points clés

• Conservation indéfinie = violation de la Loi 25.
• Pseudonymisation ≠ anonymisation : la première reste soumise à la loi.
• Anonymisation valide = irréversible + analyse des risques de réidentification documentée.
• Destruction sécurisée documentée dans le registre.