Québec : la Loi 25 et la loi sur les renseignements de santé pour les cliniques

Ce que vous devez faire

1. Désignez une personne responsable de la protection des renseignements personnels.

   Quelqu’un doit être responsable des règles et répondre aux patients.

   Par défaut, c’est la personne ayant la plus haute autorité dans votre clinique, qui peut déléguer ce rôle par écrit. Publiez son titre et ses coordonnées sur votre site Web. Loi sur le secteur privé, article 3.1

2. Publiez vos règles de gouvernance et une politique de confidentialité en langage clair.

   Les patients devraient pouvoir lire comment vous travaillez avant de communiquer quoi que ce soit.

   Vos règles précisent qui peut accéder à quoi, combien de temps vous conservez l’information et comment vous traitez les plaintes. Publiez-en un résumé sur votre site Web. Commission d’accès à l’information

3. Informez les patients de ce que vous recueillez, pourquoi, et de leurs droits.

   Le consentement n’a de valeur que si le patient le comprend.

   Au moment de la collecte, expliquez la fin, qui pourrait recevoir l’information, si elle pourrait être communiquée à l’extérieur du Québec, et les droits du patient de la consulter, de la faire rectifier et de retirer son consentement. Loi sur le secteur privé, article 8

4. Évaluez avant que l’information quitte le Québec, et avant d’adopter une nouvelle technologie.

   Ailleurs, l’information peut être protégée différemment.

   Réalisez une évaluation des facteurs relatifs à la vie privée avant que l’information soit communiquée à l’extérieur du Québec, et avant d’acquérir ou de refondre un système qui traite des renseignements de santé. Loi sur les renseignements de santé et de services sociaux

5. Tenez un registre des incidents, et avisez lorsqu’il y a un risque de préjudice sérieux.

   Un registre montre ce qui s’est passé et ce que vous avez fait.

   Consignez chaque incident de confidentialité. Lorsqu’un incident présente un risque de préjudice sérieux, avisez avec diligence la Commission et les personnes concernées. En vertu de la loi sur les renseignements de santé, le ministre de la Santé est aussi avisé. Commission d’accès à l’information, incidents

6. Informez les patients lorsqu’une décision les concernant est prise uniquement par traitement automatisé.

   Les personnes ont le droit de savoir lorsqu’aucun être humain n’a pris la décision.

   Informez-les au moment de la décision, et permettez-leur de demander les renseignements utilisés et qu’une personne révise la décision. Loi sur le secteur privé, article 12.1

7. Encadrez vos fournisseurs de services par un contrat écrit.

   L’information que vous confiez à un fournisseur demeure sous votre responsabilité.

   Le contrat précise comment le fournisseur protège l’information, l’utilise uniquement pour votre mandat, et la remet ou la détruit à la fin. Loi sur les renseignements de santé et de services sociaux

Pourquoi c’est important

Les lois du Québec prévoient de véritables sanctions, et la Commission peut inspecter et ordonner des changements. Une clinique qui a désigné sa personne responsable, publié ses règles et tenu son registre peut répondre rapidement à toute question.

Erreurs courantes

• Ne pas indiquer la personne responsable sur le site Web.
• Adopter un outil infonuagique sans évaluation parce que le fournisseur est canadien.
• Garder les incidents dans des fils de courriels plutôt que dans un registre.
• Publier une politique seulement en anglais.

Comment PulseAI vous aide

• Stockées et traitées au Québec, sur des serveurs à Montréal.
• Une entente conforme aux exigences du Québec, signée avant que des données soient partagées.
• Nous aidons à réaliser l’évaluation des facteurs relatifs à la vie privée exigée au Québec avant l’adoption d’une nouvelle technologie.
• Si notre entente devait un jour être enfreinte, votre responsable de la protection des renseignements personnels serait avisé par nous immédiatement.

Voyez comment nous protégeons vos données dans le Centre de confiance.

Questions fréquentes