Inventaire des renseignements personnels : le registre exigé par la Loi 25
Identifiez et documentez tous les renseignements personnels que votre entreprise détient.
C'est souvent l'étape qui prend le plus de temps, mais c'est la fondation de tout le reste.
⭐ L'essentiel
Faire l'inventaire des renseignements personnels, c'est recenser quelles données votre entreprise détient, où elles se trouvent, qui y a accès et combien de temps vous les conservez. C'est le point de départ de toute démarche de conformité à la Loi 25.
La loi n'exige pas un document nommé « registre d'inventaire », mais l'exercice est incontournable en pratique : impossible de rédiger vos politiques de gouvernance, de répondre à une demande d’accès dans les 30 jours ou de gérer un incident de confidentialité sans savoir quelles données vous détenez.
Un registre simple, même un tableur, suffit pour la plupart des PME : type de donnée, source, emplacement, personnes qui y ont accès, durée de conservation.
📜 Ce que dit la loi
La Loi 25 exige que toute organisation connaisse précisément quels renseignements personnels elle détient, à quelles fins, où ils sont conservés et qui y a accès.
Cet inventaire doit inclure :
- La nature des renseignements collectés (nom, adresse, date de naissance, informations financières, etc.)
- La source de ces données
- L'usage qui en est fait
- Le lieu et la durée de conservation
- Les personnes ou services qui y ont accès
- Les moyens de protection en place
🏢 Pour une PME
Même une petite entreprise doit être capable de présenter rapidement un portrait complet des renseignements personnels qu'elle détient. Cela peut se faire via :
- Un tableau Excel ou Google Sheets
- Un registre papier classé dans un endroit sécurisé
- Un outil de gestion dédié si le volume est important
🔍 Données souvent oubliées
N'oubliez pas d'inclure dans votre inventaire :
- Les CV des candidats non retenus lors d'embauches
- Les courriels archivés contenant des informations clients
- Les sauvegardes (backups) de vos systèmes
- Les accès des anciens employés jamais révoqués
- Les fichiers sur clés USB ou disques externes
Important à savoir
Sans inventaire à jour, vous ne pouvez pas répondre adéquatement à une demande d'accès d'un client, ni gérer efficacement un incident de confidentialité. En cas de contrôle, l'absence d'inventaire peut être considérée comme un manquement à vos obligations.
💡 Exemples concrets
Exemple 1 : Un salon de coiffure recueille les noms, numéros de téléphone et historiques de rendez-vous de ses clients.
L'inventaire indique :
- • Type : coordonnées personnelles
- • Source : formulaire de prise de rendez-vous
- • Usage : planification et rappels
- • Lieu : logiciel de gestion en ligne au Canada
- • Durée : 2 ans après le dernier rendez-vous
- • Protection : mot de passe sécurisé, accès réservé à la gérante et aux coiffeuses
Exemple 2 : Une boutique en ligne collecte les informations de facturation et de livraison de ses clients.
L'inventaire indique :
- • Type : nom, adresse, courriel, historique d'achats, infos de paiement (via Stripe)
- • Source : formulaire de commande sur le site web
- • Usage : traitement des commandes, livraison, service client, infolettres (si consentement)
- • Lieu : Shopify (serveurs au Canada), Stripe (paiements), Mailchimp (infolettres)
- • Durée : 7 ans pour les données de facturation (exigence fiscale), 2 ans pour le reste
- • Protection : authentification à deux facteurs, accès limité au propriétaire et à l'adjoint
🔎 Pourquoi l'inventaire est la fondation de votre conformité
Presque toutes les obligations de la Loi 25 supposent que vous connaissiez vos données. L'article 3.2 de la loi P-39.1 exige des politiques encadrant la conservation et la destruction des renseignements : pour les rédiger, il faut savoir ce que vous conservez. La loi exige aussi de détruire ou d'anonymiser les renseignements lorsque les fins de leur collecte sont accomplies.
L'inventaire sert aussi de preuve de diligence : si la CAI vous questionne à la suite d'une plainte ou d'un incident, un registre à jour démontre que votre entreprise gère ses renseignements de façon structurée.
🔎 Les renseignements qu'on oublie presque toujours
Les inventaires ratés échouent rarement sur les évidences (le CRM, la liste de clients). Ils échouent sur les angles morts : les boîtes courriel qui accumulent des années de pièces jointes, les exports et sauvegardes oubliés sur un poste, les CV de candidats non retenus, les données d'anciens clients et d'anciens employés, et les appareils personnels utilisés pour le travail.
Une bonne technique : suivre le parcours d'un client fictif du premier contact à la facturation, puis celui d'un employé de l'embauche au départ. Chaque outil ou document croisé en chemin entre dans l'inventaire.
📊 Le registre d'inventaire type, colonne par colonne
| Colonne | Question à laquelle elle répond | Exemple |
|---|---|---|
| Type de renseignement | Que détenez-vous ? | Nom, courriel, historique d'achat |
| Source | D'où vient la donnée ? | Formulaire de contact du site web |
| Emplacement | Où est-elle stockée ? | CRM infonuagique, serveur local, classeur papier |
| Accès | Qui peut la consulter ? | Propriétaire et adjointe administrative |
| Fin | Pourquoi la détenez-vous ? | Facturation, service après-vente |
| Conservation | Combien de temps ? | 7 ans après la dernière transaction (obligations fiscales) |
⚠️ Erreurs à éviter
- Oublier des données détenues dans des courriels ou documents papier
- Ne pas préciser la durée de conservation
- Ne pas mettre à jour l'inventaire après un changement de système ou de procédure
- Confondre données personnelles et informations générales
🛠️ Instructions pas à pas
✅ Checklist : Étape 2 complétée ?
- J'ai identifié toutes mes sources de collecte de données
- J'ai listé tous les types de renseignements personnels détenus
- J'ai documenté l'usage, l'accès et la durée de conservation
- J'ai créé un registre officiel
- J'ai prévu un processus de mise à jour du registre
📄 Gabarits inclus dans le Kit Loi 25
- Modèle de Registre d'inventaire des renseignements personnels
- Modèle de Politique de Conservation et de Destruction des Renseignements Personnels
❓ Questions fréquentes
Le registre d'inventaire est-il exigé par la loi ?
Pas sous ce nom. La loi exige toutefois de connaître, d'encadrer et de limiter les renseignements que vous détenez (fins de collecte, conservation, destruction). Le registre d'inventaire est l'outil concret qui permet de remplir ces obligations et d'en faire la preuve.
Quelles données faut-il inventorier ?
Tout renseignement qui permet d'identifier une personne : clients (coordonnées, historique d'achat), employés (dossiers RH, paie), fournisseurs, candidats à l'embauche. Pensez aussi aux données dans vos outils : CRM, infolettre, comptabilité, boîtes courriel.
À quelle fréquence le mettre à jour ?
À chaque nouveau processus de collecte (nouveau formulaire, nouvel outil, nouvelle campagne) et lors d'une revue annuelle. Un inventaire périmé donne un faux sentiment de conformité.
Combien de temps peut-on conserver un renseignement personnel ?
Le temps nécessaire aux fins pour lesquelles il a été recueilli, sous réserve des délais légaux applicables (fiscaux, par exemple). Ensuite, la loi exige de le détruire ou de l'anonymiser.