Bonnes pratiques d'anonymisation de données

Préparer la base de données ou le jeu de données à anonymiser selon le projet:

• Identifier les informations à conserver;
• Supprimer les identifiants directs;
• Supprimer les identifiants indirects ayant une valeur rare
• Supprimer les informations secondaires ou inutiles;
• Définir le degré de précision idéale et le degré de précision acceptable pour chaque information à conserver.

Recourir aux mesures et aux techniques nécessaires selon les meilleures pratiques généralement connues. Cette étape sera effectuée par une personne qui détient l’expertise nécessaire :

• Établir le processus d’enchaînement des techniques;
• Atténuer les 3 risques : individualisation, corrélation, inférence;
• Utiliser des modèles appropriés;
• Réaliser des tests avant et après l’application de techniques d’anonymisation et, par la suite de façon régulière.

S’assurer d’une destruction immédiate des renseignements personnels d’origine, après la phase de test et de contrôle de qualité « ou du moins dans un laps de temps très court après l’opération d’anonymisation ».

S’assurer de conserver des renseignements anonymisés seulement.

S’assurer de « consigner dans un registre les renseignements suivants :

1. une description des renseignements personnels anonymisés;
2. les fins pour lesquelles elle entend utiliser ces ren­seignements personnels anonymisés;
3. les techniques d’anonymisation utilisées et les mesures de protection et de sécurité établies conformé­ment à l’article 6;
4. une synthèse des résultats de l’analyse des risques de réidentification effectuée conformément à l’article 7 ou, le cas échéant, à l’article 8;
5. la date à laquelle l’analyse des risques de réidentifi­cation effectuée conformément à l’article 7 a été complétée et, le cas échéant, la date à laquelle la mise à jour de l’ana­lyse effectuée conformément à l’article 8 a été complétée. » [Gazette Officielle Québec, 2023]

Présentation des concepts clés liés aux renseignements personnels Gouvernement du Québec (section « Caractéristique d’un renseignement anonymisé »)

https://www.quebec.ca/gouvernement/travailler-gouvernement/travailler-fonction-publique/services-employes-etat/conformite/protection-des-renseignements-personnels/definitions-concepts/concepts

Protection et gouvernance des données – kpmg-au-quebec-protection-et-gouvernance-des-donnes-fr.pdf (Page 17) 

https://assets.kpmg.com/content/dam/kpmg/ca/pdf/2022/01/kpmg-au-quebec-protection-et-gouvernance-des-donnees-fr.pdf

Gouvernement du Canada (2020, octobre 6). Avis de mise en œuvre de la protection des renseignements personnels 2020-03 : Protection des renseignements personnels lors de la diffusion de renseignements à propos d’un petit nombre de personnes. https://www.canada.ca/fr/secretariat-conseil-tresor/services/acces-information-protection-reseignements-personnels/avis-mise-acces-information-protection-renseignements-personnels/2020-03-protection-renseignements-personnels-diffusion-renseignements-propos-petit-nombre-personnes.html

Règlement sur l’anonymisation des renseignements personnels, Gazette officielle du Québec, partie 2 : Lois et règlements, 155^e année, n^o 51.section II, art. 9.