Projet de loi 78, Loi de 2014 sur la protection des renseignements personnels sur la santé figurant dans un dossier de santé électronique

Versions

Projet de loi 78 2013

Loi modifiant certaines lois en ce qui concerne les dossiers de santé électroniques

La présente loi modifie ou abroge plus d'une loi. L'historique législatif de ces lois figure aux pages pertinentes de l'Historique législatif détaillé des lois d'intérêt public codifiées sur le site www.lois-en-ligne.gouv.on.ca.

Sa Majesté, sur l'avis et avec le consentement de l'Assemblée législative de la province de l'Ontario, édicte :

Loi sur l'interchangeabilité des médicaments et les honoraires de préparation

1. L'alinéa 4 (6) a) de la Loi sur l'interchangeabilité des médicaments et les honoraires de préparation est modifié par suppression de «manuscrits».

Loi de 2004 sur la protection des renseignements personnels sur la santé

2. (1) L'article 2 de la Loi de 2004 sur la protection des renseignements personnels sur la santé est modifié par adjonction des définitions suivantes :

«ministère» Le ministère de la Santé et des Soins de longue durée. («Ministry»)

«organisation prescrite» S'entend d'une organisation prescrite pour l'application de la partie V.1 et, si plus d'une organisation a été prescrite, s'entend de chaque organisation prescrite concernée. («prescribed organization»)

(2) Le paragraphe 34 (2) de la Loi est modifié par adjonction de l'alinéa suivant :

e) si la personne est prescrite et qu'elle recueille ou utilise le numéro, selon le cas, à des fins liées au dossier de santé électronique créé ou tenu par une organisation prescrite.

(3) L'article 51 de la Loi est modifié par adjonction des paragraphes suivants :

Application de la partie aux organisations prescrites

(5) Sous réserve des exceptions et des exigences supplémentaires, le cas échéant, que prescrivent les règlements pris en vertu du paragraphe (7), la présente partie s'applique aux organisations prescrites comme si elles étaient des dépositaires de renseignements sur la santé à l'égard des dossiers suivants et comme si elles en avaient la garde ou le contrôle :

1. Un dossier de renseignements personnels sur la santé qui est mis à la disposition des dépositaires de renseignements sur la santé au moyen du dossier de santé électronique créé ou tenu par une organisation prescrite.

2. Les dossiers de renseignements personnels sur la santé que garde une organisation prescrite en vertu des dispositions 4, 5 et 6 du paragraphe 55.3 (2).

Application : dossier d'un dépositaire

(6) Sous réserve des exceptions et des exigences supplémentaires, le cas échéant, que prescrivent les règlements pris en vertu du paragraphe (7), la présente partie s'applique à un dossier dont un dépositaire de renseignements sur la santé a la garde ou le contrôle en ce qui concerne tous les cas de consultation, d'emploi ou de traitement d'une autre manière, par le dépositaire, de la totalité ou d'une partie des renseignements personnels sur la santé du particulier figurant dans le dossier de santé électronique créé ou tenu par une organisation prescrite.

Règlements

(7) Le ministre peut, par règlement, prescrire des exceptions et des exigences supplémentaires pour l'application des paragraphes (5) et (6).

Consultation

(8) Les règles suivantes s'appliquent à la prise d'un règlement par le ministre en vertu du paragraphe (7) :

1. Les exigences de l'article 74 en matière de consultation publique s'appliquent, avec les adaptations nécessaires.

2. Avant de mener une consultation publique à l'égard d'un règlement, le ministre présente au commissaire un avant-projet du règlement et lui accorde un délai d'au moins 30 jours pour l'examiner et faire des recommandations.

3. Avant de mener une consultation publique à l'égard du règlement en question, le ministre étudie les recommandations du commissaire et apporte les modifications qu'il estime appropriées à l'avant-projet du règlement.

(4) La Loi est modifiée par adjonction de la partie suivante :

Partie v.1
dossiers de santé électroniques

Interprétation

55.1 (1) Les définitions qui suivent s'appliquent à la présente partie.

«anonymiser» S'entend, ainsi que tout terme connexe, au sens du paragraphe 47 (1). («de-identify»)

«comité consultatif» Le comité consultatif constitué par le ministre en application de l'article 55.10. («advisory committee»)

«créer ou tenir le dossier de santé électronique» S'entend notamment de ce qui suit :

a) l'administration, la création, l'intégration, la gestion, la tenue ou le traitement du dossier de santé électronique;

b) la réalisation d'activités d'assurance de la qualité des données à l'égard des renseignements personnels sur la santé que les dépositaires de renseignements sur la santé communiquent aux organisations prescrites;

c) la réalisation d'analyses des renseignements personnels sur la santé figurant dans le dossier de santé électronique afin de donner des alertes et de faire des rappels aux dépositaires de renseignements sur la santé, pour qu'ils les utilisent lors de la prestation de soins de santé aux particuliers. («creating or maintaining the electronic health record»)

«directive en matière de consentement» Directive donnée en vertu de l'article 55.5, notamment une directive visant à modifier ou à retirer une directive donnée antérieurement. («consent directive»)

«dossier de santé électronique» Le dossier de renseignements personnels sur la santé qu'une organisation prescrite crée ou tient sous forme électronique afin de permettre aux dépositaires de renseignements sur la santé d'utiliser des moyens électroniques pour se divulguer des renseignements personnels sur la santé les uns aux autres à des fins de prestation ou d'aide à la prestation de soins de santé aux particuliers visés par ces renseignements. («electronic health record»)

«renseignements identificatoires» S'entend au sens du paragraphe 4 (2). («identifying information»)

Idem : collecte, utilisation et divulgation

(2) Les modifications suivantes sont apportées aux définitions de «recueillir», «divulguer» et «utiliser», et de leurs termes connexes, à l'article 2, en ce qui concerne les renseignements personnels sur la santé figurant dans le dossier de santé électronique :

1. Le dépositaire de renseignements sur la santé qui communique des renseignements personnels sur la santé à une organisation prescrite afin de créer ou de tenir le dossier de santé électronique n'est pas considéré comme ayant divulgué ces renseignements jusqu'à ce que ceux-ci soient consultés, employés ou traités d'une autre manière par une autre personne que lui ou l'organisation prescrite.

2. Le dépositaire de renseignements sur la santé recueille des renseignements personnels sur la santé quand il consulte, emploie ou traite d'une autre manière, pour la première fois, des renseignements de ce genre figurant dans le dossier de santé électronique qu'il n'a pas communiqués lui-même à une organisation prescrite afin de créer ou de tenir le dossier de santé électronique. Il n'est pas considéré comme ayant recueilli des renseignements personnels sur la santé dans les cas où il consulte, emploie ou traite d'une autre manière, par la suite, des renseignements de ce genre, à condition qu'il ne consulte, n'emploie ni ne traite d'une autre manière aucun renseignement nouveau ou supplémentaire.

3. Dans les cas où il consulte, emploie ou traite d'une autre manière, après la première fois, des renseignements personnels sur la santé figurant dans le dossier de santé électronique, le dépositaire de renseignements sur la santé est considéré comme utilisant, et non comme recueillant, ces renseignements, à condition qu'il ne consulte, n'emploie ni ne traite d'une autre manière aucun renseignement nouveau ou supplémentaire.

4. Le dépositaire de renseignements sur la santé qui consulte, emploie ou traite d'une autre manière des renseignements personnels sur la santé qu'il a communiqués à une organisation prescrite afin de créer ou de tenir le dossier de santé électronique est considéré comme utilisant ces renseignements, à condition qu'il ne consulte, n'emploie ni ne traite d'une autre manière aucun renseignement nouveau ou supplémentaire.

Dépositaires et organisation prescrite

55.2 (1) Si un dépositaire de renseignements sur la santé communique des renseignements personnels sur la santé à une organisation prescrite afin de créer ou de tenir le dossier de santé électronique :

a) d'une part, le dépositaire ne doit pas, lorsqu'il communique ces renseignements à l'organisation prescrite, être considéré comme les lui divulguant;

b) d'autre part, l'organisation prescrite ne doit pas, lorsqu'elle reçoit ces renseignements du dépositaire, être considérée comme les recueillant.

Transfert des obligations

(2) Si un dépositaire de renseignements sur la santé demande à une organisation prescrite de lui transmettre des renseignements personnels sur la santé figurant dans le dossier de santé électronique, les obligations qu'impose l'article 12 s'appliquent au dépositaire à l'égard des renseignements transmis par l'organisation prescrite, qu'il les ait ou non consultés, employés ou traités d'une autre manière.

Fonctions et responsabilités : dossier de santé électronique

55.3 (1) Une organisation prescrite exerce les fonctions suivantes à l'égard du dossier de santé électronique :

1. Elle exerce les responsabilités que lui impose la partie V et la présente partie.

2. Elle exerce les autres fonctions que prescrivent les règlements.

Exigences : dossier de santé électronique

(2) Une organisation prescrite se conforme aux exigences suivantes au moment de créer ou de tenir le dossier de santé électronique :

1. Elle prend des mesures raisonnables afin de limiter les renseignements personnels sur la santé qu'elle reçoit aux renseignements raisonnablement nécessaires afin de créer ou de tenir le dossier de santé électronique.

2. Elle ne doit pas permettre à ses employés ou à quiconque agit en son nom de consulter, d'employer ou de traiter d'une autre manière les renseignements personnels sur la santé reçus afin de créer ou de tenir le dossier de santé électronique, à moins que ceux-ci ne conviennent de se conformer aux restrictions qui s'appliquent à elle.

3. Elle met les documents suivants à la disposition du public et de chaque dépositaire de renseignements sur la santé qui lui a communiqué des renseignements personnels sur la santé afin de créer ou de tenir le dossier de santé électronique :

i. une description en langage clair du dossier de santé électronique, y compris une description générale des mesures de précaution d'ordre administratif, technique et matériel qui ont été mises en place aux fins suivantes :

A. éviter le vol, la perte et la collecte, l'utilisation ou la divulgation non autorisée des renseignements personnels sur la santé figurant dans le dossier de santé électronique,

B. éviter la duplication, la modification ou l'élimination non autorisée du dossier de santé électronique,

C. protéger l'intégrité, la sécurité et la confidentialité des renseignements personnels sur la santé figurant dans le dossier de santé électronique,

ii. toute directive, ligne directrice et politique qui s'applique aux renseignements personnels sur la santé figurant dans le dossier de santé électronique, dans la mesure où elle ne révèle pas de secret industriel ni de renseignements confidentiels d'ordre scientifique, technique ou commercial ou ayant trait aux relations de travail.

4. Elle fait ce qui suit :

i. elle garde un dossier électronique de tous les cas de consultation, d'emploi ou de traitement d'une autre manière de la totalité ou d'une partie des renseignements personnels sur la santé figurant dans le dossier de santé électronique et veille à ce que ce dossier indique le nom du particulier que concernent les renseignements, le type de renseignements qui sont consultés, employés ou traités d'une autre manière, le nom de toutes les personnes qui ont consulté, employé ou traité d'une autre manière les renseignements, de même que les date, heure et lieu de la consultation, de l'emploi ou du traitement des renseignements,

ii. si un dépositaire de renseignements sur la santé a demandé qu'elle lui transmette des renseignements personnels sur la santé figurant dans le dossier de santé électronique, elle garde un dossier électronique de tous les cas de transmission au dépositaire de la totalité ou d'une partie des renseignements personnels sur la santé figurant dans le dossier de santé électronique et veille à ce que ce dossier indique le nom du particulier que concernent les renseignements, le type de renseignements qui sont transmis, le nom du dépositaire qui a demandé les renseignements, de même que les date et heure de leur transmission et leur destination.

5. Elle garde un dossier électronique de tous les cas où une directive en matière de consentement est donnée, retirée ou modifiée et veille à ce que ce dossier indique le nom du particulier qui a donné, retiré ou modifié la directive, les consignes que le particulier a communiquées à l'égard de la directive, le nom du dépositaire de renseignements sur la santé, de son mandataire ou de l'autre personne à qui la directive a été donnée ou qui l'a retirée ou modifiée, de même que la date et l'heure à laquelle la directive a été donnée, retirée ou modifiée.

6. Elle garde un dossier électronique de tous les cas de divulgation, en vertu de l'article 55.6, de la totalité ou d'une partie des renseignements personnels sur la santé figurant dans le dossier de santé électronique et veille à ce que ce dossier indique le nom du dépositaire de renseignements sur la santé qui a divulgué les renseignements, du dépositaire qui a recueilli les renseignements, de tout mandataire qui a recueilli les renseignements au nom d'un dépositaire et du particulier que concernent les renseignements, le type de renseignements qui ont été divulgués, de même que la date et l'heure de la divulgation et la fin visée par celle-ci.

7. Elle vérifie et surveille les dossiers électroniques qu'elle doit garder en vertu des dispositions 4, 5 et 6.

8. À la demande du commissaire, elle lui communique, pour l'application de la partie VI, les dossiers électroniques qu'elle garde en vertu des dispositions 4, 5 et 6.

9. À la demande d'un dépositaire de renseignements sur la santé qui a besoin des dossiers électroniques pour vérifier et surveiller son observation de la présente loi, elle lui communique, ou communique au mandataire qui agit en son nom, les dossiers électroniques qu'elle garde en vertu des dispositions 4, 5 et 6.

10. Elle évalue ce qui suit à l'égard de chaque système qui récupère, traite ou intègre des renseignements personnels sur la santé figurant dans le dossier de santé électronique :

i. les menaces, les points faibles et les risques qui existent en ce qui concerne la sécurité et l'intégrité des renseignements personnels sur la santé figurant dans le dossier de santé électronique,

ii. les incidences éventuelles de chaque système sur la vie privée des particuliers que concernent les renseignements personnels sur la santé figurant dans le dossier de santé électronique.

11. Elle avise, à la première occasion raisonnable, le dépositaire de renseignements sur la santé qui lui a communiqué des renseignements personnels sur la santé afin de créer ou de tenir le dossier de santé électronique en cas de vol ou de perte des renseignements qu'il lui a communiqués ou d'accès à ceux-ci par des personnes non autorisées.

12. Elle met :

i. à la disposition de chaque dépositaire de renseignements sur la santé qui lui a communiqué des renseignements personnels sur la santé afin de créer ou de tenir le dossier de santé électronique une copie des résultats de l'évaluation réalisée en application de la disposition 10 à l'égard de ces renseignements,

ii. à la disposition du public un résumé des résultats des évaluations réalisées en application de la disposition 10.

13. Elle veille à ce que les tiers dont elle retient les services pour l'aider à fournir des services afin de créer ou de tenir le dossier de santé électronique conviennent de respecter les restrictions et les conditions nécessaires pour lui permettre de se conformer à toutes ces exigences.

14. Elle met en place et respecte des règles de pratique et de procédure :

i. d'une part, qui permettent de protéger la vie privée des particuliers à l'égard desquels elle reçoit des renseignements personnels sur la santé afin de créer ou de tenir le dossier de santé électronique et de maintenir la confidentialité de ces renseignements,

ii. d'autre part, que le commissaire approuve tous les trois ans.

15. Dès qu'elle prend connaissance de ce qui suit, elle en avise le commissaire par écrit :

i. elle-même ou un tiers dont elle a retenu les services a consulté, employé ou traité d'une autre manière des renseignements personnels sur la santé figurant dans le dossier de santé électronique d'une façon qui n'est pas conforme à la présente loi ou à ses règlements,

ii. elle-même ou un tiers dont elle a retenu les services a mis à la disposition d'autres personnes ou organisations des renseignements personnels sur la santé figurant dans le dossier de santé électronique ou les a communiqués d'une façon qui n'est pas conforme à la présente loi ou à ses règlements.

16. Elle remet au commissaire, au moins une fois par année, sous la forme et de la manière que celui-ci précise, et en fonction des renseignements qu'il peut préciser ou avec les renseignements qu'il peut préciser, à l'exception des renseignements personnels sur la santé gardés dans le dossier électronique qu'exige la disposition 6, un rapport à l'égard de chaque cas de divulgation de renseignements personnels sur la santé en vertu de l'article 55.6 depuis le dernier rapport.

17. Lorsqu'elle gère des directives en matière de consentement, elle se conforme aux règles de pratique et de procédure que prescrivent les règlements.

18. Elle met en place et respecte les règles de pratique et de procédure qui ont été approuvées par le ministre pour répondre à une demande, présentée par un particulier en vertu de la partie V, à l'égard des renseignements personnels sur la santé le concernant et figurant dans le dossier de santé électronique qu'elle a créé ou tenu, ou pour faciliter la préparation d'une telle réponse.

19. Elle satisfait aux autres exigences que prescrivent les règlements.

Directives

(3) Le ministre peut donner à une organisation prescrite des directives à l'égard de l'exercice de ses responsabilités et fonctions prévues au présent article, et celle-ci s'y conforme.

Consultation

(4) Avant de donner une directive en vertu du paragraphe (3), le ministre fait ce qui suit :

a) il présente un avant-projet de la directive au commissaire et au comité consultatif pour qu'ils l'examinent et fassent des recommandations à son égard;

b) il étudie les recommandations du commissaire et du comité consultatif, le cas échéant, et modifie la directive s'il l'estime approprié.

Délai

(5) Le ministre accorde au commissaire et au comité consultatif un délai d'au moins 30 jours pour l'examen d'une directive et la formulation de recommandations prévus au paragraphe (4), sauf s'il croit qu'une situation d'urgence menace de façon considérable le caractère privé ou confidentiel des renseignements personnels sur la santé, auquel cas il peut abréger les délais d'examen prévus pour le commissaire et le comité consultatif et les ramener à au moins cinq jours ouvrables.

Restrictions sur la collecte

55.4 (1) Un dépositaire de renseignements sur la santé ne doit pas recueillir des renseignements personnels sur la santé figurant dans le dossier électronique de santé, si ce n'est à l'une des fins suivantes :

a) assurer la prestation de soins de santé à un particulier ou assurer une aide à la prestation de tels soins;

b) éliminer ou réduire un risque considérable de blessure grave menaçant une personne ou un groupe de personnes, s'il a des motifs raisonnables de croire que la collecte de ces renseignements est nécessaire à cette fin.

Identification de manière unique

(2) Un dépositaire de renseignements sur la santé peut recueillir, utiliser et divulguer les éléments de données que prescrivent les règlements pris en vertu du présent article pour permettre l'identification de manière unique d'un particulier afin de recueillir des renseignements personnels sur la santé en application du paragraphe (1).

Existence d'une directive en matière de consentement

(3) Malgré le paragraphe (1), si des renseignements personnels sur la santé sont visés par une directive en matière de consentement donnée par un particulier en vertu du paragraphe 55.5 (1), un dépositaire de renseignements sur la santé ne peut recueillir des renseignements personnels sur la santé provenant du dossier de santé électronique que si l'article 55.6 autorise la divulgation de ces renseignements.

Utilisation ou divulgation de renseignements

(4) Malgré toute autre disposition de la présente loi ou des règlements, le dépositaire de renseignements sur la santé qui recueille des renseignements personnels sur la santé en application de l'alinéa (1) b) ne peut les utiliser ou les divulguer qu'à la fin pour laquelle il les a recueillis.

Règlements

(5) Le ministre peut, par règlement :

a) prescrire les éléments de données qu'un dépositaire de renseignements sur la santé peut recueillir, utiliser et divulguer pour permettre l'identification de manière unique d'un particulier afin de recueillir des renseignements personnels sur la santé figurant dans le dossier de santé électronique en application du présent article;

b) préciser les éléments de données qui ne peuvent pas être visés par une directive en matière de consentement.

Consultation

(6) Les règles suivantes s'appliquent à la prise d'un règlement par le ministre en vertu du paragraphe (5) :

1. Les exigences de l'article 74 en matière de consultation publique s'appliquent, avec les adaptations nécessaires.

Directives en matière de consentement

55.5 (1) Sous réserve des restrictions que prescrivent les règlements, un particulier peut, à tout moment, donner une directive selon laquelle il refuse son consentement ou retire la totalité ou une partie de son consentement à la collecte, à l'utilisation et à la divulgation de renseignements personnels sur la santé le concernant et figurant dans le dossier de santé électronique aux fins de la prestation ou d'aide à la prestation des soins de santé qui lui sont destinés.

Conformité

(2) L'organisation prescrite qui reçoit une directive donnée en vertu du paragraphe (1) la met en oeuvre conformément aux exigences que prescrivent les règlements.

Retrait ou modifications

(3) Sous réserve des restrictions que prescrivent les règlements, le particulier qui a donné la directive prévue au paragraphe (1) peut la retirer ou la modifier.

Procédure à suivre pour donner une directive

(4) Un particulier peut donner une directive en vertu du paragraphe (1), ou la retirer ou la modifier en vertu du paragraphe (3), en la présentant à une organisation prescrite.

Directive détaillée

(5) La directive doit être suffisamment détaillée pour permettre à une organisation prescrite de la mettre en oeuvre.

Aide

(6) Si la directive n'est pas suffisamment détaillée pour lui permettre de la mettre en oeuvre en faisant des efforts raisonnables, une organisation prescrite offre à l'auteur de l'aider à la reformuler pour la rendre conforme au paragraphe (5).

Renseignements : directives

(7) Si un dépositaire de renseignements sur la santé cherche à recueillir des renseignements personnels sur la santé visés par une directive en matière de consentement, une organisation prescrite avise le dépositaire qu'un particulier a donné la directive prévue au paragraphe (1), à condition qu'aucun renseignement personnel sur la santé visé par la directive ne soit communiqué.

Préséance du consentement

55.6 (1) Malgré une directive en matière de consentement, un dépositaire de renseignements sur la santé peut divulguer les renseignements personnels sur la santé visés par la directive à un autre dépositaire de renseignements sur la santé si le dépositaire qui cherche à recueillir les renseignements obtient le consentement exprès du particulier que concernent ces renseignements.

Idem : protection d'un particulier

(2) Malgré une directive en matière de consentement, un dépositaire de renseignements sur la santé peut divulguer les renseignements personnels sur la santé visés par la directive à un autre dépositaire de renseignements sur la santé si les conditions suivantes sont réunies :

a) le dépositaire qui cherche à recueillir les renseignements personnels sur la santé a des motifs raisonnables de croire que la collecte de ces renseignements est nécessaire pour éliminer ou réduire un risque considérable de blessure grave menaçant le particulier que concernent les renseignements;

b) il n'est pas raisonnablement possible pour le dépositaire de renseignements sur la santé qui cherche à recueillir des renseignements personnels sur la santé d'obtenir le consentement du particulier en temps opportun.

Idem : protection d'autrui

(3) Malgré une directive en matière de consentement, un dépositaire de renseignements sur la santé peut divulguer les renseignements personnels sur la santé visés par la directive à un autre dépositaire de renseignements sur la santé si le dépositaire qui cherche à recueillir les renseignements personnels sur la santé a des motifs raisonnables de croire que la collecte de ces renseignements est nécessaire pour éliminer ou réduire un risque considérable de blessure grave menaçant une personne autre que le particulier que concernent les renseignements ou un groupe de personnes.

Utilisation ou divulgation de renseignements

(4) Malgré toute autre disposition de la présente loi ou des règlements, le dépositaire de renseignements sur la santé qui recueille des renseignements personnels sur la santé en application du présent article ne peut les utiliser ou les divulguer qu'à la fin pour laquelle il les a recueillis.

Vérification

(5) Une organisation prescrite vérifie et surveille chaque cas de collecte de renseignements personnels sur la santé dans les circonstances décrites au présent article.

Avis : préséance du consentement

(6) Si des renseignements personnels sur la santé ont été recueillis dans les circonstances décrites au présent article, une organisation prescrite donne immédiatement un avis écrit, conformément aux exigences des règlements, au dépositaire de renseignements sur la santé qui les a recueillis.

Idem

(7) Après réception d'un avis en application du paragraphe (6), le dépositaire qui a recueilli des renseignements personnels sur la santé dans les circonstances décrites au présent article avise, à la première occasion raisonnable, le particulier que concernent les renseignements conformément aux exigences des règlements.

Renseignements identificatoires interdits

(8) Si des renseignements personnels sur la santé ont été recueillis dans les circonstances décrites au paragraphe (3), le dépositaire, lorsqu'il avise le particulier que concernent les renseignements, ne doit pas communiquer de renseignements identificatoires au sujet de la personne ou du groupe de personnes exposés à un risque considérable de blessure grave.

Avis : dépositaire de renseignements sur la santé

(9) Si des renseignements personnels sur la santé ont été recueillis dans les circonstances décrites au paragraphe (3), le dépositaire qui les a recueillis donne un avis écrit au commissaire conformément aux règlements et d'une manière qui ne révèle aucun renseignement identificatoire au sujet du particulier que concernent les renseignements ou de la personne ou du groupe de personnes exposés à un risque considérable de blessure grave.

Vérifications des interactions médicamenteuses

55.7 Malgré une directive en matière de consentement, le système qui est tenu par une organisation prescrite et qui récupère, traite ou intègre des renseignements personnels sur la santé figurant dans le dossier de santé électronique pour donner des alertes aux dépositaires de renseignements sur la santé en cas d'interactions médicamenteuses pouvant être nocives peut utiliser ce genre de renseignements, à condition que ces alertes ne révèlent aucun renseignement personnel sur la santé visé par la directive.

Communication de renseignements au ministère

55.8 (1) Malgré l'article 55.4, et sous réserve du paragraphe (2), le ministre peut recueillir des renseignements personnels sur la santé provenant du dossier de santé électronique à l'une ou l'autre des fins suivantes :

a) le financement, la planification ou la prestation de services de santé qui sont subventionnés, en tout ou en partie, directement ou indirectement, par le gouvernement de l'Ontario ou l'affectation de ressources à l'un de ces services;

b) la détection, la surveillance ou la répression des fraudes ou des cas où un paiement, un service ou un bien, y compris un subside ou autre avantage subventionné, en tout ou en partie, directement ou indirectement, par le gouvernement de l'Ontario a été reçu de façon inappropriée si ce paiement, ce service ou ce bien a trait à la santé ou est prescrit par les règlements.

Règles de pratique et de procédure

(2) Le ministre ne peut recueillir des renseignements personnels sur la santé en vertu du paragraphe (1) que si les conditions suivantes sont réunies :

a) le lieutenant-gouverneur en conseil a prescrit qu'au plus un seul service du ministère peut recueillir, au nom du ministre, des renseignements personnels sur la santé en vertu du paragraphe (1);

b) le service prescrit du ministère a mis en place des règles de pratique et de procédure :

(i) d'une part, qui permettent de protéger la vie privée des particuliers à l'égard desquels le ministre recueille des renseignements personnels sur la santé et de maintenir la confidentialité de ces renseignements,

(ii) d'autre part, que le commissaire approuve tous les trois ans.

Anonymisation

(3) Si le ministre a recueilli des renseignements personnels sur la santé en vertu du paragraphe (1), le service prescrit fait ce qui suit conformément aux règles de pratique et de procédure que le commissaire a approuvées en application du sous-alinéa (2) b) (ii) :

a) il crée un dossier renfermant la quantité minimale de renseignements personnels sur la santé nécessaires afin d'anonymiser les renseignements et d'établir des liens entre ceux-ci et d'autres renseignements dont le ministre a la garde ou le contrôle;

b) il anonymise les renseignements personnels sur la santé.

Liens

(4) Le service prescrit du ministère peut établir des liens entre les renseignements personnels sur la santé qui ont été anonymisés en application du paragraphe (3) et d'autres renseignements personnels sur la santé anonymisés dont le ministre a la garde et le contrôle.

Utilisation des renseignements lors de vérifications

(5) Le ministre peut utiliser les renseignements personnels sur la santé obtenus en vertu du paragraphe (1) pour effectuer des vérifications s'il existe des motifs raisonnables de croire qu'un paiement, un service ou un bien ayant trait à la santé ou prescrit par les règlements, y compris un subside ou autre avantage subventionné, en tout ou en partie, directement ou indirectement, par le gouvernement de l'Ontario a été reçu de façon inappropriée, pourvu que les conditions suivantes soient réunies :

a) le lieutenant-gouverneur en conseil a prescrit qu'au plus un seul service du ministère peut utiliser, au nom du ministre, des renseignements personnels sur la santé à la fin énoncée au présent paragraphe;

b) le service prescrit du ministère a mis en place des règles de pratique et de procédure :

(ii) d'autre part, que le commissaire approuve tous les trois ans.

Divulgation

(6) Le ministre peut divulguer les renseignements personnels sur la santé utilisés lors d'une vérification visée au paragraphe (5) dans l'un ou l'autre des cas suivants :

a) la divulgation est exigée par la loi;

b) la divulgation est faite aux fins d'une instance poursuivie ou éventuelle à laquelle le ministre, son mandataire ou son ancien mandataire est partie ou témoin, ou à laquelle il s'attend de l'être, si les renseignements concernent ou constituent une question en litige dans l'instance;

c) la divulgation est faite à un organisme chargé de l'exécution de la loi au Canada aux fins de faciliter une enquête menée en vue d'une instance en exécution de la loi ou qui aboutira vraisemblablement à une instance en exécution de la loi.

Aucun autre usage permis

(7) Malgré toute autre disposition de la présente loi ou des règlements, le ministre ne doit pas utiliser ou divulguer des renseignements personnels sur la santé recueillis en vertu du paragraphe (1), sauf dans la mesure où le présent article le permet.

Directive donnée à une organisation prescrite

(8) Le ministre peut donner une directive enjoignant à une organisation prescrite de lui communiquer les renseignements qu'il est autorisé à recueillir en vertu du paragraphe (1). L'organisation prescrite se conforme à cette directive.

Conditions

(9) La directive donnée en vertu du paragraphe (8) peut préciser la forme et la manière dont les renseignements qu'elle vise doivent être communiqués au ministre, ainsi que le délai prévu pour ce faire.

Renseignements à communiquer à des fins autres que la prestation de soins de santé

55.9 (1) Malgré toute autre disposition de la présente loi ou des règlements, le ministre peut ordonner la divulgation de renseignements personnels sur la santé figurant dans le dossier de santé électronique à une personne, comme s'il en avait la garde ou le contrôle, si les conditions suivantes sont réunies :

a) la personne lui a demandé de divulguer ces renseignements conformément à l'alinéa 39 (1) c), au paragraphe 39 (2) et à l'article 44 ou 45 de la présente loi;

b) plus d'un dépositaire de renseignements sur la santé ont communiqué les renseignements personnels sur la santé que demande la personne à une organisation prescrite afin de créer ou de tenir le dossier de santé électronique;

c) le ministre a fait ce qui suit :

(i) il a présenté la demande au comité consultatif,

(ii) il a donné au comité consultatif un délai de 30 jours pour étudier la demande et lui faire des recommandations,

(iii) il a étudié les recommandations du comité consultatif;

d) le ministre a décidé que la divulgation des renseignements personnels sur la santé serait conforme à l'alinéa 39 (1) c), au paragraphe 39 (2) ou à l'article 44 ou 45.

Délai plus court

(2) Le ministre peut raccourcir le délai prévu au sous-alinéa (1) c) (ii) si les conditions suivantes sont réunies :

a) il est d'avis que l'urgence de la situation l'exige;

b) la demande vise la divulgation de renseignements personnels sur la santé conformément au paragraphe 39 (2).

Obligation de se conformer

(3) Une organisation prescrite se conforme à la directive donnée en vertu du présent article.

Conditions

(4) La directive donnée en vertu du présent article peut préciser la forme et la manière dont les renseignements qu'elle vise doivent être divulgués, ainsi que le délai prévu pour ce faire.

Divulgation : uniquement si nécessaire

(5) Le ministre ne doit pas ordonner la divulgation de renseignements personnels sur la santé en vertu du présent article à une fin que d'autres renseignements permettent de réaliser.

Divulgation : quantité de renseignements

(6) Le ministre ne doit pas ordonner la divulgation de plus de renseignements personnels sur la santé qu'il n'est raisonnablement nécessaire pour réaliser la fin visée.

Comité consultatif

55.10 (1) Le ministre constitue un comité consultatif chargé de lui faire des recommandations sur ce qui suit :

a) les règles de pratique et de procédure qu'une organisation prescrite doit mettre en place pour protéger la vie privée des particuliers à l'égard desquels elle reçoit des renseignements personnels sur la santé afin de créer ou de tenir le dossier de santé électronique, et maintenir la confidentialité de ces renseignements;

b) les règles de pratique et de procédure qu'une organisation prescrite doit mettre en place pour répondre à une demande, présentée par un particulier en vertu de la partie V, à l'égard des renseignements personnels sur la santé figurant dans son dossier de santé électronique, ou pour faciliter la préparation d'une telle réponse;

c) les mesures de précaution d'ordre administratif, technique et matériel qu'une organisation prescrite devrait mettre en place pour protéger la vie privée des particuliers à l'égard desquels elle reçoit des renseignements personnels sur la santé afin de créer ou de tenir le dossier de santé électronique, et maintenir la confidentialité de ces renseignements;

d) le rôle que doit jouer une organisation prescrite lorsqu'elle aide un dépositaire de renseignements personnels sur la santé à respecter l'obligation qui lui incombe en application du paragraphe 12 (2) d'aviser un particulier en cas de vol ou de perte des renseignements personnels sur la santé figurant dans le dossier de santé électronique créé ou tenu par l'organisation prescrite ou d'accès à ceux-ci par des personnes non autorisées;

e) la communication d'avis aux particuliers dont les renseignements personnels sur la santé figurent dans le dossier de santé électronique en cas de vol ou de perte de ces renseignements ou d'accès à ceux-ci par des personnes non autorisées;

f) tout ce que la présente partie ou les règlements indiquent comme pouvant faire l'objet d'une recommandation du comité consultatif;

g) toute autre question qu'il renvoie au comité consultatif.

Mandat

(2) Sous réserve des autres dispositions de la présente partie, le ministre fixe le mandat du comité consultatif, notamment en ce qui concerne les conflits d'intérêts, les membres du comité et l'organisation et la gouvernance du comité.

Nominations

(3) Le ministre nomme les membres du comité consultatif conformément aux exigences que prescrivent les règlements.

Soutien du ministère

(4) Le ministère fait ce qui suit :

a) il fournit un soutien administratif au comité consultatif;

b) il a la garde et le contrôle des dossiers du comité consultatif pour l'application de la Loi sur l'accès à l'information et la protection de la vie privée;

c) il est chargé de l'observation de la Loi de 2006 sur les Archives publiques et la conservation des documents en ce qui concerne les dossiers créés par le comité consultatif ou qui lui sont communiqués.

Obligation de communiquer des renseignements

55.11 (1) Le ministre peut, par règlement, exiger que des catégories de dépositaires de renseignements sur la santé ou des dépositaires de renseignements sur la santé déterminés communiquent des renseignements personnels sur la santé à une organisation prescrite afin de créer ou de tenir le dossier de santé électronique, et préciser le type de renseignements personnels sur la santé que ces dépositaires ou catégories de dépositaires sont tenus de communiquer.

Consultation

(2) Les règles suivantes s'appliquent à la prise d'un règlement par le ministre en vertu du paragraphe (1) :

1. Les exigences de l'article 74 en matière de consultation publique s'appliquent, avec les adaptations nécessaires.

2. Avant de mener une consultation publique à l'égard d'un règlement, le ministre présente au commissaire et au comité consultatif un avant-projet du règlement et leur accorde un délai d'au moins 30 jours pour l'examiner et faire des recommandations.

3. Avant de mener une consultation publique à l'égard du règlement en question, le ministre étudie les recommandations du commissaire et du comité consultatif et apporte les modifications qu'il estime appropriées à l'avant-projet du règlement.

Règlements : lieutenant-gouverneur en conseil

55.12 (1) Le lieutenant-gouverneur en conseil peut prendre des règlements en vue de la réalisation de l'objet et de l'application des dispositions de la présente partie.

Idem

(2) Sans préjudice de la portée générale du paragraphe (1), le lieutenant-gouverneur en conseil peut, par règlement :

a) prescrire une ou plusieurs organisations à titre d'organisations prescrites pour l'application de la présente partie et traiter des fins auxquelles de telles organisations sont prescrites;

b) prescrire les fonctions supplémentaires d'une organisation prescrite en vertu de la présente loi;

c) prescrire les exigences supplémentaires qu'une organisation prescrite doit respecter au moment de créer ou de tenir le dossier de santé électronique;

d) régir les avis qu'exige l'article 55.6, exiger la communication d'avis dans d'autres circonstances et régir ces avis;

e) prescrire le niveau de spécificité auquel les renseignements personnels sur la santé peuvent être visés par une directive en matière de consentement, y compris les personnes à qui la collecte, l'utilisation et la divulgation de renseignements peut être restreinte;

f) prescrire les services du ministère qui seront autorisés à recueillir, à utiliser et à divulguer, au nom du ministre, des renseignements personnels sur la santé figurant dans le dossier de santé électronique aux fins décrites à l'article 55.8;

g) traiter de la prestation, par une organisation prescrite, de services liés au dossier de santé électronique directement aux particuliers;

h) prévoir tout ce qui, en vertu de la présente partie, peut ou doit être prévu ou prescrit par les règlements, à moins que le ministre ne soit expressément autorisé à prendre des règlements à l'égard de cette question.

Examen

(3) Le ministre examine chaque règlement pris en vertu de l'alinéa (2) e) au moins une fois tous les trois ans.

Consultation du public

(4) L'article 74 s'applique, avec les adaptations nécessaires, à la prise d'un règlement en vertu du présent article.

(5) Les alinéas 72 (2) a) et b) de la Loi sont abrogés et remplacés par ce qui suit :

a) d'une amende d'au plus 100 000 $, s'il s'agit d'une personne physique;

b) d'une amende d'au plus 500 000 $, s'il ne s'agit pas d'une personne physique.

(6) L'article 72 de la Loi est modifié par adjonction des paragraphes suivants :

Protection des renseignements

(6) Dans le cadre d'une poursuite intentée relativement à une infraction prévue au paragraphe (1), le tribunal peut prendre des précautions pour éviter que lui-même ou une personne ne divulgue des renseignements personnels sur la santé concernant un particulier, notamment, lorsque cela est approprié, tenir des audiences en tout ou en partie à huis clos ou apposer un sceau sur la totalité ou une partie des dossiers du greffe.

Aucune prescription

(7) L'article 76 de la Loi sur les infractions provinciales ne s'applique pas à une poursuite intentée aux termes de la présente loi.

Loi de 1991 sur les professions de la santé réglementées

3. La Loi de 1991 sur les professions de la santé réglementées est modifiée par adjonction de l'article suivant :

Dossiers de santé électroniques

36.2 (1) Le ministre peut, par règlement :

a) exiger qu'un ou plusieurs ordres recueillent auprès de leurs membres les renseignements les concernant que précisent ces règlements et que le ministre estime nécessaires afin de créer ou de tenir le dossier de santé électronique;

b) exiger que l'ordre ou les ordres communiquent les renseignements en question à une organisation prescrite sous la forme, de la manière et dans le délai que celle-ci précise;

c) traiter de l'avis mentionné au paragraphe (4).

Obligation des membres de communiquer des renseignements

(2) Si le ministre a pris un règlement en vertu du paragraphe (1) et qu'un ordre a demandé des renseignements à un membre conformément à ce règlement, le membre se conforme à la demande de l'ordre.

Utilisation et divulgation par une organisation prescrite

(3) Malgré un règlement pris en vertu du paragraphe (1), une organisation prescrite :

a) ne peut recueillir, utiliser et divulguer des renseignements en vertu du présent article qu'à la fin prévue au paragraphe (1);

b) ne doit pas utiliser ou divulguer des renseignements personnels recueillis en vertu du présent article à une fin que d'autres renseignements permettent de réaliser;

c) ne doit pas utiliser ou divulguer plus de renseignements personnels recueillis en vertu du présent article qu'il n'est nécessaire pour réaliser la fin visée.

Avis exigé par le par. 39 (2) de la Loi sur l'accès à l'information

(4) Si le ministre a pris un règlement en vertu du paragraphe (1) et qu'un ordre est tenu de recueillir des renseignements personnels auprès de ses membres, l'avis exigé par le paragraphe 39 (2) de la Loi sur l'accès à l'information et la protection de la vie privée est donné, selon le cas :

a) au moyen d'un avis public affiché sur le site Web d'une organisation prescrite;

b) de tout autre mode public prescrit par les règlements que prend le ministre en vertu du paragraphe (1).

Idem

(5) Si elle publie l'avis mentionné au paragraphe (4), une organisation prescrite en avise l'ordre, lequel publie à son tour un avis au sujet de la collecte sur son site Web dans un délai de 20 jours.

Définitions

(6) Les définitions qui suivent s'appliquent au présent article.

«créer ou tenir le dossier de santé électronique» S'entend au sens de la partie V.1 de la Loi de 2004 sur la protection des renseignements personnels sur la santé. Il est entendu que cette définition s'entend notamment de l'identification exacte des membres en ce qui a trait aux dossiers de santé électroniques. («creating or maintaining the electronic health record»)

«organisation prescrite» S'entend au sens de l'article 2 de la Loi de 2004 sur la protection des renseignements personnels sur la santé. («prescribed organization»)

«renseignements» S'entend notamment de renseignements personnels, à l'exclusion des renseignements personnels sur la santé. («information»)

«renseignements personnels sur la santé» S'entend au sens de la Loi de 2004 sur la protection des renseignements personnels sur la santé. («personal health information»)

Entrée en vigueur

4. La présente loi entre en vigueur le jour que le lieutenant-gouverneur fixe par proclamation.

Titre abrégé

5. Le titre abrégé de la présente loi est Loi de 2013 sur la protection des renseignements personnels sur la santé figurant dans un dossier de santé électronique.

note explicative

Diverses lois sont modifiées pour traiter de questions concernant les dossiers de santé électroniques.

La Loi sur l'interchangeabilité des médicaments et les honoraires de préparation est modifiée pour supprimer l'obligation d'écrire à la main certaines directives sur les ordonnances.

De nombreuses modifications sont apportées à la Loi de 2004 sur la protection des renseignements personnels sur la santé.

L'article 34 de la Loi est modifié pour permettre la collecte et l'utilisation, par des personnes prescrites qui ne sont pas des dépositaires de renseignements sur la santé, de numéros de la carte Santé afin de créer ou de tenir le dossier de santé électronique.

L'article 51 de la Loi est modifié pour que la partie V de la Loi s'applique aux organisations prescrites comme si elles étaient des dépositaires de renseignements sur la santé en ce qui concerne les dossiers précisés et comme si elles avaient la garde ou le contrôle de ces dossiers. L'article 51 est également modifié pour que la partie V s'applique à certains dossiers dont un dépositaire de renseignements sur la santé a la garde ou le contrôle.

Le projet de loi ajoute à la Loi une nouvelle partie V.1, intitulée «Dossiers de santé électroniques».

Le projet de loi autorise le lieutenant-gouverneur en conseil à prescrire des organisations pour l'application de la partie V.1 de la Loi («organisation prescrite»).

De nombreux termes sont définis pour l'application de la partie V.1. Certaines définitions de la Loi en ce qui concerne les renseignements personnels sur la santé figurant dans le dossier de santé électronique sont modifiées.

Le ministre est tenu de constituer un comité consultatif chargé de lui faire des recommandations sur des questions précisées concernant le dossier de santé électronique. Il peut aussi fixer le mandat du comité consultatif et en nommer les membres. Quant à lui, le ministère fournit un soutien administratif au comité.

Les organisations prescrites sont tenues d'exercer les fonctions énumérées à l'égard du dossier de santé électronique et doivent se conformer aux exigences précisées au moment de créer ou de tenir le dossier de santé électronique. Le ministre est autorisé à donner aux organisations prescrites des directives à l'égard de l'exercice de ces responsabilités et fonctions. Avant de donner de telles directives, le ministre serait tenu de prendre en considération les recommandations du comité consultatif et du commissaire à l'information et à la protection de la vie privée.

La partie V.1 interdit à un dépositaire de renseignements sur la santé de recueillir des renseignements personnels sur la santé figurant dans le dossier de santé électronique tenu par une organisation prescrite si ce n'est pour assurer la prestation ou une aide à la prestation de soins de santé à un particulier ou pour éliminer ou réduire un risque considérable de blessure grave menaçant une personne ou un groupe de personnes, pourvu que le dépositaire ait des motifs raisonnables de croire que la collecte de renseignements est nécessaire à cette fin. Par ailleurs, la partie V.1 autorise les dépositaires de renseignements sur la santé à recueillir, utiliser et divulguer les éléments de données prescrits pour permettre l'identification de manière unique de particuliers afin de recueillir des renseignements personnels sur la santé les concernant et figurant dans le dossier de santé électronique.

Un particulier peut donner à une organisation prescrite une directive selon laquelle il refuse ou retire son consentement à la collecte, à l'utilisation et à la divulgation, aux fins de la prestation ou d'aide à la prestation des soins de santé qui lui sont destinés, de renseignements personnels sur la santé le concernant et figurant dans le dossier de santé électronique. Le particulier est autorisé à modifier une directive donnée antérieurement. L'organisation prescrite serait tenue de respecter la directive.

Malgré une directive en matière de consentement, un dépositaire de renseignements sur la santé est autorisé à divulguer des renseignements personnels sur la santé à un autre dépositaire dans les circonstances précisées, notamment avec le consentement exprès du particulier que concernent les renseignements ou si le dépositaire qui cherche à recueillir les renseignements a des motifs raisonnables de croire que la collecte de ces renseignements est nécessaire soit pour éliminer ou réduire un risque considérable de blessure grave menaçant le particulier que concernent les renseignements et qu'il n'est pas raisonnablement possible pour lui d'obtenir le consentement du particulier en temps opportun, soit pour éliminer ou réduire un risque considérable de blessure grave menaçant une personne autre que le particulier que concernent les renseignements ou un groupe de personnes.

Les organisations prescrites sont tenues de vérifier, de consigner et de surveiller l'accès aux renseignements personnels sur la santé visés par une directive en matière de consentement et de donner un avis aux dépositaires de renseignements sur la santé lorsqu'il est dérogé à une telle directive dans les circonstances décrites plus haut. Le dépositaire de renseignements sur la santé qui reçoit un tel avis serait tenu d'aviser le particulier qui a donné la directive en matière de consentement et le commissaire à l'information et à la protection de la vie privée.

Malgré une directive en matière de consentement, les organisations prescrites sont autorisées à utiliser des renseignements personnels sur la santé pour donner des alertes aux dépositaires de renseignements sur la santé en cas d'interactions médicamenteuses pouvant être nocives, à condition que les renseignements visés par la directive ne soient pas révélés.

Le ministre peut recueillir des renseignements personnels sur la santé provenant du dossier de santé électronique à des fins de financement, de planification et de prestation de services de santé subventionnés par le gouvernement de l'Ontario et de détection, de surveillance ou de répression des fraudes ou des cas où des paiements, des biens ou des services ayant trait à la santé et subventionnés par le gouvernement de l'Ontario ont été reçus de façon inappropriée. Le ministre peut utiliser ces renseignements pour effectuer des vérifications s'il existe des motifs raisonnables de croire qu'un paiement, un service ou un bien subventionné par le gouvernement de l'Ontario a été reçu de façon inappropriée et il peut les divulguer si la loi l'exige et que la divulgation est faite soit aux fins d'une instance, soit à un organisme chargé de l'exécution de la loi. Le lieutenant-gouverneur en conseil doit prescrire le service du ministère qui peut recueillir et utiliser les renseignements à ces fins. La partie V.1 exigerait du ministère qu'il prenne certaines mesures pour anonymiser ces renseignements. Le ministère serait tenu de mettre en place des règles de pratique et de procédure pour protéger la vie privée des particuliers à l'égard desquels il recueille des renseignements personnels sur la santé à de telles fins. Ces règles de pratique et de procédure devraient être approuvées par le commissaire à l'information et à la protection de la vie privée tous les trois ans.

Si les conditions exigées sont réunies, le ministre peut ordonner la divulgation de renseignements personnels sur la santé figurant dans le dossier de santé électronique aux personnes qu'il précise, comme s'il en avait la garde ou le contrôle, pour l'application de certaines dispositions de la Loi. Lorsqu'il enjoint à une organisation prescrite de divulguer de tels renseignements, le ministre doit tenir compte des recommandations du comité consultatif.

Le projet de loi prévoit les pouvoirs réglementaires dont sont investis le ministre et le lieutenant-gouverneur en conseil.

La Loi est modifiée afin d'augmenter les amendes dont sont passibles les personnes coupables d'une infraction à la Loi, de préciser qu'aucun délai de prescription n'est prévu en ce qui concerne les poursuites pour infraction à la Loi et d'autoriser le tribunal, dans le cadre d'une poursuite intentée pour infraction à la Loi, à prendre des précautions afin d'éviter la divulgation de renseignements personnels sur la santé.

La Loi de 1991 sur les professions de la santé réglementées est modifiée pour autoriser le ministre, par règlement, à exiger qu'un ordre d'une profession de la santé réglementée, d'une part, recueille auprès de ses membres les renseignements que précisent les règlements et qui sont nécessaires pour assurer l'efficacité des dossiers de santé électroniques et, d'autre part, divulgue ces renseignements à une organisation prescrite. Les membres de l'ordre seraient tenus de se conformer à cette demande de renseignements.