Dépositaires et mesures de protection selon la LPRPS

Un dépositaire doit maintenir des pratiques relatives aux renseignements conformes à la LPRPS et à ses règlements et rendre sa responsabilisation visible aux particuliers.

• Adopter des pratiques conformes régissant la collecte, l’utilisation, la divulgation, la conservation, le transfert et l’élimination des renseignements personnels sur la santé.

• Désigner une personne-ressource comme l’exige la LPRPS et mettre à la disposition du public une déclaration écrite décrivant les pratiques relatives aux renseignements, les coordonnées, le processus d’accès et de rectification et les voies de plainte du dépositaire.

• Recueillir, utiliser ou divulguer des renseignements personnels sur la santé uniquement avec un consentement valide en vertu de la LPRPS ou lorsque celle-ci permet ou exige l’activité.

• Informer les mandataires de leurs obligations, n’autoriser que le traitement nécessaire et demeurer responsable des renseignements qu’ils utilisent pour le compte du dépositaire.

La LPRPS limite les circonstances dans lesquelles des renseignements personnels sur la santé peuvent être recueillis, utilisés ou divulgués, ainsi que la quantité de renseignements qui peut être concernée.

• Ne pas recueillir, utiliser ni divulguer de renseignements personnels sur la santé si d’autres renseignements peuvent servir à la même fin, sauf si la loi exige les renseignements personnels sur la santé.

• Ne pas recueillir, utiliser ni divulguer plus de renseignements personnels sur la santé qu’il n’est raisonnablement nécessaire pour atteindre l’objet, sauf si la loi l’exige.

• Avant d’utiliser les renseignements, prendre des mesures raisonnables pour veiller à ce qu’ils soient aussi exacts, complets et à jour que nécessaire. Avant de les divulguer, prendre ces mesures ou énoncer clairement les limites de leur exactitude, de leur intégralité ou de leur actualité.

• Veiller à ce que chaque collecte, utilisation ou divulgation soit nécessaire à un objet légitime couvert par un consentement valide, ou soit permise ou exigée par la LPRPS.

Les mesures de protection doivent être raisonnables dans les circonstances et protéger les renseignements personnels sur la santé pendant tout leur cycle de vie.

• Utiliser des mesures de protection administratives, techniques et physiques raisonnables contre le vol, la perte, l’utilisation ou la divulgation non autorisée, ainsi que la copie, la modification ou l’élimination non autorisée.

• Conserver, transférer et éliminer les dossiers de façon sécuritaire et conformément aux exigences juridiques et professionnelles applicables.

• Veiller à ce que les employés, le personnel et les autres mandataires comprennent leurs obligations en vertu de la LPRPS et les pratiques du dépositaire.

• Utiliser des ententes et des contrôles adaptés au rôle pour les services de tiers, y compris les exigences prescrites applicables aux personnes qui fournissent des services permettant aux dépositaires de traiter des renseignements personnels sur la santé par voie électronique ou aux fournisseurs de réseaux d’information sur la santé.

La LPRPS attribue des obligations précises lorsque des renseignements personnels sur la santé sont volés ou perdus, ou utilisés ou divulgués sans autorisation.

• Agir rapidement pour contenir l’incident, enquêter sur les faits, atténuer les préjudices et prévenir toute récidive dans le cadre d’une intervention responsable.

• Sous réserve des exceptions et exigences additionnelles de la Loi, aviser le particulier concerné à la première occasion raisonnable du vol, de la perte ou de l’utilisation ou de la divulgation non autorisée. L’avis doit indiquer que le particulier peut porter plainte au CIPVP.

• Lorsque des renseignements sont utilisés ou divulgués sans consentement d’une façon qui n’est pas décrite dans la déclaration publique du dépositaire, celui-ci doit généralement en informer le particulier à la première occasion raisonnable et faire une mention dans le dossier, ou lier la mention à celui-ci, sauf si le particulier n’a aucun droit d’accès au dossier.

• Signaler au CIPVP les catégories prescrites d’atteintes à la vie privée et transmettre tout autre avis exigé par la Loi ou le règlement.

La LPRPS établit les exigences juridiques, tandis que chaque dépositaire doit suivre des pratiques relatives aux renseignements conformes et mettre à la disposition du public la déclaration écrite exigée.

• Les dépositaires peuvent utiliser des personnes-ressources, des étapes de vérification d’identité, des formules de demande, des modes de remise sécurisés et des barèmes de frais licites différents.

• Un organisme du secteur public peut agir comme dépositaire de renseignements sur la santé pour certains dossiers et détenir d’autres dossiers sous le régime d’une autre loi ontarienne sur l’accès et la protection de la vie privée.

• L’avis d’un organisme explique son processus local; il ne remplace pas la LPRPS en vigueur, son règlement ni la surveillance du CIPVP.