La gestion des documents semi-actifs dans les entreprises privées québécoises à l’aune de la Loi 25, qui vise à assurer la protection des renseignements personnels

Abstract

Depuis son entrée en vigueur en septembre 2022, la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25) impose aux entreprises privées de protéger les renseignements personnels qu’elles détiennent ou qui sont conservés par des tiers, quels que soient le support et le lieu de conservation. Au début des années 1980, des lois québécoises visant la protection des renseignements personnels ont été adoptées, et, pour répondre à leurs exigences, l’archivistique a mis de l’avant le plan de classification et le calendrier de conservation. Ces outils tiennent compte de tous les documents, peu importe leur cycle de vie, et les classent selon leur sensibilité. Aujourd’hui, les solutions proposées visent à contrer les cyberattaques. Autant l’aide gouvernementale que les conseillers focalisent leur attention sur le déploiement de systèmes qui mettent de l’avant la cybersécurité. Ces solutions ont pour objectif de rendre conformes les nouvelles informations qui naîtront dans ces environnements. Or, on ne semble pas prioriser la sécurisation des données qui existent actuellement. Par le biais d’une enquête ponctuelle, nous avons voulu répertorier les pratiques de gestion des documents administratifs dans les entreprises privées québécoises. Nous avons cherché à savoir si les outils archivistiques sont utilisés, à quelle fréquence, et déterminer les endroits (supports) où peuvent se retrouver des renseignements personnels. Les réponses à notre sondage qui a récolté 94 réponses ont permis de brosser un portrait sommaire des pratiques d’entreposage, d’identification, de repérage et de destruction d’archives administratives semi-actives des organisations. Since its enactment in September 2022, An Act to modernize legislative provisions as regards the protection of personal information, SQ 2021, c 25 (Loi 25), requires private companies to protect the personal information they hold or that is held by third parties, regardless of the medium. In the early 1980s, Quebec laws aimed at protecting personal information were adopted, and to meet their requirements, archival science introduced the classification scheme and the records retention schedule. These tools consider all documents, regardless of their life cycle, and allow them to be classified according to their sensitivity. Today, the proposed solutions aim to counter cyber-attacks. Both government assistance and consultants focus their attention on deploying systems that prioritize cybersecurity. These solutions aim to ensure compliance with new information that will be created in these environments. However, there does not seem to be a priority on securing existing data. Through a one-time descriptive survey, we sought to inventory the practices of managing administrative documents in Quebec private companies, understand whether archival tools are used, how frequently, and determine the places (medium) where personal information can be found. The responses to our survey, which gathered 94 responses, provided an overview of storage, identification, retrieval and destruction practices for semi-active administrative records within organizations.