Le cadre juridique encadrant la protection des renseignements personnels au Québec a connu une transformation majeure, notamment avec l’adoption et l’entrée en vigueur progressive de la Loi sur les renseignements de santé et de services sociaux (RLRQ, c. R-22.1, « LRSSS »), ainsi qu’en raison des modifications apportées à la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1, « LPRPSP »).

Rappelons que la LRSSS énonce les règles applicables aux renseignements de santé et de services sociaux détenus par les organismes du secteur de la santé ainsi qu’aux renseignements d’identification des patients qui y sont accolés. Il s’agit principalement des renseignements consignés au dossier du patient ; toutefois, certains renseignements de santé peuvent se trouver hors dossier, notamment lors de l’utilisation d’un logiciel de transcription vocale fondé sur l’intelligence artificielle (scribe IA). Deux règlements adoptés en vertu de cette loi apportent certaines précisions en matière de gouvernance des renseignements personnels. Il s’agit du Règlement d’application de certaines dispositions de la Loi sur les renseignements de santé et de services sociaux (RLRQ, c. R-22.1, r. 1) et du Règlement sur la gouvernance des renseignements de santé et de services sociaux (RLRQ, c. R-22.1, r. 2).

La LPRPSP, quant à elle, vise l’ensemble des renseignements personnels recueillis par une clinique qui ne concernent pas la santé ou les services sociaux d’une personne. Il peut s’agir, par exemple, des renseignements recueillis auprès des utilisateurs du site Internet ou des pages de médias sociaux d’une clinique, des enregistrements d’appels téléphoniques portant sur des questions d’ordre général ou encore des renseignements bancaires relatifs à la facturation de services non assurés. Deux règlements s’appliquent aux renseignements personnels détenus par les cliniques médicales : le Règlement sur l’anonymisation des renseignements personnels (RLRQ, c. A-2.1, r. 0.1) et le Règlement sur les incidents de confidentialité (RLRQ, c. A-2.1, r. 3.1).

Pour les cliniques médicales, cette évolution législative se traduit par des exigences accrues en matière de gouvernance, de sécurité de l’information et de reddition de comptes. Les cliniques doivent notamment désigner une personne responsable de la protection des renseignements personnels, adopter et diffuser des politiques spécifiques, ainsi que tenir à jour plusieurs registres (communications sans le consentement de la personne concernée, produits et services technologiques utilisés, incidents de confidentialité, etc.).

La FMOQ a élaboré une boîte à outils pratique destinée à accompagner les cliniques hors établissement dans la mise en œuvre de leurs nouvelles obligations légales et l’adoption de bonnes pratiques adaptées à leur réalité. Accessible dès maintenant sur le site Internet de la FMOQ, elle contient des gabarits de documents que les cliniques doivent adopter et utiliser en vertu de la LRSSS et de la LPRPSP. Certains de ces documents, une fois remplis, sont à diffuser sur le site Internet de la clinique, tandis que d’autres sont réservés à un usage interne.

Contenu de la boîte à outils :

Politique de gouvernance

Cette politique vise à mettre en place une gouvernance complète et conforme des renseignements personnels et de santé en encadrant leur gestion, leur utilisation et les responsabilités associées tout au long de leur cycle de vie.

Politique de confidentialité

Cette politique informe les patients et les autres personnes en contact avec les cliniques du traitement qui est fait de leurs renseignements personnels recueillis par un moyen technologique et des mesures de confidentialité mises en place afin de les protéger.

Engagement de confidentialité et autorisation d’accès pour le personnel ou les professionnels de la clinique

L’engagement de confidentialité formalise l’obligation de discrétion de l’ensemble du personnel et des professionnels. Les professionnels qui offrent des services de santé ou des services sociaux disposent, dans le cadre de leurs fonctions, d’un droit d’accès aux renseignements nécessaires à chaque épisode de soins. Cependant, les employés non professionnels qui doivent accéder à certains renseignements de santé dans l’exercice de leurs fonctions doivent suivre une formation en matière de protection des renseignements personnels, signer l’engagement de confidentialité et obtenir l’autorisation de la personne responsable de la protection des renseignements personnels de la clinique.

Documents d’information et de consentement destinés aux patients

Le document d’information remis lors d’une première visite informe le patient de la collecte et de l’utilisation de ses renseignements de santé. En recevant cette information, le patient est présumé consentir à l’utilisation décrite s’il poursuit l’épisode de soins. Le formulaire relatif à l’utilisation de logiciels de scribes IA permet, quant à lui, d’obtenir le consentement éclairé du patient à l’utilisation de tels outils d’intelligence artificielle lors des consultations, dans un souci de transparence et de respect de ses droits.

Gabarit de registre des produits et services technologiques utilisés

Ce document comprend un gabarit de registre permettant de recenser et de décrire les produits et services technologiques utilisés par une clinique, notamment leurs fonctions, leur fournisseur et leur conformité aux exigences du MSSS.

Documents relatifs à la gestion des incidents de confidentialité

Ces documents fournissent des outils pour assurer la gestion conforme des incidents de confidentialité, soit leur consignation, leur déclaration aux autorités compétentes et l’information des personnes concernées, lorsque cela est requis.

Nous vous invitons à consulter notre site Internet pour obtenir plus de détails et accéder à ces documents. De plus, des renseignements complémentaires sur les dispositions législatives applicables aux cliniques médicales en matière de protection des renseignements de santé sont présentés dans la formation « La protection des renseignements de santé par un médecin : que devez-vous savoir ? ». Cette formation est accessible sur la plateforme Caducée, le portail de formation en ligne de la FMOQ.