Durée de conservation des documents sous la Loi 25 : ce que la loi ne dit pas

Cherchez « durée de conservation des documents Loi 25 » et vous trouverez des tableaux pleins d'assurance : trois ans pour ceci, sept ans pour cela. Le problème, c'est que la Loi 25 ne contient aucune durée. Pas une seule. Si vous avez lu notre résumé des obligations de la Loi 25 pour les PME, vous savez que la loi raisonne autrement : elle ne vous dit pas combien de temps garder vos documents, elle vous dit quand vous n'avez plus le droit de les garder.

C'est un renversement complet de la question que la plupart des dirigeants se posent. Et il change la nature du risque : pendant des décennies, le réflexe prudent était de tout conserver, au cas où. Sous la Loi 25, ce réflexe est devenu une infraction potentielle.

Cet article explique ce que la loi exige vraiment, d'où viennent les vraies durées minimales, et à quoi ressemble une politique de conservation raisonnable pour une PME québécoise.

La réponse courte, pour les pressés

La Loi 25 ne fixe aucune durée de conservation des documents. L'article 23 de la Loi sur la protection des renseignements personnels dans le secteur privé impose plutôt une règle de fin de vie : lorsque les fins pour lesquelles un renseignement personnel a été recueilli ou utilisé sont accomplies, l'entreprise doit le détruire ou l'anonymiser, sous réserve d'un délai de conservation prévu par une autre loi. Les durées minimales viennent donc d'ailleurs : les registres comptables et les pièces justificatives doivent être conservés six ans après la fin de la dernière année d'imposition concernée, une exigence de l'Agence du revenu du Canada comme de Revenu Québec, qui couvre aussi les dossiers de paie. Pour tout le reste, CV de candidats non retenus, listes d'envoi, dossiers de clients inactifs, la bonne question n'est pas « combien de temps puis-je garder ? », mais « la finalité est-elle accomplie ? ». Si oui, conserver devient soi-même une infraction.

Ce que l'article 23 exige, mot pour mot

Le texte tient en une phrase : « Lorsque les fins auxquelles un renseignement personnel a été recueilli ou utilisé sont accomplies, la personne qui exploite une entreprise doit le détruire ou l'anonymiser pour l'utiliser à des fins sérieuses et légitimes, sous réserve d'un délai de conservation prévu par une loi. »

Trois choses à remarquer. D'abord, le déclencheur est l'accomplissement de la finalité, pas une date au calendrier. Le dossier d'un client sert tant que la relation dure ; la candidature d'une personne sert tant que le poste n'est pas comblé. Après, le compte à rebours est terminé.

Ensuite, il y a deux sorties, pas une. Détruire, ou anonymiser pour utiliser le renseignement à des fins sérieuses et légitimes, des statistiques internes par exemple. Mais attention : anonymiser, au sens de la loi, veut dire qu'il n'est plus raisonnable de prévoir que le renseignement permette d'identifier la personne, directement ou indirectement, et de façon irréversible. Un règlement encadre le procédé depuis mai 2024 : processus supervisé par une personne qualifiée, évaluation du risque de réidentification, registre des renseignements anonymisés. Retirer les noms d'un fichier Excel n'est pas de l'anonymisation. Pour la plupart des PME, la sortie réaliste est la destruction.

Enfin, la réserve : « sous réserve d'un délai de conservation prévu par une loi ». C'est la porte par laquelle entrent les vraies durées.

Les minimums viennent des lois fiscales, pas de la Loi 25

La durée que tout le monde cherche existe, mais elle est ailleurs. L'Agence du revenu du Canada exige que les registres comptables et leurs pièces justificatives soient conservés six ans après la fin de la dernière année d'imposition à laquelle ils se rapportent. La même règle s'applique sous la Loi de l'impôt sur le revenu, la Loi sur la taxe d'accise (donc la TPS/TVH), la Loi sur l'assurance-emploi et le Régime de pensions du Canada, ce qui couvre vos dossiers de paie. Revenu Québec impose le même six ans de son côté. Détail qui piège : si vous produisez une déclaration en retard, le six ans court à partir de la date de production, pas de la fin d'année. Et certains documents se gardent indéfiniment, comme le registre des actions ou les pièces relatives aux immobilisations à long terme.

La conséquence pratique : la facture d'un client, le contrat, le relevé de paie, tout ce qui appuie vos déclarations fiscales se conserve six ans, et l'article 23 le permet explicitement. Mais le minimum fiscal protège le document fiscal, pas le reste du dossier. L'historique de clavardage avec ce client, ses préférences notées dans le CRM, les courriels échangés : rien de tout cela n'est une pièce justificative comptable. Invoquer « l'impôt » pour tout garder est exactement le raccourci que la loi ne permet plus.

Le cas d'école : les CV des candidats non retenus

C'est le dossier où l'écart entre la pratique courante et la règle est le plus grand. Presque toutes les entreprises gardent les candidatures reçues, indéfiniment, « au cas où un poste s'ouvrirait ». La Commission d'accès à l'information, qui a publié des lignes directrices sur le recrutement en 2025, est claire : quand le processus d'embauche est terminé, la finalité est accomplie, et les renseignements des candidats non retenus doivent être détruits de façon sécuritaire. Les conserver pour de futurs postes est une utilisation secondaire, qui exige le consentement de la personne.

La solution propre est simple : demandez le consentement au moment de la candidature. Une case à cocher, « j'accepte que ma candidature soit conservée douze mois pour d'autres postes », règle la question. Sans ce consentement, la banque de CV que votre entreprise accumule depuis des années cesse d'être un actif et devient un stock de renseignements détenus sans droit. Si vous croyez avoir une raison sérieuse de conserver un dossier de candidature précis plus longtemps, documentez-la avec votre responsable de la protection des renseignements personnels : c'est exactement le genre d'arbitrage qui relève de lui.

La matrice d'une PME, racontée plutôt que tabulée

Dossiers clients : tant que la relation est active, la finalité court. Quand elle se termine, séparez ce qui appuie la comptabilité (contrats, factures : six ans) de ce qui ne l'appuie pas (échanges, notes, préférences : destruction dans un délai raisonnable une fois les obligations mutuelles éteintes).

Listes d'envoi et infolettre : la finalité est l'envoi de communications auxquelles la personne a consenti. Un désabonnement met fin à cette finalité. Vous pouvez conserver le strict nécessaire pour respecter le désabonnement lui-même, une liste d'exclusion, mais pas le profil complet de la personne.

Formulaires du site web : chaque formulaire devrait avoir une finalité déclarée et une fin de vie assumée. Une demande de soumission restée sans suite depuis deux ans n'a plus de finalité. Votre politique de confidentialité devrait dire ce que vous faites de ces données, et votre pratique devrait y correspondre.

Sauvegardes : le point aveugle classique. Détruire un renseignement dans le système de production ne détruit pas ses copies de sauvegarde. L'approche défendable est une rotation à durée définie : les sauvegardes expirent après un délai documenté, et une donnée supprimée finit donc par disparaître partout. Documentez ce délai et interdisez-vous de restaurer des renseignements détruits pour les remettre en circulation.

Tout garder « au cas où » est devenu un passif

Le réflexe de tout conserver date d'une époque où le seul coût du document était l'espace de classeur. Ce calcul a changé deux fois. D'abord, chaque renseignement conservé est une surface d'incident : si votre système est compromis, l'ampleur de ce que vous devez évaluer, consigner au registre des incidents de confidentialité et possiblement notifier dépend directement de ce que vous déteniez. Dix ans de CV et de dossiers clients morts transforment un incident mineur en opération majeure.

Ensuite, la conservation fautive est sanctionnable en elle-même. L'article 91 de la loi vise expressément quiconque « conserve » des renseignements personnels en contravention à la loi, avec des amendes pénales pouvant atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial, et des sanctions administratives jusqu'à 10 millions ou 2 %. Personne n'imposera le maximum à une PME pour de vieux CV. Mais le message du législateur est sans ambiguïté : la donnée que vous n'avez plus ne peut ni fuir, ni être exigée, ni vous être reprochée.

Par où commencer

La Loi 25 exige déjà que vos politiques de gouvernance prévoient l'encadrement de la conservation et de la destruction des renseignements personnels, et que l'essentiel en soit publié sur votre site. Le chemin réaliste tient en trois gestes : inventorier où vivent les renseignements personnels (CRM, boîte courriel, formulaires, sauvegardes), écrire une page qui associe chaque catégorie à sa finalité et à sa règle de fin de vie, puis automatiser ce qui peut l'être, la purge des soumissions de formulaires en tête.

C'est un travail que nous intégrons à la gestion continue des sites de nos clients : un site bien tenu, c'est aussi un site qui ne stocke pas dix ans de formulaires oubliés. Si vous voulez en parler, la première conversation ne coûte rien.

→ Parlez-nous de votre situation

Ce texte vulgarise des obligations légales pour aider une PME à poser les bonnes questions ; il ne constitue pas un avis juridique. Les délais fiscaux comportent des exceptions et la portée exacte de vos obligations dépend de votre situation : validez vos règles de conservation avec un conseiller juridique ou comptable. Les textes officiels (P-39.1, lois fiscales) font foi.