En cas de problème : les bases d’une atteinte à la vie privée

Ce qui constitue une atteinte

• Un ordinateur portable, un téléphone ou une clé USB perdu ou volé
• Des renseignements envoyés au mauvais destinataire
• Un membre du personnel qui consulte un dossier sans raison de le voir
• Un compte pris en main par quelqu’un d’autre
• Un rançongiciel ou une autre cyberattaque

Les cinq premières étapes

1. Contenez.

   Empêchez le préjudice de s’étendre.

   Rappelez le courriel, récupérez le papier, verrouillez le compte, changez le mot de passe, débranchez l’appareil.

2. Évaluez.

   Le risque détermine qui vous devez aviser.

   Quels renseignements, combien de personnes, quel degré de sensibilité, et quelle probabilité de mauvaise utilisation.

3. Obtenez les faits de votre fournisseur.

   Si un fournisseur est en cause, vous avez besoin de sa version pour aviser qui que ce soit.

   Demandez ce qui s’est passé, quand, quels dossiers, et ce qui a été fait.

4. Avisez dans le délai de votre loi.

   Chaque loi ci-dessous fixe le sien.

   Servez-vous du tableau. En cas de doute, appelez votre responsable de la vie privée le jour même.

5. Consignez.

   Chaque loi s’attend à un registre, y compris des atteintes que vous n’aviez pas à déclarer.

   Ce qui s’est passé, quand vous l’avez appris, ce que vous avez fait et qui vous avez avisé.

Qui aviser, et quand

Qui aviser, et quand

Loi	Patients	Organisme de réglementation	Registres	Source
Ontario (PHIPA)	À la première occasion raisonnable	Le CIPVP à la première occasion raisonnable, dans les cas que prévoit le règlement	Statistiques annuelles au CIPVP au plus tard le 1er mars, si vous avez eu une atteinte	Source officielle
Québec	Avec diligence, lorsqu’il y a un risque de préjudice sérieux	La Commission avec diligence; en vertu de la loi sur les renseignements de santé, le ministre aussi	Un registre de chaque incident	Source officielle
LPRPDE	Dès que possible, lorsqu’il existe un risque réel de préjudice grave	Le Commissariat à la protection de la vie privée, dès que possible	Un registre de chaque atteinte, conservé deux ans	Source officielle
HIPAA	Sans retard injustifié, dans un délai de 60 jours	Le HHS dans les 60 jours pour 500 personnes ou plus; dans les 60 jours suivant la fin de l’année pour moins. Les médias lorsque plus de 500 résidents d’un État ou d’un territoire sont touchés	Documentation conservée six ans	Source officielle
PulseAI, en tant que fournisseur	Votre clinique avise, en tant que dépositaire ou entité visée	Votre clinique avise	Si un renseignement est consulté ou partagé sans autorisation, nous vous le disons immédiatement.	Centre de confiance

Pourquoi c’est important

Les autorités jugent une atteinte selon la réponse de la clinique. Une réponse rapide, consignée et honnête est ce qui garde un petit incident petit.

Erreurs courantes

• Attendre d’avoir tous les faits avant d’aviser qui que ce soit.
• Ne consigner que les atteintes qui ont été déclarées.
• Ne pas demander au fournisseur un compte rendu écrit.

Comment PulseAI vous aide

• Si un renseignement est consulté ou partagé sans autorisation, nous vous le disons immédiatement.
• Si une atteinte devait se produire, nous vous le dirions sans délai, comme la loi l’exige.
• Un journal de qui a consulté quoi, conservé sept ans dans le pays de votre clinique, et à vous sur simple demande.

Voyez comment nous protégeons vos données dans le Centre de confiance.

Questions fréquentes