Notes from the IAPP Canada: When deleting data too soon becomes the privacy risk

I spend a lot of time telling organizations they should not keep personal information forever. That remains good advice. But a decision out of Newfoundland and Labrador this week highlights the other side of the problem: sometimes deleting information too quickly creates its own privacy problem.

The case involved a municipality that automatically deleted emails after 30 days and text messages after 10 days. On its face, that might sound like a privacy success story, right? After all, data minimization is one of the core principles privacy professionals advocate for every day. Less data retained often means less risk.

The problem, as the Office of the Information and Privacy Commissioner found, was that the town continued applying those deletion rules while handling a Code of Conduct complaint against an individual. By the time questions arose about how and why the decision had been reached, the records explaining that decision were gone.

What makes this decision interesting is that the compliance failure didn't arise from retaining personal information too long, but from deleting it too soon.

I was reminded of a records-management exercise several years ago at an institution in Canada. During interviews, one department head proudly explained that she was getting rid of information well before any required retention period because she did not want her unit holding on to data unnecessarily. She viewed personal information almost like a hot potato. The client representative responsible for information management was surprised when he heard this. The department head genuinely believed she was doing the right thing.

That exercise revealed something I still encounter today: people often understand the risks of over-retention, but they do not always appreciate the risks of under-retention.

This week's decision is a good example. Effective retention programs aren't simply about creating the shortest possible retention period. They're about preserving information for the appropriate period of time. Sometimes that means establishing maximum retention periods to prevent unnecessary accumulation, but other times it means establishing minimum retention periods because individuals have rights that depend on those records continuing to exist.

The Newfoundland and Labrador public-sector statute contains a specific requirement that personal information used to make a decision directly affecting an individual be retained for at least one year. Private-sector organizations subject to the Personal Information Protection and Electronic Documents Act do not face that same one-year rule. The principle, however, should feel familiar because PIPEDA also recognizes that information used to make a decision about an individual must remain available long enough to permit meaningful access.

That's why I think the broader lesson reaches well beyond one small municipality.

Many organizations have spent years implementing automated deletion tools. In most cases, those efforts are sensible and overdue. But automated deletion can become a pretty blunt instrument when it lacks exceptions. Complaints, investigations, access requests, litigation and employment matters often require records to be preserved even when normal deletion schedules would otherwise apply.

The communication channel isn't the real issue here. The more important point is that records don't cease to be records simply because they were created through a messaging platform instead of a formal filing system.

There is also a tendency to treat privacy, access and accountability as competing objectives. But in practice, more often than not, I think they can reinforce one another. Individuals cannot meaningfully understand, challenge or verify decisions affecting them if the records documenting those decisions have already been destroyed.

None of this should be read as an argument for keeping more personal information. No hoarding for a rainy day. Over-retention remains a serious privacy and a security problem. 

The lesson from this decision is a lot simpler. Good retention management requires floors as well as ceilings. We should be just as concerned about deleting information too early as we are about deleting it too late. Sometimes the most privacy-protective retention period is neither the shortest one nor the longest one, but simply the right one. Gosh, I'm starting to sound like Goldilocks and the Three Bears… but you get my point. 

Notes de l'IAPP Canada : Lorsque supprimer des données trop tôt devient un risque pour la vie privée 

Je passe beaucoup de temps à expliquer aux organisations qu'elles ne devraient pas conserver les renseignements personnels pour toujours. Et c'est toujours un bon conseil. Mais une décision rendue cette semaine à Terre-Neuve-et-Labrador met en lumière l'autre côté du problème : parfois, supprimer l'information trop rapidement crée son propre problème de protection de la vie privée.

L'affaire concernait une municipalité qui supprimait automatiquement ses courriels après 30 jours et ses messages textes après 10 jours. À première vue, ça ressemble presque à une victoire pour la protection des renseignements personnels, non? Après tout, la minimisation des données est l'un des principes que les professionnels de la vie privée défendent quotidiennement. Moins on conserve de données, moins il y a de risques.

Le hic, c'est que la municipalité a continué d'appliquer ces règles de suppression alors qu'elle traitait une plainte en vertu de son code de conduite visant une personne en particulier. Lorsque des questions ont été soulevées sur la manière dont la décision avait été prise, les documents permettant de l'expliquer n'existaient plus.

Ce qui rend cette décision intéressante, c'est que le problème ne découle pas d'une conservation excessive des renseignements personnels. Il découle plutôt du fait qu'on les a supprimés trop tôt.

Cela m'a rappelé un exercice de gestion documentaire auquel j'avais participé il y a plusieurs années dans un établissement canadien. Lors d'une entrevue, une gestionnaire nous expliquait avec une certaine fierté qu'elle détruisait certains renseignements bien avant les délais de conservation prévus parce qu'elle ne voulait pas que son équipe conserve inutilement des données. Pour elle, les renseignements personnels étaient presque devenus une patate chaude dont il fallait se débarrasser le plus vite possible.

Le responsable de la gestion de l'information du client a été assez surpris d'entendre cela. Pourtant, cette gestionnaire croyait sincèrement agir correctement.

Cette expérience m'a appris quelque chose que je constate encore aujourd'hui : beaucoup de gens comprennent très bien les risques liés à la conservation excessive des données, mais beaucoup moins ceux associés à une suppression prématurée.

La décision de cette semaine en est un bon exemple. Un programme de conservation efficace ne consiste pas simplement à établir la période la plus courte possible. Il consiste à conserver l'information pendant la période appropriée. Parfois, cela signifie fixer une limite maximale pour éviter l'accumulation inutile. D'autres fois, cela signifie prévoir une durée minimale parce que certains droits dépendent de l'existence continue de ces documents.

Bien sûr, la règle précise en cause à Terre-Neuve-et-Labrador ne s'applique pas partout au Canada. Mais le principe sous-jacent devrait être familier à tous les professionnels du domaine. Lorsqu'une organisation utilise des renseignements personnels pour prendre une décision qui touche une personne, il faut réfléchir à la façon dont cette personne pourra comprendre, vérifier ou contester cette décision plus tard.

C'est pourquoi je pense que la portée de cette décision dépasse largement le contexte d'une petite municipalité.

Depuis plusieurs années, les organisations investissent dans des outils de suppression automatique. Dans la plupart des cas, ces initiatives sont parfaitement sensées. Certaines étaient même nécessaires depuis longtemps. Le problème survient lorsque ces mécanismes deviennent des instruments un peu trop rudimentaires. Les plaintes, les enquêtes, les demandes d'accès, les litiges ou certaines questions liées à l'emploi peuvent exiger que des documents soient préservés même lorsque le calendrier normal de suppression indique le contraire.

Le moyen de communication n'est pas vraiment au cœur du problème. Qu'il s'agisse d'un courriel, d'un texto ou d'une plateforme de messagerie, un document demeure un document lorsqu'il sert à mener des activités de l'organisation.

J'ai aussi l'impression que nous présentons parfois la protection de la vie privée, l'accès à l'information et l'imputabilité comme des objectifs contradictoires. Dans la réalité, ils se renforcent souvent mutuellement. Il devient difficile pour une personne de comprendre ou de contester une décision lorsqu'il ne reste plus aucune trace de la façon dont elle a été prise.

Que les choses soient bien claires : je ne suis pas en train de plaider en faveur d'une conservation accrue des renseignements personnels. Pas question de tout garder « au cas où ». La conservation excessive demeure un problème important, tant sur le plan de la protection de la vie privée que de la sécurité.

La leçon de cette décision est beaucoup plus simple. Une bonne gestion de la conservation exige à la fois des planchers et des plafonds. Nous devrions être tout aussi préoccupés par la suppression trop rapide que par la suppression trop tardive. Parfois, la période de conservation la plus respectueuse de la vie privée n'est ni la plus courte ni la plus longue. C'est simplement la bonne.

Mon Dieu... je commence à ressembler à Boucle d'or et les trois ours. Mais vous comprenez l'idée.

Et sur cette note, j'espère que cela vous donnera matière à réflexion. Je vous souhaite une excellente fin de semaine et quelques belles journées d'été avant que la saison ne nous échappe encore une fois.

This French companion article is not meant to be an exact translation, but rather an article that generally covers the same topic as the English article.