Loi 25 : ce qu'une petite clinique doit savoir

1. Désigner une personne responsable

Par défaut, la personne responsable de la protection des renseignements personnels est celle qui a la plus haute autorité dans l'entreprise : souvent, la propriétaire de la clinique. Elle peut déléguer ce rôle par écrit, en tout ou en partie, à une personne de l'équipe, mais elle en demeure responsable.

Le titre et les coordonnées de cette personne doivent être publiés sur le site web de la clinique (sans site, ils doivent être rendus accessibles par un autre moyen approprié). Inutile d'en aviser la Commission d'accès à l'information. Une adresse courriel dédiée, par exemple confidentialite@votreclinique.ca, simplifie la suite.

2. Encadrer et expliquer ce que vous faites des renseignements

• Des règles internes. Qui a accès à quoi dans l'équipe, combien de temps vous gardez les dossiers et comment vous les détruisez, comment vous traitez une plainte. Ces règles, proportionnées à la taille de vos activités, sont approuvées par la personne responsable ; de l'information détaillée à leur sujet est publiée sur votre site, en termes simples et clairs.
• Une politique de confidentialité. Si vous recueillez des renseignements par un moyen technologique (formulaire en ligne, réservation sur votre site), publiez une politique de confidentialité en termes simples et clairs, et avisez vos clients de toute modification.
• L'information au moment de la collecte. Dites au client pourquoi vous recueillez ses renseignements, comment, à qui ils pourraient être communiqués, s'ils pourraient l'être à l'extérieur du Québec, et quels sont ses droits d'accès et de rectification.
• Des fournisseurs choisis avec soin. Une clinique qui confie des renseignements à un fournisseur (logiciel, hébergement) en demeure responsable. Demandez-lui qui traite quoi, et où.

3. Obtenir un consentement valable

Le consentement doit être manifeste, libre, éclairé et donné à des fins précises. Demandez-le pour chaque fin, en termes clairs ; s'il est demandé par écrit, présentez-le séparément de toute autre information.

Les renseignements de santé (questionnaire, dossier, notes de soin) sont des renseignements sensibles. Les utiliser à une autre fin que celle prévue demande un consentement exprès. Exemple concret : n'utilisez pas les réponses d'un questionnaire de santé pour cibler une promotion sans ce consentement.

4. Savoir réagir à un incident de confidentialité

1. 1
   Reconnaître l'incidentUn accès, une utilisation ou une communication non autorisés, ou la perte d'un renseignement : un courriel envoyé au mauvais client, un téléphone non verrouillé volé, un dossier papier égaré.
2. 2
   Réduire le risque tout de suitePrenez des mesures raisonnables pour diminuer le risque de préjudice et éviter qu'un incident semblable se reproduise.
3. 3
   Évaluer le risque de préjudice sérieuxSelon la sensibilité des renseignements, les conséquences possibles de leur utilisation et la probabilité qu'ils soient utilisés à mauvais escient.
4. 4
   Aviser, si le risque est sérieuxAvec diligence : la Commission d'accès à l'information, par écrit (elle offre un formulaire à cette fin), et les personnes concernées.
5. 5
   Inscrire l'incident au registreTous les incidents, même ceux qui ne présentent pas de risque sérieux. La Commission peut demander une copie du registre.

5. Les autres réflexes à prendre

• Avant d'envoyer des renseignements hors du Québec. Une évaluation des facteurs relatifs à la vie privée (EFVP) est requise, y compris quand un fournisseur conserve ou traite les renseignements pour vous à l'extérieur du Québec.
• Avant d'adopter un nouveau système. Un projet d'acquisition ou de refonte d'un système qui touche des renseignements personnels, comme un nouveau logiciel de dossiers, demande aussi une EFVP, à la mesure de la sensibilité des renseignements et de l'ampleur du projet.
• Conserver, puis détruire. Quand les fins pour lesquelles un renseignement a été recueilli sont accomplies, il doit être détruit (ou anonymisé selon les règles prévues), sous réserve d'un délai de conservation prévu par une loi. Vérifiez aussi la durée de conservation des dossiers exigée par votre association.
• Répondre aux demandes d'accès. Un client peut demander à consulter son dossier ou à le faire corriger ; la personne responsable lui répond dans les 30 jours.