Développement de logiciels conformes à la LPRPS (PHIPA) en Ontario : ce que cela veut vraiment dire

Le développement de logiciels conformes à la LPRPS (PHIPA) commence par un fait qui surprend beaucoup d’acheteurs : un logiciel « certifié LPRPS », cela n’existe pas. La LPRPS est la Loi de 2004 sur la protection des renseignements personnels sur la santé de l’Ontario. Elle impose des obligations aux organisations qui détiennent des dossiers de santé, ainsi qu’aux personnes et aux fournisseurs qui traitent ces dossiers pour elles. Un logiciel ne peut pas, à lui seul, satisfaire à la LPRPS. Ce qu’un logiciel peut faire, c’est rendre ces obligations faciles à respecter et faciles à démontrer. Voici ce que cela veut dire en pratique, et ce qu’il faut demander à une firme de développement avant qu’elle commence.

À qui s’applique la LPRPS

La LPRPS est bâtie autour des dépositaires de renseignements sur la santé. On y trouve notamment les hôpitaux, les médecins et les autres praticiens de la santé, les pharmacies, les laboratoires, les foyers de soins de longue durée et les autres fournisseurs de soins de santé en Ontario. Le dépositaire reste responsable des dossiers, même quand un fournisseur les stocke ou les traite.

Les fournisseurs sont aussi visés. Une entreprise qui agit pour un dépositaire est son mandataire. Elle doit suivre les règles du dépositaire et l’aviser rapidement si des renseignements sur la santé sont volés, perdus ou consultés sans autorisation. Une entreprise qui fournit les systèmes électroniques qu’un dépositaire utilise pour recueillir, conserver ou communiquer des renseignements sur la santé a ses propres limites en vertu du règlement de la LPRPS. Elle ne peut utiliser les renseignements que pour fournir le service, elle ne peut pas les divulguer, et son personnel doit accepter les mêmes limites. Une entreprise dont le service permet à deux dépositaires ou plus de s’échanger des renseignements sur la santé a des obligations supplémentaires. Elle doit aviser les dépositaires des atteintes à la vie privée, tenir un registre de chaque accès aux renseignements et le remettre aux dépositaires sur demande, évaluer les risques de son service pour la vie privée et la sécurité, et conclure une entente écrite avec chaque dépositaire.

Donc, si vous construisez ou vendez un logiciel qui contient des dossiers de santé de l’Ontario, votre client vous demandera comment votre logiciel l’aide à respecter la LPRPS. Votre réponse doit s’appuyer sur le logiciel lui-même.

Ce que la LPRPS veut dire pour le logiciel

La LPRPS ne dresse pas une liste d’exigences techniques comme le fait une norme de sécurité. Elle exige que les dépositaires prennent des mesures raisonnables pour protéger les renseignements sur la santé contre le vol, la perte et l’utilisation ou la divulgation non autorisées. En pratique, les hôpitaux et les cliniques de l’Ontario s’attendent à ces fonctions avant de signer :

1. Un accès selon le rôle, pour que le personnel ne voie que les dossiers dont il a besoin pour son travail.
2. Un journal d’audit qui indique qui a consulté, modifié ou communiqué chaque dossier, et quand.
3. Le chiffrement des renseignements sur la santé au repos et en transit, y compris sur les ordinateurs portables et les téléphones.
4. Un moyen d’enregistrer et d’appliquer la demande d’un patient qui veut empêcher certaines personnes ou certains fournisseurs de voir une partie de son dossier, ce qu’on appelle souvent la « boîte verrouillée », et de signaler que des renseignements ont été retenus.
5. Un moyen de trouver, d’exporter et de corriger tout ce qui est conservé au sujet d’un patient, parce que les patients ont le droit de voir leurs dossiers et d’en demander la correction, et que les dépositaires doivent habituellement répondre dans un délai de 30 jours.
6. Des journaux et des rapports qui aident le dépositaire à repérer une atteinte et à déterminer qui est touché.
7. Des règles claires sur la durée de conservation des dossiers et sur la façon de les détruire.

Le journal d’audit est le plus important. La consultation indiscrète par le personnel est l’une des atteintes que le Commissaire à l’information et à la protection de la vie privée de l’Ontario prend le plus au sérieux, et le nombre de cas signalés a augmenté ces dernières années. Quand cela arrive, le dépositaire doit montrer qui a consulté un dossier. Une modification adoptée en 2020 ajoutera une obligation précise pour les dépositaires de tenir et de surveiller des journaux d’audit électroniques, mais elle n’est pas encore en vigueur. Les hôpitaux de l’Ontario s’attendent tout de même à une journalisation solide, et un système sans bons journaux laisse votre client sans réponse.

Atteintes et sanctions

Quand des renseignements sur la santé sont volés, perdus, ou utilisés ou divulgués sans autorisation, le dépositaire doit en aviser les patients touchés à la première occasion raisonnable. Dans bien des cas, il doit aussi signaler l’atteinte au Commissaire à l’information et à la protection de la vie privée de l’Ontario, et il déclare aussi chaque année le nombre d’atteintes. Votre logiciel détermine si le dépositaire peut comprendre ce qui s’est passé en quelques heures ou en plusieurs semaines.

Les enjeux sont réels. Depuis le 1er janvier 2024, le Commissaire peut imposer des pénalités administratives allant jusqu’à 50 000 $ pour les particuliers et 500 000 $ pour les organisations. En cas de déclaration de culpabilité pour une infraction, les amendes peuvent atteindre 200 000 $ pour les particuliers et 1 000 000 $ pour les organisations.

La LPRPS exige-t-elle un hébergement au Canada?

Non. La LPRPS ne dit pas que les renseignements sur la santé doivent être conservés au Canada. Beaucoup d’hôpitaux, d’organismes de santé et de cliniques de l’Ontario l’exigent tout de même dans leurs contrats ou leurs politiques, et certains organismes publics ont leurs propres règles. En pratique, prévoyez un hébergement au Canada si vous vendez à des organisations de santé de l’Ontario. La question ne ralentira alors pas une vente.

Si vous utilisez un fournisseur infonuagique, vérifiez dans quelle région se trouvent vos données et vos sauvegardes, et d’où le personnel de soutien du fournisseur peut y accéder.

LPRPS, LPRPDE et HIPAA

Les équipes de logiciels de santé vendent souvent dans plus d’un marché. Voici la version courte :

1. La LPRPS vise les renseignements personnels sur la santé traités par les dépositaires en Ontario, ainsi que par les personnes et les fournisseurs qui agissent pour eux.
2. La LPRPDE (PIPEDA) est la loi fédérale du Canada sur la protection des renseignements personnels dans le secteur privé. Elle vise la plupart des activités commerciales du secteur privé en Ontario, ainsi que les données qui traversent les frontières provinciales ou nationales. Les dépositaires de l’Ontario qui traitent des renseignements sur la santé en Ontario suivent plutôt la LPRPS, mais la LPRPDE peut tout de même s’appliquer aux propres activités d’une entreprise de logiciels de santé.
3. HIPAA est une loi des États-Unis. Être prêt pour HIPAA ne veut pas dire que vous respectez la LPRPS, même si le travail sur l’accès, la journalisation et le chiffrement se recoupe beaucoup.

Les autres provinces ont leurs propres lois sur les renseignements sur la santé. Si vous vendez à l’extérieur de l’Ontario, vérifiez chacune d’elles.

Dix questions à poser à une firme de développement

1. Avez-vous construit un logiciel qui contient des dossiers de santé de l’Ontario? Pour quel type de dépositaire?
2. Comment le système décide-t-il qui peut voir quel dossier?
3. Qu’est-ce que le journal d’audit enregistre, et un responsable de la protection de la vie privée peut-il y faire des recherches sans développeur?
4. Comment le système appliquerait-il une demande de « boîte verrouillée » d’un patient?
5. Comment trouver, exporter et corriger tout ce que nous conservons au sujet d’un patient?
6. Où les données et les sauvegardes seront-elles hébergées, et qui pourra y accéder pendant le développement?
7. Les développeurs travailleront-ils un jour avec de vraies données de patients? Si oui, avec quels contrôles?
8. Comment les renseignements sur la santé sont-ils chiffrés, et qui gère les clés?
9. Quels documents recevrons-nous pour appuyer une évaluation des facteurs relatifs à la vie privée ou une évaluation des menaces et des risques?
10. Que changeriez-vous si le bureau de la protection de la vie privée d’un hôpital nous envoyait un questionnaire le mois prochain?

Une firme qui a une vraie expérience répondra en mots simples et vous montrera des exemples. Si elle promet un « certificat LPRPS », continuez à chercher.

Notre approche

NorthSight Technologies est une firme de développement logiciel en Ontario, au Canada. Nous construisons des logiciels pour la santé et l’éducation, pour des équipes dont les clients posent des questions difficiles sur la vie privée et la sécurité. Des ingénieurs seniors définissent le travail et écrivent le code. Nous intégrons dès le départ les contrôles d’accès, les journaux d’audit, le chiffrement et l’exportation des dossiers de patients, et nous préparons les documents techniques qu’un responsable de la protection de la vie privée demandera. Nous ne donnons pas de conseils juridiques, et nous travaillons avec votre responsable de la protection de la vie privée ou votre avocat.

Si vous planifiez le développement d’un logiciel conforme à la LPRPS et voulez une réponse franche sur ce dont votre projet a besoin, nous offrons un appel gratuit de 20 minutes. Vous pouvez lire comment nous travaillons et réserver l’appel sur notre page sur le développement logiciel et la conformité.

Aussi publié sur LinkedIn (en anglais) →