Avec Me Samy Si Chaib, j’ai fait le point pour le Blogue du CRL sur les développements récents en Amérique du Nord et en Europe. La thèse : données pseudonymisées et anonymisées appellent des traitements juridiques distincts, qui dépendent du risque de réidentification et de la juridiction applicable.
Trois évolutions structurent l’analyse. Le Règlement québécois sur l’anonymisation, en vigueur depuis le 30 mai 2024, exige que l’information anonymisée soit irréversiblement incapable d’identifier une personne — avec obligation d’appliquer les meilleures pratiques reconnues, de désigner une personne compétente et de tenir un registre d’anonymisation.
L’affaire Home Depot a précisé que des adresses courriel hachées demeurent des renseignements personnels exigeant un consentement exprès, lorsque leur usage contredit les attentes raisonnables du consommateur — notamment quand le client en magasin n’est pas dirigé vers la politique de confidentialité.
Enfin, la juridiction européenne a jugé que des données pseudonymisées peuvent cesser d’être des renseignements personnels si le tiers qui les détient n’a pas les moyens pratiques et légaux de réidentifier les personnes — confirmant le caractère contextuel de la qualification.
→ Lire l’article complet sur le Blogue du CRL
