Anonymisation
Un renseignement personnel est anonymisé quand :
- il est, en tout temps, raisonnable de prévoir dans les circonstances qu’il ne permet plus, de façon irréversible, d’identifier directement ou indirectement cette personne.
Autant pour les organismes publics que les entreprises, l’anonymisation des renseignements personnels constituera une alternative à leur destruction à compter du 22 septembre 2023. La conservation de ces renseignements anonymisés est conditionnelle à leur utilisation à des fins de d’intérêt public (pour les organismes publics) ou sérieuses et légitimes (pour les entreprises):
- L’anonymisation est un processus complexe qui devra suivre les meilleures pratiques généralement reconnues et selon les critères et modalités déterminés par règlement du gouvernement. Selon la Commission, il est quasi impossible de garantir l’anonymisation des données de manière irréversible.
Un renseignement anonymisé cesse d’être qualifié de renseignement personnel et n’est plus soumis aux règles applicables en cette matière. Il peut donc être utilisé, communiqué, diffusé et conservé sans autre obligation.
Dépersonnalisation
Un renseignement personnel est dépersonnalisé quand :
il ne permet plus d’identifier directement la personne concernée. Par exemple, ces données devront être utilisées en ayant pris soin de supprimer préalablement :
- Nom des personnes
- Adresses civiques ou courriel
- Numéros d’assurance sociale ou d’assurance-maladie.
Toutes les mesures raisonnables devront être prises pour limiter les risques d’identification des personnes dont les renseignements ont été dépersonnalisés.
Contrairement à l’anonymisation, la dépersonnalisation des renseignements personnels n’est pas une alternative à leur destruction. Elle constitue une mesure de protection de ces renseignements, notamment quand ils sont utilisés ou communiqués sans le consentement des personnes concernées à des fins d’étude, de recherche ou de production de statistiques.
Un renseignement dépersonnalisé demeure un renseignement personnel soumis aux lois applicables en cette matière.
***
Les lois applicables prévoient des amendes pour toute tentative de réidentification de renseignements anonymisés ou de renseignements dépersonnalisés, sans l’autorisation de l’organisme public ou de l’entreprise.
Mise à jour : 16 mai 2023