Lois québécoises sur la protection de la vie privée (Loi 25 et Loi 5)
Aller directement à la conformité Avatar concernant les lois québécoises
La protection de la vie privée des données dans la province canadienne du Québec est principalement régie par deux cadres législatifs clés :
- La Loi 25 (anciennement projet de loi 64) : Une réforme vaste et stricte de la législation québécoise sur la protection de la vie privée, applicable à toutes les organisations privées et publiques traitant des données personnelles de résidents québécois.
- La Loi 5 : Une loi spécialisée régissant la collecte, l'utilisation et la communication des renseignements en matière de santé et de services sociaux, s'appliquant spécifiquement aux établissements de santé, aux professionnels et aux fournisseurs de technologie traitant des données de santé pour leur compte.
Qu'est-ce qu'un Renseignement Personnel ?
Contrairement aux « données personnelles » du RGPD, la loi québécoise utilise le terme Renseignement Personnel (RP). Selon l'article 2 de la Loi sur le secteur privé, un renseignement personnel désigne :
« Tout renseignement qui concerne une personne physique et permet de l'identifier directement ou indirectement. »
Exemples : Nom, adresse, numéro de téléphone, courriel, adresse IP, géolocalisation, données d'emploi ou financières, données démographiques ou comportementales.
Base Juridique et Obligations Organisationnelles
Le cadre québécois diffère des six bases juridiques du RGPD. En vertu de la Loi 25, la base juridique principale pour le traitement de renseignements personnels est le Consentement, qui doit être clair, libre, éclairé et donné pour des fins spécifiques.
Les organisations peuvent traiter des RP sans consentement uniquement dans des exceptions strictes, telles que :
- Nécessité contractuelle : Lorsque nécessaire pour conclure ou exécuter un contrat.
- Obligation légale : Conformité aux lois provinciales ou fédérales.
- Étude, recherche ou statistiques : Sous des conditions strictes, incluant l'assurance que les données sont désidentifiées.
- Fins cohérentes : Si la nouvelle utilisation a un lien direct et pertinent avec la finalité initiale.
Pour assurer la responsabilité, la Loi 25 exige également que les organisations nomment un Responsable de la protection des renseignements personnels (automatiquement le PDG sauf délégation explicite), maintiennent une politique de gouvernance de la vie privée et assurent une journalisation stricte des accès.
Désidentification vs. Anonymisation
La loi québécoise introduit une distinction juridique stricte entre ces deux concepts :
- Désidentification (équivalent à la Pseudonymisation) : Selon la Loi, un renseignement est désidentifié s'il « ne permet plus d'identifier directement la personne concernée ». Les données désidentifiées sont toujours considérées comme des renseignements personnels et demeurent assujetties à la loi.
- Anonymisation : Selon l'article 17 de la Loi, un renseignement est anonymisé si, en tout temps, il est raisonnablement prévisible dans les circonstances qu'il ne permet plus irréversiblement d'identifier la personne directement ou indirectement. Les renseignements anonymisés ne sont plus assujettis à la Loi.
Traitement des Renseignements Sensibles et des Données de Santé (Loi 5)
En vertu de la Loi 25, un renseignement personnel est considéré comme sensible si, de par sa nature ou le contexte de son utilisation, il comporte un niveau élevé d'attente raisonnable en matière de vie privée.
La Loi 5 crée un régime hautement réglementé spécifiquement pour les renseignements en santé. Les renseignements en santé désignent toute donnée identifiante relative à :
- La santé physique ou mentale d'une personne
- Les consultations médicales ou les diagnostics
- Les résultats d'analyses et les traitements
- Les services sociaux reçus
L'utilisation de telles données sensibles à des fins de recherche est permise mais fortement réglementée. Elle nécessite généralement une Évaluation des facteurs relatifs à la vie privée (EFVP), des mesures de sécurité strictes et, dans le cas de données de santé, l'approbation d'un Comité d'éthique de la recherche.
Sanctions et Application
La conformité est critique, car la Commission d'accès à l'information (CAI) applique les deux lois avec des pénalités sévères pour le mauvais traitement des données :
- Loi 25 : Pénalités administratives pouvant atteindre 10 millions de dollars CAD ou 2 % du chiffre d'affaires mondial. Les amendes criminelles peuvent atteindre 25 millions de dollars CAD ou 4 % du chiffre d'affaires mondial pour des violations graves.
- Loi 5 : Amendes spécifiques pouvant atteindre 150 000 dollars CAD par infraction pour le mauvais traitement de renseignements en santé.
Statut du Processus d'Anonymisation
En vertu de la loi québécoise, une fois que les fins pour lesquelles les renseignements personnels ont été recueillis sont atteintes, les organisations doivent détruire ces renseignements. Toutefois, la Loi 25 et la Loi 5 reconnaissent explicitement que l'anonymisation est une alternative acceptable à la destruction. Les organisations peuvent anonymiser des données pour les utiliser à des fins sérieuses et légitimes (comme la recherche), à condition que le processus élimine tout risque raisonnable de réidentification.
La conversion de renseignements personnels en données anonymisées est une action juridiquement reconnue pour la gestion du cycle de vie des données, à condition qu'elle respecte le Règlement sur l'anonymisation des renseignements personnels.
Reconnaissance Juridique de l'Anonymisation
Le Règlement sur l'anonymisation des renseignements personnels du gouvernement du Québec établit des critères stricts. Le statut de données anonymes dépend d'une évaluation continue. L'organisation doit :
- Retirer tous les identifiants directs.
- Effectuer une analyse des risques de réidentification, en tenant compte de la nature et de la sensibilité des données, du contexte d'utilisation et de la disponibilité d'autres ensembles de données.
Pour démontrer que le risque résiduel est pratiquement nul, l'évaluation technique doit évaluer les risques universellement reconnus :
- Singling out : isoler un individu unique au sein d'un ensemble de données.
- Linkability : relier deux ensembles de données concernant le même individu.
- Inference : déduire de nouvelles informations sensibles sur un individu.
De plus, une Évaluation des facteurs relatifs à la vie privée (EFVP / Privacy Impact Assessment - PIA) est légalement requise avant le processus d'anonymisation pour démontrer que la méthodologie atténue efficacement les risques. Lorsque ces normes sont respectées, les données résultantes sortent complètement du champ d'application des lois sur la protection de la vie privée.
Statut Juridique de la Méthode Avatar
Les données synthétiques générées à l'aide de la méthode Avatar ne sont plus considérées comme des renseignements personnels ou de santé et sortent donc complètement du champ d'application de la Loi 25 et de la Loi 5.
La méthode Avatar fournit un cadre de protection de la vie privée dès la conception qui s'aligne parfaitement avec les exigences réglementaires québécoises. Voici pourquoi :
- La Loi 25 et la Loi 5 reconnaissent explicitement l'anonymisation comme une transformation valide et permanente des renseignements personnels.
- La méthode Avatar génère des ensembles de données synthétiques statistiquement réalistes mais entièrement anonymes. Elle retire systématiquement les identifiants directs et évalue les données selon les meilleures pratiques reconnues, incluant celles attendues par la CAI.
- Les données avatérisées ne nécessitent pas de consentement, de notification ou d'EFVP subséquente pour un usage secondaire, car elles ne constituent plus des renseignements identifiables. Aucune obligation légale supplémentaire ne s'applique en vertu de la loi québécoise sur la protection de la vie privée lors de l'utilisation de ces ensembles de données.
Les données générées à l'aide de la méthode Avatar ne sont pas considérées comme anonymes par défaut. Leur anonymat est systématiquement évalué et documenté à travers un processus rigoureux impliquant :
- Un rapport technique (accessible via notre boîte à outils d'évaluation de la vie privée) mesurant le risque résiduel de réidentification par rapport aux normes internationales et réglementaires québécoises les plus élevées (Singling out, Linkability et Inference).
- Une Évaluation des facteurs relatifs à la vie privée (EFVP / PIA) évaluant la probabilité et la gravité des attaques potentielles en fonction de la sensibilité des données et du contexte d'utilisation.