Anonymisation des données sensibles : guide pratique pour cabinets québécois

Pour un cabinet comptable ou juridique au Québec, anonymiser des renseignements personnels signifie les transformer de façon irréversible, si bien qu’il est raisonnable de prévoir, en tout temps, qu’ils ne permettent plus d’identifier directement ou indirectement une personne. Le Règlement sur l’anonymisation des renseignements personnels (RLRQ, c. A-2.1, r. 0.1) exige d’en faire la démonstration par une analyse concluant à un risque résiduel de réidentification « très faible ». Une fois anonymisées, les données sortent du champ d’application de la Loi 25 ; leur conservation et leur utilisation demeurent toutefois conditionnelles à des fins sérieuses et légitimes. Y arriver exige une démarche structurée, documentée et supervisée.

Trois actions à lancer maintenant :

1. Documenter les finalités précises de l’anonymisation avant de toucher aux données (exigence réglementaire non négociable).
2. Retirer tous les identifiants directs : noms, numéros d’assurance sociale, adresses, numéros de dossier client.
3. Mandater le responsable de la protection des renseignements personnels (RPRP) du cabinet pour piloter une analyse préliminaire des risques de réidentification.

Acteurs à mobiliser dès le départ :

• Le RPRP, qui supervise et signe les décisions d’anonymisation.
• L’équipe TI ou le prestataire technique, pour l’application des techniques.
• Une personne compétente en matière d’anonymisation, dont la supervision est exigée par le règlement ; recourir à un expert externe est une bonne pratique lorsque les compétences internes manquent, mais le texte n’impose pas que cette personne soit externe.

---

Points clés

L’anonymisation conforme au Québec exige de passer les trois critères réglementaires (individualisation, corrélation, inférence) et de consigner l’ensemble de la démarche dans le registre exigé par le règlement.

---

Table des matières

• Quel cadre légal s’applique à votre cabinet au Québec ?
• Anonymisation, pseudonymisation, chiffrement : quelles différences concrètes ?
• Quelles techniques d’anonymisation utiliser, et avec quelles limites ?
• Comment évaluer et tester le risque de réidentification ?
• Checklist opérationnelle pour un cabinet comptable ou juridique
• Quels documents conserver pour répondre à la CAI et aux auditeurs ?
• Quand l’anonymisation n’est-elle pas la bonne solution ?
• Étude de cas : un assistant de recherche fiscale dans un cabinet de 24 professionnels
• Des outils d’IA conçus avec la gouvernance des données dès le départ
• Sources

Quel cadre légal s’applique à votre cabinet au Québec ?

Le Règlement sur l’anonymisation des renseignements personnels (RLRQ, c. A-2.1, r. 0.1), en vigueur depuis le 30 mai 2024, s’applique tant aux organismes publics qu’aux entreprises privées ; pour ces dernières, il précise l’article 23 de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), modifiée par la Loi 25. Il impose des étapes obligatoires avant, pendant et après le processus. La publication officielle aux Publications du Québec précise que les renseignements anonymisés peuvent être conservés, sous réserve du respect de ces critères réglementaires.

Les obligations principales du règlement :

• Établir les fins d’utilisation des renseignements anonymisés avant d’amorcer le processus.
• Retirer les identifiants directs (nom, NAS, adresse, numéro de dossier).
• Réaliser une analyse préliminaire des risques de réidentification, puis une analyse postérieure pour démontrer que les risques résiduels sont « très faibles ».
• Assurer la supervision par une personne compétente en anonymisation.
• Tenir un registre documentant l’ensemble de la démarche.

L’anonymisation n’est toutefois pas une solution absolue. La CAI estime qu’il est quasi impossible de certifier que des renseignements anonymisés ne pourront jamais être réidentifiés, compte tenu des avancées technologiques actuelles et futures ; le règlement impose d’ailleurs la mise à jour périodique de l’analyse des risques de réidentification. Une analyse professionnelle publiée par Osler souligne que certaines exigences — notamment la démonstration de « fins sérieuses et légitimes » — sont laissées à l’appréciation et demandent une documentation robuste pour résister à un contrôle de la CAI.

---

Anonymisation, pseudonymisation, chiffrement : quelles différences concrètes ?

La confusion entre ces trois notions est fréquente en cabinet. Elle a des conséquences juridiques directes.

Le gouvernement du Québec précise que trois critères permettent de tester la robustesse d’une anonymisation : l’individualisation (peut-on isoler une personne ?), la corrélation (peut-on relier des ensembles de données pour identifier quelqu’un ?) et l’inférence (peut-on déduire un renseignement identifiant ?). Tant que l’un de ces trois tests échoue, le procédé n’est pas une anonymisation au sens réglementaire.

---

Quelles techniques d’anonymisation utiliser, et avec quelles limites ?

Aucune technique n’est universelle. Le choix dépend du type de données, du volume et des usages prévus.

• Masquage et suppression : retrait ou remplacement de valeurs identifiantes (ex. : remplacer un NAS par des astérisques). Simple à appliquer, mais ne protège pas contre la réidentification par croisement avec d’autres sources.

• Généralisation : remplacer une valeur précise par une plage (ex. : âge exact → tranche 40–49 ans). Réduit la granularité, donc l’utilisabilité pour des analyses fines.

• Agrégation : regrouper les données en statistiques (ex. : revenus moyens par secteur). Très robuste, mais inutilisable pour des analyses individuelles.

• k-anonymité : garantir qu’un enregistrement est indiscernable d’au moins k-1 autres. Protège contre l’individualisation, mais reste vulnérable aux attaques par inférence si les attributs sensibles varient peu dans le groupe.

• l-diversité : extension de la k-anonymité exigeant que les attributs sensibles soient diversifiés au sein de chaque groupe. Plus robuste, mais plus complexe à implémenter sur des petits jeux de données fiscaux.

• Confidentialité différentielle (differential privacy) : ajout de bruit mathématique contrôlé aux résultats d’une requête. Offre des garanties formelles, mais requiert une expertise technique avancée et peut dégrader la précision des analyses.

• Randomisation : introduction de valeurs aléatoires dans les données. Utile pour les jeux d’entraînement de modèles IA, mais difficile à calibrer sans perdre la valeur analytique.

Conseil de pro : Combinez toujours au moins deux techniques et documentez le raisonnement de chaque choix. Pour les analyses fiscales, la généralisation seule suffit rarement : une combinaison agrégation + suppression des cas atypiques préserve l’utilisabilité tout en réduisant le risque d’individualisation.

---

Comment évaluer et tester le risque de réidentification ?

Le règlement exige deux analyses : une avant l’anonymisation (préliminaire) et une après (postérieure). Voici le flux à suivre.

1. Définir les finalités : à quoi serviront les données anonymisées ? Analyses internes, formation de modèles IA, partage avec un tiers ?
2. Inventorier les attributs : lister tous les champs du fichier et les classer (identifiants directs, quasi-identifiants, attributs sensibles).
3. Retirer les identifiants directs : NAS, noms, adresses, numéros de dossier — et traiter les dates de naissance exactes comme des quasi-identifiants à généraliser.
4. Modéliser un adversaire réaliste : dans un contexte de cabinet, l’adversaire typique dispose d’un accès aux registres publics québécois (Registre des entreprises, rôles d’évaluation foncière) et peut croiser ces sources avec le fichier anonymisé. Simuler ce croisement sur un échantillon.
5. Appliquer les techniques et mesurer l’impact sur les trois critères (individualisation, corrélation, inférence).
6. Tester post-anonymisation : tenter de réidentifier des enregistrements à l’aide des sources publiques disponibles ; documenter les résultats.

Checklist des éléments à conserver pour démontrer la conformité (contenu du registre et bonnes pratiques) :

• Rapport d’analyse préliminaire des risques (daté et signé par le RPRP).
• Description des techniques appliquées et justification du choix.
• Rapport de tests post-anonymisation avec résultats des tentatives de réidentification.
• Attestation de supervision par une personne compétente.
• Mise à jour du registre d’anonymisation.

---

Checklist opérationnelle pour un cabinet comptable ou juridique

Phases et livrables

• Phase 1 — Préparation : définir les finalités, inventorier les données, désigner le RPRP et l’expert technique. Livrable : note de cadrage signée.
• Phase 2 — Anonymisation : appliquer les techniques retenues, retirer les identifiants directs. Livrable : fichier anonymisé + journal des transformations.
• Phase 3 — Tests : analyse post-anonymisation, simulation d’adversaire, vérification des trois critères. Livrable : rapport de tests.
• Phase 4 — Validation : revue par le RPRP et l’expert, décision formelle de conformité. Livrable : décision documentée.
• Phase 5 — Conservation et réévaluation : archivage sécurisé du registre, planification des réévaluations périodiques. Livrable : calendrier de réévaluation.

Matrice des rôles

Un cabinet de petite taille peut généralement compléter les phases 1 à 4 en quelques semaines si les données sont bien inventoriées au départ — la durée réelle dépend du volume et de la diversité des fichiers. Faire appel à un expert externe dès la phase de tests est une bonne pratique lorsque les données incluent des quasi-identifiants nombreux ou de petits effectifs.

---

Quels documents conserver pour répondre à la CAI et aux auditeurs ?

Le règlement impose un registre minimal. Voici un modèle synthétique de journal d’anonymisation.

Bonnes pratiques de conservation :

• Stocker le registre dans un système à accès restreint (seuls le RPRP et la direction y accèdent).
• Horodater chaque entrée et conserver les versions antérieures pour traçabilité.
• Joindre en pièce jointe les rapports de tests et les attestations de supervision.
• Vérifier l’intégrité des fichiers archivés (sommes de contrôle ou équivalent) pour prouver l’absence de modification.

Pour la journalisation et le contrôle d’accès aux données anonymisées, un système à accès restreint et un journal des consultations tenus par le cabinet suffisent généralement ; l’essentiel est de pouvoir démontrer qui a accédé aux fichiers, et quand.

---

Quand l’anonymisation n’est-elle pas la bonne solution ?

Certaines données résistent structurellement à une anonymisation robuste. La CAI souligne que certains renseignements sont si distinctifs par nature qu’ils ne peuvent être adéquatement anonymisés — elle cite notamment les renseignements génétiques, biométriques et de géolocalisation. En pratique, les fichiers portant sur de très petits effectifs posent une difficulté comparable : plus le groupe est restreint, plus l’individualisation demeure possible, même après application de techniques avancées.

Arbre de décision simplifié :

1. Les données sont-elles nécessaires à conserver sous forme identifiable ? Si oui, appliquer chiffrement + contrôle d’accès strict.
2. Les données sont-elles utilisées uniquement en interne pour des analyses ? Envisager la pseudonymisation avec clé de correspondance sécurisée.
3. Les données ne sont plus utiles et la conservation n’est pas requise par la loi ? Procéder à la destruction sécurisée (selon les normes applicables).
4. Les données peuvent être transformées de façon à passer les trois critères réglementaires ? Lancer la démarche d’anonymisation complète.

Alternatives et leurs implications :

• Destruction sécurisée : élimine le risque, mais perd définitivement la valeur analytique des données.
• Chiffrement : protège l’accès, mais les données restent personnelles sous la Loi 25.
• Pseudonymisation : permet des analyses internes avec un niveau de protection accru, sans sortir du champ de la Loi.
• Contrôle d’accès renforcé : réduit l’exposition sans modifier les données, utile en complément d’autres mesures.

---

Étude de cas : un assistant de recherche fiscale dans un cabinet de 24 professionnels

Le cas documenté par Acumis ne porte pas sur un mandat d’anonymisation : il montre comment un projet d’IA bien conçu intègre la protection des renseignements personnels dès le départ. Un cabinet fiscal de 24 professionnels voulait accélérer sa recherche fiscale et jurisprudentielle en s’appuyant sur ses dossiers archivés, tout en respectant la confidentialité due à ses clients.

Phases clés du déploiement avec Acumis :

• Inventaire : lecture de 500 dossiers archivés pour dégager les conventions internes, les types de dossiers récurrents et le raisonnement de l’équipe.
• Conception : assistant de recherche d’IA ancré sur cette documentation interne, avec un mode d’hébergement des données choisi avant tout traitement.
• Contrôle humain : chaque réponse est sourcée, puis révisée par un fiscaliste senior avant d’être transmise au client.

Résultat : l’assistant a été déployé en huit semaines, et des recherches qui prenaient plusieurs heures sont traitées en dix à quinze minutes. Le détail est présenté sur la page étude de cas Acumis. La démarche d’anonymisation des archives, elle, relève du cabinet et de ses conseillers ; un projet de ce type est le bon moment pour la mener, en suivant les étapes décrites plus haut.

Conseil de pro : Commencez par les archives les plus volumineuses et les moins sensibles. Vous rodez la méthode sur un périmètre maîtrisable avant d’aborder les dossiers à haut risque de réidentification.

---

Des outils d’IA conçus avec la gouvernance des données dès le départ

Mettre en place une démarche d’anonymisation conforme à la Loi 25 demande une expertise que peu de cabinets possèdent en interne : elle relève de votre RPRP, appuyé au besoin par des conseillers compétents en anonymisation. Le rôle d’Acumis est différent : concevoir des outils d’IA sur mesure pour cabinets fiscaux et comptables québécois, en intégrant la gouvernance des données dès la conception.

Acumis n’offre pas de mandats de conformité Loi 25 ni de tests de réidentification : son travail est de concevoir des outils d’IA sur mesure — notamment des assistants de recherche fiscale et jurisprudentielle ancrés sur la documentation du cabinet — en tenant compte, dès la conception, du mode d’hébergement et de la gouvernance des données. Des formations continues sont disponibles pour les équipes, des demi-journées aux parcours de 31 heures en 9 ateliers, bâties pour les critères de l’Ordre des CPA du Québec. Le niveau de souveraineté des données se choisit contractuellement avant tout traitement : consultez la grille comparative Loi 25 pour comparer les trois modes de déploiement. Pour démarrer, un appel de trente minutes sans engagement suffit. Consultez les solutions Acumis pour voir le périmètre complet.

---

Sources

Les obligations et modèles cités dans cet article reposent d’abord sur des sources primaires et institutionnelles québécoises :

• Anonymisation | Gouvernement du Québec
• Conservation et destruction des renseignements personnels — Commission d’accès à l’information du Québec
• Règlement sur l’anonymisation des renseignements personnels (RLRQ, c. A-2.1, r. 0.1) — LégisQuébec
• Règlement sur l’anonymisation des renseignements personnels — publication officielle, Gazette officielle du Québec

Cet article constitue une information générale et ne remplace pas l’avis d’un avocat qualifié. Consultez un professionnel du droit qualifié à propos de votre cas personnel avant d’agir sur la base de ce contenu.

Recommandation

• Politique de confidentialité — Acumis
• Publications d’Acumis — IA et fiscalité pour cabinets
• À propos d’Acumis — Architectes IA pour cabinets fiscaux
• Étude de cas Acumis — des heures de recherche aux minutes