Conservation des données des candidats en vertu de la LPRPDE (PIPEDA) : guide pratique

La conservation des données des candidats en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE, ou PIPEDA en anglais) repose sur la finalité : une organisation assujettie ne conserve les renseignements personnels qu’aussi longtemps que nécessaire aux fins déterminées lors de leur collecte. Aucune règle canadienne universelle n’impose de supprimer tous les CV après 30 jours, un an ou deux ans. Votre calendrier doit tenir compte du régime juridique applicable à l’employeur, de la finalité du registre, du droit d’accès du candidat et de toute obligation légale de conservation.

Ce guide vous propose un cadre opérationnel et non un avis juridique. Au Canada, les règles de protection de la vie privée varient selon l’organisation, la province, le poste, le flux de données et le type de registre. Faites valider le calendrier applicable à votre entreprise par des juristes canadiens spécialisés dans la protection de la vie privée et le droit du travail.

Qu’exige la LPRPDE pour la conservation des données des candidats ?

La LPRPDE oblige les organisations assujetties à définir pourquoi elles recueillent les renseignements des candidats, à limiter leur utilisation à cette finalité et à ne les conserver qu’aussi longtemps que celle-ci l’exige. Une fois devenus inutiles, les renseignements doivent être détruits ou effacés de manière sécurisée, ou rendus anonymes.

Le Commissariat à la protection de la vie privée du Canada (CPVP) décline ce principe en cinq obligations pratiques dans ses lignes directrices sur la limitation de l’utilisation, de la communication et de la conservation :

1. Documenter la finalité de chaque collecte et de toute nouvelle utilisation ultérieure.
2. Fixer des durées de conservation minimales et maximales.
3. Conserver les éléments ayant servi à une décision suffisamment longtemps pour que la personne puisse exercer son droit d’accès.
4. Examiner régulièrement les renseignements détenus afin qu’ils ne subsistent pas au-delà de la durée prévue.
5. Détruire ou anonymiser les renseignements en appliquant des mesures adaptées à leur degré de sensibilité.

Il s’agit d’un cycle de vie, pas d’un chiffre unique. Un CV en cours d’examen répond à une finalité de recrutement actuelle. Le même CV placé dans un vivier de talents en prévision de besoins éventuels répond à une finalité d’appariement futur. Les notes d’entretien peuvent également nécessiter une courte période de conservation après la décision, pour permettre au candidat d’y accéder ou pour traiter une plainte. Regrouper ces trois types de documents dans un même « profil de candidat » conservé indéfiniment masque ces différences.

La LPRPDE s’applique-t-elle à tous les employeurs canadiens ?

Non. Les dispositions de la LPRPDE relatives à l’emploi s’appliquent directement aux entreprises fédérales, tandis que les lois provinciales sur le secteur privé peuvent régir les autres employeurs. La première question à se poser sur la conservation n’est donc pas « Combien de mois ? », mais « Quelle loi régit cette organisation et ce registre ? ».

Le guide du CPVP sur la LPRPDE et les dossiers des employés cite parmi les secteurs sous réglementation fédérale les banques, les télécommunications, la radiodiffusion, l’aviation et le transport interprovincial. Les modifications apportées par la Loi sur la protection des renseignements personnels numériques ont étendu ces dispositions fédérales en matière d’emploi aux candidats comme aux employés.

Le résumé des exigences de la LPRPDE du CPVP et sa foire aux questions sur l’articulation des lois fédérale et provinciales expliquent cet ensemble de règles. N’inscrivez pas « conforme à la LPRPDE » en tête d’une politique nationale en supposant que cette formule suffit à régler la question.

Pour documenter le cadre juridique applicable, consignez l’entité employeuse, le secteur, le lieu de travail du candidat, la province de l’employeur, les emplacements de stockage, les sous-traitants et les flux transfrontaliers. Les juristes pourront ainsi faire correspondre les règles aux faits, plutôt que de déduire la loi applicable de l’adresse postale du candidat.

Qu’entend-on par renseignements personnels d’un candidat ?

Les renseignements personnels d’un candidat comprennent à la fois les données qu’il fournit et les opinions ou déductions produites au cours du recrutement. Une procédure d’élimination qui supprime uniquement le CV téléversé peut laisser subsister la majeure partie des renseignements sensibles.

Selon le CPVP, les renseignements personnels comprennent les renseignements factuels ou subjectifs concernant une personne identifiable. Dans un système de recrutement, il peut s’agir des éléments suivants :

• le nom, les coordonnées, le lieu et les identifiants ;
• le CV, le parcours professionnel, les études et les liens vers un portfolio ;
• les attentes salariales et les disponibilités ;
• les enregistrements et transcriptions d’entretiens, ainsi que les métadonnées de planification ;
• les notes, évaluations, votes et recommandations des personnes chargées des entretiens ;
• les exercices de code et les commentaires des évaluateurs ;
• les réponses des références et les résultats des vérifications des antécédents ;
• les e-mails, les motifs de refus, les renseignements relatifs aux mesures d’adaptation et les plaintes ;
• les compétences déduites, les classements, les indicateurs de risque ou les résumés générés par l’IA.

Certains de ces champs sont plus sensibles que d’autres, mais aucun ne devient anodin parce qu’il a été créé par un recruteur plutôt que transmis par le candidat. Les lignes directrices du CPVP sur la protection de la vie privée au travail recommandent de ne recueillir que ce qui est nécessaire à une finalité déclarée et d’expliquer clairement l’utilisation qui en sera faite. Elles suggèrent même d’autoriser les candidats à flouter l’arrière-plan pendant les entretiens vidéo afin d’éviter toute collecte fortuite.

Commencez par dresser un inventaire des données couvrant le dossier d’un bout à l’autre : portail carrière, système de suivi des candidatures (ATS), e-mail, calendrier, plateforme vidéo, outil d’évaluation, documents partagés, exportations, sauvegardes et analyses de données. Une politique qui ne voit que la ligne enregistrée dans l’ATS ne décrit pas le véritable dossier de recrutement.

La LPRPDE fixe-t-elle une durée déterminée de conservation des données des candidats ?

La LPRPDE ne prescrit aucune durée unique pour l’ensemble des dossiers de candidats. Elle exige des durées minimale et maximale justifiées, liées à la finalité, aux droits d’accès, aux obligations légales et à l’élimination sécurisée.

L’outil d’auto-évaluation de la conformité à la LPRPDE du CPVP demande aux organisations de fixer des durées minimales et maximales, et de conserver les renseignements utilisés pour prendre une décision suffisamment longtemps pour que la personne puisse y accéder après cette décision. Cette exigence évite deux erreurs opposées :

• Tout conserver indéfiniment : « Nous recruterons peut-être cette personne un jour » ne constitue pas une durée maximale.
• Tout supprimer immédiatement après un refus : le candidat peut encore disposer d’un droit d’accès, tandis que l’organisation peut être soumise à une plainte, une enquête, un délai de prescription ou une autre obligation de conservation.

La LPRPDE impose aussi une suspension particulière lorsqu’une demande d’accès vise déjà les renseignements concernés. Le paragraphe 8(8) oblige l’organisation à les conserver aussi longtemps qu’il est nécessaire pour permettre à la personne d’épuiser les recours prévus par la Loi. Une tâche de suppression doit donc prévoir un mécanisme de suspension, pas seulement un compte à rebours.

La durée définitive relève d’une appréciation juridique et opérationnelle documentée. Celle-ci doit préciser pourquoi l’organisation a besoin d’un registre, quel événement fait courir le délai, ce qui suspend la suppression et le sort réservé aux données à l’échéance. Copier la règle des « 24 mois » d’une autre entreprise sans reprendre ce raisonnement vous donne un chiffre, pas un calendrier défendable.

Comment distinguer les différents types de dossiers de candidats ?

Distinguez les dossiers selon leur finalité et l’événement de leur cycle de vie avant de fixer une durée. Le calendrier ci-dessous s’appuie volontairement sur des événements déclencheurs et des critères de décision, plutôt que sur des délais canadiens inventés.

La règle des 24 mois relative aux atteintes a une portée limitée. L’article 6 du Règlement sur les atteintes aux mesures de sécurité exige de conserver un registre de chaque atteinte pendant 24 mois après le jour où l’organisation conclut qu’elle s’est produite. Il n’impose pas de conserver pendant 24 mois le CV, l’enregistrement de l’entretien ou l’ensemble du profil de candidat sous-jacent. Concevez le registre d’atteinte de manière à prouver ce qui s’est passé sans constituer une deuxième archive de renseignements personnels.

Comment établir un calendrier de conservation défendable ?

Un calendrier défendable de conservation des données des candidats relie chaque catégorie de données à une finalité, un responsable, un événement déclencheur, une durée, une règle de suspension et une mesure d’élimination vérifiée. Il doit fonctionner dans tous les systèmes plutôt que rester au stade d’un paragraphe impossible à exécuter.

1. Déterminez le cadre juridique applicable avant de choisir une durée

Consignez l’entité employeuse, le secteur d’activité, la province, le lieu de travail, le statut public ou privé et les flux transfrontaliers. Signalez les employeurs de l’Alberta, de la Colombie-Britannique et du Québec, ainsi que ceux sous réglementation fédérale, afin d’appliquer leurs régimes propres. Intégrez à la même analyse les exigences relatives à l’emploi, aux droits de la personne, aux litiges, à la fiscalité et au secteur d’activité.

2. Inventoriez l’intégralité du dossier de candidat

Recensez les systèmes et les champs présents avant, pendant et après une décision de recrutement. Incluez les copies présentes dans les e-mails, les événements de calendrier, les outils d’évaluation, les services vidéo, les exportations, les entrepôts de données, les tickets d’assistance et les sauvegardes. Attribuez un responsable à chaque copie.

3. Définissez une finalité par catégorie de dossier

« Recrutement » est trop vague. Distinguez l’évaluation pour un poste actuel, l’appariement à de futurs postes, la gestion des mesures d’adaptation, la prévention de la fraude, les éléments ayant fondé la décision et les preuves relatives aux incidents de sécurité. La finalité détermine à la fois l’utilisation et la conservation.

4. Définissez le point de départ du délai et les suspensions

Utilisez un événement lisible par machine tel que rejected_at, withdrawn_at, hired_at, l’expiration du consentement ou la clôture du dossier. Nommez les événements qui suspendent l’élimination : demande d’accès, plainte, enquête, avis de conservation ou autre suspension légale. Confiez à une personne désignée le pouvoir de lever chaque suspension.

5. Fixez des durées minimales et maximales

La durée minimale doit préserver les droits d’accès et répondre aux besoins juridiques légitimes. La durée maximale empêche une conservation « au cas où » de devenir permanente. Consignez, avec la durée, le motif approuvé par les juristes, puis réexaminez-le lorsque la loi, la finalité ou le système change.

6. Décrivez précisément la suppression et l’anonymisation

Indiquez ce qui est purgé, écrasé, dissocié, agrégé ou conservé. Incluez les pièces jointes, les données extraites des CV, les notes en texte libre, les index de recherche, les caches, les répliques et les sauvegardes des sous-traitants. Précisez si la suppression est immédiate ou s’effectue progressivement selon un cycle de sauvegarde documenté.

7. Testez le calendrier et apportez-en la preuve

Soumettez un dossier de candidat fictif à l’ensemble du processus jusqu’à son expiration. Vérifiez le registre principal, les pièces jointes, les résultats de recherche, les exportations, les intégrations et les procédures de restauration. Conservez la preuve du test sans reconstituer le profil de candidat que vous vouliez supprimer.

Réexaminez au minimum le calendrier lorsque vous ajoutez un sous-traitant, recueillez un nouveau champ, ajoutez une analyse par IA, entrez dans une nouvelle province ou modifiez la finalité du recrutement. Une politique figée ne peut pas régir une cartographie des données en constante évolution.

Peut-on conserver les candidatures refusées en vue de futurs postes ?

Vous pouvez constituer un vivier de talents uniquement si l’appariement à de futurs postes répond à une finalité claire et licite, assortie de ses propres contrôles de conservation. Sans en informer le candidat, ne transformez pas une candidature refusée pour un poste en données de prospection conservées indéfiniment pour tous les postes ultérieurs.

La LPRPDE exige que les finalités soient déterminées au plus tard au moment de la collecte. Dans la conclusion 2012-003 au titre de la LPRPDE, le CPVP a estimé qu’un demandeur d’emploi n’avait pas été suffisamment informé des raisons pour lesquelles ses renseignements personnels étaient recueillis. La leçon est simple : une politique de confidentialité vague ne peut pas corriger après coup une finalité qui n’a pas été communiquée lors de la collecte.

Un avis utile relatif au vivier de talents indique au candidat :

• ce que recouvre l’appariement à de futurs postes ;
• quels renseignements seront conservés et utilisés ;
• la durée de conservation ou de renouvellement ;
• si des recruteurs, des sous-traitants ou des outils assistés par IA y auront accès ;
• comment retirer son consentement ou demander à accéder aux données ;
• ce que la suppression ou l’anonymisation implique à l’échéance ;
• comment joindre la personne responsable de la protection de la vie privée.

Ne réduisez pas l’analyse à une case à cocher. Pour les relations de travail sous réglementation fédérale, la LPRPDE prévoit des circonstances dans lesquelles le consentement n’est pas nécessaire pour les renseignements requis afin d’établir, de gérer ou de rompre la relation, mais l’information préalable reste importante. Les règles provinciales diffèrent. L’objectif opérationnel consiste à définir une finalité que le candidat peut comprendre et un fondement que les juristes peuvent défendre.

Quelles obligations votre fournisseur d’ATS doit-il respecter ?

Un ATS peut exécuter votre calendrier de conservation, mais l’externalisation ne transfère pas la responsabilité de l’employeur. Celui-ci doit comprendre où vont les données et prévoir, par contrat et par des mesures de surveillance, une protection appropriée.

Le principe de responsabilité de la LPRPDE dispose qu’une organisation demeure responsable des renseignements confiés à un tiers aux fins de traitement. La conclusion du CPVP de 2020 sur le traitement externalisé ajoute que le traitement transfrontalier n’est pas interdit, mais que l’organisation doit agir avec transparence, évaluer les risques et mettre en place des contrôles contractuels et des mécanismes de suivi.

Demandez des réponses concrètes à votre fournisseur d’ATS :

• La durée de conservation peut-elle différer entre les candidatures, les entrées du vivier de talents et les dossiers des personnes embauchées ?
• Quel événement du cycle de vie déclenche chaque délai ?
• Une demande d’accès ou une suspension légale peut-elle interrompre la suppression de certains dossiers ?
• Qu’advient-il des CV, des notes, des e-mails, des champs extraits et des événements d’audit ?
• Comment sont traités les sous-traitants ultérieurs, les index de recherche, les répliques et les sauvegardes ?
• Pouvez-vous exporter le dossier complet d’une personne et le rectifier ?
• Le fournisseur peut-il prouver la suppression ou expliquer le délai d’expiration des sauvegardes ?
• Qu’advient-il de toutes les données à la fin du contrat ?

Votre contrat doit limiter le traitement aux finalités documentées, imposer des mesures de sécurité appropriées, couvrir les incidents et les sous-traitants ultérieurs, et rendre la restitution ou la suppression vérifiable. Une page consacrée à la sécurité qui indique simplement « chiffré » ne répond pas aux questions de conservation.

Cette exigence est d’autant plus importante que les dossiers de recrutement sont particulièrement riches. L’atteinte aux données des candidats de Mercor a montré comment les CV, les pièces d’identité et les enregistrements d’entretien peuvent faire d’un ATS une cible de grande valeur. Un jeu de données réduit au strict nécessaire et juridiquement défendable est plus facile à protéger qu’une archive dont personne ne se souvient avoir la responsabilité.

La suppression des identifiants suffit-elle à anonymiser les données des candidats ?

Non. La suppression du nom ou de l’adresse e-mail ne suffit pas à rendre un dossier de candidat anonyme. Le parcours professionnel, le lieu, les liens vers un portfolio, les compétences rares, le texte des entretiens et d’autres jeux de données peuvent encore permettre d’identifier la personne.

Dans la conclusion 2026-001 au titre de la LPRPDE, le CPVP a indiqué qu’une organisation qui s’appuie sur l’anonymisation doit pouvoir démontrer qu’il n’existe aucune possibilité sérieuse de réidentification, que les renseignements soient pris seuls ou combinés à d’autres renseignements disponibles. Cette évaluation doit être renouvelée régulièrement, car les techniques de réidentification et les jeux de données disponibles évoluent.

Pour chaque dossier de candidat arrivé à expiration, choisissez délibérément l’une des mesures suivantes :

• Supprimer : supprimer le dossier et son contenu lorsqu’aucune finalité ne justifie plus leur conservation.
• Anonymiser : transformer les données de façon irréversible et documenter l’analyse du risque de réidentification.
• Agréger : ne conserver que des statistiques qui ne se rapportent plus à une personne identifiable.
• Suspendre : ne préserver que les dossiers visés par une suspension légale ou liée à une demande d’accès dûment documentée.

La pseudonymisation n’est pas l’anonymisation. Remplacer un nom par un identifiant interne tout en conservant une clé de correspondance ne retire pas au dossier son caractère personnel. De même, une note d’entretien en texte libre peut permettre d’identifier une personne même après la disparition des champs structurés.

Comment Kit facilite-t-il la conservation des données des candidats ?

Kit propose une durée de conservation configurable, des avis distincts pour les candidatures et le vivier de talents, une preuve du consentement, le renouvellement et l’anonymisation automatisée. Il vous appartient toujours de déterminer la loi applicable, de choisir la durée, de gérer les suspensions et de faire valider la politique qui en résulte par des juristes.

Le guide de Kit sur la confidentialité et le consentement des candidats présente les contrôles actuels :

• une durée de conservation configurable de 1 à 60 mois, fixée à 24 mois par défaut ;
• des textes modifiables pour l’avis relatif aux candidatures et le consentement au vivier de talents ;
• l’enregistrement, lors de l’envoi, de l’horodatage, du texte exact affiché et de l’adresse IP chiffrée ;
• le renouvellement de l’inscription au vivier de talents 30 jours avant son expiration, puis un rappel 7 jours avant l’expiration ;
• l’anonymisation automatique à l’issue du délai de grâce lorsque le consentement n’est pas renouvelé ;
• l’anonymisation, selon la durée de conservation, des candidatures refusées ou retirées, tandis que celles ayant abouti à une embauche sont exclues de ce traitement automatique.

Ces contrôles transforment un calendrier écrit en événements que le système peut exécuter. Ils ne déterminent pas le régime juridique canadien applicable, ne créent pas de suspension légale, ne garantissent pas la disparition de chaque copie détenue par un sous-traitant et ne prouvent pas qu’une transformation particulière satisfait au critère de réidentification du CPVP. Configurez le produit comme l’une des composantes d’un programme plus vaste.

Commencez par distinguer les candidatures actuelles de l’appariement à de futurs postes. Ajoutez un avis de confidentialité clair, une durée de conservation approuvée par des juristes, un responsable désigné et une procédure d’élimination testée. Réexaminez ensuite le calendrier à chaque changement de finalité, de province, de sous-traitant ou de données. Si vous souhaitez intégrer ces contrôles directement au processus de recrutement, Démarrez votre essai gratuit et configurez la confidentialité des candidats avant la publication du prochain poste.