Le projet de loi 188 apporte des changements importants à la Loi sur la protection des renseignements personnels sur la santé de l’Ontario

Le projet de loi 188, Loi de 2020 sur la mise Ă  jour Ă©conomique et financière de l’Ontario, a reçu la sanction royale le 25 mars 2020. Le projet de loi a apportĂ© des changements importants Ă  plusieurs lois en rĂ©ponse Ă  la pandĂ©mie de COVID-19, y compris la Loi de 2004 sur la protection des renseignements personnels sur la santĂ© (LPRPS).

Le présent article vise à donner un aperçu des changements importants apportés à la LPRPS par la Loi de 2020 sur la mise à jour économique et financière.

 

Loi de 2004 sur la protection des renseignements personnels sur la santé

La LPRPS prévoit des règles régissant la collecte, l’utilisation et la divulgation des renseignements personnels sur la santé (RPS) afin de protéger le droit à la vie privée et la confidentialité des renseignements. De plus, sous réserve d’exceptions limitées et précises, la LPRPS donne aux personnes le droit d’accéder à leurs propres RPS et de les faire corriger.

La LPRPS réglemente principalement les « dépositaires de renseignements sur la santé » (DRS), qui sont définis comme des personnes ou des institutions qui ont la garde ou le contrôle de renseignements personnels sur la santé dans le cadre de leurs pouvoirs ou de leurs fonctions. La définition de DRS comprend donc les professionnels de la santé, les hôpitaux, les fournisseurs de services de soins de longue durée, les sociétés d’accès aux soins communautaires, les pharmacies et les laboratoires.

 

Principaux changements apportés à la LPRPS

Peines plus sévères en cas d’infraction à la LPRPS

Le projet de loi 188 a augmentĂ© les peines en cas « d’infraction » Ă  la LPRPS :

  • Les personnes physiques (c.-Ă -d. non organisationnelles) sont maintenant passibles d’une amende maximale de 200 000 $ (au lieu de 100 000 $) et d’une peine d’emprisonnement en cas d’infraction Ă  la LPRPS.
  • Les personnes morales sont maintenant passibles d’une amende maximale de 1 000 000 $ (au lieu de 500 000 $) en cas d’infraction Ă  la LPRPS.

 

Sanctions administratives prévues par la LPRPS

Le projet de loi 188 a Ă©galement Ă©largi la portĂ©e des pouvoirs d’application de la loi du commissaire Ă  l’information et Ă  la protection de la vie privĂ©e (CIPVP) Ă  diverses situations qui ne sont pas expressĂ©ment Ă©numĂ©rĂ©es comme des « infractions » en vertu de la LPRPS. En particulier, le CIPVP peut maintenant imposer une pĂ©nalitĂ© administrative aux fins suivantes :

  • favoriser la conformitĂ© Ă  la LPRPS ou Ă  ses règlements ;
  • empĂŞcher une personne de tirer, directement ou indirectement, un avantage Ă©conomique d’une infraction Ă  la LPRPS ou Ă  ses règlements.

Le CIPVP peut, à sa discrétion et à la lumière des fins susmentionnées et conformément aux règlements pris en vertu de la LPRPS, déterminer le montant approprié d’une pénalité administrative pour une infraction.

Notamment, cette pénalité administrative est assujettie à un délai de prescription de deux ans à compter du jour où l’infraction est portée à la connaissance du CIPVP.

Mesures d’application de la loi

Le projet de loi 188 prĂ©cise que le recours aux mesures d’application de la LPRPS n’interdit pas le recours Ă  quelque autre mesure d’application de la loi ou recours juridique qui pourrait autrement ĂŞtre disponible Ă  l’égard de la mĂŞme infraction.

Il semble que cette clarification vise à confirmer qu’une personne ou une organisation visée par une pénalité ou une amende administrative en vertu de la LPRPS peut, relativement à la même infraction, être également tenue responsable d’avoir commis un délit relatif à la protection de la vie privée en common law.

 

Obligation de production

Les modifications apportées à la LPRPS établissent le pouvoir d’un agent des infractions provinciales (au sens de la Loi sur les infractions provinciales) de demander à un juge provincial ou à un juge de paix, sans préavis, une ordonnance de production obligeant une personne faisant l’objet d’une enquête à produire des documents ou des données.

Pour accorder une telle ordonnance, le juge provincial ou le juge de paix doit ĂŞtre convaincu, sur la foi des renseignements fournis sous serment ou par affirmation solennelle, qu’il existe des motifs raisonnables de croire que :

  • Une infraction Ă  la LPRPS a Ă©tĂ© commise ou est en train de l’être ;
  • les documents ou les donnĂ©es fourniront des Ă©lĂ©ments de preuve concernant l’infraction ou l’infraction prĂ©sumĂ©e ;
  • la personne visĂ©e par l’ordonnance a la possession ou le contrĂ´le des documents ou des donnĂ©es.

Une copie des documents ou des données produites à la suite d’une ordonnance de production, sur preuve par affidavit qu’il s’agit d’une copie conforme, peut être admissible comme élément de preuve lors des procédures en vertu de la LPRPS et a la même force probante qu’auraient eu les documents ou données originaux s’ils avaient été produits selon la procédure ordinaire.

 

Registres électroniques des accès

Les DRS qui utilisent des moyens électroniques pour recueillir, utiliser, divulguer, modifier, conserver ou éliminer des renseignements personnels sur la santé sont maintenant assujettis à des exigences de tenue, de vérification et de surveillance de « registres électroniques des accès ».

Les registres Ă©lectroniques des accès doivent comprendre, dans tous les cas de consultation, d’emploi, de modification ou de traitement d’une autre façon de la totalitĂ© ou d’une partie d’un dossier de renseignements personnels sur la santĂ© qui est accessible par des moyens Ă©lectroniques :

  • le type de renseignements qui ont Ă©tĂ© consultĂ©s, employĂ©s, modifiĂ©s ou traitĂ©s d’une autre façon ;
  • la date et l’heure Ă  laquelle les renseignements ont Ă©tĂ© consultĂ©s, employĂ©s, modifiĂ©s ou traitĂ©s d’une autre façon ;
  • l’identitĂ© de toutes les personnes qui ont consultĂ©, employĂ©, modifiĂ© ou traitĂ© d’une autre façon les renseignements personnels sur la santé ;
  • l’identitĂ© du particulier que les renseignements personnels sur la santĂ© concernent ;
  • tout autre renseignement prescrit.

Les registres électroniques des accès doivent être fournis au CIPVP sur demande.

Ces dispositions n’ont pas encore été proclamées en vigueur par la lieutenante-gouverneure.

 

Fournisseurs de services électroniques aux consommateurs

Le projet de loi 188 Ă©tablit et rĂ©glemente une nouvelle catĂ©gorie d’entitĂ©s, les « fournisseurs de services Ă©lectroniques aux consommateurs » (FSEC). Les FSEC sont les entitĂ©s qui fournissent des services Ă©lectroniques Ă  des particuliers, Ă  la demande de ces derniers, principalement dans le but de permettre Ă  ces particuliers d’avoir accès Ă  leurs dossiers de renseignements personnels sur la santĂ©, de les utiliser, de les divulguer, de les modifier, de les tenir ou de les gĂ©rer d’une autre façon.

Les dispositions relatives aux FSEC entreront en vigueur à une date qui sera fixée par la lieutenante-gouverneure.

Autres modifications subséquentes

Voici d’autres modifications subsĂ©quentes Ă  la LPRPS :

  • Les personnes dĂ©signĂ©es par règlement et les DRS qui fournissent des soins de santĂ© Ă  un particulier peuvent recueillir ou utiliser son numĂ©ro de carte santĂ©, avec le consentement de la personne, Ă  certaines fins de vĂ©rification et d’établissement de liens.
  • La LPRPS permet maintenant aux DRS de divulguer des RPS Ă  certaines fins liĂ©es Ă  la Loi sur l’immunisation des Ă©lèves.
  • Parallèlement Ă  ses modifications Ă  la LPRPS, le projet de loi 188 a Ă©tabli des « services extraministĂ©riels d’intĂ©gration des donnĂ©es » en vertu de la partie III.1 de la Loi sur l’accès Ă  l’information et la protection de la vie privĂ©e. En vertu de la LPRPS, les DRS sont autorisĂ©s Ă  divulguer les RPS aux services extraministĂ©riels d’intĂ©gration des donnĂ©es aux fins de la compilation de renseignements statistiques afin de permettre une analyse relativement Ă  (1) la gestion ou l’affectation des ressources ; (2) la planification de la prestation des programmes de services ; (3) l’évaluation de ces programmes ou services.
  • Les DRS peuvent divulguer des RPS au ministre de la SantĂ© et des Soins de longue durĂ©e, ou Ă  d’autres ministres dĂ©signĂ©s par règlement, Ă  certaines fins de paiement des soins de santĂ©.
  • Le droit d’accès aux dossiers contenant des RPS en vertu de la LPRPS a Ă©tĂ© Ă©largi pour inclure le droit d’accĂ©der aux dossiers en format Ă©lectronique.
  • Le CIPVP est maintenant autorisĂ© Ă  inspecter les dossiers des RPS, sans consentement, lorsqu’elle conclut ou a des motifs raisonnables de soupçonner que le dossier des RPS a Ă©tĂ© abandonnĂ©.
  • La dĂ©finition de l’anonymisation des renseignements a Ă©tĂ© modifiĂ©e, en vertu du projet de loi 188, comme suit : « d’en retirer, conformĂ©ment aux exigences, le cas Ă©chĂ©ant, prescrites, les renseignements qui permettent de l’identifier ou Ă  l’égard desquels il est raisonnable de prĂ©voir, dans les circonstances, qu’ils pourraient servir, seuls ou avec d’autres renseignements, Ă  l’identifier. »

Bon nombre des changements susmentionnés ne sont pas encore en vigueur et sont en attente d’une proclamation par la lieutenante-gouverneure.

 

Ă€ notre avis

Les modifications apportĂ©es par le projet de loi 188 Ă  la LPRPS sont particulièrement notables pour leur expansion importante de la responsabilitĂ© des DRS en vertu de la LPRPS.

Auparavant, les DRS pouvaient seulement faire l’objet de sanctions pĂ©cuniaires en vertu de la LPRPS pour avoir commis une « infraction », ce qui exige gĂ©nĂ©ralement une violation « dĂ©libĂ©rĂ©e » de la LPRPS, de sorte qu’une infraction « par nĂ©gligence » Ă  la LPRPS ne constituait habituellement pas une infraction. De plus, seuls le procureur gĂ©nĂ©ral ou son agent pouvaient dĂ©clarer un DRS coupable d’une infraction en vertu de la LPRPS, ce qui, historiquement, ne s’est produit qu’à de rares occasions â€“ par exemple, au cours des dix premières annĂ©es de la LPRPS, un seul DRS a Ă©tĂ© reconnu coupable d’une infraction.

Toutefois, avec l’introduction d’amendes administratives, les DRS peuvent être tenus responsables d’infractions à la LPRPS qui découlent de l’omission de mettre en œuvre et de suivre de bonnes pratiques de protection des RPS, même lorsque l’élément « délibéré » de l’infraction est absent. Étant donné que les amendes administratives peuvent être imposées par le CIPVP, il y a également une plus grande probabilité qu’elles soient utilisées sur une base régulière, dans le cadre des ordonnances rendues par le CIPVP.

De plus, le projet de loi 188 modifie la LPRPS afin de prĂ©ciser que les particuliers peuvent, en plus des mesures d’application prises en vertu de la LPRPS, avoir recours Ă  d’autres moyens d’indemnisation en cas de violation des RPS, comme des poursuites civiles (y compris des recours collectifs) pour les dĂ©lits relatifs Ă  la protection de la vie privĂ©e en common law.

Nous recommandons aux DRS de réévaluer leurs pratiques de protection des renseignements personnels à la lumière de la responsabilité élargie qui leur est imposée, afin d’assurer la conformité à la LPRPS et à ses règlements.

Pour de plus amples renseignements, veuillez communiquer avec Sarah Lapointe au 613-940-2738.

Related Articles

Les commissaires à la protection de la vie privée du Canada émettent des lignes directrices sur les passeports vaccinaux

Alors que la disponibilité des vaccins contre la COVID‑19 s’accroît dans toutes les provinces du Canada, le discours public commence…

Vaccination obligatoire contre la COVID-19 en milieu de travail

En Ontario, le déploiement du vaccin contre la COVID-19 a débuté. Alors que le vaccin est maintenant accessible pour de…

Constats en matière de vie privée pour les conseils scolaires dans l'ère de l'enseignement à distance

Alors que plusieurs conseils scolaires de l’Ontario et ailleurs au Canada commencent à dispenser de l’enseignement à distance afin de…