Conformité à la LPRPS et TI en santé

La LPRPS, si vous êtes dépositaire de renseignements sur la santé en Ontario. Hors de l'Ontario, la loi de votre province sur les renseignements de santé fait le même travail en appliquant d'autres seuils, tandis que la LPRPDE couvre l'activité commerciale que la loi provinciale sur la santé ne couvre pas. La plupart des cabinets relèvent donc des deux lois. Pas de choix à faire entre elles.

Oui, nous sommes votre mandataire, comme tout fournisseur qui traite vos renseignements sur la santé. Un mandataire a ses propres obligations, dont celle d'aviser le dépositaire à la première occasion raisonnable de tout vol, de toute perte ou de toute utilisation ou divulgation non autorisée. Demandez à chaque fournisseur de l'écrire au contrat. S'il hésite, vous avez appris quelque chose.

Oui, il faut aviser. Dans Hospital for Sick Children c. Ontario, 2025 ONSC 5208, la Cour divisionnaire a jugé que l'obligation d'aviser s'applique quand une attaque rend des renseignements sur la santé inaccessibles, même temporairement et même sans preuve qu'ils aient été vus, consultés ou volés. Une atteinte au sens de la LPRPS n'exige plus qu'on ait pris quoi que ce soit.

La vraie question, c'est LPRPS ou HIPAA. HIPAA est une loi des États-Unis et ne régit rien dans une clinique canadienne, où l'équivalent est la LPRPS en Ontario et la loi correspondante dans chacune des autres provinces. Un fournisseur qui cite HIPAA à une clinique ontarienne vous a montré avec quel soin il a lu le dossier.

Ne nous confiez pas ce travail si vous avez besoin de l'avis d'un avocat en protection de la vie privée pour savoir si un incident précis doit être déclaré. C'est à votre conseiller juridique de trancher. Pas à nous. Nous bâtissons les contrôles et en documentons les preuves, et nous travaillerons aux côtés de quiconque vous conseille. Savoir lequel des deux il vous faut, c'est l'heure la moins chère de tout le processus.