Que dit l'article 23 de la Loi 25?

L'article 23 exige que, lorsque les fins pour lesquelles un renseignement personnel a été recueilli ou utilisé sont accomplies, l'entreprise le détruise ou l'anonymise pour l'utiliser à des fins sérieuses et légitimes, sous réserve d'un délai de conservation prévu par une autre loi.

Anonymiser et pseudonymiser, est-ce la même chose?

Non. La Loi 25 exige qu'un renseignement anonymisé rende impossible, en tout temps et de façon irréversible, l'identification directe ou indirecte de la personne. Une pseudonymisation, qui reste réversible ou permet un recoupement, ne satisfait pas ce test et ne libère pas le renseignement des obligations de la loi.

Puis-je conserver des renseignements plus longtemps si une autre loi l'exige?

Oui. L'article 23 s'applique sous réserve d'un délai de conservation prévu par une loi. Si une autre loi impose de garder certains documents, par exemple des registres comptables, cette obligation prévaut pendant la durée du délai.

Que doit contenir ma politique de conservation et de destruction?

L'article 3.2 exige que les politiques de gouvernance prévoient l'encadrement applicable à la conservation et à la destruction des renseignements personnels. En pratique, un calendrier par catégorie de renseignements, une durée de conservation et une méthode de destruction ou d'anonymisation.

Comment HelionAI aide-t-il pour la conservation et la destruction?

HelionAI aide les organisations à organiser et documenter leur calendrier de conservation et de destruction, aux côtés du registre du responsable et des autres registres exigés par la Loi 25. C'est un outil logiciel, et non un cabinet d'avocats, et il ne remplace pas le responsable ni un avis juridique.

Détruire ou anonymiser (Loi 25, art. 23)

HelionAI//

Destroy or anonymize: the end-of-life duty for personal information under Quebec's Law 25 (English)

Section 23 of Quebec's Law 25 requires that once the purposes for which personal information was collected or used have been fulfilled, the enterprise must destroy it or anonymize it in order to use it for serious and legitimate purposes, subject to a retention period set by another law. Law 25 defines anonymization itself: information is anonymized when it is, at all times, reasonable to expect in the circumstances that it can no longer, irreversibly, identify the individual directly or indirectly, following generally recognized best practices and criteria set by regulation. Pseudonymization, which remains reversible or allows cross-referencing, does not meet that test. Section 3.2 requires governance policies to set out the framework applicable to retention and destruction, and section 8 requires the enterprise to disclose, on request, how long information about a person will be kept. In practice: build a retention schedule by category of information, flag information whose purpose has been fulfilled, destroy it or anonymize it to the section 23 standard, and check first whether another law requires keeping it longer. HelionAI helps organizations organize and document their retention and destruction schedule alongside the privacy officer record and the ÉFVP.

Not legal advice. HelionAI is a software tool, not a law firm. The information provided is general in nature and does not constitute legal advice. For a specific situation, consult qualified legal counsel.