Loi 25 et RH : huit contrôles pour vos dossiers employés

Un dossier d’employé existe dans le logiciel RH, une copie circule par courriel et une ancienne version reste dans le répertoire d’un gestionnaire. Quand quelqu’un change de poste, personne ne sait quels accès retirer. Le risque vient souvent de ces habitudes ordinaires.

Concilier Loi 25 et RH exige une gestion quotidienne rigoureuse des renseignements personnels. Pour une PME québécoise relevant du régime privé québécois, l’enjeu consiste à organiser les responsabilités, la collecte et la circulation des informations, puis leur conservation. Ce guide propose huit points de contrôle et un exemple fictif pour commencer une revue avec votre responsable de la protection des renseignements personnels. Les repères juridiques proviennent de la Commission d’accès à l’information du Québec (CAI), consultée le 19 octobre 2026. Cette démarche de gestion ne remplace pas l’analyse juridique de votre situation ni les autres exigences applicables à vos dossiers.

Loi 25 et RH : reconnaître les renseignements à protéger

La Loi 25 a modernisé le cadre québécois de protection des renseignements personnels. Un renseignement personnel concerne une personne physique et permet de l’identifier directement ou indirectement. Une note de rendement associée à un employé peut donc être aussi pertinente à votre inventaire qu’un formulaire d’embauche. Repères de la CAI : définition d’un renseignement personnel.

Commencez par suivre un processus réel : candidature, intégration, suivi de performance ou départ. Où l’information entre-t-elle? Qui la consulte? Une copie est-elle exportée? Cette observation révèle souvent des usages que le schéma officiel ne montre pas.

Évitez de traiter le dossier RH comme un seul bloc. Un gestionnaire peut avoir besoin de connaître une action de développement sans recevoir tous les documents détenus par les ressources humaines. Découper les besoins de travail facilite des décisions d’accès plus précises et des explications plus compréhensibles aux employés.

Quatre contrôles pour clarifier la responsabilité et les accès

1. Identifier le responsable et son relais opérationnel. Selon la CAI, la personne ayant la plus haute autorité exerce cette fonction par défaut; une délégation se fait par écrit. Le titre et les coordonnées du responsable doivent être rendus publics selon les modalités prévues. Source : responsabilité des entreprises. En pratique, précisez aussi qui reçoit une question RH et qui remplace cette personne pendant une absence.

2. Cartographier les catégories de dossiers. Dressez un inventaire des emplacements, des outils, des détenteurs de copies et des fournisseurs concernés. Travaillez avec des catégories et des exemples fictifs pendant l’atelier; inutile de distribuer de vrais dossiers pour expliquer leur circulation. Attribuez un propriétaire à chaque correction relevée.

3. Justifier la collecte avant d’ajouter un champ. La CAI rappelle que seuls les renseignements nécessaires aux objectifs déterminés doivent être recueillis; le consentement ne rend pas une collecte excessive nécessaire. Source : collecte de renseignements personnels. Pour chaque champ, formulez la décision ou l’action qu’il soutient. Si personne ne peut l’expliquer, soumettez ce champ à une révision plutôt que de le maintenir par habitude.

4. Relier chaque accès à une fonction. L’accès interne doit être limité aux personnes autorisées qui en ont besoin pour exercer leurs fonctions. Source : utilisation et communication. Préparez une matrice simple : catégorie de renseignement, rôle, besoin, accès autorisé et personne qui valide. Examinez séparément les remplacements temporaires, les changements de responsabilité et les départs.

Quatre contrôles pour encadrer la durée et les incidents

5. Établir des règles de conservation par catégorie. Lorsque les fins sont accomplies, la destruction sécuritaire ou une autre voie légalement permise doit être examinée en tenant compte des délais légaux de conservation. La CAI recommande un calendrier conforme aux exigences applicables. Source : conservation et destruction. Évitez une durée unique pour tous les documents. Faites valider les règles avant toute suppression et prévoyez le traitement des copies et des sauvegardes avec les personnes compétentes.

6. Préparer le circuit de signalement. Une communication au mauvais destinataire peut constituer un incident de confidentialité. Il faut limiter les risques, évaluer le préjudice et documenter tous les incidents. Un risque de préjudice sérieux entraîne des obligations d’avis à la CAI et aux personnes concernées, sous réserve des exceptions prévues. Source : incidents et mesures de sécurité. Affichez un contact interne clair et exercez le circuit avec un scénario fictif.

7. Examiner les fournisseurs avant la migration. La CAI indique qu’une évaluation des facteurs relatifs à la vie privée est notamment requise pour un projet d’acquisition, de développement ou de refonte d’un système impliquant des renseignements personnels, ainsi qu’avant une communication hors Québec. Source : changements apportés par la Loi 25. Demandez les lieux de traitement, les sous-traitants, les modalités d’assistance et les conditions de récupération des données. Le lieu d’hébergement seul ne répond pas à toutes ces questions.

8. Tester les pratiques avec les gestionnaires. Choisissez trois situations : nouvelle arrivée, remplacement et départ. Demandez à chacun de décrire les étapes et les personnes à joindre. Inscrivez les écarts, les responsables et une date de revue. Cette vérification pratique sert à comprendre si la procédure fonctionne; elle ne constitue pas une attestation de conformité.

Exemple fictif : remettre de l’ordre sans ouvrir tous les dossiers

Dans une PME fictive de Sherbrooke, une responsable RH découvre qu’un ancien gestionnaire conserve l’accès à un répertoire d’évaluations après un changement de poste. L’équipe évite une simple opération de nettoyage improvisée. Elle transmet la situation au responsable PRP pour déterminer les vérifications et les mesures nécessaires.

Elle distingue ensuite le besoin de suivi opérationnel du besoin d’accès au dossier complet. La nouvelle gestionnaire reçoit les informations utiles à son travail selon les accès validés. Les copies existantes font l’objet d’une revue encadrée, sans effacer les éléments qui doivent être conservés pour l’analyse.

L’équipe établit enfin une liste de contrôle pour les changements de poste. Son indicateur interne est concret : chaque changement signalé comporte désormais un responsable de revue des accès et une confirmation de traitement. Cet exemple illustre une organisation du travail proposée, sans prétendre démontrer un résultat client ou une conformité acquise.

Ce que M360 Compass peut soutenir dans la démarche

M360 Compass est un système d’exploitation de gestion humaine pour PME. Il relie les responsabilités, les objectifs, les actions et les suivis. RoleAlign peut soutenir la clarification des responsabilités de gestion; cette clarté aide à identifier qui porte une action de revue ou un suivi.

Les fonctions de performance et de PDI relient aussi les rétroactions aux compétences, aux priorités de développement et aux suivis. Votre façon de documenter une évaluation du rendement mérite la même discipline : attentes connues, observations utiles et actions clairement attribuées. Documenter davantage n’est pas toujours documenter mieux. Choisissez ce qui sert le travail et faites examiner les informations sensibles par les personnes compétentes.

Avant toute décision d’implantation, consultez les repères de confidentialité de M360 Compass et demandez une démonstration des permissions réellement disponibles dans votre configuration. Vérifiez les conditions contractuelles et techniques correspondant à vos besoins. Une plateforme soutient vos pratiques; elle ne transfère pas automatiquement les obligations de votre entreprise au fournisseur.

Questions fréquentes des dirigeants et responsables RH

Quelles données RH faut-il inventorier?

Partez des candidatures, des dossiers d’emploi et des suivis permettant d’identifier une personne. Incluez les emplacements secondaires : courriels, exports et répertoires partagés. Faites préciser les cas particuliers avec votre responsable PRP.

Qui devrait coordonner la revue dans une petite PME?

Confiez la coordination pratique à une personne qui connaît les processus et peut mobiliser les bons interlocuteurs. Distinguez cette tâche du rôle légal de responsable PRP. Prévoyez du temps, un relais et un mécanisme de décision.

Que faire lorsqu’un fichier est envoyé à la mauvaise personne?

Signalez rapidement la situation au contact interne prévu. Consignez les faits connus, sans redistribuer le fichier. Le responsable PRP doit être associé à l’évaluation et aux mesures à prendre selon les circonstances.

Un hébergement canadien garantit-il la conformité?

Non. Il faut aussi examiner les accès, les finalités, les fournisseurs et les autres traitements. Faites vérifier les éléments applicables à votre organisation plutôt que de vous fier à une seule caractéristique commerciale.

Commencez aujourd’hui par un processus et une question : qui peut voir quoi, pour quel travail? Pour explorer une gestion plus claire des responsabilités et des suivis, demandez une démonstration de M360 Compass.