Cherchez « durée de conservation des documents d'entreprise » ou « Loi 25 conservation » et vous trouverez des tableaux pleins d'assurance : trois ans pour ceci, sept ans pour cela. Le problème, c'est que la Loi 25 ne contient aucune durée. Pas une seule. Si vous avez lu notre résumé des obligations de la Loi 25 pour les PME, vous savez que la loi raisonne autrement : elle ne vous dit pas combien de temps garder vos documents, elle vous dit quand vous n'avez plus le droit de les garder.
C'est un renversement complet de la question que la plupart des dirigeants se posent. Et il change la nature du risque : pendant des décennies, le réflexe prudent était de tout conserver, au cas où. Sous la Loi 25, ce réflexe est devenu une infraction potentielle.
Cet article explique ce que la loi exige vraiment, d'où viennent les vraies durées minimales, et à quoi ressemble une politique de conservation raisonnable pour une PME québécoise.
La réponse courte, pour les pressés
La Loi 25 ne fixe aucune durée de conservation des documents. L'article 23 de la Loi sur la protection des renseignements personnels dans le secteur privé impose plutôt une règle de fin de vie : lorsque les fins pour lesquelles un renseignement personnel a été recueilli ou utilisé sont accomplies, l'entreprise doit le détruire ou l'anonymiser, sous réserve d'un délai de conservation prévu par une autre loi. Les durées minimales viennent donc d'ailleurs : les registres comptables et les pièces justificatives doivent être conservés six ans après la fin de la dernière année d'imposition concernée, une exigence de l'Agence du revenu du Canada comme de Revenu Québec, qui couvre aussi les dossiers de paie. Pour tout le reste, CV de candidats non retenus, listes d'envoi, dossiers de clients inactifs, la bonne question n'est pas « combien de temps puis-je garder ? », mais « la finalité est-elle accomplie ? ». Si oui, conserver devient soi-même une infraction.
Ce que l'article 23 exige, mot pour mot
Le texte tient en une phrase : « Lorsque les fins auxquelles un renseignement personnel a été recueilli ou utilisé sont accomplies, la personne qui exploite une entreprise doit le détruire ou l'anonymiser pour l'utiliser à des fins sérieuses et légitimes, sous réserve d'un délai de conservation prévu par une loi. »
Trois choses à remarquer. D'abord, le déclencheur est l'accomplissement de la finalité, pas une date au calendrier. Le dossier d'un client sert tant que la relation dure ; la candidature d'une personne sert tant que le poste n'est pas comblé. Après, le compte à rebours est terminé.
Ensuite, il y a deux sorties, pas une. Détruire, ou anonymiser pour utiliser le renseignement à des fins sérieuses et légitimes, des statistiques internes par exemple. Mais attention : anonymiser, au sens de la loi, veut dire qu'il n'est plus raisonnable de prévoir que le renseignement permette d'identifier la personne, directement ou indirectement, et de façon irréversible. Un règlement encadre le procédé depuis mai 2024 : processus supervisé par une personne qualifiée, évaluation du risque de réidentification, registre des renseignements anonymisés. Retirer les noms d'un fichier Excel n'est pas de l'anonymisation. Pour la plupart des PME, la sortie réaliste est la destruction.
Enfin, la réserve : « sous réserve d'un délai de conservation prévu par une loi ». C'est la porte par laquelle entrent les vraies durées.
Les minimums viennent des lois fiscales, pas de la Loi 25
La durée que tout le monde cherche existe, mais elle est ailleurs. L'Agence du revenu du Canada exige que les registres comptables et leurs pièces justificatives soient conservés six ans après la fin de la dernière année d'imposition à laquelle ils se rapportent. La même règle s'applique sous la Loi de l'impôt sur le revenu, la Loi sur la taxe d'accise (donc la TPS/TVH), la Loi sur l'assurance-emploi et le Régime de pensions du Canada, ce qui couvre vos dossiers de paie. Revenu Québec impose le même six ans de son côté. Détail qui piège : si vous produisez une déclaration en retard, le six ans court à partir de la date de production, pas de la fin d'année. Et certains documents se gardent indéfiniment, comme le registre des actions ou les pièces relatives aux immobilisations à long terme.
La conséquence pratique : la facture d'un client, le contrat, le relevé de paie, tout ce qui appuie vos déclarations fiscales se conserve six ans, et l'article 23 le permet explicitement. Mais le minimum fiscal protège le document fiscal, pas le reste du dossier. L'historique de clavardage avec ce client, ses préférences notées dans le CRM, les courriels échangés : rien de tout cela n'est une pièce justificative comptable. Invoquer « l'impôt » pour tout garder est exactement le raccourci que la loi ne permet plus.
Combien de temps garder les documents d'entreprise : les durées qui existent vraiment
Reprenons la question dans le sens où elle se pose vraiment, celui que les dirigeants tapent dans un moteur de recherche. Aucune loi québécoise ne publie le tableau unique que tout le monde cherche. Les durées existent, mais elles sont dispersées dans des textes qui ne se parlent pas : les lois fiscales, les normes du travail, le Code civil. La Loi 25 n'ajoute aucun plancher à cette liste. Elle pose un plafond : une fois la finalité accomplie et les délais légaux écoulés, la conservation n'est plus permise.
D'où la tension que vit toute PME : garder six ans pour le fisc, détruire dès que la finalité est accomplie pour la Loi 25. Elle se résout dans le texte même de l'article 23, qui subordonne l'obligation de détruire à « un délai de conservation prévu par une loi ». La Commission d'accès à l'information le formule dans les mêmes termes : la seule restriction à l'obligation de destruction est le délai de conservation prévu par une loi. L'obligation fiscale l'emporte donc, et pas seulement sur le papier. L'Agence du revenu du Canada exige une permission écrite, le formulaire T137, pour détruire des registres avant la fin de la période de conservation, et prévient que le faire sans cette permission peut mener à des poursuites. Deux nuances tout de même. Cette priorité couvre le document que la loi fiscale vise, pas le dossier entier qui l'entoure. Et quand le délai légal expire, l'article 23 reprend ses droits : le document doit alors être détruit, et non simplement rangé plus loin. L'anonymisation reste la seconde sortie, mais son encadrement réglementaire, personne qualifiée, analyse du risque de réidentification, registre des renseignements anonymisés, la rend rarement plus simple que la destruction pour une PME.
Registres comptables et pièces justificatives. Six ans après la fin de la dernière année d'imposition à laquelle ils se rapportent, au fédéral comme au Québec : c'est la formule de l'Agence du revenu du Canada, et celle de l'article 35.1 de la Loi sur l'administration fiscale. La même règle vaut pour un particulier, l'année d'imposition étant alors l'année civile : les feuillets et les reçus qui appuient une déclaration de revenus se gardent six ans eux aussi. Déclaration produite en retard : les six ans courent à partir de la date de production. Opposition ou appel : on conserve jusqu'au dénouement, même si les six ans sont écoulés. Registre des actions et pièces liées aux immobilisations à long terme : indéfiniment.
Dossiers de paie. Deux règles se superposent et c'est la plus longue qui gouverne. Le règlement adopté en vertu de la Loi sur les normes du travail exige de conserver trois ans le registre des salariés, celui qui contient les heures, les taux et les montants versés. Mais ces mêmes données appuient vos retenues à la source, couvertes par la Loi sur l'assurance-emploi et le Régime de pensions du Canada, où la période est de six ans. Planifiez sur six ans.
Contrats. Aucune loi fiscale ne vise le contrat en tant que tel, sauf lorsqu'il appuie une déclaration, auquel cas on retombe sur les six ans. Le repère utile est ailleurs, dans la prescription : au Québec, une action fondée sur un droit personnel se prescrit par trois ans, en vertu de l'article 2925 du Code civil du Québec, et le délai général est de dix ans quand la loi n'en fixe pas d'autre. Conserver un contrat trois ans après l'extinction des obligations qu'il crée se défend. Le garder quinze ans « au cas où », non.
Renseignements personnels de vos clients. Aucune durée légale, ni dans un sens ni dans l'autre. La finalité gouverne, et elle ne survit à la relation que pour ce qui l'appuie encore : facturation, garantie, obligation légale précise. Les notes, les préférences et l'historique des échanges n'ont aucun délai fiscal qui les protège. La matrice plus bas détaille ce partage.
CV des candidats non retenus. Aucune durée légale non plus, et la finalité meurt avec le processus d'embauche. Douze mois de conservation restent possibles, mais seulement avec le consentement de la personne, demandé au moment de la candidature. L'écart avec la pratique courante est tel que la section suivante lui est consacrée.
Images de vidéosurveillance. La Commission d'accès à l'information demande de les détruire dès qu'elles ne sont plus nécessaires et considère, dans sa fiche sur la vidéosurveillance, qu'une conservation de trente jours est un délai généralement suffisant. Si une séquence documente un incident précis, c'est elle qui survit le temps de l'enquête, pas l'ensemble du disque.
Pour tout ce qui n'apparaît nulle part dans cette liste, et c'est le gros du volume, la règle de repli ne change pas : fixez le délai avant d'en avoir besoin. La Commission recommande d'ailleurs aux entreprises de se doter d'un calendrier de conservation. Un délai choisi et documenté se défend. La conservation par défaut, elle, n'a jamais été décidée par personne.
Le cas d'école : les CV des candidats non retenus
C'est le dossier où l'écart entre la pratique courante et la règle est le plus grand. Presque toutes les entreprises gardent les candidatures reçues, indéfiniment, « au cas où un poste s'ouvrirait ». La Commission d'accès à l'information, qui a publié des lignes directrices sur le recrutement en 2025, est claire : quand le processus d'embauche est terminé, la finalité est accomplie, et les renseignements des candidats non retenus doivent être détruits de façon sécuritaire. Les conserver pour de futurs postes est une utilisation secondaire, qui exige le consentement de la personne.
La solution propre est simple : demandez le consentement au moment de la candidature. Une case à cocher, « j'accepte que ma candidature soit conservée douze mois pour d'autres postes », règle la question. Sans ce consentement, la banque de CV que votre entreprise accumule depuis des années cesse d'être un actif et devient un stock de renseignements détenus sans droit. Si vous croyez avoir une raison sérieuse de conserver un dossier de candidature précis plus longtemps, documentez-la avec votre responsable de la protection des renseignements personnels : c'est exactement le genre d'arbitrage qui relève de lui.
La matrice d'une PME, racontée plutôt que tabulée
Dossiers clients : tant que la relation est active, la finalité court. Quand elle se termine, séparez ce qui appuie la comptabilité (contrats, factures : six ans) de ce qui ne l'appuie pas (échanges, notes, préférences : destruction dans un délai raisonnable une fois les obligations mutuelles éteintes).
Listes d'envoi et infolettre : la finalité est l'envoi de communications auxquelles la personne a consenti. Un désabonnement met fin à cette finalité. Vous pouvez conserver le strict nécessaire pour respecter le désabonnement lui-même, une liste d'exclusion, mais pas le profil complet de la personne.
Formulaires du site web : chaque formulaire devrait avoir une finalité déclarée et une fin de vie assumée. Une demande de soumission restée sans suite depuis deux ans n'a plus de finalité. Votre politique de confidentialité devrait dire ce que vous faites de ces données, et votre pratique devrait y correspondre.
Sauvegardes : le point aveugle classique. Détruire un renseignement dans le système de production ne détruit pas ses copies de sauvegarde. L'approche défendable est une rotation à durée définie : les sauvegardes expirent après un délai documenté, et une donnée supprimée finit donc par disparaître partout. Documentez ce délai et interdisez-vous de restaurer des renseignements détruits pour les remettre en circulation.
Tout garder « au cas où » est devenu un passif
Le réflexe de tout conserver date d'une époque où le seul coût du document était l'espace de classeur. Ce calcul a changé deux fois. D'abord, chaque renseignement conservé est une surface d'incident : si votre système est compromis, l'ampleur de ce que vous devez évaluer, consigner au registre des incidents de confidentialité et possiblement notifier dépend directement de ce que vous déteniez. Dix ans de CV et de dossiers clients morts transforment un incident mineur en opération majeure.
Ensuite, la conservation fautive est sanctionnable en elle-même. L'article 91 de la loi vise expressément quiconque « conserve » des renseignements personnels en contravention à la loi, avec des amendes pénales pouvant atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial, et des sanctions administratives jusqu'à 10 millions ou 2 %. Personne n'imposera le maximum à une PME pour de vieux CV. Mais le message du législateur est sans ambiguïté : la donnée que vous n'avez plus ne peut ni fuir, ni être exigée, ni vous être reprochée.
Par où commencer
La Loi 25 exige déjà que vos politiques de gouvernance prévoient l'encadrement de la conservation et de la destruction des renseignements personnels, et que l'essentiel en soit publié sur votre site. Le chemin réaliste tient en trois gestes : inventorier où vivent les renseignements personnels (CRM, boîte courriel, formulaires, sauvegardes), écrire une page qui associe chaque catégorie à sa finalité et à sa règle de fin de vie, puis automatiser ce qui peut l'être, la purge des soumissions de formulaires en tête.
C'est un travail que nous intégrons à la gestion continue des sites de nos clients : un site bien tenu, c'est aussi un site qui ne stocke pas dix ans de formulaires oubliés. Si vous voulez en parler, la première conversation ne coûte rien.
→ Parlez-nous de votre situation
Ce texte vulgarise des obligations légales pour aider une PME à poser les bonnes questions ; il ne constitue pas un avis juridique. Les délais fiscaux comportent des exceptions et la portée exacte de vos obligations dépend de votre situation : validez vos règles de conservation avec un conseiller juridique ou comptable. Les textes officiels (P-39.1, lois fiscales) font foi.
Écrit parXavier Peich