Destruction des renseignements personnels : responsabilité des organismes publics et des entreprises
Les renseignements personnels ont un cycle de vie qui leur est propre : de leur collecte à leur destruction, ils passent par des phases d’utilisation et de conservation et, parfois, par la communication à des tiers.
À titre de représentant d’organisme public ou d’entreprise, vous avez l’obligation d’assurer protection des renseignements personnels. En matière de sécurité et de destruction, les lois applicables prévoient des règles.
Vous devez prendre des mesures de sécurité pour assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits. Ces mesures doivent être raisonnables compte tenu, notamment, de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support.
Rappelons que lorsque les fins pour lesquelles un renseignement personnel a été recueilli ou utilisé sont accomplies, l’organisation doit les détruire ou les anonymiser.
Bien identifier et gérer pour bien détruire!
Tout d’abord, la Commission vous recommande de mettre en place une procédure de gestion documentaire et d’identifier des responsables chargés de veiller à sa bonne application.
Il est important de faire connaître cette procédure à tout le personnel.
Cette procédure doit notamment viser à :
- Inventorier les types de documents contenant des renseignements personnels (fichier des ressources humaines, base de données de la clientèle, etc.);
- Définir les niveaux de confidentialité des documents (p. ex. protégé, confidentiel et secret) en fonction des critères de sensibilité, de finalité, de quantité, de répartition et de support.
Les lois applicables vous obligent à protéger les renseignements personnels contenus dans tous les types de documents physiques ou numériques, au sens large, que leur forme soit écrite, graphique, sonore, visuelle, informatisée ou autre. Notez qu’une base de données, par exemple, est considérée comme un document;
- Distinguer les types de supports pour y associer une méthode de conservation et de destruction appropriées (p. ex. support papier, numérique);
- Déterminer un calendrier de conservation respectant les exigences légales.
Choisissez une méthode de destruction adaptée!
La méthode de destruction doit être adaptée au support et au niveau de confidentialité des documents et assurer la destruction définitive des renseignements personnels qu’ils contiennent.
Plusieurs techniques permettent une destruction définitive :
Support utilisé |
Exemples de méthodes de destruction |
| Papier(original et toutes les copies)
|
• Déchiqueteuse, de préférence à découpe transversale.Si les documents sont très confidentiels : déchiqueteuse + incinération |
| Médias numériques que l’on souhaite réutiliser ou recyclerEx. cartes de mémoire flash (cartes SD, XD, etc.) clés USB, disque dur d’ordinateur | • Formatage, réécriture, déchiquetage numérique (logiciel effectuant une suppression sécuritaire et qui écrira de l’information aléatoire à l’endroit où se trouvait le fichier supprimé). |
| Médias numériques non réutilisablesEx. certains CD, DVD, cartes de mémoire flash, clés USB et disques durs qui ne seront plus utilisés
|
• Destruction physique (déchiquetage, broyage, meulage de surface, désintégration, trouage, incinération, etc.).La plupart des déchiqueteuses pourront détruire les CD et les DVD.
• Démagnétiseur pour les disques durs. |
| Machines contenant des disques dursEx. photocopieur, télécopieur, numériseur, imprimante, etc. | • Écrasement des informations sur le disque dur ou disque dur enlevé et détruit lorsque les machines sont remplacées. |
Destruction à l’interne ou destruction par un tiers?
Vous pouvez détruire vous-même les documents contenant des renseignements personnels. Si votre équipement ne vous permet pas de le faire de manière sécuritaire, vous pouvez aussi conclure un contrat avec un prestataire externe. Par exemple, la destruction définitive des données contenues dans un disque dur peut nécessiter le recours à une firme externe.
Lorsqu’un tiers (prestataire) est impliqué, il faut prévoir un contrat écrit précisant, entre autres :
- Le procédé utilisé pour la destruction;
- Que le prestataire reconnaît la confidentialité des renseignements traités et qu’il ne peut les conserver à ses propres fins;
- Que le prestataire informera son client s’il fait appel à un sous-traitant pour la destruction;
- Qu’un engagement de confidentialité sera signé par les employés;
- Que l’entreposage des documents à détruire est sécuritaire;
- Qu’il est possible pour le client d’accéder aux locaux du prestataire pendant la durée du contrat;
- Que le prestataire a l’obligation de faire régulièrement un compte rendu au client de la destruction des documents;
- Que le prestataire doit aviser le client sans délai en cas de violation ou de tentative de violation des obligations relatives à la sécurité ou à la confidentialité des renseignements.
Pensez à sécuriser les documents à détruire en attendant le passage du fournisseur chargé de la destruction des documents!
Enfin, si le prestataire ne respecte pas ses engagements, vous devrez mettre fin au contrat et demander la restitution des renseignements personnels.
Mise à jour : 16 mai 2023