Trois mots que l’on emploie comme des synonymes, et qui ne produisent pourtant pas du tout les mêmes effets juridiques. En novembre 2023, j’ai cosigné avec Samy Si Chaib, dans la Chronique du CTI du Blogue du CRL (Jeune Barreau de Montréal), un texte consacré à cette confusion terminologique — et à ce qu’elle coûte aux organisations qui s’y laissent prendre.
Le problème : une hiérarchie mal comprise
Sous la Loi 25, ces trois notions ne sont pas interchangeables, et l’écart entre elles est décisif :
- L’anonymisation est un processus irréversible : le renseignement ne permet plus, de façon définitive, d’identifier la personne directement ou indirectement. C’est la seule opération qui fait sortir la donnée du champ de la loi, et elle constitue une alternative exceptionnelle à la destruction.
- La dépersonnalisation est réversible : elle retire les identifiants directs, mais une réidentification indirecte demeure possible. Elle ne remplace pas la destruction et son usage est cantonné à des finalités précises — recherche, statistiques, études.
- La pseudonymisation est le pendant européen de la dépersonnalisation, défini au RGPD.
La conséquence pratique est brutale : un renseignement dépersonnalisé demeure un renseignement personnel et reste assujetti à l’ensemble des obligations de la loi. Seule l’anonymisation véritable libère l’organisation. Confondre les deux, c’est croire à tort qu’on s’est déchargé d’un régime auquel on demeure entièrement soumis.
Ce que l’article couvrait
Nous y comparions les définitions québécoise, européenne et californienne — qui divergent sur le seuil d’identification et sur la réversibilité — avant de passer en revue les techniques de mise en œuvre (hachage, chiffrement, compteurs de randomisation) et les stratégies de déploiement envisageables.
Depuis la parution
Deux évolutions notables méritent d’être signalées au lecteur de 2026 :
- Le texte relevait qu’aucun règlement ne venait encore encadrer l’anonymisation au Québec. Ce vide a été comblé : le Règlement sur l’anonymisation des renseignements personnels (RLRQ, c. A-2.1, r. 0.1, décret 783-2024) est en vigueur depuis le 30 mai 2024 et fixe les critères et modalités applicables. Une nuance à retenir : l’obligation de consigner au registre les renseignements anonymisés, prévue à son article 9, n’est quant à elle en vigueur que depuis le 1er janvier 2025.
- Le texte évoquait le projet de loi fédéral C-27 et son ambition d’harmoniser la définition de l’anonymisation. C-27 est mort au feuilleton lors de la prorogation du Parlement en janvier 2025 ; l’harmonisation annoncée n’a donc jamais eu lieu.
Le cœur de l’analyse — la distinction entre les trois notions et ses conséquences — demeure quant à lui pleinement d’actualité.
Lire l’article intégral sur le Blogue du CRL — Erwan Jonchères et Samy Si Chaib, 23 novembre 2023.
