Loi canadienne sur la protection de la vie privée (LPRPDE / PIPEDA)
Aller directement à la conformité Avatar concernant la LPRPDE
La protection de la vie privée des données au niveau fédéral au Canada est régie par la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE). Elle s'applique aux organisations du secteur privé à travers le Canada qui recueillent, utilisent ou communiquent des renseignements personnels dans le cadre d'une activité commerciale (sauf dans les provinces ayant leurs propres lois substantiellement similaires sur la protection de la vie privée, comme le Québec, la Colombie-Britannique et l'Alberta).
Qu'est-ce qu'un Renseignement Personnel ?
En vertu de la Partie 1, article 2(1) de la LPRPDE, les Renseignements Personnels sont définis de manière concise comme :
« Tout renseignement concernant un individu identifiable. »
Le Commissariat à la protection de la vie privée du Canada (CPVP) précise qu'un renseignement concerne un individu identifiable lorsqu'il existe une possibilité sérieuse qu'un individu puisse être identifié par l'utilisation de ce renseignement, seul ou en combinaison avec d'autres renseignements.
Base Juridique pour le Traitement des Renseignements Personnels
Contrairement au RGPD, la LPRPDE ne comporte pas de liste de « bases juridiques » comme l'intérêt légitime. La LPRPDE repose sur 10 Principes d'équité en matière d'information (Annexe 1 de la Loi).
La pierre angulaire du traitement licite en vertu de la LPRPDE est le Consentement (Principe 4.3) :
« Il est nécessaire que l'individu soit informé de toute collecte, utilisation ou communication de renseignements personnels qui le concernent et qu'il y consente, à moins qu'il ne soit pas approprié de le faire. »
Exceptions au consentement : L'article 7 de la LPRPDE énonce des exceptions strictes où le consentement n'est pas requis, notamment pour les enquêtes juridiques, les urgences médicales, ou des recherches statistiques et universitaires spécifiques (en vertu des articles 7(2)(c) et 7(3)(f)).
Pseudonymisation vs. Anonymisation
Note importante : La LPRPDE (dans sa forme promulguée actuelle) ne définit pas juridiquement les termes « pseudonymisation », « désidentification » ou « anonymisation ».
Au lieu de définitions statutaires, la distinction repose sur l'interprétation officielle du CPVP de ce qui constitue « un individu identifiable » :
- Données pseudonymisées/désidentifiées : Le CPVP indique dans ses lignes directrices sur la désidentification que si des données sont simplement dépouillées d'identifiants directs (comme les noms) mais que les individus peuvent toujours être réidentifiés en les reliant à d'autres données, elles demeurent des renseignements personnels assujettis à la LPRPDE.
- Données anonymisées : Selon le CPVP, la véritable anonymisation implique que le risque de réidentification est virtuellement nul. Lorsque les renseignements sont modifiés au point où ils ne peuvent plus être reliés à un individu identifiable, la LPRPDE ne s'applique plus.
Traitement des Données Sensibles
La LPRPDE ne crée pas de catégorie juridique distincte avec des utilisations interdites pour les données sensibles (contrairement à l'article 9 du RGPD). Cependant, le Principe 4.3.4 stipule explicitement que :
« Bien que certains renseignements (par exemple, les dossiers médicaux et les dossiers de revenus) soient presque toujours considérés comme sensibles, tout renseignement peut être sensible, selon le contexte. »
La sensibilité des données dicte la forme de consentement requise. Pour les données sensibles, le CPVP s'attend à un consentement exprès (explicite).
Statut du Processus d'Anonymisation et Reconnaissance Juridique
Parce que la LPRPDE ne codifie pas l'anonymisation, la conformité repose sur la démonstration que les données sortent de la définition de l'article 2(1) (c'est-à-dire qu'elles ne concernent plus un individu identifiable).
Le CPVP s'attend à ce que les organisations évaluent le risque de réidentification. Dans ses lignes directrices, le CPVP fait référence au test de la « possibilité sérieuse » établi par la Cour fédérale du Canada (Gordon c. Canada, 2008). Les données ne sont considérées comme anonymes que s'il n'existe aucune possibilité sérieuse d'identifier un individu.
Pour le prouver, l'évaluation technique doit évaluer les vulnérabilités reconnues :
- Singling out
- Linkability
- Inference
Statut Juridique de la Méthode Avatar
Les données synthétiques générées à l'aide de la méthode Avatar ne sont plus considérées comme des renseignements personnels et sortent donc entièrement du champ d'application de la LPRPDE. Voici pourquoi :
- En vertu de la LPRPDE, le seuil pour que les données soient exemptées de la loi est l'élimination de toute « possibilité sérieuse » de réidentification (norme Gordon c. Canada).
- La méthode d'anonymisation développée par Octopize retire systématiquement les identifiants directs et les remplace par des avatars entièrement synthétiques et statistiquement représentatifs.
- Ce processus garantit qu'aucun individu ne peut être isolé, relié ou inféré, réduisant le risque de réidentification à pratiquement zéro.
- Parce que les données avatérisées résultantes ne sont plus des « renseignements concernant un individu identifiable » (article 2(1)), elles ne nécessitent pas de connaissance et consentement (Principe 4.3) pour des usages secondaires ou des communications.
L'anonymat des données est systématiquement évalué et documenté à travers un processus rigoureux impliquant :
- Un rapport technique mesurant le risque résiduel de réidentification (Singling out, Linkability et Inference) en utilisant des métriques qui simulent des scénarios d'attaque de pointe pour satisfaire aux attentes strictes du CPVP.
- Une Évaluation des facteurs relatifs à la vie privée (EFVP) évaluant la probabilité et la gravité de ces attaques en fonction de la sensibilité des données et du contexte d'utilisation.
Références Officielles :