Dépersonnalisation et anonymisation en droit canadien de la vie privée

Des données dépersonnalisées ont vu leurs identifiants directs retirés, mais elles peuvent encore être remontées jusqu'à une personne — en droit canadien, ce sont donc toujours des renseignements personnels. Des données anonymisées ont été transformées pour de bon, au point où la réidentification n'est plus raisonnablement possible. C'est un seuil bien plus élevé, surtout sous la Loi 25 du Québec. Confondre les deux est une erreur fréquente, et coûteuse, surtout quand vous préparez des données pour entraîner l'IA.

Pourquoi « anonymisé » et « dépersonnalisé » ne sont-ils pas synonymes ?

Dans le langage courant, « anonymisé » et « dépersonnalisé » se troquent librement. En droit canadien de la vie privée, ils désignent des réalités véritablement différentes, et les tenir pour équivalents est l'une des erreurs les plus fréquentes — et les plus lourdes de conséquences — que commettent les équipes dès qu'elles se mettent à pousser des données dans des systèmes d'IA. La distinction décide si le droit à la vie privée touche encore votre ensemble de données.

Voici la version courte. Des données dépersonnalisées ont vu leurs identifiants directs retirés ou masqués, mais elles peuvent encore, en principe, être reliées à une personne. Des données anonymisées ont été transformées de façon irréversible, de sorte que la réidentification n'est plus raisonnablement possible. La dépersonnalisation abaisse le risque; l'anonymisation est censée effacer entièrement la catégorie juridique des « renseignements personnels ». Et comme cette seconde affirmation est bien plus forte, le seuil pour l'atteindre réellement se situe bien plus haut.

Ce qu'est réellement la dépersonnalisation

La dépersonnalisation est le cheval de trait de la protection quotidienne de la vie privée. Vous prenez un ensemble de données et retirez ou transformez les champs qui pointent tout droit vers une personne — nom, numéro d'assurance maladie, courriel, adresse exacte — en y glissant d'ordinaire un pseudonyme ou un jeton. Le résultat est plus sûr à manipuler et à faire circuler à l'interne.

Mais voici le piège qui fait trébucher : les données dépersonnalisées restent des renseignements personnels en droit canadien. Elles peuvent souvent être réidentifiées dès qu'on les combine à autre chose. Un constat classique de la littérature sur la vie privée est qu'une part étonnamment grande de la population peut être cernée de façon unique à partir de quelques points de données seulement — pour bien des gens, le code postal, la date de naissance et le sexe suffisent. Prenez un dossier de santé de l'Île-du-Prince-Édouard, retirez le nom, mais gardez le diagnostic rare, la petite collectivité et l'âge, et vous aurez peut-être décollé l'étiquette sans toucher à l'identifiabilité en dessous.

Parce que les données dépersonnalisées restent des renseignements personnels, vos obligations sous la LPRPDE et la Loi 25 continuent de s'y appliquer : limites de finalité, mesures de protection, règles de conservation et — celle-ci compte le plus — l'interdiction de les utiliser au-delà de ce à quoi les personnes ont vraiment consenti. Savoir quels ensembles de données comptent encore commence par une évaluation LPRPDE en bonne et due forme et une découverte des données claire. La dépersonnalisation est une mesure de protection réellement utile. Ce n'est pas une porte de sortie du droit à la vie privée.

Pourquoi l'anonymisation fixe un seuil élevé

L'anonymisation est la ligne d'arrivée où les données cessent d'être des renseignements personnels et où les obligations tombent. Et c'est justement parce que le prix est si gros que la norme est exigeante.

La Loi 25 du Québec en est l'exemple le plus net au Canada. Elle traite l'information anonymisée comme l'information qui ne permet plus d'identifier une personne, directement ou indirectement — et demande que cela soit jugé selon les meilleures pratiques généralement reconnues, la transformation étant, dans les faits, irréversible. Dit sans détour, « nous avons supprimé les noms » ne franchit pas le seuil. Il vous faut un processus défendable et documenté montrant que la réidentification n'est pas raisonnablement prévisible, en pesant à la fois les données elles-mêmes et tout ce qui pourrait plausiblement y être combiné.

La LPRPDE n'emploie pas le même libellé législatif, mais la logique sous-jacente est parallèle : l'information ne cesse d'être un renseignement personnel que lorsqu'une personne ne peut plus être identifiée à partir d'elle, seule ou aux côtés d'autres renseignements disponibles. S'il existe une voie réaliste vers un nom, vous détenez encore des renseignements personnels — quelle que soit l'étiquette collée sur le fichier.

La conséquence pratique, la voici. L'anonymisation n'est pas une case à cocher en exécutant un script. C'est une évaluation du risque. Elle met en balance la transformation appliquée et le scénario de l'intrus motivé — à quoi une partie déterminée pourrait-elle plausiblement relier ces données ? — et elle devrait être consignée pour que vous puissiez défendre l'affirmation plus tard. Beaucoup d'équipes convaincues d'avoir « anonymisé » des données ne les ont en réalité que dépersonnalisées, et cet écart juridique, c'est toute la partie.

Le problème des données d'entraînement de l'IA

C'est ici que la distinction cesse d'être théorique. De plus en plus, les organisations veulent mettre leurs propres données — transcriptions de soutien, dossiers clients, notes cliniques — au travail pour entraîner, affiner ou ancrer des systèmes d'IA. L'intuition est bonne : ne pas pelleter de renseignements personnels bruts dans un modèle. Mais le plan repose d'ordinaire sur une phrase fragile : « nous les avons d'abord anonymisés ».

Deux risques rendent cela plus difficile qu'il n'y paraît. D'abord, le texte libre résiste à l'anonymisation. Un clavardage de soutien ou une note clinique regorge d'identifiants incidents — une personne mentionne son employeur, son quartier, un incident précis avec une date. Retirer les champs structurés n'y change rien, et ces éléments peuvent réidentifier une personne aussi sûrement qu'un nom. Ensuite, les modèles mémorisent. On a surpris de grands modèles à restituer mot pour mot de rares exemples d'entraînement, ce qui signifie qu'un fragment de renseignement personnel présent dans l'ensemble d'entraînement peut resurgir dans un résultat des mois plus tard, devant un tout autre utilisateur.

Des recommandations qui tiennent la route en pratique :

• Présumez que le texte n'est pas anonymisé du simple fait que les noms ont été retirés. Traitez le texte libre dépersonnalisé comme un renseignement personnel et gardez-le à l'intérieur de vos limites de consentement et de protection.
• Réalisez une évaluation du risque de réidentification avant de qualifier quoi que ce soit d'anonymisé — et documentez-la. Tenez compte de ce qui pourrait réalistement être combiné à vos données, et pas seulement de ce qu'elles contiennent.
• Privilégiez la minimisation et l'adéquation à la finalité plutôt que le réétiquetage. Si votre consentement ne couvre pas l'utilisation des données clients pour entraîner l'IA, une anonymisation qui n'atteint pas vraiment le seuil ne sauvera pas le plan; des données réellement anonymisées, oui.
• Envisagez des données synthétiques ou agrégées lorsque vous avez besoin de tendances, pas d'individus.
• Contractez et journalisez soigneusement lorsqu'un modèle tiers est en cause, afin de savoir si vos données pourraient être conservées ou réutilisées pour un entraînement ultérieur.

Employer le bon vocabulaire fait partie du travail

Une grande part du risque en matière de vie privée se cache dans un langage approximatif. Quand quelqu'un dit « c'est anonymisé, donc on est corrects », la relance utile est : anonymisé selon quelle norme, évalué comment, et documenté où ? Si la réponse honnête est « nous avons retiré les identifiants évidents », alors c'est dépersonnalisé — toujours utile, toujours un renseignement personnel, toujours assujetti à vos obligations. Le nommer correctement change ce que vous avez le droit d'en faire, et c'est là tout l'enjeu.

Le présent article constitue de l'information générale et non un avis juridique; savoir si un ensemble de données donné est anonymisé au sens de la LPRPDE ou de la Loi 25 dépend des données et du contexte précis, et mérite d'être confirmé auprès d'un professionnel.

Canuckt a conçu Valdra pour garder ces distinctions visibles là où elles comptent — en suivant quels ensembles de données alimentent quels systèmes d'IA, s'ils contiennent des renseignements personnels et quelle transformation a réellement été appliquée. L'outil vous aide à éviter le réétiquetage discret qui transforme un plan raisonnable en lacune de conformité.