Conserver tous les documents « au cas où » semble prudent. Pour une PME, c’est plutôt une façon d’accumuler des renseignements personnels, des coûts de stockage et des données utiles à une personne malveillante en cas d’incident.
La bonne question n’est pas « combien d’espace avons-nous? », mais « pourquoi conservons-nous ce document, pendant combien de temps et que faisons-nous lorsqu’il n’est plus nécessaire? »
ISO 27001 et la Loi 25 donnent un cadre utile pour répondre à ces questions. Elles ne fournissent pas un calendrier universel prêt à copier-coller. Elles vous demandent de choisir des durées justifiées, de les appliquer et de pouvoir le démontrer.
ISO 27001 : une règle, des responsabilités et des preuves
ISO 27001 ne fixe pas une durée de conservation unique pour les factures, les CV ou les journaux techniques. La clause 7.5 demande de maîtriser l’information documentée. Selon les risques retenus, deux contrôles de l’annexe A complètent le calendrier : A.5.33 pour la protection des enregistrements et A.8.10 pour la suppression de l’information.
Pour une PME, cela signifie notamment :
- identifier les catégories de documents et de renseignements personnels;
- déterminer la finalité de chaque conservation;
- fixer une durée et un déclencheur de fin clair;
- désigner la personne qui applique la purge;
- conserver la preuve que la règle a été appliquée.
Un calendrier dans un chiffrier peut suffire au départ, à condition qu’il reflète vos systèmes réels : boîtes courriel, logiciel comptable, espace partagé, outil RH, CRM, sauvegardes et fournisseurs infonuagiques.
Loi 25 : détruire ou anonymiser lorsque la finalité est atteinte
La Loi sur la protection des renseignements personnels dans le secteur privé prévoit qu’une entreprise doit détruire les renseignements personnels lorsque les fins pour lesquelles ils ont été recueillis ou utilisés sont accomplies, sous réserve d’un délai de conservation prévu par la loi. Elle peut aussi les anonymiser pour les utiliser à des fins sérieuses et légitimes, selon les conditions prévues. Masquer un nom, ce n’est pas anonymiser.
Vos politiques et pratiques de gouvernance doivent encadrer la conservation et la destruction des renseignements personnels. La référence pertinente est l’article 3.3 de la loi P-39.1. L’article 3.1 désigne la personne ayant la plus haute autorité au sein de l’entreprise comme responsable de la protection des renseignements personnels, sauf délégation écrite.
Cette personne devrait participer aux décisions qui touchent les renseignements personnels. Par contre, la loi n’exige pas qu’elle approuve formellement chaque calendrier de conservation. Ce qui compte est d’avoir une pratique documentée, appliquée et compréhensible.
Deux questions pour chaque catégorie de documents
Avant de choisir une durée, posez-vous toujours les deux questions suivantes :
- Quelle obligation légale, réglementaire, contractuelle ou opérationnelle justifie encore la conservation? Le contrôle A.5.31 sert à les recenser.
- Quel risque crée la conservation si le document n’est plus nécessaire?
La première question évite de détruire trop tôt. La seconde évite de conserver par habitude. La réponse doit être revue lorsqu’une loi, un contrat, un litige ou un système change.
Quatre cas concrets pour une PME
Factures et pièces comptables
Les factures, reçus, relevés et pièces justificatives sont conservés pour répondre aux obligations fiscales et pour soutenir les états financiers. Le point de départ est six ans, à compter de la fin de l’année d’imposition à laquelle la pièce se rattache, pas de la date inscrite sur la facture.
Ne limitez pas la règle au logiciel comptable. Les copies envoyées par courriel, les numérisations et les exports conservés dans un espace partagé doivent suivre la même logique.
Courriels
Un courriel n’est pas une catégorie de conservation en soi. Il peut être une facture, une décision contractuelle, une candidature, une plainte ou une simple conversation sans durée utile.
Évitez une règle du type « conserver tous les courriels pendant sept ans ». Classez les courriels qui constituent un dossier d’affaires et supprimez périodiquement les messages temporaires, les doublons et les pièces jointes inutiles.
CV de candidatures non retenues
Un CV contient généralement des renseignements personnels. Quand on me demande combien de temps le garder si la personne n’est pas retenue, je suggère 12 mois. Passé ce délai, détruisez-le. Si vous voulez le conserver dans une banque de candidatures, demandez un consentement clair.
Dossiers d’anciens employés
Les dossiers RH peuvent devoir être conservés pour la paie, les obligations fiscales, les normes du travail, les avantages sociaux ou un litige. Ils ne doivent pas pour autant rester accessibles indéfiniment dans le dossier actif.
Séparez les documents selon leur finalité et limitez l’accès aux personnes qui en ont besoin. La paie et la fiscalité suivent souvent un délai plus long que le reste du dossier.
Les durées que je suggère
Le tableau distingue les délais fixés par une obligation et les durées que je suggère.
| Catégorie | Durée | Justification à documenter | Action à l’échéance |
|---|---|---|---|
| Factures et pièces comptables | 6 ans après la fin de l’année d’imposition | Fiscalité, comptabilité, contrat | Détruire de façon sécuritaire, sauf obligation ou litige |
| Dossiers clients (devis, commandes, livrables et correspondance de projet) | Ma suggestion : 3 ans après la fin du mandat | Preuve d’exécution, garantie, réclamation et prescription civile | Retirer les renseignements non nécessaires; garder séparément les pièces fiscales pendant la durée applicable |
| Contrats clients et fournisseurs | Ma suggestion : 3 ans après la fin du contrat | Obligations contractuelles, réclamation et prescription civile | Conserver la version signée et les avenants nécessaires, puis détruire de façon sécuritaire |
| Plaintes et demandes de service client | Ma suggestion : 3 ans après la fermeture | Suivi, qualité du service, garantie et réclamation | Détruire les notes et pièces jointes qui ne sont plus nécessaires |
| Demandes d’accès, de rectification ou plaintes sur la vie privée | Ma suggestion : 3 ans après la fermeture | Preuve de traitement, décision rendue et délai de recours | Restreindre l’accès puis détruire de façon sécuritaire |
| Courriels de travail | Selon le dossier que le message constitue | Contrat, décision, preuve opérationnelle | Classer dans le dossier ou supprimer |
| CV non retenus | Ma suggestion : 12 mois | Recrutement et consentement | Détruire ou renouveler le consentement |
| Dossiers d’anciens employés | Selon l’obligation applicable | Paie, fiscalité, normes du travail, litige | Restreindre l’accès puis détruire de façon sécuritaire |
| Registre des incidents de confidentialité | Au moins 5 ans à compter de la connaissance de l’incident | Exigence réglementaire | Conserver avec accès limité, puis détruire de façon sécuritaire |
| Journaux d’événements | Selon le besoin de sécurité | Détection d’incidents, enquête, conformité | Purger selon la règle |
Les trois ans, c’est ma suggestion pour les dossiers qui servent surtout à répondre à une réclamation civile au Québec. Une loi, un contrat ou un litige en cours peut exiger plus longtemps. Dans ce cas, la durée la plus longue l’emporte.
Le registre des incidents de confidentialité n’est pas une suggestion : le délai minimal est de cinq ans. J’explique comment le préparer dans Incident de confidentialité : le plan avant l’incident.
Pour les journaux, la durée dépend de ce que vous devez encore pouvoir enquêter. J’ai détaillé le raisonnement dans Combien de temps conserver mes journaux d’événements et le lien avec les renseignements personnels dans Journaux d’événements et Loi 25.
Ce qu’un auditeur voudra voir
Un auditeur ISO 27001 ne cherchera pas seulement un tableau bien présenté. Il voudra comprendre si votre calendrier fonctionne réellement.
Préparez des preuves simples :
- une personne responsable pour chaque processus;
- un calendrier approuvé par la gestion ou intégré à vos politiques internes;
- les emplacements où les documents existent, y compris les sauvegardes et les outils SaaS;
- une méthode de purge ou de destruction sécuritaire;
- des traces de suppression, de tickets, de journaux ou de rapports de purge;
- une exception documentée pour une vérification, un litige ou une obligation de conservation.
La destruction doit aussi tenir compte des copies. Supprimer un fichier de l’espace partagé sans prévoir les sauvegardes, les archives courriel et les outils de tiers laisse la règle incomplète. Une sauvegarde immuable garde le document jusqu’à la fin de son cycle : ce cycle fait partie de la durée. Chez un fournisseur, la destruction se règle avant la signature. C’est un des points de l’EFVP.
Commencez petit
Bref, cinq catégories suffisent pour démarrer : factures, contrats, dossiers employés, CV et courriels. Pour chacune, notez la finalité, la durée, le système, le responsable et l’action à l’échéance. Faites une vraie purge et gardez la preuve.
Votre calendrier tient-il compte des sauvegardes, ou seulement du fichier visible à l’écran?