Sécurité des renseignements sur la santé : la LPRPS pour les cliniques de l’Ontario

À qui s’applique la LPRPS : dépositaires, mandataires et fournisseurs informatiques

La LPRPS s’applique à chaque dépositaire de renseignements sur la santé de l’Ontario et aux personnes ou entreprises qui traitent ces renseignements pour lui. Les dépositaires comprennent les praticiens de la santé et les cabinets de groupe, les hôpitaux, les foyers de soins de longue durée et maisons de retraite, les pharmacies, les laboratoires, les services d’ambulance et les centres de santé communautaire ou de santé mentale dont l’objet principal est la prestation de soins.¹

Une clinique, un cabinet dentaire ou de physiothérapie est en général un dépositaire. Il demeure responsable des renseignements traités par ses mandataires, et un dépositaire qui est une organisation doit désigner une personne-ressource chargée de faciliter l’observation de la Loi.¹ Les entreprises informatiques ont leurs propres règles : celle qui fournit des services électroniques à un dépositaire sans être son mandataire n’utilise les renseignements que dans la mesure nécessaire au service et ne peut pas les divulguer.²

Ce que veulent dire des « mesures raisonnables » pour les systèmes d’une clinique

La LPRPS fixe une norme et laisse la méthode au dépositaire : les mesures doivent être raisonnables dans les circonstances, et les dossiers protégés contre toute duplication, modification ou élimination non autorisée.¹ Voici les endroits d’une clinique que notre examen vérifie :

• Comptes et connexion. Qui peut ouvrir le dossier médical électronique et le courriel de la clinique, si l’authentification multifacteur est activée, et si d’anciens employés ou remplaçants ont encore accès.
• Qui voit quel dossier. Les rôles dans le système de dossiers, les connexions partagées à l’accueil et le retrait des accès au départ d’une personne.
• Portables et téléphones. Chiffrement, verrouillage d’écran, et marche à suivre quand un appareil est perdu lors d’une visite à domicile.
• Courriel. Protection de l’expéditeur pour le domaine de la clinique (SPF, DKIM et DMARC), règles de transfert vers des boîtes personnelles, envoi des résultats et des demandes de consultation. Voir la sécurité du courriel.
• Sauvegardes. Copies séparées du réseau et des comptes principaux, restauration testée. Voir sauvegarde et reprise après sinistre.
• Fournisseurs et accès à distance. Quelles entreprises externes se connectent à vos systèmes, avec quel outil et selon quelle entente.
• Élimination. Anciens disques, imprimantes et numériseurs qui contiennent encore des renseignements de patients.

Quand une atteinte à la vie privée doit être déclarée au CIPVP

Le dépositaire avise chaque personne touchée à la première occasion raisonnable lorsque ses renseignements sur la santé sont volés, perdus, ou utilisés ou divulgués sans autorisation, et l’avis précise qu’elle peut porter plainte devant le commissaire à l’information et à la protection de la vie privée de l’Ontario (CIPVP).¹ Il avise aussi le commissaire, à la première occasion raisonnable, lorsqu’au moins une des sept circonstances du règlement s’applique :^{2 3}

• utilisation ou divulgation sans autorisation par une personne qui savait ou aurait dû savoir qu’elle n’était pas autorisée;
• vol des renseignements;
• après une première atteinte, nouvelle utilisation ou divulgation non autorisée, réelle ou prévisible;
• atteinte qui s’inscrit dans une série d’atteintes semblables;
• événement que le dépositaire doit signaler à un ordre professionnel, par exemple une mesure disciplinaire;
• événement qu’il devrait signaler à un ordre si le mandataire en cause en était membre;
• atteinte importante, selon la sensibilité des renseignements, leur volume, le nombre de personnes touchées et le nombre de dépositaires ou mandataires en cause.

Le déroulement d’un examen de sécurité LPRPS avec nous

Un examen de sécurité LPRPS suit toujours le même ordre : lettre de mandat signée, examen des points ci-dessus, rapport écrit, correctifs si vous les commandez, puis vérification de suivi. La lettre de mandat nomme votre système de dossiers médicaux et son fournisseur, le service de courriel, les appareils, les sauvegardes et chaque entreprise externe qui a un accès.

Lorsque nous travaillons dans des systèmes qui contiennent des renseignements sur la santé, nous suivons les instructions du dépositaire, examinons seulement ce que l’examen exige et gardons tout ce que nous voyons sous entente de confidentialité, dans le respect des limites que la LPRPS fixe aux fournisseurs de services.² La lecture des dossiers de patients reste hors du mandat.

Ce que le dépositaire a en main à la fin

À la fin de l’examen, le dépositaire détient un dossier écrit de ses mesures de protection, des écarts trouvés et des suites données, utile quand le CIPVP, un assureur ou un hôpital partenaire pose la question.

• un rapport en langage clair, avec chaque constat classé : à corriger aujourd’hui, ce mois-ci, ou plus tard;
• une annexe technique pour la personne qui soutient vos systèmes;
• une note sur les rôles en cas d’atteinte : qui juge si une des sept circonstances s’applique, qui avise les patients, qui fait la déclaration au CIPVP;
• les paramètres corrigés, si vous avez commandé les correctifs, avec la liste des changements;
• une vérification datée des correctifs, dans le même rapport.

Où s’arrête l’examen de sécurité et où commence l’avis juridique

Un examen de sécurité couvre le volet technique et pratique de la LPRPS : mesures de protection, journaux, sauvegardes et personnes qui ont accès. Les questions de consentement, de divulgation à des tiers, de demandes d’accès ou de libellé des avis aux patients relèvent d’un avocat ou des lignes directrices publiées par le CIPVP.

Nous ne donnons donc aucun avis juridique et n’apposons aucune étiquette « conforme à la LPRPS ». La décision d’aviser les patients et le commissaire appartient au dépositaire; nous l’aidons à réunir les faits. Lorsqu’une atteinte découle d’une cyberattaque, le dépositaire peut aussi la signaler au Centre canadien pour la cybersécurité, distinct de la police.⁴ Les sociétés d’aide à l’enfance suivent d’autres règles pour leurs dossiers de services, présentées sur la page des sociétés d’aide à l’enfance.