Le 1er décembre 2025, le Commissariat à la protection de la vie privée du Canada (le « CPVP ») a publié les conclusions d’une enquête portant sur les pratiques de protection des renseignements personnels d’une organisation exploitant un programme de revente d’appareils électroniques retournés par sa clientèle.

Les conclusions du CPVP revêtent une importante valeur interprétative quant à la portée des obligations prévues par la Loi sur la protection des renseignements personnels et les documents électroniques (la « LPRPDE »). Elles offrent un éclairage particulièrement pertinent pour les organisations qui manipulent, reconditionnent ou revendent des appareils électroniques susceptibles de contenir des renseignements personnels d’anciens utilisateurs.

Contexte

L’organisation visée exploitait un programme permettant aux clients de retourner des ordinateurs portables, lesquels étaient ensuite remis à neuf puis revendus. Un tel programme comporte des risques évidents en matière de protection des renseignements personnels, dans la mesure où ces appareils contiennent fréquemment des données résiduelles relatives à leurs anciens utilisateurs.

À la suite d’une plainte alléguant un nettoyage insuffisant des appareils retournés, le CPVP a ouvert une enquête portant sur les pratiques internes de l’organisation. Cette enquête a permis de constater que cette dernière n’avait pas mis en place des mesures adéquates pour protéger les renseignements personnels contre la consultation ou la communication non autorisée, en raison notamment de procédures internes déficientes, de formations inadéquates et d'absence de mécanismes de contrôle efficaces.

Obligations des organisations

L’enquête précise la portée des principes 4.7.1 et 4.7.3 de l’Annexe 1 de la LPRPDE. Ces dispositions établissent que les organisations doivent être dotées de mesures de sécurité, qu’elles soient matérielles, administratives ou techniques, qui protègent les renseignements personnels contre la perte, le vol ou la communication non autorisée, et ce, quelle que soit la forme sous laquelle ils sont conservés.

Réinitialisation obligatoire

Dans ses conclusions, le CPVP précise que, pour être jugées adéquates au sens des principes 4.7.1 et 4.7.3, les procédures techniques de nettoyage doivent respecter les directives du fabricant de l’appareil en matière de réinitialisation et de suppression des données.

Ainsi, toute organisation qui détient des appareils électroniques usagés, que ce soit dans le cadre d’un programme de reprise, de reconditionnement ou autrement, doit s’assurer que ceux-ci sont nettoyés conformément aux instructions du fabricant. Cette exigence vise à réduire le risque de récupération de renseignements personnels par des tiers non autorisés.

Politiques et procédures internes claires et précises

Le CPVP précise que les organisations doivent adopter et mettre à la disposition de leur personnel des instructions claires, cohérentes et normalisées sur la procédure à suivre pour nettoyer les appareils retournés.

En l’espèce, l’enquête a révélé que les pratiques internes de l’organisation ne garantissaient pas l’application systématique des procédures de réinitialisation conformes aux directives du fabricant. Cette situation découlait notamment de politiques internes contradictoires, qui ne prévoyaient aucune exigence claire obligeant les employés à appliquer les procédures de suppression des données et de réinitialisation fournie par le fabricant.

Formations obligatoires et suffisantes

Par ailleurs, le CPVP souligne que les organisations ont l’obligation d’offrir à leur personnel une formation adéquate afin qu’ils puissent réaliser correctement toutes les tâches techniques liées à la suppression des renseignements personnels de tiers.

Dans le cadre de l’enquête, il a été constaté que les formations offertes par l’organisation n’étaient pas systématiquement dispensées au personnel technique. De plus, le matériel de formation mis à la disposition des gestionnaires demeurait de nature générale et ne précisait pas les mesures concrètes à prendre pour nettoyer un appareil ni les moyens permettant de vérifier que la suppression avait été effectivement réalisée.

Veiller au respect des politiques adoptées

Enfin, le CPVP insiste sur la nécessité pour les organisations de veiller activement au respect des politiques adoptées. À cette fin, il recommande notamment :

  • d’adopter une procédure interne garantissant que seuls les employés ayant reçu la formation requise procèdent au nettoyage des appareils;

  • de désigner un tiers indépendant chargé d’effectuer une vérification ponctuelle annuelle des appareils retournés dans le cadre du programme de revente d’appareils électroniques.

Ainsi, il ressort de ces recommandations, l’obligation, pour les organisations manipulant des appareils électroniques contenant les renseignements personnels d’anciens usagers, d’être diligentes et responsables quant aux pratiques internes, notamment en adoptant des mécanismes de suivi de l’application des procédures et de respect des exigences.

Pour en savoir plus sur la revente d’appareils électroniques usagés et la protection des renseignements personnels, communiquez avec l’un des auteurs ou un membre de notre équipe  Cybersécurité et protection des données.