Vie privée
LPRPS (PHIPA) de l’Ontario
Loi de 2004 sur la protection des renseignements personnels sur la santé · dépositaires de renseignements sur la santé de l’Ontario
La LPRPS régit la façon dont les renseignements personnels sur la santé sont recueillis, utilisés, communiqués et protégés en Ontario. Depuis le 1er janvier 2024, le commissaire à l’information et à la protection de la vie privée peut imposer des sanctions administratives allant jusqu’à 500 000$ sans passer par un tribunal, et les atteintes qui en ont valu jusqu’ici n’étaient pas l’œuvre de pirates. C’était du personnel qui consultait des dossiers auxquels il n’avait aucune raison d’accéder.
Ce qu’exige la LPRPS
Les obligations se situent à cinq endroits et s’appliquent à chaque dépositaire de renseignements sur la santé, ainsi qu’aux mandataires et aux fournisseurs de services électroniques qui agissent pour eux.
| Obligation | Ce que cela signifie |
|---|---|
| Traitement licite | Ne recueillez, n’utilisez et ne communiquez des renseignements personnels sur la santé qu’avec un consentement éclairé ou en vertu d’une autorisation légale. |
| Mesures de protection | Prenez des mesures raisonnables en vertu du paragraphe 12(1) pour protéger les renseignements contre le vol, la perte et l’utilisation ou la communication non autorisée. |
| Accès et correction | Donnez à chaque personne accès à son propre dossier et un moyen de le faire corriger. |
| Avis d’atteinte | Avisez la personne concernée de tout vol, perte ou utilisation ou communication non autorisée et avisez le commissaire à la première occasion raisonnable lorsque l’une de sept circonstances prescrites s’applique. |
| Statistiques annuelles | Déposez auprès du commissaire, au plus tard le 1er mars de chaque année, des statistiques sur les atteintes de l’année civile précédente. |
Deux régimes de pénalités, souvent confondus
La LPRPS comporte deux voies d’application distinctes, et il est utile de les garder séparées.
- Sanctions administratives pécuniaires. En vigueur depuis le 1er janvier 2024, imposées par le commissaire à l’information et à la protection de la vie privée sans poursuite, jusqu’à 50 000$ pour un particulier et 500 000$ pour une organisation.
- Infractions poursuivies. Jusqu’à 200 000$ pour un particulier et 1 000 000$ pour une organisation, plus jusqu’à un an d’emprisonnement.
La leçon pratique tient à qui a été sanctionné. Les deux sanctions administratives imposées jusqu’ici visaient la consultation indue de dossiers par un utilisateur autorisé, et c’est pourquoi la revue du journal d’audit, et non la sécurité du périmètre, est le contrôle qui détermine la plupart des issues liées à la LPRPS.
Comment Lavawall® vous aide à démontrer la conformité à la LPRPS
Lavawall associe votre posture à la LPRPS à partir de la même bibliothèque de contrôles partagée qu’il utilise pour chaque cadre de référence, et recueille des preuves horodatées en continu plutôt que la semaine précédant une revue.
- Surveillez le journal d’audit, le contrôle qui compte ici. Faites ressortir les signaux d’accès et de surveillance dans Microsoft 365, Google Workspace et vos postes de travail, pour que la consultation indue par un utilisateur autorisé apparaisse comme une tendance plutôt que comme une surprise dans une plainte.
- Prouvez les mesures de protection. Documentez les protections du paragraphe 12(1), les contrôles d’accès et la configuration par rapport à la correspondance avec la LPRPS.
- Soyez prêt pour le chronomètre des atteintes. Conservez les dossiers dont vous avez besoin pour aviser la personne et le commissaire à la première occasion raisonnable, et pour déposer les statistiques annuelles.
Voir aussi
Source principale : la Loi de 2004 sur la protection des renseignements personnels sur la santé et le commissaire à l’information et à la protection de la vie privée de l’Ontario. Dernière vérification : 28 août 2026.
Questions fréquentes
À qui la LPRPS s’applique-t-elle?
À tous les dépositaires de renseignements sur la santé de l’Ontario : hôpitaux, médecins, cliniques, pharmacies, laboratoires, foyers de soins de longue durée, services d’ambulance et conseils et organismes qui les exploitent, de même que leurs mandataires et les fournisseurs de services électroniques qu’ils utilisent. Si vous détenez ou traitez des renseignements personnels sur la santé de l’Ontario, la LPRPS vous vise.
Quelles sont les pénalités prévues par la LPRPS?
Deux régimes distincts. Les sanctions administratives pécuniaires, en vigueur depuis le 1er janvier 2024, sont imposées par le commissaire à l’information et à la protection de la vie privée sans poursuite, jusqu’à 50 000$ pour un particulier et 500 000$ pour une organisation. Les infractions poursuivies vont jusqu’à 200 000$ pour un particulier et 1 000 000$ pour une organisation, plus jusqu’à un an d’emprisonnement.
Quelles atteintes faut-il déclarer, et quand?
Un dépositaire doit aviser la personne concernée de tout vol, perte ou utilisation ou communication non autorisée de ses renseignements personnels sur la santé, et doit aviser le commissaire à l’information et à la protection de la vie privée à la première occasion raisonnable lorsque l’une de sept circonstances prescrites s’applique. Les dépositaires déposent aussi auprès du commissaire, au plus tard le 1er mars de chaque année, des statistiques sur les atteintes de l’année civile précédente.
Quel est le contrôle le plus important de la LPRPS?
La revue du journal d’audit. Les deux sanctions administratives que le commissaire a imposées à ce jour visaient la consultation indue de dossiers par un utilisateur autorisé, et non un attaquant externe. Cela signifie que le contrôle qui compte le plus est de surveiller ce que vos propres utilisateurs autorisés font dans le dossier, ce qui relève davantage d’un problème de surveillance et de revue que d’un problème de périmètre.
Lavawall nous rend-il conformes à la LPRPS?
La conformité incombe au dépositaire, devant le commissaire à l’information et à la protection de la vie privée de l’Ontario. Lavawall associe votre posture à la LPRPS, recueille en continu des preuves horodatées et fait ressortir les signaux d’accès et de journal d’audit qui importent à la Loi, de sorte qu’un dépositaire puisse voir et démontrer sa position. Lavawall vous y mène et vous garde prêt pour les audits.