Renseignements personnels en santé, ce qu'il faut savoir au Québec

En santé, la notion de renseignements personnels n'est pas un simple détail juridique. Les renseignements personnels en santé sont au cœur de la conformité à la Loi 25, qui s'applique à toutes les organisations publiques et privées du Québec, et de la Loi 5, qui encadre plus précisément les organismes du réseau de la santé et des services sociaux.

Pour une clinique, un hôpital, une pharmacie, un centre de recherche ou une entreprise technologique du secteur de la santé, savoir précisément ce qui constitue un renseignement personnel détermine vos obligations en matière de collecte, d'utilisation, de conservation et de communication.

Cet article clarifie cette notion, propose des exemples concrets adaptés au milieu de la santé et présente les bonnes pratiques à mettre en place dès maintenant.

Définition des renseignements personnels en santé selon la loi québécoise

Selon la Commission d'accès à l'information du Québec (CAI), un renseignement personnel est toute information qui concerne une personne physique et qui permet, directement ou indirectement, de l'identifier.

Concrètement, deux catégories cohabitent.

D'abord, les données nominatives : nom, adresse, courriel, numéro d'assurance sociale, numéro d'assurance maladie, date de naissance, etc.

Ensuite, les données indirectes qui, par recoupement, permettent d'identifier une personne : adresse IP, identifiant d'appareil, biométrie, etc. Par exemple, la combinaison d'un code postal, d'un genre et d'une date de visite à une clinique pourrait permettre d’identifier une personne.

Cette définition repose sur le droit fondamental à la vie privée, qui permet à chaque individu de contrôler la circulation de ses propres données.

Loi 25 et Loi 5, deux régimes complémentaires

Bien que souvent évoquées ensemble, ces deux lois n'ont pas la même portée.

La Loi 25 modernise les règles de protection des renseignements personnels dans l'ensemble des organismes publics et des entreprises privées du Québec, tous secteurs confondus. Une pharmacie privée, une clinique sans affiliation au réseau public, une jeune pousse en santé numérique ou un fournisseur de solutions logicielles y sont tous assujettis.

La Loi 5, ou Loi sur les renseignements de santé et de services sociaux (LRSSS), encadre spécifiquement les organismes du réseau public de la santé et des services sociaux du Québec, ainsi que leurs partenaires autorisés. Elle vise précisément les renseignements de santé et de services sociaux.

Selon votre statut, vous pouvez être assujetti uniquement à la Loi 25 ou aux deux lois. Cette distinction influence directement vos obligations et la conception de vos systèmes.

Renseignement de santé, un sous-ensemble particulièrement sensible

La Loi 5 introduit une notion plus précise au sein des renseignements personnels en santé : le renseignement de santé et de services sociaux. Il s'agit d'un type de renseignement personnel jugé sensible en raison de sa nature et du préjudice possible en cas de fuite.

Sont notamment considérés comme tels :

• les diagnostics, antécédents médicaux et résultats d'examens

• les ordonnances, traitements et médicaments

• les notes cliniques, observations et plans de soins

• les résultats de laboratoire et d'imagerie médicale

• les données biométriques, comme les empreintes digitales ou la reconnaissance faciale

• les renseignements liés à la santé mentale ou à la santé sexuelle

La sensibilité accrue de ces renseignements entraîne un consentement exprès, une déclaration explicite, orale ou écrite, distincte du consentement général.

Pour approfondir le cadre légal applicable à ces données, consultez notre article complet sur la Loi 5 sur les renseignements de santé.

Exemples concrets en milieu clinique et pharmaceutique

Pour rendre la définition des renseignements personnels en santé plus tangible, voici des exemples regroupés selon leur niveau de sensibilité.

Même les renseignements produits par un système d'intelligence artificielle, comme un score de risque clinique calculé automatiquement, sont considérés comme des renseignements personnels lorsqu'ils sont rattachés à une personne physique.

Ce qui n'est pas considéré comme un renseignement personnel

Toutes les données traitées par une organisation de santé ne sont pas personnelles. Distinguer les deux évite d'imposer des contraintes inutiles à des informations qui n'en méritent pas.

Ne sont généralement pas visés :

• les statistiques globales, comme le nombre total de consultations par mois

• les informations sur une organisation, comme la raison sociale d'une clinique ou son numéro d'entreprise du Québec

• les données techniques isolées, comme la version d'un navigateur, à condition qu'elles ne soient pas couplées à un identifiant unique

• les données anonymisées de manière irréversible, conformément aux bonnes pratiques de dépersonnalisation

• les jeux de données fictifs utilisés en développement ou en formation

Attention au recoupement. Une donnée anodine isolée peut devenir personnelle si elle est combinée à d'autres. Un code postal à lui seul ne permet pas d’identifier une personne, mais associé à une date de naissance et à un genre, il peut suffire à identifier un patient dans un petit territoire.

Vous concevez un nouvel outil clinique ou modernisez un système existant qui traite des renseignements personnels en santé? Discutez avec un spécialiste pour intégrer la conformité dès la conception.

Bonnes pratiques pour gérer les renseignements personnels en santé

La conformité ne se résume pas à un document juridique. La gestion des renseignements personnels en santé se traduit dans les processus, les outils et la culture organisationnelle. Voici les pratiques que nous voyons fonctionner dans les mandats du secteur.

Cartographier vos flux de données

Documentez où sont collectés les renseignements, où ils transitent, où ils sont stockés et qui y accède. Sans cette cartographie, impossible de démontrer la conformité ni de répondre rapidement à un incident.

Appliquer la minimisation des données

Ne collectez que ce qui est strictement nécessaire à la finalité annoncée. Un formulaire d'inscription en clinique n'a pas besoin du NAS si rien dans le processus ne l'exige.

Encadrer les accès par rôle

Tous les membres du personnel n'ont pas besoin d'accéder à tous les dossiers. Mettre en place une gestion fine des permissions, fondée sur le principe du moindre privilège, réduit considérablement la surface d'exposition.

Chiffrer les données au repos et en transit

Le chiffrement n'est plus une option pour les renseignements de santé. Il s'applique aussi bien aux bases de données qu'aux échanges avec des partenaires comme la RAMQ ou TELUS Santé.

Préparer un plan de réponse aux incidents

Un incident de confidentialité n'est pas une question de « si », mais plutôt de « quand ». Un bon plan documenté précise quelles étapes suivrent, dans quel ordre, qui fait quoi et comment les personnes touchées seront avisées.

Réaliser des évaluations des facteurs relatifs à la vie privée (ÉFVP)

Toute nouvelle initiative impliquant des renseignements de santé sensibles, comme un projet d'IA clinique ou un transfert de données hors Québec, devrait faire l'objet d'une ÉFVP avant son déploiement. Cette obligation est explicite dans la Loi 25 pour les entreprises privées et dans la Loi 5 pour les organismes du réseau de la santé.

Pour aller plus loin sur les enjeux techniques, consultez notre article sur la prévention des menaces en sécurité logicielle.

Pourquoi cette définition est cruciale pour votre conformité

Bien définir les renseignements personnels en santé déclenche une cascade d'obligations à respecter tout au long du cycle de vie de la donnée.

• Collecte : nécessaire, limitée à la finalité annoncée, transparente et fondée sur un consentement valide.

• Utilisation et communication : encadrées par le consentement, sauf exceptions légales clairement définies.

• Conservation : durée limitée à ce qui est utile, suivie d'une destruction sécurisée ou d'une anonymisation conforme.

• Gouvernance : désignation d'un responsable de la protection des renseignements personnels, tenue d'un registre des incidents, formation du personnel.

Selon le statut de l'organisation, les obligations relèvent de la Loi 25, de la Loi 5 ou des deux à la fois. Les établissements du réseau public de la santé et leurs partenaires sont visés par la Loi 5, tandis que les cliniques privées, pharmacies, organismes de recherche et fournisseurs de solutions technologiques en santé sont au minimum encadrés par la Loi 25.

Conclusion

Bien définir ce que sont les renseignements personnels en santé est la première étape d'une démarche de conformité solide. Sans cette base, les politiques internes restent floues et les outils technologiques mal calibrés.

Au-delà des obligations légales, une gestion rigoureuse de ces données protège la confiance des patients, le lien et la réputation de votre organisation.

Vous souhaitez bâtir ou moderniser une solution numérique conforme aux exigences du secteur québécois de la santé en matière de renseignements personnels? Discutez avec un spécialiste pour évaluer votre situation et structurer une approche adaptée.

FAQ

Un dossier patient électronique fait-il partie des renseignements personnels en santé ?

Oui, un dossier patient électronique fait pleinement partie des renseignements personnels en santé au sens de la Loi 5. Il regroupe une concentration importante de données sensibles, allant des diagnostics aux notes cliniques en passant par les ordonnances et les antécédents. Sa gestion est strictement encadrée par la loi, tant pour les accès que pour la conservation, la communication et l'éventuelle destruction des informations qu'il contient.

Les données anonymisées sont-elles encore visées par la Loi 25 ou la Loi 5 ?

Si l'anonymisation est irréversible et conforme aux pratiques reconnues par la Commission d'accès à l'information, les données ne sont plus considérées comme personnelles et échappent donc aux obligations applicables, qu'il s'agisse de la Loi 25 ou de la Loi 5, selon le contexte de l'organisation.

Faut-il un consentement écrit pour chaque utilisation d'un renseignement de santé ?

Pas systématiquement. Le consentement doit être éclairé, libre et adapté à la sensibilité de la donnée concernée. Pour les renseignements jugés sensibles, comme un diagnostic ou un résultat génétique, un consentement exprès, distinct et explicite est généralement requis. Certaines exceptions légales s'appliquent toutefois, notamment lors d'une communication d'urgence, d'une obligation professionnelle ou d'un partage entre intervenants autorisés du réseau.