Politique et procédures relatives aux demandes de renseignements et aux plaintes concernant le dossier de santé électronique

Approbation au niveau de la politique : Président-directeur général

Catégorie de politique : Politique organisationnelle

Numéro de politique : INF-004.02-PP

Parrain (ou parrains) de la politique : Directeur général, Stratégie, Planification, Protection de la vie privée et analyse

Date d'approbation originale : 26 juin 2014

Date d'affichage : 15 mai 2026

Date d'approbation de la version : 9 avril 2026

1. But, objectifs et portée

1.1 But

1.1.1 La présente politique et ses procédures décrivent le processus à suivre pour recevoir, documenter, suivre et traiter les demandes de renseignements relatives à la protection de la vie privée du DSE et les plaintes relatives à la protection de la vie privée du DSE concernant les renseignements personnels sur la santé (RPS) accessibles au moyen du dossier de santé électronique (DSE) développé ou maintenu par Santé Ontario.

1.2 Objectifs

1.2.1 Appuyer une personne dans l'exercice de son droit de présenter une demande de renseignements relative à la protection de la vie privée du DSE ou une plainte relative à la protection de la vie privée du DSE concernant le DSE développé ou maintenu par Santé Ontario.

1.2.2 Permettre aux dépositaires de renseignements sur la santé (DRS) et à Santé Ontario de respecter leurs obligations en vertu de la Loi de 2004 sur la protection des renseignements personnels sur la santé (LPRPS) et de ses règlements relativement aux demandes de renseignements relatives à la protection de la vie privée du DSE et aux plaintes relatives à la protection de la vie privée du DSE concernant le DSE développé ou maintenu par Santé Ontario.

1.2.3 La présente politique et ses procédures appuient la gestion, par Santé Ontario, des demandes de renseignements relatives à la protection de la vie privée du DSE et des plaintes relatives à la protection de la vie privée du DSE conformément aux exigences énoncées dans le Manuel relatif à l'examen et à l'approbation des organisations prescrites (Manuel des OP du CIPVP) du Commissaire à l'information et à la protection de la vie privée de l'Ontario (CIPVP).

1.3 Portée

1.3.1 La présente politique s'applique à Santé Ontario lorsqu'elle agit dans le cadre de son mandat d'OP aux fins de la partie V.1 de la LPRPS.

1.3.2 La présente politique s'applique aux employés non syndiqués, aux responsables d'équipe, aux membres du conseil d'administration, aux employés syndiqués, aux personnes détachées, aux consultants, aux autres personnes agissant pour le compte de Santé Ontario (agents de Santé Ontario) et aux DRS qui accèdent aux RPS accessibles au moyen du DSE ou y contribuent.

1.3.3 La présente politique et ses procédures s'appliquent aux demandes de renseignements relatives à la protection de la vie privée et aux plaintes relatives à la protection de la vie privée concernant les RPS accessibles au moyen du DSE développé ou maintenu par Santé Ontario. Pour obtenir de plus amples renseignements sur la portée du DSE, veuillez consulter la description du DSE et la liste des répertoires.

1.3.4 La Politique et procédures relatives aux demandes de renseignements et aux plaintes concernant la protection de la vie privée de Santé Ontario complète la présente politique et aide les employés et autres agents de Santé Ontario à gérer toutes les demandes de renseignements relatives à la protection de la vie privée et toutes les plaintes relatives à la protection de la vie privée liées à Santé Ontario.

1.4 Conformité, vérification et application

Le respect intégral de la présente politique est obligatoire, sauf si une exception à une section précise est approuvée par écrit par le directeur général de la protection de la vie privée (DGPVP) ou son délégué. Le non-respect des exigences de la présente politique, en l'absence d'une exception écrite, peut entraîner des mesures disciplinaires pouvant aller jusqu'à la révocation de la nomination, la cessation d'emploi ou la résiliation du contrat sans préavis ni indemnité.

1.4.2 La conformité fera l'objet d'une vérification conformément à la Politique de vérification et de conformité en matière de protection de la vie privée et selon la fréquence qui y est prévue.

Dès la première occasion raisonnable suivant la constatation ou la prise de connaissance d'une violation de la présente politique, les employés ou autres agents de Santé Ontario, ainsi que les DRS doivent en informer le Bureau de la protection de la vie privée en signalant la violation au centre de services de l'entreprise par téléphone : 1-866-250-1554; ou par courriel à oh-servicedesk@ontariohealth.ca

1.4.4 Les manquements à la présente politique seront gérés conformément à la Politique et procédure de gestion des incidents liés à la protection de la vie privée.

1.4.5 La conformité aux politiques de Santé Ontario sera appliquée conformément à la Politique de discipline progressive.

1.5 Terminologie

1.5.0 Les termes « inclure » et « y compris », lorsqu'ils sont utilisés, ne sont pas limitatifs et signifient respectivement « inclure, sans s'y limiter » et « y compris, sans s'y limiter ».

1.5.1 Les mots et expressions de la présente politique ayant un sens différent de leur acception courante sont écrits avec une majuscule et leur définition figure à la section Définitions et sigles (section 5).

2. Politique

2.1 Généralités

2.1.1 Santé Ontario traitera les atteintes à la protection de la vie privée, réelles ou soupçonnées, relevées dans le cadre de l'enquête relative à une demande de renseignements sur la protection de la vie privée du DSE ou à une plainte relative à la protection de la vie privée du DSE conformément à la Politique et procédure de gestion des incidents liés à la protection de la vie privée ou à la Politique et procédure de gestion des incidents liés à la protection de la vie privée du DSE, selon le cas.

2.1.2 La LPRPS exige qu'un DRS qui n'est pas une personne physique, comme un DRS constitué en société ou en société de personnes, désigne une personne-ressource chargée de répondre aux demandes de renseignements relatives aux pratiques du DRS en matière d'information, de recevoir les plaintes relatives à une présumée contravention à la LPRPS par le DRS et de veiller à ce que tous les mandataires du DRS soient adéquatement informés de leurs obligations en vertu de la LPRPS.

2.1.3 La LPRPS permet à un DRS qui est une personne physique de désigner une personne-ressource chargée de répondre aux demandes de renseignements relatives aux pratiques du DRS en matière d'information, de recevoir les plaintes relatives à une présumée contravention à la LPRPS par le DRS et de veiller à ce que tous les mandataires du DRS soient adéquatement informés de leurs obligations en vertu de la LPRPS. Lorsqu'un DRS qui est une personne physique ne désigne pas une telle personne-ressource, le DRS doit lui-même s'acquitter de ces fonctions.

2.1.4 Une personne qui a des motifs raisonnables de croire qu'un DRS, Santé Ontario ou l'un de leurs mandataires ou fournisseurs de services électroniques (FSE) a contrevenu ou est sur le point de contrevenir à la LPRPS peut également déposer une plainte auprès du CIPVP.

2.1.5 La présente politique et ses procédures appuient une personne dans l'exercice de son droit de présenter une demande de renseignements relative à la protection de la vie privée du DSE ou une plainte relative à la protection de la vie privée du DSE et permettront aux DRS et à Santé Ontario de respecter leurs obligations à cet égard en vertu de la LPRPS.

2.1.6 Les DRS et Santé Ontario ont mis en place et maintiennent des politiques, procédures et pratiques en matière de protection de la vie privée et de sécurité qui sont nécessaires pour leur permettre de respecter leurs obligations en vertu de la LPRPS, des ententes applicables et de la présente politique ainsi que de ses procédures connexes.

2.1.7 Les DRS et Santé Ontario ont mis en place et maintiennent des politiques, procédures et pratiques en matière de protection de la vie privée et de sécurité qui sont conformes à la LPRPS et qui informent leurs mandataires et leurs FSE des politiques, procédures et pratiques, comme l'exige la LPRPS.

2.1.8 Santé Ontario a mis en place un programme permettant aux DRS et à Santé Ontario de respecter leurs obligations en matière de réception, de documentation, de suivi, de traitement et de réponse aux demandes de renseignements relatives à la protection de la vie privée du DSE et aux plaintes relatives à la protection de la vie privée du DSE concernant les RPS accessibles au moyen du DSE développé ou maintenu par Santé Ontario, conformément à la LPRPS, aux ententes applicables et à la présente politique.

2.1.9 Lorsque Santé Ontario reçoit directement une demande de renseignements relative à la protection de la vie privée ou une plainte relative à la protection de la vie privée concernant uniquement Santé Ontario ou une personne non autorisée, Santé Ontario reçoit, documente, suit, traite et répond directement à la personne qui présente la demande ou la plainte dès que possible, mais dans tous les cas au plus tard 30 jours civils après la réception de la demande de renseignements relative à la protection de la vie privée ou de la plainte relative à la protection de la vie privée par Santé Ontario, conformément à la Politique et procédures relatives aux demandes de renseignements et aux plaintes concernant la protection de la vie privée et à la présente politique, selon le cas.

3. Procédures

3.1 Comment présenter une demande de renseignements relative à la protection de la vie privée du DSE ou une plainte relative à la protection de la vie privée du DSE

3.1.1 Les personnes peuvent adresser directement à Santé Ontario des demandes de renseignements relatives à la protection de la vie privée du DSE et des plaintes relatives à la protection de la vie privée du DSE lorsque la demande, la préoccupation ou la plainte concerne :

• La conformité d'un DRS ou de Santé Ontario à la LPRPS et à ses règlements relativement aux RPS accessibles au moyen du DSE développé ou maintenu par Santé Ontario; et
• Les politiques, procédures et pratiques en matière de protection de la vie privée mises en place par les DRS ou par Santé Ontario relativement aux RPS accessibles au moyen du DSE développé ou maintenu par Santé Ontario.

3.1.2 Les demandes de renseignements relatives à la protection de la vie privée du DSE et les plaintes relatives à la protection de la vie privée du DSE peuvent être présentées directement à Santé Ontario verbalement ou par écrit. Les personnes devraient fournir leurs coordonnées, y compris leur nom, leur adresse postale, leur numéro de téléphone ou leur adresse électronique si elles souhaitent que Santé Ontario réponde à leur demande, à leur préoccupation ou à leur plainte.

3.1.3 Les demandes de renseignements relatives à la protection de la vie privée du DSE et les plaintes relatives à la protection de la vie privée du DSE peuvent être adressées au DGPVP de Santé Ontario de la manière suivante :

Envoyez-nous un courriel à l'aide de notre formulaire de contact sur la protection de la vie privée
Téléphone : 1-877-280-8538
Courrier :
Directeur général de la protection de la vie privée
525, avenue University, 5e étage
Toronto, Ontario, M5G 2L3

3.1.4 Les personnes peuvent adresser au CIPVP des plaintes relatives à la protection de la vie privée concernant la conformité de Santé Ontario ou d'un ou de plusieurs DRS qui collectent, utilisent ou divulguent des RPS par l'entremise du DSE à la LPRPS et à ses règlements.

3.1.5 L'adresse postale et les coordonnées du CIPVP sont les suivantes :

Courrier :
Registraire
Commissaire à l'information et à la protection de la vie privée de l'Ontario
2, rue Bloor East, bureau 1400
Toronto, Ontario, M4W 1A8
Courriel : info@ipc.on.ca
Téléphone :
Région de Toronto : 416-326-3333
Gratuit : 1-800-387-0073
ATS : 416-325-7539

3.1.6 Le site Web de Santé Ontario comprend une page consacrée à la protection de la vie privée indiquant l'adresse postale, l'adresse électronique, le numéro de téléphone et le numéro de télécopie auxquels les personnes peuvent adresser à Santé Ontario une demande de renseignements relative à la protection de la vie privée du DSE ou une plainte relative à la protection de la vie privée du DSE, ainsi que les coordonnées du CIPVP.

3.1.7 Les personnes peuvent obtenir de plus amples renseignements sur les politiques, procédures et pratiques en matière de protection de la vie privée mises en place par Santé Ontario en consultant le site Web de Santé Ontario.

3.1.8 Les personnes peuvent obtenir de plus amples renseignements sur les politiques, procédures et pratiques en matière de protection de la vie privée mises en place par les DRS qui contribuent des RPS au DSE ou par les DRS qui collectent des RPS accessibles au moyen du DSE en communiquant directement avec le DRS.

3.2 Processus de réception des demandes de renseignements relatives à la protection de la vie privée du DSE et des plaintes relatives à la protection de la vie privée du DSE

3.2.1 Le Bureau de la protection de la vie privée de Santé Ontario agit comme premier point de contact pour répondre aux demandes de renseignements relatives à la protection de la vie privée du DSE et aux plaintes relatives à la protection de la vie privée du DSE.

3.2.2 Tout employé ou autre agent de Santé Ontario qui reçoit directement une demande de renseignements relative à la protection de la vie privée du DSE ou une plainte relative à la protection de la vie privée du DSE doit immédiatement la transmettre au Bureau de la protection de la vie privée de Santé Ontario.

3.2.3 Une fois qu'une demande de renseignements relative à la protection de la vie privée du DSE ou une plainte relative à la protection de la vie privée du DSE est reçue par le Bureau de la protection de la vie privée, le DGPVP ou son délégué est responsable de désigner un membre de l'équipe de protection de la vie privée (« membre désigné de l'équipe de protection de la vie privée ») pour documenter, suivre, examiner et traiter la demande ou la plainte, selon le cas.

3.2.4 Les renseignements demandés à la personne qui présente une demande de renseignements relative à la protection de la vie privée du DSE ou une plainte relative à la protection de la vie privée du DSE peuvent comprendre son nom et ses coordonnées, y compris son adresse postale, son numéro de téléphone ou son adresse électronique, si cette personne souhaite que Santé Ontario réponde à sa demande, à sa préoccupation ou à sa plainte.

3.3 Procédures relatives aux demandes de renseignements relatives à la protection de la vie privée du DSE

3.3.1 Le membre désigné de l'équipe de protection de la vie privée examine dès que possible la demande de renseignements relative à la protection de la vie privée du DSE et détermine si elle concerne Santé Ontario ou une personne non autorisée, ou un ou plusieurs DRS.

• Lorsque la demande de renseignements relative à la protection de la vie privée du DSE concerne Santé Ontario ou une personne non autorisée, le membre désigné de l'équipe de protection de la vie privée suit la procédure établie dans la Politique et procédures relatives aux demandes de renseignements et aux plaintes concernant la protection de la vie privée de Santé Ontario.
• Lorsque la demande de renseignements relative à la protection de la vie privée du DSE concerne un ou plusieurs DRS, le membre désigné de l'équipe de protection de la vie privée suit la procédure commençant à la section 3.3.13.

3.3.2 Le membre désigné de l'équipe de protection de la vie privée consigne dans le registre de suivi toutes les mesures prises relativement à la demande de renseignements relative à la protection de la vie privée du DSE.

Demande de renseignements relative à la protection de la vie privée du DSE concernant un ou plusieurs DRS

3.3.3 Lorsque Santé Ontario reçoit une demande de renseignements relative à la protection de la vie privée du DSE concernant un ou plusieurs DRS, le membre désigné de l'équipe de protection de la vie privée :

• Consigne la réception de la demande de renseignements relative à la protection de la vie privée du DSE dans le registre de suivi;
• Transmet la demande de renseignements relative à la protection de la vie privée du DSE au(x) DRS concerné(s) dès que possible, et dans tous les cas au plus tard quatre jours ouvrables après sa réception par Santé Ontario;
• Utilise le mode de communication privilégié par la personne qui présente la demande de renseignements relative à la protection de la vie privée du DSE pour lui répondre dès que possible, et dans tous les cas au plus tard quatre jours ouvrables après la réception de la demande de renseignements relative à la protection de la vie privée du DSE par Santé Ontario, en :
  • accusant réception de la demande de renseignements relative à la protection de la vie privée du DSE;
  • indiquant que la demande de renseignements relative à la protection de la vie privée du DSE a été transmise à un ou plusieurs DRS;
  • indiquant que le ou les DRS auxquels la demande de renseignements relative à la protection de la vie privée du DSE a été transmise fourniront une réponse à la personne qui l'a présentée dès que possible, et dans tous les cas au plus tard 30 jours après la réception de la demande de renseignements relative à la protection de la vie privée du DSE par Santé Ontario;
  • indiquant que le ou les DRS auxquels la demande de renseignements relative à la protection de la vie privée du DSE a été transmise fourniront une date de réponse révisée s'ils ne peuvent y répondre dans les 30 jours suivant sa réception par Santé Ontario; et
  • fournissant les coordonnées du ou des DRS auxquels la demande de renseignements relative à la protection de la vie privée du DSE a été transmise.

3.3.4 Dès réception d'une demande de renseignements relative à la protection de la vie privée du DSE transmise par Santé Ontario, le DRS doit :

• La recevoir, la documenter, en assurer le suivi, la traiter et répondre directement à la personne qui l'a présentée dès que possible, mais dans tous les cas au plus tard 30 jours après sa réception par Santé Ontario, conformément à ses politiques, procédures et pratiques internes;
• Fournir à la personne qui présente la demande de renseignements relative à la protection de la vie privée du DSE une date de réponse révisée dès que possible, mais dans tous les cas au plus tard 30 jours après la réception de la demande de renseignements relative à la protection de la vie privée du DSE par Santé Ontario, si la demande ne peut recevoir de réponse dans ce délai; et

3.3.5 Consigner le fait qu'une réponse a été donnée à la demande de renseignements relative à la protection de la vie privée du DSE en conservant une copie de la réponse ou en consignant le fait qu'une réponse a été donnée conformément à ses politiques, pratiques et procédures internes.

Demande ou directive du ministre concernant les demandes de renseignements relatives à la protection de la vie privée du DSE

3.3.6 Lorsqu'il lui en est fait la demande ou qu'il reçoit une directive du ministre de la Santé (ministre), Santé Ontario aide les DRS :

• À élaborer une politique et des procédures pour répondre aux demandes de renseignements relatives à la protection de la vie privée du DSE lorsque celles-ci concernent un ou plusieurs DRS; et
• À répondre aux demandes de renseignements relatives à la protection de la vie privée du DSE.

3.4 Procédures relatives aux plaintes relatives à la protection de la vie privée du DSE

3.4.1 Le membre désigné de l'équipe de protection de la vie privée examine dès que possible la plainte relative à la protection de la vie privée du DSE et détermine si elle concerne Santé Ontario ou une personne non autorisée, ou un ou plusieurs DRS.

• Lorsque la demande de renseignements relative à la protection de la vie privée du DSE concerne Santé Ontario ou une personne non autorisée, le membre désigné de l'équipe de protection de la vie privée suit la procédure établie dans la Politique et procédures relatives aux demandes de renseignements et aux plaintes concernant la protection de la vie privée de Santé Ontario.
• Lorsque la plainte relative à la protection de la vie privée du DSE concerne un ou plusieurs DRS, le membre désigné de l'équipe de protection de la vie privée suit la procédure commençant à la section 3.4.3.

3.4.2 Le membre désigné de l'équipe de protection de la vie privée consigne toutes les mesures prises relativement à la plainte relative à la protection de la vie privée du DSE conformément aux exigences énoncées à l'annexe « A ».

Plainte relative à la protection de la vie privée du DSE concernant un ou plusieurs DRS

3.4.3 Lorsque Santé Ontario reçoit une plainte relative à la protection de la vie privée du DSE concernant un ou plusieurs DRS ou le mandataire ou le FSE d'un ou de plusieurs DRS, le membre désigné de l'équipe de protection de la vie privée :

• Consigne la réception de la plainte relative à la protection de la vie privée du DSE dans le registre des plaintes relatives à la protection de la vie privée du DSE;
• Transmet la plainte relative à la protection de la vie privée du DSE au(x) DRS concerné(s) dès que possible, et dans tous les cas au plus tard quatre jours ouvrables après sa réception par Santé Ontario;
• Répond par écrit à la personne qui présente la plainte relative à la protection de la vie privée du DSE dès que possible, et dans tous les cas au plus tard quatre jours ouvrables après la réception de la plainte relative à la protection de la vie privée du DSE par Santé Ontario, en :
  • accusant réception de la plainte relative à la protection de la vie privée du DSE;
  • indiquant que la plainte relative à la protection de la vie privée du DSE a été transmise à un ou plusieurs DRS;
  • indiquant que le ou les DRS auxquels la plainte relative à la protection de la vie privée du DSE a été transmise fourniront une réponse à la personne qui l'a présentée dès que possible, et dans tous les cas au plus tard 30 jours après la réception de la plainte relative à la protection de la vie privée du DSE par Santé Ontario;
  • indiquant que le ou les DRS auxquels la plainte relative à la protection de la vie privée du DSE a été transmise fourniront une date de réponse révisée s'ils ne peuvent y répondre dans les 30 jours suivant sa réception par Santé Ontario; et
  • fournissant les coordonnées du ou des DRS auxquels la plainte relative à la protection de la vie privée du DSE a été transmise.

3.4.4 Dès réception d'une plainte relative à la protection de la vie privée du DSE transmise par Santé Ontario, le DRS doit :

3.4.5 La recevoir, la documenter, en assurer le suivi, l'examiner, y remédier et répondre directement à la personne qui l'a présentée dès que possible, mais dans tous les cas au plus tard 30 jours après la réception de la plainte relative à la protection de la vie privée du DSE par Santé Ontario, conformément à ses politiques, procédures et pratiques internes;

3.4.6 Fournir à la personne qui présente la plainte relative à la protection de la vie privée du DSE une date de réponse révisée dès que possible, mais dans tous les cas au plus tard 30 jours après la réception de la plainte relative à la protection de la vie privée du DSE par Santé Ontario, si la plainte ne peut recevoir de réponse dans ce délai; et

3.4.7 Consigner le fait qu'une réponse a été donnée à la plainte relative à la protection de la vie privée du DSE en conservant une copie de la réponse ou en consignant le fait qu'une réponse a été donnée conformément à ses politiques, pratiques et procédures internes.

Demande ou directive du ministre concernant les plaintes relatives à la protection de la vie privée du DSE

3.4.8 Lorsqu'il lui en est fait la demande ou qu'il reçoit une directive du ministre, Santé Ontario aide les DRS :

• À élaborer une politique et des procédures pour déterminer s'il y a lieu d'examiner une plainte relative à la protection de la vie privée du DSE et, le cas échéant, à examiner cette plainte et à y remédier lorsque celle-ci concerne plus d'un DRS ou le mandataire ou le FSE de plus d'un DRS.
• À déterminer s'il y a lieu d'examiner une plainte relative à la protection de la vie privée du DSE et, le cas échéant, à aider à l'examen de cette plainte et aux mesures correctives lorsque celle-ci concerne un ou plusieurs DRS ou le mandataire ou le FSE d'un ou de plusieurs DRS.

3.5 Suivi et consignation des demandes de renseignements relatives à la protection de la vie privée du DSE et des plaintes relatives à la protection de la vie privée du DSE

3.5.1 Santé Ontario tient un registre de toutes les plaintes relatives à la protection de la vie privée du DSE (registre des plaintes relatives à la protection de la vie privée du DSE) concernant les RPS accessibles au moyen du DSE développé ou maintenu par Santé Ontario, mais n'est pas tenue de tenir un registre des demandes de renseignements relatives à la protection de la vie privée du DSE.

3.5.2 Les membres désignés de l'équipe de protection de la vie privée, sous la supervision du DGPVP ou de son délégué, sont responsables de la tenue du registre des plaintes relatives à la protection de la vie privée du DSE et du suivi visant à déterminer si Santé Ontario a traité les recommandations découlant d'une enquête dans les délais établis.

3.5.3 La documentation relative à la réception, à l'enquête, à l'avis et aux mesures correctives liées aux plaintes relatives à la protection de la vie privée est conservée dans le lecteur sécurisé, et le DGPVP ou son délégué est responsable de la conservation de cette documentation.

3.5.4 Le registre des plaintes relatives à la protection de la vie privée du DSE indique les renseignements énumérés à l'« annexe A » du présent document relativement à chaque plainte relative à la protection de la vie privée du DSE reçue par Santé Ontario.

4. Responsabilités

4.1 Directeur général de la protection de la vie privée (DGPVP) ou son délégué

• Superviser la gestion, par Santé Ontario, des demandes de renseignements relatives à la protection de la vie privée du DSE et des plaintes relatives à la protection de la vie privée du DSE.
• Désigner un membre du Bureau de la protection de la vie privée pour gérer chaque demande de renseignements relative à la protection de la vie privée du DSE et chaque plainte relative à la protection de la vie privée du DSE, ainsi que désigner des membres de Santé Ontario chargés de traiter les risques connexes en matière de protection de la vie privée et d'y remédier.
• Déterminer si une plainte relative à la protection de la vie privée du DSE doit faire l'objet d'une enquête et si les conclusions de cette enquête doivent être communiquées au PDG ou à une autre organisation ou personne.

4.2 VPP, Excellence numérique en santé

• Le VPP, Excellence en santé numérique, s'est vu déléguer le pouvoir quotidien de gérer le programme de sécurité de Santé Ontario.

4.3 Membre désigné du Bureau de la protection de la vie privée

• Documenter, suivre, examiner, traiter et corriger la demande de renseignements relative à la protection de la vie privée du DSE ou la plainte relative à la protection de la vie privée du DSE conformément à la présente politique et aux politiques et procédures internes de Santé Ontario, selon le cas.

4.4 Dépositaire des renseignements sur la santé (DRS) concerné

• Aviser Santé Ontario des demandes de renseignements relatives à la protection de la vie privée du DSE et des plaintes relatives à la protection de la vie privée du DSE qui concernent un autre DRS ou Santé Ontario conformément à la présente politique.
• Documenter, suivre, examiner, traiter et corriger la demande de renseignements relative à la protection de la vie privée du DSE ou la plainte relative à la protection de la vie privée du DSE conformément à la présente politique et aux politiques et procédures internes du DRS, selon le cas.
• À la première occasion raisonnable après avoir relevé ou pris connaissance d'une violation de la présente politique, aviser le Bureau de la protection de la vie privée de Santé Ontario.

4.5 Employés et autres agents de Santé Ontario

• À la première occasion raisonnable après avoir relevé ou pris connaissance d'une violation de la présente politique, aviser le Bureau de la protection de la vie privée de Santé Ontario.
• Transmettre immédiatement toute demande de renseignements relative à la protection de la vie privée du DSE ou toute plainte relative à la protection de la vie privée du DSE au Bureau de la protection de la vie privée de Santé Ontario.

5. Définitions et sigles

Les termes définis sont en majuscules dans l'ensemble du présent document

PDG : Président-directeur général

Recueillir : A le sens qui lui est donné à l'article 2 de la LPRPS relativement aux RPS; et, relativement aux RP, a le même sens. « Recueillir » signifie rassembler, acquérir, recevoir ou obtenir des renseignements par tout moyen et auprès de toute source, et « collecte » et « recueilli » ont un sens correspondant.

DGPVP : Directeur général de la protection de la vie privée

Divulguer : A le sens qui lui est donné à l'art. 2 de la LPRPS relativement aux RPS sous la garde ou le contrôle d'un DRS ou d'une personne; et, relativement aux RP, a le même sens.

« Divulguer » signifie rendre les renseignements accessibles ou les communiquer à un autre DRS ou à une autre personne, mais ne comprend pas l'utilisation des renseignements; « divulgation » a un sens correspondant.

DSE ou dossier de santé électronique : A le sens qui lui est donné à l'art. 55.1 de la LPRPS et désigne généralement les systèmes électroniques développés et maintenus par Santé Ontario conformément à la partie V.1 de la LPRPS afin de permettre aux DRS de recueillir, d'utiliser et de divulguer des RPS au moyen de ces systèmes.

Plainte relative à la protection de la vie privée du DSE : Préoccupations ou plaintes concernant la conformité d'un DRS ou de Santé Ontario aux politiques, procédures et pratiques en matière de protection de la vie privée mises en œuvre par l'organisation prescrite ou à la LPRPS et à ses règlements, en ce qui concerne les RPS accessibles au moyen du DSE développé ou maintenu par Santé Ontario.

Demande de renseignements relative à la protection de la vie privée du DSE : Demandes de renseignements concernant la conformité d'un DRS ou de Santé Ontario aux politiques, procédures et pratiques en matière de protection de la vie privée mises en œuvre par l'organisation prescrite ou à la LPRPS et à ses règlements, en ce qui concerne les RPS accessibles au moyen du DSE développé ou maintenu par Santé Ontario, ainsi que les politiques, procédures et pratiques mises en place par les DRS ou Santé Ontario relativement aux RPS accessibles au moyen du DSE développé ou maintenu par Santé Ontario.

Employé : Personne employée et rémunérée par Santé Ontario et classée comme employé permanent à temps plein, permanent à temps partiel, temporaire à temps plein, temporaire à temps partiel, étudiant rémunéré ou occasionnel, conformément à la Ligne directrice sur la classification des employés. Un consultant ou un entrepreneur n'est pas un employé.

FSE ou fournisseur de services électroniques : Fournisseur tiers retenu ou autrement engagé pour fournir des services visant à permettre l'utilisation de moyens électroniques pour collecter, utiliser, modifier, divulguer, conserver ou détruire des dossiers de RPS.

DRS ou dépositaire de renseignements sur la santé : A le sens qui lui est donné à l'art. 3 de la LPRPS et désigne généralement une personne ou une organisation ayant la garde ou le contrôle de renseignements personnels sur la santé aux fins de fournir des soins de santé ou d'exercer d'autres fonctions liées à la santé. Exemples : médecins, hôpitaux, pharmacies, laboratoires et le ministère de la Santé, mais ne comprend pas Santé Ontario.

CIPVP : Commissaire à l'information et à la protection de la vie privée de l'Ontario

Manuel des OP du CIPVP : Manuel du CIPVP relatif à l'examen et à l'approbation des organisations prescrites

Ministre : Ministre de la Santé

Règl. de l'Ont. 329/04 : Règlement de l'Ontario 329/04 pris en application de la LPRPS

Santé Ontario : Santé Ontario, l'organisme du gouvernement de l'Ontario auquel s'applique la présente politique.

Agent de Santé Ontario : Personne qui agit pour le compte ou au nom de Santé Ontario aux fins de Santé Ontario, et non à ses propres fins, qu'elle ait ou non le pouvoir de lier Santé Ontario, qu'elle soit ou non un employé, et qu'elle soit ou non rémunérée.

RPS ou renseignements personnels sur la santé : A le sens qui lui est attribué à l'article 4 de la LPRPS. Plus précisément, il s'agit de « renseignements identificatoires », verbaux ou consignés, concernant une personne et qui :

• portent sur la santé physique ou mentale de la personne, y compris les antécédents médicaux de sa famille;
• portent sur la prestation de soins de santé à la personne, y compris l'identification d'une personne à titre de fournisseur de soins de santé pour cette personne;
• constituent un plan établissant les services de soins à domicile et en milieu communautaire devant être fournis à la personne par un fournisseur de services de santé ou une équipe Santé Ontario conformément au financement prévu à l'article 21 de la Loi de 2019 pour des soins interconnectés;
• portent sur les paiements relatifs aux soins de santé ou sur l'admissibilité aux soins de santé ou à la couverture des soins de santé à l'égard de la personne;
• portent sur le don par la personne d'une partie de son corps ou d'une substance corporelle, ou découlent de l'analyse ou de l'examen d'une telle partie ou substance;
• correspondent au numéro de santé de la personne;
• identifient le mandataire spécial de la personne; ou
• correspondent à l'identifiant de santé numérique de la personne ou à tout autre renseignement identificatoire lié à la création de l'identifiant de santé numérique.

Les RPS comprennent les renseignements identificatoires concernant une personne qui ne sont pas énumérés ci-dessus, mais qui figurent dans un dossier contenant des RPS mentionnés ci-dessus.

Un renseignement est « identificatoire » lorsqu'il permet d'identifier une personne ou lorsqu'il est raisonnablement prévisible, dans les circonstances, qu'il puisse être utilisé, seul ou avec d'autres renseignements, pour identifier la personne.

LPRPS ou Loi de 2004 sur la protection des renseignements personnels sur la santé : Loi ontarienne en matière de protection de la vie privée dans le domaine de la santé. Elle établit des règles régissant la gestion des RPS et la protection de leur confidentialité, tout en facilitant la prestation efficace des soins de santé. Les références à la LPRPS comprennent les règlements pris en application de celle-ci, tels que modifiés ou remplacés de temps à autre.

Organisation prescrite ou OP : Organisation désignée dans le Règlement de l'Ontario 329/04 à titre d'organisation aux fins de la LPRPS. L'organisation prescrite a le pouvoir et l'obligation d'élaborer et de maintenir le DSE conformément à la partie V.1 de la LPRPS, ainsi que le pouvoir d'exercer des activités liées à l'identifiant de santé numérique conformément à la partie V.2 de la LPRPS. 

Atteinte à la vie privée : Une atteinte à la vie privée comprend :

1) Atteinte à la vie privée relative à des RPS ou à des RP (atteinte à la vie privée relative à des RPS/RP) désigne un événement où :

• la collecte, l'utilisation ou la divulgation de RPS ou de RP n'est pas conforme à la LPRPS ou à ses règlements, ou à la LAIPVP ou à ses règlements (c.-à-d. sans autorisation légale); et/ou
• la consultation, la manipulation ou tout autre traitement des RPS fournis à Santé Ontario n'est pas conforme à la LPRPS ou à ses règlements;
• des RPS ou des RP sont volés, perdus ou font l'objet d'une collecte, d'une utilisation ou d'une divulgation non autorisée, ou lorsque des dossiers de RPS ou de RP font l'objet d'une copie, d'une modification ou d'une élimination non autorisée.

Remarque : Une atteinte à la vie privée liée aux RPS/RP n'inclut pas une atteinte visant des renseignements dépersonnalisés ou des renseignements d'identité d'entreprise, si l'événement ne concerne pas des RP ou des RPS.

2) Atteinte à la vie privée liée à une politique ou à une entente (atteinte à une politique/entente en matière de vie privée) désigne un événement où :

• Il y a contravention des politiques, procédures ou pratiques de Santé Ontario en matière de protection de la vie privée; et/ou
• Il y a contravention d'une condition liée à la protection de la vie privée dans :
  • des ententes de partage de données,
  • des ententes de recherche,
  • des ententes de confidentialité, ou
  • des ententes conclues avec des fournisseurs de services tiers retenus par Santé Ontario afin de traiter des RPS ou des RP,
  • des déclarations écrites reconnaissant et acceptant de ne pas utiliser des RPS ou des RP dépersonnalisés et/ou agrégés afin d'identifier une personne, et
• n'inclut pas une atteinte à la vie privée visant des RPS ou des RP.

Remarque : Une atteinte à une politique/entente en matière de vie privée peut inclure une atteinte visant des renseignements dépersonnalisés ou des renseignements d'identité d'entreprise si l'atteinte concerne des mécanismes de protection de la vie privée prévus dans une entente ou dans une politique, procédure ou pratique relative au traitement de renseignements dépersonnalisés ou de renseignements d'identité d'entreprise.

Incident lié à la vie privée : Tout événement pour lequel le Bureau de la protection de la vie privée est avisé ou prend connaissance qu'une atteinte à la vie privée pourrait s'être produite. Cela comprend les événements qui sont examinés ou faisant l'objet d'une enquête et qui sont :

1. confirmés comme constituant une atteinte à la vie privée;
2. confirmés comme ne constituant pas une atteinte à la vie privée; ou
3. non déterminés ou ne pouvant être déterminés quant à la survenance d'une atteinte à la vie privée (atteinte présumée à la vie privée).

Remarque : Les incidents liés à la protection de la vie privée comprennent les événements impliquant des RP et des RPS, ainsi que des renseignements dépersonnalisés et des renseignements d'identité organisationnelle, car ces événements nécessitent une enquête conformément à la présente politique afin de déterminer s'ils constituent des atteintes à la vie privée, telles que définies ci-dessous. Santé Ontario enquête sur ces incidents impliquant des données dépersonnalisées et des renseignements d'identité organisationnelle, en tenant compte notamment 1) du risque de réidentification et des lignes directrices applicables en matière de dépersonnalisation des données, ainsi que 2) du contexte de traitement des données reçues par Santé Ontario en tant que renseignements d'identité organisationnelle;

afin de confirmer qu'ils ne constituent pas des RP, respectivement.

Utilisation : Relativement aux RPS ou aux RP sous la garde ou le contrôle d'un DRS ou d'une personne, « utiliser » signifie consulter, manipuler ou autrement traiter les renseignements, sans toutefois les divulguer; « utilisation » a un sens correspondant. Aux fins de la LPRPS, la communication de RPS entre un DRS et un mandataire du DRS constitue une utilisation par le DRS, et non une divulgation par la personne qui fournit les renseignements ni une collecte par la personne qui les reçoit.

6. Cycle de révision

La présente politique doit être révisée par Santé Ontario au moins tous les trois ans à compter de sa date d'entrée en vigueur ou plus tôt si nécessaire conformément à la Politique de vérification et de conformité en matière de protection de la vie privée.

7. Références et/ou documents de mise en œuvre clés

• LPRPS et Règl. de l'Ont. 329/04
• Manuel des OP du CIPVP
• Politique de vérification et de conformité en matière de protection de la vie privée
• Politique et procédure de gestion des incidents liés à la protection de la vie privée
• Politique et procédure de gestion des incidents liés à la protection de la vie privée du DSE

8. Annexes

• Annexe « A » : Contenu minimal requis dans le registre des plaintes relatives à la protection de la vie privée du DSE

9. Consultations relatives à la politique

Les personnes suivantes ont été consultées dans l'élaboration de la présente politique :

• Le personnel du Bureau de la protection de la vie privée et autres agents de Santé Ontario responsables de la rédaction, du maintien et/ou de la révision des politiques en matière de protection de la vie privée liées aux exigences de Santé Ontario; et
• Les membres du groupe de travail du comité consultatif du programme de protection de la vie privée.

10. Historique de révision de la politique

Avril 2026: Cette version de la politique été approuvée le 9 avril 2026 par le président-directeur général de Santé Ontario.

Annexe A : Contenu complet requis dans le registre des plaintes relatives à la protection de la vie privée du DSE

Le registre des plaintes relatives à la protection de la vie privée du DSE indique chacun des éléments suivants, dans la mesure où ils sont connus de Santé Ontario :

• La date à laquelle la plainte relative à la protection de la vie privée du DSE a été reçue par Santé Ontario;
• La nature de la plainte relative à la protection de la vie privée du DSE;
• Les DRS auxquels la plainte relative à la protection de la vie privée du DSE a été transmise et la date de cette transmission, le cas échéant;
• La date à laquelle la personne a été informée que la plainte relative à la protection de la vie privée du DSE a été transmise à un ou plusieurs DRS, le cas échéant;
• La décision quant à savoir si la plainte relative à la protection de la vie privée du DSE fera ou non l'objet d'un examen par Santé Ontario;
• Le ou les employés ou autres agents de Santé Ontario et/ou le ou les mandataires d'un DRS ayant pris la décision quant à savoir si la plainte relative à la protection de la vie privée du DSE ferait l'objet d'un examen;
• Lorsqu'il a été décidé que la plainte relative à la protection de la vie privée du DSE ne ferait pas l'objet d'un examen, la date à laquelle la personne ayant présenté la plainte a été avisée que la plainte relative à la protection de la vie privée du DSE ne ferait pas l'objet d'un examen et a reçu une réponse à sa plainte relative à la protection de la vie privée du DSE; et
• Lorsqu'il a été décidé que la plainte relative à la protection de la vie privée du DSE ferait l'objet d'un examen :
  • La date à laquelle la personne ayant présenté la plainte relative à la protection de la vie privée du DSE a été avisée que celle-ci ferait l'objet d'un examen;
  • La date à laquelle l'enquête a débuté;
  • La date à laquelle l'enquête a été achevée;
  • Le ou les employés ou autres agents de Santé Ontario et/ou le ou les mandataires d'un DRS chargés de mener l'enquête;
  • Les conclusions et recommandations découlant de l'enquête;
  • La date à laquelle le président-directeur général ou le directeur général (ou un poste équivalent) et la haute direction ont été informés des conclusions et autres recommandations pertinentes découlant de l'enquête, le cas échéant;
  • Le ou les employés ou autres agents de Santé Ontario et/ou le ou les mandataires d'un DRS chargés de donner suite à chaque recommandation;
  • La date à laquelle chaque recommandation a été ou devrait être mise en œuvre;
  • La manière dont chaque recommandation a été ou devrait être mise en œuvre; et
  • La date à laquelle la personne ayant présenté la plainte relative à la protection de la vie privée du DSE a été informée des conclusions de l'enquête, des mesures prises, le cas échéant, en réponse à la plainte relative à la protection de la vie privée, ainsi que de son droit de déposer une plainte auprès du CIPVP.