Autodiagnostic de conformité à la Loi 25 pour les cliniques privées du Québec
Répondez à 15 questions sur la façon dont votre clinique protège les renseignements de sa clientèle. Vous obtenez un score de conformité à la Loi 25 et un plan d'action priorisé fondés sur les exigences de la Loi 25 du Québec et les lignes directrices de la Commission d'accès à l'information.
Pour les cliniques privées du Québec
La Loi 25 a modifié la Loi sur la protection des renseignements personnels dans le secteur privé du Québec. Elle s'applique à toute clinique et à tout professionnel autonome au Québec, peu importe sa taille. Depuis le 1er juillet 2024, les renseignements de santé et de services sociaux détenus par les cabinets professionnels privés sont aussi régis par la Loi sur les renseignements de santé et de services sociaux (Loi 5), qui établit des obligations similaires.
Votre clinique est-elle à l'extérieur du Québec ? Faites l'autodiagnostic de conformité LPRPDE.
Bases solides
Selon vos réponses, votre clinique applique déjà la plupart des mesures couvertes par cette liste. Comblez les lacunes restantes ci-dessous et révisez vos pratiques une fois par année.
Partiellement conforme : lacunes à combler
Plusieurs obligations importantes ne sont que partiellement couvertes. Commencez par les actions à priorité élevée : elles représentent le plus grand risque pour vos clients et votre pratique.
Risque de conformité important
Des obligations clés semblent manquantes. Plusieurs des actions ci-dessous peuvent être amorcées rapidement : attaquez-vous d'abord à celles de priorité élevée.
Au moins un point de priorité élevée est répondu par Non ou Je ne sais pas : votre résultat demeure dans la catégorie de risque important tant qu'il n'est pas réglé.
Votre plan d'action priorisé
-
Priorité élevée Responsabilité Partiellement en place
Confirmez qui est responsable de la protection des renseignements personnels (par défaut, la personne ayant la plus haute autorité dans la clinique ; toute délégation doit être faite par écrit) et publiez son titre et ses coordonnées sur votre site Web.
-
Priorité moyenne Transparence Partiellement en place
Adoptez des politiques de gouvernance approuvées par le responsable (rôles, conservation et destruction, traitement des plaintes), publiez un résumé clair sur votre site Web, et publiez une politique de confidentialité en termes clairs et simples partout où vous recueillez des renseignements en ligne. Informez les personnes concernées de tout changement à cette politique.
-
Priorité moyenne Inventaire et nécessité Partiellement en place
Dressez un inventaire simple : chaque type de renseignement, pourquoi vous en avez besoin, où il est conservé (dossier électronique, courriel, papier, feuilles de calcul), qui peut y accéder et pendant combien de temps vous le conservez. Retirez de vos formulaires tout champ dont vous n'avez pas besoin, comme un numéro d'assurance sociale.
-
Priorité élevée Consentement Partiellement en place
Utilisez un formulaire de consentement écrit qui explique chaque fin en termes clairs, y compris le droit de retirer son consentement, demandez le consentement séparément pour chaque fin et conservez le formulaire signé au dossier du client. Les renseignements de santé sont sensibles : tout consentement requis à leur égard doit être exprès, et la demande doit être présentée séparément des autres renseignements.
Colib vous permet d'envoyer des formulaires de consentement que les clients signent en ligne, et les classe dans le dossier du client.
-
Priorité moyenne Mineurs Partiellement en place
Ajoutez une étape de consentement du parent ou du tuteur à votre formulaire d'accueil pour les clients de moins de 14 ans, et précisez par écrit comment vous traitez les demandes des parents de clients de 14 ans et plus, qui peuvent généralement consentir seuls aux soins qu'ils reçoivent.
-
Priorité moyenne Suivi du site web Partiellement en place
Installez une bannière de consentement aux témoins qui bloque les balises analytiques et publicitaires jusqu'à ce que le visiteur y consente (les outils pouvant identifier, localiser ou profiler les visiteurs doivent rester désactivés jusqu'à ce que le visiteur les active), et retirez les pixels des pages de réservation et de formulaires.
-
Priorité élevée Incidents de confidentialité Partiellement en place
Ouvrez dès aujourd'hui un registre des incidents de confidentialité et conservez chaque entrée pendant au moins 5 ans. Rédigez une procédure d'une page : contenir l'incident, prendre des mesures raisonnables pour réduire le risque de préjudice, évaluer le risque qu'un préjudice sérieux soit causé, et aviser rapidement la Commission d'accès à l'information et les personnes concernées.
-
Priorité moyenne Évaluation des facteurs relatifs à la vie privée Partiellement en place
Avant tout nouveau système, toute refonte majeure ou tout service en ligne qui traite des renseignements sur la clientèle, et avant toute communication à l'extérieur du Québec ou à des fins de recherche sans consentement, faites une évaluation des facteurs relatifs à la vie privée (EFVP) en impliquant le responsable dès le départ, et conservez-la au dossier. Pour les systèmes déjà en place, une révision documentée est une bonne pratique. Demandez à vos fournisseurs de logiciels leur documentation de sécurité.
-
Priorité moyenne Emplacement des données Partiellement en place
Répertoriez chaque outil qui conserve ou traite des renseignements sur la clientèle et où ses données sont situées. Pour tout ce qui se trouve à l'extérieur du Québec, y compris dans les autres provinces, complétez une évaluation des facteurs relatifs à la vie privée, signez une entente écrite et mentionnez-le dans votre politique de confidentialité.
Colib conserve les renseignements sur la clientèle au Canada.
-
Priorité moyenne Fournisseurs de services Partiellement en place
Signez une entente écrite avec chaque fournisseur de services qui accède aux renseignements sur la clientèle, couvrant la confidentialité, les mesures de sécurité, l'utilisation limitée au mandat, la notification sans délai en cas d'incident et la destruction à la fin du contrat.
-
Priorité élevée Contrôle des accès et journalisation Partiellement en place
Donnez à chaque personne un compte individuel, limitez l'accès aux dossiers clients selon le rôle, activez l'authentification à deux facteurs, retirez l'accès le jour même du départ d'une personne, et utilisez un système qui journalise l'accès aux dossiers clients afin de pouvoir le vérifier après tout incident soupçonné.
Colib donne à chaque utilisateur son propre compte avec authentification à deux facteurs, et journalise les accès aux dossiers clients.
-
Priorité élevée Chiffrement et communications Partiellement en place
Chiffrez tous les appareils qui contiennent des renseignements de clients (BitLocker, FileVault, code d'accès du téléphone), conservez les dossiers dans un DSE chiffré plutôt que sur le bureau, et déplacez les échanges avec les clients vers un portail sécurisé.
Colib chiffre les renseignements des clients et inclut un portail client sécurisé avec messagerie.
-
Priorité moyenne Conservation et destruction Partiellement en place
Consignez la période de conservation exigée par votre ordre professionnel, planifiez une révision annuelle des dossiers fermés et détruisez-les de façon sécuritaire une fois la période terminée, en conservant un registre de ce qui a été détruit. L'anonymisation doit répondre aux critères établis par règlement : pour la plupart des cliniques, la destruction sécuritaire est plus simple.
-
Priorité moyenne Demandes d'accès et de portabilité Partiellement en place
Rédigez une courte procédure pour les demandes d'accès, de correction et de portabilité (vérification de l'identité, délai de 30 jours, format de la réponse) et testez-la : pouvez-vous exporter aujourd'hui, dans un format lisible, les renseignements qu'un client vous a fournis ?
-
Priorité moyenne Formation et confidentialité Partiellement en place
Faites signer un engagement de confidentialité à tout le monde, et offrez une courte formation annuelle sur la confidentialité, l'hameçonnage et le signalement des incidents. Conservez un registre de présence.
Selon vos réponses, tous les points de cette liste sont couverts. Maintenez votre registre, vos politiques et vos formations à jour, et refaites cette autoévaluation chaque année.
Comblez ces lacunes plus rapidement avec Colib
Colib est un logiciel de gestion de clinique et un dossier de santé électronique conçu au Canada. Il peut vous aider sur plusieurs points techniques de votre plan d'action : dossiers chiffrés conservés au Canada, comptes individuels avec authentification à deux facteurs, journalisation des accès, formulaires de consentement en ligne et portail client sécurisé. Vos politiques, vos pratiques de consentement et vos formations demeurent de votre responsabilité.
- Essai gratuit de 30 jours
- Pas de carte de crédit nécessaire
- Français et anglais
Cette autoévaluation est fournie à titre informatif général seulement, elle est basée sur les lois en vigueur au moment de sa rédaction et ne couvre pas toutes les obligations qui pourraient s'appliquer à votre clinique. Elle ne constitue pas un conseil juridique ni une certification de conformité. Pour un conseil sur votre situation, consultez un avocat ou votre ordre professionnel.
Exigences de la Loi 25 pour les cliniques privées au Québec
La plupart des dispositions de la Loi 25 sont entrées en vigueur en trois phases entre 2022 et 2024. Toutes les obligations sont maintenant en vigueur, autant pour les grandes cliniques que pour les praticiens autonomes. Pour en savoir plus, consultez notre page sur le DSE conforme à la Loi 25 et notre page sur dossier médical électronique au Québec.
Septembre 2022
- Un responsable de la protection des renseignements personnels, par défaut la plus haute autorité de la clinique
- Un registre des incidents de confidentialité
- Avis à la Commission d'accès à l'information et aux personnes concernées lorsqu'il y a un risque de préjudice sérieux
Septembre 2023
- Politiques de gouvernance et politique de confidentialité publiées sur votre site web
- Évaluations des facteurs relatifs à la vie privée, y compris avant de communiquer des renseignements hors Québec
- Des règles de consentement plus strictes, y compris pour les mineurs de moins de 14 ans, et le niveau de confidentialité le plus élevé par défaut
- Destruction ou anonymisation à la fin de la période de conservation
Septembre 2024
- Droit à la portabilité des renseignements : sur demande, les renseignements personnels informatisés recueillis auprès du client doivent être fournis dans un format technologique structuré et couramment utilisé
Lignes directrices de la Loi 25 de la Commission d'accès à l'information
La Commission d'accès à l'information (CAI) publie des lignes directrices à l'intention des entreprises, dont une liste de vérification de leurs responsabilités, des lignes directrices sur les critères d'un consentement valable et un guide de rédaction d'une politique de confidentialité. Pour les renseignements de santé, les cliniques privées doivent aussi respecter la Loi sur les renseignements de santé et de services sociaux (Loi 5), en vigueur depuis le 1er juillet 2024.
Loi 25 ou LPRPDE : principales différences de conformité
Les deux lois partagent les mêmes fondements, mais la Loi 25 est plus prescriptive. Ce résumé est simplifié : les lois provinciales sur les renseignements de santé peuvent ajouter leurs propres règles.
| Sujet | LPRPDE | Loi 25 (Québec) |
|---|---|---|
| Personne responsable | Une personne désignée comme responsable, dont l'identité est fournie sur demande | Par défaut, la personne ayant la plus haute autorité; titre et coordonnées publiés sur le site Web |
| Politiques | Politiques et pratiques de confidentialité facilement accessibles | Politiques de gouvernance et politique de confidentialité publiées en termes clairs et simples |
| Consentement | Consentement valable; consentement exprès généralement attendu pour les renseignements sensibles | Consentement manifeste, libre et éclairé, donné à des fins précises; consentement exprès pour les renseignements sensibles |
| Atteintes et incidents | Déclarer les atteintes présentant un risque réel de préjudice grave; conserver un registre de toutes les atteintes pendant 24 mois | Aviser la CAI et les personnes concernées en cas de risque de préjudice sérieux; tenir un registre des incidents |
| Évaluation des facteurs relatifs à la vie privée | Bonne pratique recommandée | Obligatoire pour les nouveaux systèmes d'information ou les refontes majeures, et avant toute communication de renseignements hors Québec |
| Transfert de renseignements hors du territoire | Transparence et protections contractuelles | Évaluation des facteurs relatifs à la vie privée et entente écrite |
| Demandes d'accès | Répondre dans les 30 jours, avec possibilité de prolongation | Répondre dans les 30 jours |
| Portabilité des données | Aucun droit particulier | Droit en vigueur depuis septembre 2024 pour les renseignements recueillis auprès de la personne |
Vous pratiquez aussi ailleurs au Canada ? Vérifiez votre clinique avec la liste de vérification de conformité LPRPDE.
Ce qui est en jeu
En vertu de la Loi 25, la Commission d'accès à l'information peut imposer des sanctions administratives pécuniaires pouvant atteindre 50 000 $ pour une personne physique et, pour les autres entreprises, jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé. Les amendes pénales peuvent atteindre 100 000 $ pour une personne physique et 25 millions de dollars ou 4 % du chiffre d'affaires mondial pour les autres entreprises, et sont doublées en cas de récidive. En vertu de la LPRPDE, le fait de sciemment omettre de signaler une atteinte, d'aviser les personnes touchées ou de conserver les registres d'atteintes peut entraîner des amendes pouvant atteindre 100 000 $.
Au-delà des pénalités : la confiance de la clientèle
Pour une clinique, un incident peut aussi nuire à la confiance des clients et mener à une plainte à votre ordre professionnel. Une autoévaluation annuelle vous aide à garder vos pratiques de protection des renseignements personnels à jour, à mesure que votre clinique, votre personnel et vos logiciels évoluent.
Comment Colib vous aide à combler les lacunes
Plusieurs points de cette liste dépendent de votre logiciel de clinique. Colib a été conçu au Canada en tenant compte de la protection de la vie privée. Un logiciel seul ne rend pas une clinique conforme, mais les bons outils facilitent grandement le travail.
Voyez comment Colib appuie vos obligations sur notre DSÉ conforme à la Loi 25 page, et découvrez notre dossier médical électronique au Québec.
Hébergé au Canada, chiffré
Les renseignements sur la clientèle sont chiffrés et conservés au Canada, ce qui simplifie votre évaluation des communications à l'extérieur du Canada. Consultez notre page sur la sécurité.
Comptes individuels et authentification à deux facteurs
Chaque utilisateur possède son propre compte avec authentification à deux facteurs, et l'accès aux dossiers clients est journalisé.
Formulaires de consentement, portail sécurisé et télésanté
Envoyez des formulaires de consentement que les clients signent en ligne, remplacez le courriel par un portail client sécurisé et tenez vos séances avec notre logiciel de télésanté pour thérapeutes.
Conformité à la Loi 25 -- questions fréquentes
Quelles sont les principales exigences de la Loi 25 ?
La Loi 25 exige une personne responsable de la protection des renseignements personnels, des politiques de gouvernance et une politique de confidentialité, un registre des incidents de confidentialité et un processus de déclaration, des évaluations des facteurs relatifs à la vie privée dans certains cas, des règles de consentement plus strictes, des mesures de protection pour les communications hors Québec, ainsi que le respect des droits d'accès et de portabilité.
La Loi 25 s'applique-t-elle à un praticien seul ?
Oui. La Loi 25 s'applique à toute entreprise qui recueille, détient, utilise ou communique des renseignements personnels au Québec, y compris les professionnels autonomes et les petites cliniques. Il n'y a pas d'exemption selon la taille, bien que les politiques puissent être proportionnelles à la taille de la pratique. Les renseignements de santé détenus par les cabinets privés sont aussi couverts par la Loi sur les renseignements de santé et de services sociaux du Québec.
Qui est le responsable de la protection des renseignements personnels ?
Par défaut, il s'agit de la personne ayant la plus haute autorité dans l'entreprise : pour un praticien seul, c'est vous. La fonction peut être déléguée par écrit, en tout ou en partie, et le titre ainsi que les coordonnées doivent être publiés sur le site web.
Qu'est-ce qui constitue un incident de confidentialité ?
Tout accès, utilisation ou communication non autorisés de renseignements personnels, leur perte, ou toute autre atteinte à leur protection. Un ordinateur portable volé, un courriel envoyé au mauvais client ou une attaque par rançongiciel sont tous des incidents qui doivent être consignés dans le registre.
Les données des clients doivent-elles être hébergées au Canada ?
La Loi 25 n'interdit pas l'hébergement à l'extérieur du Québec, mais avant de communiquer des renseignements à l'extérieur de la province (y compris vers une autre province canadienne), vous devez compléter une évaluation des facteurs relatifs à la vie privée démontrant que les renseignements seront adéquatement protégés, signer une entente écrite et informer les clients. Choisir un logiciel hébergé au Canada simplifie grandement cette évaluation.
Quelle est la différence entre la LPRPDE et la Loi 25 ?
Les deux lois reposent sur des principes similaires, mais la Loi 25 est plus prescriptive : elle exige la publication de politiques de gouvernance, des évaluations des facteurs relatifs à la vie privée dans certains cas et un droit à la portabilité des données, et elle prévoit des sanctions administratives pécuniaires. Les cliniques privées du Québec sont généralement régies par la loi québécoise sur le secteur privé pour leurs activités dans la province.
Cette liste de vérification constitue-t-elle un conseil juridique ?
Non. Il s'agit d'un outil d'autoévaluation qui vous aide à repérer les lacunes et à prioriser votre travail. Pour votre situation particulière, consultez un avocat ou votre ordre professionnel.
Faites de la conformité la norme dans votre clinique
Dossiers chiffrés conservés au Canada, authentification à deux facteurs, formulaires de consentement en ligne et portail client sécurisé. Commencez votre essai gratuit de 30 jours -- aucune carte de crédit requise.