Plusieurs leçons précédentes ont touché à l'anonymisation et à la dépersonnalisation, sans toujours les distinguer. Cette leçon pose la distinction proprement et clarifie comment chacune s'applique aux projets de R&D.
L'enjeu est plus important qu'il n'y paraît. Une équipe qui pense avoir « anonymisé » un jeu de données alors qu'elle l'a seulement « dépersonnalisé » travaille en croyant être hors du champ de la Loi 25, alors qu'elle est encore dedans. Le malentendu coûte cher quand un incident ou un audit le révèle.
Les définitions, calmement
La Loi 25 distingue trois niveaux. Garder les frontières claires évite les confusions.
Renseignement identifiant. Permet d'identifier directement la personne (nom, courriel, photo, identifiant unique). C'est un renseignement personnel de plein exercice (art. 2).
Renseignement dépersonnalisé. Les identifiants directs ont été retirés ou substitués, mais la ré-identification reste possible par recoupement avec d'autres données. C'est encore un renseignement personnel, soumis à la Loi 25, mais avec un risque réduit. La pseudonymisation entre dans cette catégorie.
Renseignement anonymisé. L'identification est rendue impossible en tout temps, selon les meilleures pratiques (art. 23). Le renseignement sort alors du champ de la Loi 25.