# Introduction

La *Loi sur les renseignements de santé et de services sociaux*<fnref n="2" />, sanctionnée en avril 2023 et entrée en vigueur en juillet 2024, s’inscrit dans une dynamique politique claire de rationalisation et de valorisation des données de santé<fnref n="3" /> au Québec. Cette réforme législative vise à faciliter l’accès aux données de santé, tout en mettant en place des mécanismes de protection adaptés aux enjeux contemporains liés à l’utilisation secondaire des données, comme le développement de l’intelligence artificielle (IA) en santé<fnref n="4" />.

Dans un contexte où le droit accuse un certain retard face à la maturité des usages des données en santé, domaine historiquement précurseur en matière d’utilisation massive des données<fnref n="5" />, la *Loi 5* entend créer des ponts entre la pratique et le cadre juridique. Elle remplace les régimes fragmentés précédemment en vigueur<fnref n="6" />, pour instituer un régime unifié applicable aux données de santé, poursuivant ainsi l’élan de modernisation du droit des renseignements personnels engagé avec la *Loi modernisant des dispositions législatives en matière de protection des renseignements personnels*<fnref n="7" />. Cette réforme s’inscrit également dans une dynamique plus large, observée à l’échelle internationale, qui cherche à optimiser les cadres de gouvernance des données, pour faciliter la réutilisation des données de santé dans l’intérêt public, notamment à des fins de recherche et d’innovation<fnref n="8" />.

Face à ces transformations majeures, cette contribution a pour but d’entreprendre une démarche exploratoire. En effet, la *Loi 5* étant récente, il est difficile d’avoir du recul sur son application, et la documentation juridique à son sujet demeure encore limitée. Il s’agit donc ici d’un premier niveau de discussion destiné à proposer des éléments d’analyse concernant une réforme encore fraîche, mais dont les enjeux justifient d’ores et déjà une attention particulière. Ce numéro thématique consacré au droit et aux nouvelles technologies offre ainsi une occasion pertinente de porter un regard critique et informé sur les perspectives dégagées par cette réforme.

À cette fin, il importe d’accorder une attention particulière à la manière dont la *Loi 5* cherche à concilier des impératifs souvent perçus comme contradictoires : la protection de la vie privée et l’accessibilité aux données de santé. Cette tension traverse l’ensemble du texte législatif qui, tout en consacrant le principe du consentement comme pierre angulaire du régime de protection, élargit les exceptions, permettant notamment l’utilisation secondaire des données pour la recherche scientifique sans le consentement des personnes concernées. L’architecture ainsi retenue vise un équilibre délicat entre exigences éthiques et besoins sociétaux, entre sauvegarde des droits et libertés individuelles, et la poursuite de l’intérêt public. Si cette problématique n’est pas nouvelle, elle prend aujourd’hui une importance particulière avec la généralisation des usages massifs des données en santé et le développement d’outils d’analyse de plus en plus efficaces. Néanmoins, en dépit des évolutions récentes, les régimes de protection des renseignements personnels demeurent encore perçus comme trop contraignants par rapport à l’ampleur des besoins scientifiques. Ce décalage conduit à rechercher des voies alternatives pour mobiliser plus aisément le potentiel des données de santé. Dans ce contexte, se développent de nouvelles techniques, telles que les données synthétiques<fnref n="9" />; générées artificiellement à partir de données réelles afin de conserver les propriétés statistiques des données initiales, sans en constituer des copies exactes, elles pourraient ainsi contribuer à atténuer certaines contraintes, tout en consolidant la protection de la vie privée. Il convient dès lors de se demander si les données synthétiques pourraient constituer une solution plus opérante que les aménagements de la *Loi 5* pour concilier protection de la vie privée et utilisation secondaire des données de santé.

L’article analysera, d’une part, les mécanismes par lesquels la *Loi 5*articule les exigences de la vie privée avec la valorisation des données de santé, démontrant que la nature particulière de ces données requiert un régime de protection renforcé, tout en justifiant des aménagements ciblés au bénéfice de la recherche scientifique (partie I). D’autre part, il évaluera la pertinence des données synthétiques comme voie alternative susceptible d’améliorer cet équilibre : leur potentiel et leurs limites seront examinés afin d’identifier, le cas échéant, les conditions permettant une substitution à l’exploitation directe des données de santé (partie II).

<footnote n="2">Nous signalons qu’aux fins du présent article, nous utiliserons l’expression « données de santé » comme synonyme de « renseignements de santé et de services sociaux ». Bien que cette dernière formulation soit juridiquement plus exacte, l’usage dans les milieux scientifiques privilégie la première.</footnote>

<footnote n="3">Sur l’essor de l’utilisation secondaire des données de santé, voir : Jérôme Marchand‑Arvier, Stéphanie Allassonnière, Aymeril Hoang et Anne‑Sophie Jannot, *Fédérer les acteurs de l’écosystème pour libérer l’utilisation secondaire des données de santé*, Ministère de la Santé et de l’Accès aux soins de France, 2023, p. 5, en ligne : <perma.cc/CQJ7-FQTD>.</footnote>

<footnote n="4">Joël Coste, « Données dites “massives” et santé publique : une mise en perspective historique », (2020) 112 *Actualités et dossiers en santé publique* 20.</footnote>

<footnote n="5">Avant l’adoption de la *Loi 5*, les entités privées étaient assujetties à la*Loi sur la protection des renseignements personnels dans le secteur privé*, RLRQ, c. P‑39.1 (ci‑après « *Loi sur le secteur privé* »), tandis que les entités publiques relevaient principalement de la *Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels*, RLRQ, c. A‑2.1 (ci‑après « *Loi sur l’accès* ») ainsi que de certaines dispositions de la *Loi sur les services de santé et les services sociaux*, RLRQ, c. S‑4.2. Voir : Karim Benyekhlef et Pierre‑Luc Déziel, *Le droit à la vie privée en droit québécois et canadien*, Montréal, Éditions Yvon Blais, 2018, p. 329‑331.</footnote>

<footnote n="6">L.Q. 2021, c. 25 (ci‑après « *Loi 25* »). Bien que la *Loi 25*établisse un régime de droit commun en matière de protection des renseignements personnels, la *Loi 5* s’en distingue en instituant un régime spécial et exclusif applicable aux données de santé et de services sociaux.</footnote>

<footnote n="7">En ce sens, voir : *Proposition de* *Règlement du Parlement européen et du Conseil relatif à l’espace européen des données de santé*, COM (2022) 197 final; OECD, *Facilitating the Secondary Use of Health Data for Public Interest Purposes Across Borders*, 376<sup>e</sup> éd., OECD Digital Economy Papers, 2025, p. 10.</footnote>

<footnote n="8">Pour une définition plus exacte des « données synthétiques », voir *infra*, partie II (« Les données synthétiques en santé : un levier d’équilibration entre la protection et l’exploitation des données? »).</footnote>

<footnote n="9">Sur la double nature des renseignements personnels, voir Anne‑Sophie Hulin, « De la fonction sociale des renseignements personnels », (2025) 54‑3 *R.D.U.S.* 567, section I.A.</footnote>
# I. L’hybridité *per se* de la donnée de
        santé

La donnée de santé pose un défi en droit, en raison de sa double nature : elle revêt à la fois une dimension individuelle, hautement sensible, car intimement liée à la vie privée de la personne, et une dimension collective en tant que vecteur de connaissance essentiel à la recherche, à l’innovation et à la gestion du système de santé<fnref n="10" />. Cette ambivalence, désormais pleinement assumée par le législateur, se situe au coeur de la *Loi 5*, dont l’article premier affirme l’objectif d’assurer la protection des données de santé, tout en en facilitant l’usage, dans une logique d’intérêt public<fnref n="11" />.

Cette section tentera de démontrer que la donnée de santé constitue une catégorie hybride appelant un régime juridique fondé sur un équilibre entre droits individuels et finalités collectives : d’un côté, sa sensibilité justifie un encadrement rigoureux (A); de l’autre, son potentiel justifie l’assouplissement du principe de consentement (B).

## A) L’encadrement rigoureux des données de santé : illustration de leur dimension
        individuelle

Afin de pouvoir bénéficier du régime de protection prévu par la *Loi 5*, les données doivent nécessairement répondre à la qualification juridique de « données de santé », telle que définie à l’article 2. Le régime en adopte une définition large, incluant toute donnée permettant, même indirectement, d’identifier une personne, et relative à son état de santé physique ou mental, à son suivi médical, à des prélèvements biologiques, à des prestations reçues ou encore à des données issues d’activités de santé publique<fnref n="12" />. Certaines données médico‑administratives sont également reconnues comme des données de santé lorsqu’elles sont liées à des informations relatives à l’état de santé physique ou mental de la personne ou à son parcours de soins<fnref n="13" />. En revanche, les données recueillies à des fins de gestion des ressources humaines sont expressément exclues du champ d’application de la *Loi 5*<fnref n="14" />.

À l’instar du régime de droit commun, cette définition repose principalement sur la notion d’identification<fnref n="15" /> : les données de santé ne sont considérées comme telles que si elles permettent d’identifier directement ou indirectement la personne concernée. La *Loi 5* s’inscrit ainsi dans la continuité du droit existant, en adoptant une interprétation extensive du critère de l’identification<fnref n="16" />. Cette lecture élargie, qui instaure une sorte de « couche supplémentaire de protection<fnref n="17" /> », s’avère aujourd’hui nécessaire, compte tenu des avancées technologiques facilitant le couplage ou l’inférence de données<fnref n="18" /> et permettant l’identification d’individus à partir d’informations banales et facilement accessibles<fnref n="19" />. En adoptant une définition aussi englobante des données de santé, bien qu’excluant les données de bien‑être<fnref n="20" />, la *Loi 5* élargit au maximum le champ de protection des données de santé, offrant ainsi une sphère de protection maximale à la personne concernée.

Cette logique est renforcée par la reconnaissance explicite par la *Loi 5*du caractère sensible des données de santé, qui sont qualifiées de « sensibles » par défaut. Une telle reconnaissance reflète la volonté du législateur de mettre en place un régime particulièrement rigoureux, proportionné à la vulnérabilité des personnes face au risque que ferait peser la divulgation de telles informations sur leur vie privée. En effet, les données de santé sont intimement liées à la personne concernée : elles révèlent des aspects de sa sphère physique, psychique ou sociale dont l’utilisation ou la communication non autorisée constituerait une atteinte grave à son intimité<fnref n="21" />. À cette fin, les règles établies par la*Loi 5*pour encadrer l’utilisation et la communication des données de santé sont plus rigoureuses que celles prévues pour les renseignements personnels<fnref n="22" />. Si, à l’instar du régime de droit commun, la *Loi 5* consacre le principe du consentement de la personne concernée comme condition de l’utilisation ou de la communication des données de santé<fnref n="23" />, elle s’en distingue toutefois par des exigences plus strictes. D’une part, concernant la forme du consentement, la *Loi 5* exige qu’il soit exprès pour les données de santé, alors que, dans le régime de droit commun, cette exigence ne s’applique pas à l’ensemble des renseignements personnels. D’autre part, les exceptions au principe de consentement sont beaucoup plus nombreuses dans le régime de droit commun que dans la *Loi 5*. Ainsi, la *Loi 5* instaure un cadre plus protecteur pour les données de santé, reflétant leur caractère hautement sensible.

La définition extensive des données de santé, combinée à leur reconnaissance comme données sensibles, démontre que la protection de la personne et de ses émanations constitue le coeur même du régime institué par la *Loi 5*. Le consentement, en tant que principe cardinal, vient consacrer cette approche individualiste centrée sur l’autonomie décisionnelle de la personne. Toute personne doit en effet donner son consentement de manière *manifeste, libre, éclairée et à des fins spécifiques*pour que ses données de santé puissent être utilisées et communiquées<fnref n="24" />. Pourtant, cette logique n’est pas exclusive : la *Loi 5* admet certains assouplissements, notamment dans des situations motivées par l’intérêt public. Elle reconnaît ainsi que les données de santé ne relèvent pas seulement du domaine privé, mais qu’elles portent aussi une valeur collective pouvant justifier, dans certains cas, l’application de mesures dérogatoires.

## B) L’assouplissement de l’encadrement des données de santé : illustration de leur
        dimension collective

Si le premier objectif affirmé de la *Loi 5* est la protection des données de santé, le second est leur valorisation au service de l’intérêt public<fnref n="25" />. Cette dualité reflète un changement de paradigme : les données de santé ne sont plus perçues uniquement comme des éléments à protéger, mais aussi comme des leviers de connaissance, d’innovation et de pilotage des politiques de santé<fnref n="26" />. Autrement dit, leur encadrement ne peut se limiter à une logique purement individualiste, tant leur potentiel collectif est aujourd’hui reconnu comme essentiel à la qualité du système de soins et à la santé publique.

La santé publique vise à garantir les conditions nécessaires au bien‑être collectif, en s’appuyant sur des mesures préventives, sur des politiques de santé et sur l’amélioration continue des services de soins<fnref n="27" />. Dans cette perspective, l’accès aux données de santé joue un rôle primordial. Ces informations constituent des ressources essentielles et stratégiques pour optimiser la qualité des soins, renforcer la surveillance épidémiologique et orienter les politiques publiques<fnref n="28" />. Leur partage répond ainsi à un impératif social, en contribuant à réduire la charge des maladies et à favoriser l’innovation biomédicale<fnref n="29" />. Leur exploitation, notamment avec l’IA, permet d’améliorer significativement les résultats en matière de santé publique à l’échelle mondiale<fnref n="30" />. Dès lors, le partage sécurisé et encadré des données de santé apparaît comme un levier de transformation dont les retombées bénéficient à l’ensemble de la population.

L’inscription de l’accès aux données de santé dans une logique de santé publique lui confère une dimension collective justifiant son assimilation à un motif d’intérêt public. Cette qualification permet ainsi d’adopter des mesures dérogatoires au régime de protection instauré par la *Loi 5* et justifie légalement les exceptions au principe du consentement. Ce raisonnement n’est pas nouveau : il est depuis longtemps admis que la nécessité d’assurer la santé publique peut légitimer l’adoption, par l’État, de mesures restreignant certains droits et libertés fondamentales<fnref n="31" />. On assiste ainsi à une inflexion du régime de protection, dans laquelle la finalité d’utilisation des données, lorsqu’elle se révèle d’intérêt public, tend à reléguer au second plan la nature personnelle des données, justifiant ainsi l’application de mesures dérogatoires<fnref n="32" />. Autrement dit, ce ne serait plus seulement l’identifiabilité des données qui commande le régime de traitement des données de santé, mais l’usage final qui en serait fait.

La *Loi 5* s’inscrit ainsi dans une dynamique plus large, caractéristique des régimes contemporains de protection des renseignements personnels, en s’efforçant de concilier le droit fondamental à la vie privée avec d’autres intérêts jugés légitimes, au premier rang desquels figurent la santé publique, la recherche et l’innovation. Elle procède ainsi à un exercice délicat d’équilibration entre des demandes sociales parfois considérées comme concurrentes<fnref n="33" />, notamment dans le cadre de l’utilisation secondaire des données de santé, chez lesquelles la tension entre protection de la vie privée et l’intérêt public est particulièrement marquée. Alors que le consentement – pourtant fondamental, d’autant plus dans le domaine de la santé<fnref n="34" /> –, constitue un mécanisme essentiel de reconnaissance de l’autonomie et de la dignité des personnes, la *Loi 5* va reconnaître des tempéraments à ce principe et même une exception, en raison des obstacles techniques<fnref n="35" /> qu’il peut poser dans certains projets de recherche, venant ainsi reconnaître la valeur collective associée aux données de santé.

La *Loi 5* marque d’abord une première ouverture en matière de recherche, en assouplissant les contours traditionnels du consentement. Elle admet en effet que celui‑ci puisse porter non seulement sur une finalité spécifique, mais également sur des thématiques de recherche, des catégories d’activités ou encore des catégories de chercheurs<fnref n="36" />. Ce passage d’un consentement strictement spécifique à un consentement élargi vise à anticiper les évolutions de la recherche et à éviter que les chercheurs aient à solliciter de nouveau le participant pour chaque nouvelle finalité non identifiée initialement. En permettant un tel élargissement dès l’origine, le législateur entend alléger les contraintes administratives susceptibles de freiner le progrès scientifique.

De plus, la *Loi 5* va plus loin, en reconnaissant que, dans certains cas, l’utilisation secondaire des données de santé puisse être effectuée sans le consentement des personnes concernées<fnref n="37" />. Cette exception, strictement encadrée, repose sur l’idée que le consentement, aussi fondamental soit‑il, ne doit pas constituer un obstacle technique rédhibitoire à des projets de recherche d’intérêt public. Afin de compenser l’atteinte potentielle à la vie privée que pourrait entraîner une telle dérogation, la *Loi 5* prévoit tout un ensemble de garanties procédurales et éthiques, incluant notamment une autorisation préalable par une instance compétente<fnref n="38" />. Ce mécanisme dérogatoire prend une acuité particulière dans le contexte de la conception de systèmes d’IA appliqués à la santé. Ces technologies reposent sur l’accès à de vastes ensembles de données représentatives et de qualité, nécessaires à l’entraînement et à l’amélioration des algorithmes. Même un consentement élargi pourrait, dans ce cadre, constituer un frein significatif à l’innovation. En effet, les recherches mobilisant l’IA nécessitent généralement l’accès à d’immenses volumes de données pour garantir la robustesse, la précision et la généralisation des modèles développés<fnref n="39" />. Or, même si les participants ont consenti de manière large à certaines thématiques ou catégories de recherche, ce consentement reste limité par les termes initiaux du projet, par les catégories de chercheurs impliqués et encore par les périodes de collecte prévues. Ces restrictions peuvent s’avérer inadaptées dans le cadre de travaux évolutifs ou interdisciplinaires qui mobilisent des méthodes ou des finalités non anticipées au moment de la collecte initiale. En outre, le processus de recueil ou de renouvellement du consentement à large échelle présente des contraintes matérielles, juridiques et logistiques considérables, notamment lorsqu’il s’agit de bases de données anciennes, fragmentées ou recueillies sans infrastructure permettant une réidentification aisée des individus. Cette réalité rend parfois illusoire la possibilité de réobtenir un consentement conforme aux exigences de la loi, et empêche *de facto* l’utilisation de données pourtant précieuses. Ainsi, l’obligation de consentement, même dans une forme assouplie, peut ralentir, voire bloquer, des projets de recherche ambitieux, en particulier ceux fondés sur des approches itératives et exploratoires propres à l’IA. Dès lors, l’exception au principe du consentement, dans certains cas bien définis, ne traduit pas un renoncement à la protection de la vie privée, mais illustre un arbitrage réfléchi entre innovations, droit et éthique.

La *Loi 5* a ainsi réussi le pari délicat de conjuguer exigences technologiques contemporaines et impératifs sociétaux, en instituant un régime de protection à la fois réaliste et ambitieux. À l’heure de la numérisation massive des données, il serait illusoire de penser que la protection des renseignements de santé puisse reposer uniquement sur le consentement exprès et spécifique. Dans une société profondément informatisée, les individus ne peuvent exercer un contrôle absolu sur l’ensemble de leurs informations personnelles. C’est ce que James H. Moor avait déjà pressenti à la fin des années 1990<fnref n="40" />. En effet, il estimait que pour garantir une protection efficace, l’accès aux informations personnelles doit être restreint aux *bons acteurs* et aux *bons moments*, tout en permettant aux personnes d’exercer un contrôle maximal de leurs informations dans les limites du réalisable. C’est précisément ce que tente de mettre en place la *Loi 5*, en restreignant l’utilisation secondaire des données de santé sans consentement à certains chercheurs (les *bons acteurs*), et uniquement lorsqu’ils remplissent des conditions strictes, notamment en démontrant que l’obtention du consentement des personnes concernées serait déraisonnable (les *bons moments*).

Dans un contexte où l’innovation en santé repose sur l’analyse de vastes ensembles de données, l’utilisation secondaire sans consentement demeure, en pratique, un instrument à portée limitée : elle autorise l’accès aux données, mais au prix de l’utilisation de renseignements identifiants et d’un encadrement législatif exigeant. D’où la recherche de mécanismes offrant, à utilité scientifique comparable, une exclusion du régime de protection des renseignements personnels. À cet égard, les données synthétiques apparaissent comme une voie potentiellement plus opérante que l’exception au consentement admise par la *Loi 5* : elles permettraient de faciliter l’accès aux données pour la recherche, tout en réduisant les risques d’atteinte à la vie privée, réalisant un équilibre plus satisfaisant entre protection et valorisation des données de santé. Reste à vérifier, en droit positif québécois, si cette promesse peut être tenue et à quelles conditions.

<footnote n="10">*Loi 5*, préc., note 1, art. 1.</footnote>

<footnote n="11">*Id*., art. 2 al. 1.</footnote>

<footnote n="12">*Id*., art. 2 al. 2.</footnote>

<footnote n="13">*Id*., art. 2 al. 3.</footnote>

<footnote n="14">K. Benyekhlef et P.‑L. Déziel, préc., note 5, p. 264.</footnote>

<footnote n="15">Conformément à l’approche retenue par la Cour fédérale dans la décision *Gordon*c.*Canada (Santé)*, 2008 CF 258. En effet, dans cet arrêt, la Cour avait reconnu que relèvent des renseignements protégés par la *Loi sur la protection des renseignements personnels et des documents électroniques*, L.C. 2000, c. 5, ceux qui « permettent d’identifier l’individu ou rendent possible son identification, que ces renseignements soient utilisés seuls ou combinés avec des renseignements d’autres sources, y compris des sources auxquelles le public a accès » (par. 33).</footnote>

<footnote n="16">K. Benyekhlef et P.‑L. Déziel, préc., note 5, p. 266.</footnote>

<footnote n="17">Sur les préoccupations pour la vie privée en matière d’inférences, voir : Sylvain Auclair, « Penser la protection des renseignements inférés sur la santé des personnes : du contrôle individuel à l’encadrement des utilisations en fonction de leur légitimité », (2023) 25‑1 *Éthique publique*1.</footnote>

<footnote n="18">Voir aussi : Simon Du Perron, *Droit à la vie privée, mégadonnées et intelligence artificielle. Cadre juridique en matière de protection des renseignements personnels*, Montréal, LexisNexis, 2022, p. 108.</footnote>

<footnote n="19">Anne‑Sophie Hulin, Émilie Guiraud, Justin Lawarée et Lyse Langlois, « Le partage et la mise en commun des données de santé : quels enjeux pour un objectif d’innovation sociale responsable ? », (2023) 25‑1 *Éthique publique*1, 5.</footnote>

<footnote n="20">S. Du Perron, préc., note 18, p. 108.</footnote>

<footnote n="21">Sur l’utilisation des renseignements personnels : *Loi sur le secteur privé*, préc., note 5, art. 12; *Loi sur l’accès*, préc., note 5, art. 65.1. Sur la communication des renseignements personnels : *Loi sur le secteur privé*, art. 13 et 18; *Loi sur l’accès*, art. 59 et 59.1.</footnote>

<footnote n="22">*Loi 5*, préc., note 1, art. 5.</footnote>

<footnote n="23">*Id*., art. 6.</footnote>

<footnote n="24">*Loi 5*, préc., note 1, art. 1 : « La présente loi a pour objet d’établir des normes assurant la protection des renseignements de santé et de services sociaux tout en permettant l’optimisation de l’utilisation qui en est faite et leur communication en temps opportun, à l’exclusion de leur vente ou de toute autre forme d’aliénation. »</footnote>

<footnote n="25">A.‑S. Hulin, préc., note 9, section I.A.</footnote>

<footnote n="26">Pierre‑Luc Déziel, *La protection de la vie privée au temps de la biosécurité*, thèse de doctorat, Montréal, Faculté de droit, Université de Montréal, 2015, p. 109.</footnote>

<footnote n="27">La pandémie de COVID‑19 a illustré de manière particulièrement frappante l’importance d’un accès rapide et massif aux données de santé</footnote>

<footnote n="28">Yann Joly, Edward Dove, Bartha Maria Knoppers et Dianne Nicol, « The GA4GH Regulatory and Ethics Work Stream (REWS) at 10: An Interdisciplinary, Participative Approach to International Policy Development in Genomics », dans Marcelo Corrales Compagnucci *et al*. (dir.), *The Law and Ethics of Data Sharing in Health Sciences*, Singapore, Springer, 2024, p. 13, à la p. 16.</footnote>

<footnote n="29">Helen Yu, « Operationalizing the Use of Existing Data in Support of Biomedical Research and Innovation: An Inclusive and Sustainable Approach », dans Marcelo Corrales Compagnucci *et al*. (dir.), *The Law and Ethics of Data Sharing in Health Sciences*, Singapore, Springer, 2024, p. 69.</footnote>

<footnote n="30">P.‑L. Déziel, préc., note 26, p. 110.</footnote>

<footnote n="31">A.‑S. Hulin, préc., note 9, section I.A.</footnote>

<footnote n="32">P.‑L. Déziel, préc., note 26, p. 17.</footnote>

<footnote n="33">*Id*., p. 154.</footnote>

<footnote n="34">A.‑S. Hulin, É. Guiraud, J. Lawarée et L. Langlois., préc., note 19, p. 6.</footnote>

<footnote n="35">*Loi 5*, préc., note 1, art. 6.</footnote>

<footnote n="36">*Id.*, art. 44 et suiv. pour les chercheurs liés et art. 55 et suiv. pour les autres chercheurs.</footnote>

<footnote n="37">Notamment : une présentation détaillée des activités de recherche, une évaluation des facteurs relatifs à la vie privée et la décision commentée d’un comité d’éthique de la recherche. Les personnes concernées ont également la possibilité de refuser l’accès sans consentement, dans certaines situations. Pour plus de développements sur les garanties procédurales mises en oeuvre par la *Loi 5* dans le contexte de l’accès sans consentement aux données de santé, voir A.‑S. Hulin, préc., note 9, section I.B.</footnote>

<footnote n="38">Cédric Villani, *Donner un sens à l’intelligence artificielle. Pour une stratégie nationale et européenne*, Mission parlementaire du 8 septembre 2017 au 8 mars 2018, 2018, en ligne : <perma.cc/U268-BHK9>.</footnote>

<footnote n="39">James H. Moor, « Towards a theory of privacy in the information age », (1997) 27‑3 *Computers and society*27.</footnote>

<footnote n="40">James Jordon *et al*., « Synthetic Data – what, why and how? », (2022) *arXiv* 1, 5 et 6.</footnote>
# Conclusion

Alors que la recherche d’un équilibre entre innovation et protection des droits et libertés a toujours constitué un enjeu en droit, les données de santé en exacerbent aujourd’hui les tensions et rendent plus complexe la quête d’un juste milieu. Par leur nature à la fois intime et porteuse d’un intérêt collectif majeur, elles imposent un traitement juridique particulièrement nuancé, capable de prendre en compte des intérêts parfois perçus comme divergents. La *Loi 5* incarne à cet égard un tournant significatif au Québec, en cherchant à concilier la protection rigoureuse des données avec les besoins croissants d’accès à celles-ci, dans une optique d’intérêt public. Ce cadre reconnaît explicitement l’hybridité de la donnée de santé : à la fois sensible et personnelle, mais pourtant essentielle à la recherche scientifique. En introduisant des flexibilités encadrées autour du consentement, notamment à des fins de recherche, la *Loi 5* consacre une ouverture nécessaire à l’exploitation éthique et maîtrisée des données, sans renoncer aux exigences de protection de la vie privée.

Cet équilibre demeure toutefois fragile lorsque l’innovation repose sur l’analyse de vastes ensembles de données. L’exception au consentement ouvre l’accès aux données de santé, mais au prix du traitement de renseignements identifiants et d’un encadrement législatif lourd. Dans cette perspective, les données synthétiques constituent une voie alternative, sous réserve d’une stricte conformité au droit applicable et étayé par des garanties techniques vérifiables. Trois séries d’exigences en ressortent : juridiques, avec une anonymisation conforme au droit québécois; techniques, incluant la maîtrise du niveau d’anonymisation au regard des prescriptions légales et du maintien de l’utilité et de la qualité du jeu de données; de gouvernance, par des politiques internes claires et une reddition de comptes alignée sur des normes reconnues, québécoises et internationales. Lorsque ces conditions sont réunies, les données synthétiques peuvent, pour des cas d’usage circonscrits, offrir un équilibre plus opérant que l’exception au consentement prévue par la *Loi 5* : échappant au régime des renseignements personnels, elles améliorent l’accessibilité des données à des fins de recherche, tout en réduisant les risques d’atteinte à la vie privée, sans sacrifier l’utilité scientifique.

Pour l’avenir, des lignes directrices plus précises sur l’appréciation du risque très faible, arrimées aux réalités techniques et à l’évolution des capacités de réidentification, renforceraient la sécurité juridique des projets de recherche mobilisant des données synthétiques. Il serait également opportun de prévoir des dispositifs d’évaluation *ex ante* et *ex post* des jeux de données synthétiques, afin de maintenir une vigilance continue. Les données synthétiques ne constituent pas un substitut universel aux données réelles; elles sont un outil complémentaire qui, à des conditions strictes, peut faciliter l’accès aux données de santé, sans accroître le risque d’atteinte à la vie privée. C’est au prix des exigences juridiques effectives, des garanties techniques démontrables et d’une gouvernance exigeante qu’elles pourront durablement améliorer la conciliation entre protection de la vie privée et accessibilité des données de santé.