POLITIQUE SUR LA PROTECTION ET LA CONFIDENTIALITÉ DES RENSEIGNEMENTS PERSONNELS
(Conformément à la Loi 25)
À L’INTENTION DU PERSONNEL
(Employés & travailleurs autonomes)
Préparé par : Natali Lefrançois, coordonnatrice clinique
Entériné par : Dre Constance Ladouceur-Deslauriers, podiatre propriétaire
Date de création : 2023-10-25
TABLE DES MATIÈRES
1. Objectifs 3
2. Engagement 3
3. Principes guidant la Clinique 3
4. Application 3
5. Responsable de la protection de renseignements personnels 3
6. Obligations de la Clinique 4
7. Définitions 4
8. Obtention du consentement 5
9. Sources 6
10. Méthode de collecte 6
11. Type de renseignements personnels 6
12. Raisons de la collecte 7
13. Consentement non requis 8
14. Communication des renseignements 8
15. Protection des renseignements personnels 9
16. Durée de conservation 9
17. Destructions des renseignements personnels 9
18. Droits des personnes concernées 9
19. Consultation des renseignements personnels 10
20. Ressources 10
Page 2 sur 10
1. Objectifs
La clinique podiatrique Maisonneuve-Rosemont (la Clinique) reconnaît l’importance de protéger la confidentialité des renseignements personnels qui lui est confiée tout en
respectant les lois et règlements en vigueur.
La Loi 25 (la Loi), encadre rigoureusement les entreprises privées concernant les renseignements personnels pouvant être collecter, utiliser et partager.
2. Engagement
La Clinique s’engage à protéger la confidentialité de tous les renseignements personnels obtenus dans le cadre de ses activités.
La Clinique se réserve le droit de modifier la présente politique afin de garantir sa conformité aux lois en vigueurs.
3. Principes guidant la Clinique
Afin de protéger la confidentialité des renseignements personnels, la Clinique est guidée par les 4 principes suivants :
⮚ Nous limiter à l’essentiel : Nous recueillons, utilisons et communiquons uniquement les renseignements nécessaires à nos activités.
⮚ Faire preuve de transparence : Nous agissons en toute transparence envers les personnes dont nous possédons les renseignements personnels.
⮚ Obtenir le consentement de chacun : Nous obtenons un consentement rédigé/exprimé en termes simples et clairs. Le consentement doit être manifeste, libre, éclairé et être donné à des fins spécifiques.
⮚ Protéger la confidentialité des renseignements obtenus : Nous avons mis en place des mesures de sécurité pour garantir la protection des renseignements personnels.
4. Application
La présente politique s’applique à tout le personnel de la Clinique (employés et travailleurs autonomes) et à tous les niveaux hiérarchiques.
Dans le présent document, le masculin est utilisé dans le seul but d’alléger le texte.
5. Responsable de la protection de renseignements
personnels
La personne responsable de la protection des renseignements personnels à la Clinique est : Natali Lefrançois, coordonnatrice clinique.
Page 3 sur 10
Sa responsabilité est de veiller à assurer le respect et la mise en œuvre de la Loi. Vous trouverez ci-dessous ses coordonnées complètes.
⮚ Natali Lefrançois, coordonnatrice clinique
A/S Responsable de la protection des renseignements personnels
Clinique podiatrique Maisonneuve-Rosemont
5345, boul. de l’Assomption, bureau 200
Montréal (QC) H1T 4B3
Courriel : info@podiatremr.com
Téléphone : 438 384-6400
6. Obligations de la Clinique
La Clinique doit tenir un registre détaillant tout incident de confidentialité. Celui-ci doit être communiqué à la Commission d’accès à l’information (la CAI) sur demande.
À titre d’exemples, les situations suivantes pourraient se qualifier d’incident de confidentialité :
⮚ L’accès non autorisé par la Loi à un renseignement personnel;
⮚ L’utilisation non autorisé par la Loi d’un renseignement personnel;
⮚ La communication non autorisée par la Loi d’un renseignement personnel;
⮚ La perte de renseignements personnels ou tout autre atteinte à la protection de tels renseignements.
La Clinique doit aviser la CAI et les personnes concernées de tout incident de confidentialité si celui-ci implique des renseignements personnels qu’elle détient et qu’un risque de préjudice sérieux existe. À titre d’exemple, un préjudice sérieux peut être une atteinte à la réputation ou un vol d’identité.
7. Définitions
⮚ Renseignements personnels : Tout renseignement qui concerne une personne physique et permet de l’identifier, c’est-à-dire qui révèle de manière directe ou indirecte quelque chose sur l’identité, les caractéristiques (ex. : caractéristiques physiques ou ethniques) ou les activités de cette personne, et ce, quelle que soit la nature du support et quelle que soit la forme sous laquelle ce renseignement est accessible (écrite, graphie, sonore, visuelle, informatisée ou autre).
⮚ Renseignements personnels sensibles : Désigne un renseignement personnel qui, lorsque par sa nature ou en raison du contexte de son utilisation ou de sa communication, suscite un haut degré d’atteinte raisonnable en matière de respect de la vie privée. Il peut s’agir, par exemple, de renseignements médicaux, biométriques, génétiques, ou encore de renseignements sur la vie ou l’orientation sexuelles,
Page 4 sur 10
l’expression de genre, les convictions religieuses ou philosophiques ou l’origine ethnique.
⮚ Biométrie : Désigne l’ensemble des techniques informatiques permettant d’identifier ou d’authentifier une personne grâce à ses caractéristiques physiques, biologiques ou comportementales uniques.
⮚ Employé : Désigne tout employé régulier, à temps plein/partiel ou tout employé temporaire/saisonnier.
⮚ Employeur : La Clinique podiatrique Maisonneuve-Rosemont (la Clinique).
⮚ Personnel : Désigne les employés et les travailleurs autonomes de la Clinique.
⮚ Travailleur autonome : Désigne une personne qui travaille pour elle-même et non pour le compte d’une autre personne. Elle effectue un travail rémunéré par la Clinique dans ses locaux.
⮚ Fournisseur de services : Toute personne physique ou morale qui traite les données pour le compte de la Clinique. Il s’agit d’organisations tierces ou de personnes employés par la Clinique pour compléter et faciliter ses activités courantes.
⮚ Dossier médical électronique : La Clinique utilise le Dossier médical électronique (le DME) nommé Medesync, celui-ci est géré et administré par Telus Santé.
⮚ Consentement implicite : Il s’agit d’un consentement qui n’est pas donné explicitement, mais qui peut être déduit compte tenu des actes de la personne et de la situation. La Loi n’exige pas l’obtention d’un consentement pour l’utilisation de renseignements personnels lorsqu’ils sont de nature commerciale (ex. : nom, prénom, adresse civique, courriel, numéro de téléphone).
⮚ Consentement explicite : Forme de consentement la plus adéquate et respectueuse à utiliser dans toutes les circonstances. Consentement suffisamment clair et précis ne laissant aucun doute sur les raisons de son obtention.
8. Obtention du consentement
La Clinique obtient toujours le consentement de la personne concernée avant de recueillir, d’utiliser ou de communiquer les renseignements personnels en sa possession.
Dans certains cas, la Clinique peut présumer avoir le consentement (consentement implicite), ou la Loi nous permet de ne pas obtenir de consentement (voir la section 13).
Le consentement peut être obtenu de différentes façons :
⮚ Par écrit : Formulaire de consentement, courriel, électroniquement ou numériquement.
⮚ Verbalement : En personne ou par téléphone (incluant par un message automatisé).
Page 5 sur 10
Le consentement est valide uniquement pour les objectifs déclarés à la personne concernée.
Si la Clinique souhaite recueillir, utiliser ou communiquer des renseignements personnels pour d’autres objectifs, elle doit demander un nouveau consentement, sauf dans les cas d’exception (voir la section 13).
9. Sources
La Clinique peut recueillir les renseignements personnels auprès de différentes sources :
⮚ La personne concernée lors de ses interactions avec nous.
⮚ D’autres personnes ou organisation (ex. : mandataire, représentant légal, professionnels de la santé, organismes gouvernementaux).
10. Méthode de collecte
La Clinique peut recueillir les renseignements personnels de différentes façons :
⮚ Par téléphone;
⮚ En personne;
⮚ À l’aide de nos formulaires et de nos interfaces numériques;
⮚ À l’aide de technologie permettant l’identification et la localisation, telles que les témoins, ou cookies. Par exemple, nos outils de prise de rendez-vous en ligne.
⮚ À l’aide de modèles et de rapports statistiques permettant de créer ou déduire de nouvelles informations à partir de renseignements personnels afin de guider la Clinique dans l’évaluation de ses services et les coûts s’y rattachant.
11. Type de renseignements personnels
La Clinique recueille uniquement les renseignements personnels nécessaires à ses activités. Par exemple :
⮚ Renseignements requis pour identification : Nom, prénom, date de naissance, âge, adresse postale et électronique, numéro de téléphone.
⮚ Renseignements requis pour l’authentification : Réponses à des questions d’authentification, carte d’assurance maladie.
⮚ Renseignements sur la santé : Antécédents médicaux, antécédents familiaux, état de santé, allergies et intolérance, médicaments, nom du médecin de famille/spécialiste, résultats de tests (papier, électronique, image) habitudes de vie, informations contenues dans le Dossier Santé Québec (DSQ).
Page 6 sur 10
⮚ Renseignements sur le dossier d’assurance ou de la CNESST (Commission des normes, de l’équité, de la santé et de la sécurité du travail) : Nom de l’assureur, numéro de police, nom de l’agent, numéro de dossier CNESST, date d’événement, description de l’événement.
⮚ Renseignements financiers : Mode de paiement, type de carte de crédit, numéro de carte de crédit, date d’expiration.
⮚ Renseignements numériques : Adresse IP, système d’exploitation, pages visitées, heure et jour de connexion, données de localisation, préférence de communication.
⮚ Renseignements sur les interactions et communication avec nous : Raison de consultation, enregistrement des communications téléphoniques, notes, comptes- rendus et historique de communication, renseignements sur les demandes d’accès à l’informations, insatisfactions, plaintes, préférence en matière de langue de communication.
⮚ Renseignements liés à nos vérifications et à la sécurité : Renseignements de vérifications en lien avec de fausses représentations, fraudes, cybermenaces et autres infractions aux lois.
⮚ Autres renseignements : Renseignements sur la situation professionnelle, tâches et horaire de travail. Renseignements sur d’autres personnes que nos patients (ex. : mandataire, tuteur, représentant légal, conjoint, personne à charge, etc.).
12. Raisons de la collecte
Les renseignements sont recueillis, utilisés et communiqués uniquement lorsqu’ils sont nécessaires aux activités de la Clinique.
La Clinique fait de son mieux pour avoir en sa possession des renseignements personnels exacts, complets et à jour. Toutefois, nous comptons sur la collaboration de chacun pour nous informer lorsque ces renseignements changent.
La cueillette, l’utilisation et la communication de renseignements personnels est fait pour :
⮚ Établir une relation avec la personne concernée : Pour l’identifier, comprendre sa situation, son profil, ses besoins et ses objectifs, évaluer les demandes de rendez-vous et déterminer si nous pouvons offrir nos services.
⮚ Gérer et administrer nos produits et services : Évaluer les renseignements recueillis pour déterminer les services à offrir, établir les coûts s’y rattachant, traiter les demandes d’informations et offrir des services, recommandations et conseils lié à la situation de chacun.
⮚ Interagir avec les personnes en relation avec nous : Répondre aux questions sur nos produits et services, mettre à jour le dossier d’un patient de la Clinique, traiter les demandes d’accès à l’information, les insatisfactions et les plaintes.
Page 7 sur 10
⮚ Améliorer nos services : Mener des études et des recherches, par exemple sur un nouveau traitement, des tendances. L’application de modèles et de rapports statistiques permettant de créer ou déduire de nouvelles informations à partir de renseignements personnels afin de guider la Clinique dans l’évaluation de ses services et les coûts s’y rattachant.
⮚ Respecter nos obligations légales : Protéger la sécurité de toutes personnes ayant des interactions avec nous, et la nôtre. Détecter et prévenir les fausses représentations, les fraudes, cybermenaces et autres infractions aux lois. Remplir nos obligations fiscales et de conservation. Répondre aux demandes et aux ordonnances des tribunaux, organismes gouvernementaux et règlementaires et à l’Ordre des podiatres du Québec.
⮚ Offrir une expérience personnalisée : Préférences de communications (ex. : courriel, téléphone, etc.), heures et jour de disponibilités.
13. Consentement non requis
La Clinique peut utiliser des renseignements personnels sans obtenir le consentement de la personne concernée si la Loi le permet. Par exemple, si l’utilisation est à l’avantage de la personne concernée ou si elle est compatible avec l’objectif initial du consentement.
La Clinique peut aussi utiliser ou communiquer des renseignements personnels sans obtenir de consentement pour respecter ses obligations légales. Par exemple :
⮚ Pour se conformer à une ordonnance d’un tribunal, d’un organisme gouvernemental ou de l’Ordre des podiatres du Québec (ex. : médiation).
⮚ Pour prévenir ou détecter les fausses représentations, les fraudes, cybermenaces et autres infractions aux lois.
14. Communication des renseignements
La Clinique peut communiquer des renseignements personnels à d’autres personnes ou organisations, par exemple :
⮚ Des assureurs;
⮚ Des organismes gouvernementaux (ex. : CNESST, Travail emploi et Solidarité sociale) ou des autorités réglementaires;
⮚ Des sites web et applications appartenant à des fournisseurs;
⮚ Des entreprises offrant des services technologiques;
⮚ Des employeurs;
⮚ Des fournisseurs de service comme des professionnels de la santé ou des laboratoires de fabrication d’orthèses plantaires.
Page 8 sur 10
15. Protection des renseignements personnels
La Clinique protège les renseignements personnels en sa possession en :
⮚ Limitant l’accès aux renseignements personnels : Seules les personnes qui ont besoin d’accéder aux renseignements personnels pour remplir leur fonction peuvent le faire.
⮚ Ayant des mesures de sécurité robuste : Par l’intermédiaire de nos fournisseurs de services (ex. : le DME Medesync, Info Télécom, Vidéotron), la Clinique a mis en place des mesures pour protéger les renseignements personnels contre la perte, le vol et tout accès, utilisation ou communication non autorisés.
o Mesures organisationnelles : En limitant l’accès aux renseignements personnels au strict nécessaire et pour des personnes spécifiques.
o Mesures physiques : Local barré en l’absence du personnel, vérification de l’identité des visiteurs à l’arrivée, caméra de surveillance (dans la polyclinique), sauvegarde et archivage des renseignements personnels dans un système de sauvegarde d’urgence (via le DME Medesync).
o Mesures technologiques : Mots de passe, pares-feux.
16. Durée de conservation
La Clinique doit conserver, conformément aux lois québécoises, le dossier d’un patient pendant une période d’au moins 5 ans suivant, selon le cas, la date de la dernière consultation, de la dernière inscription au dossier ou encore le décès.
Les renseignements personnels sont conservés au Québec ou au Canada.
17. Destructions des renseignements personnels
La Clinique conserve les renseignements personnels obtenus lors de ses activités pendant un minimum de 5 ans pour respecter ses règles d’affaires et ses obligations légales, et ce, même si la personne concernée n’est pas ou n’est plus un patient.
Certains fournisseurs de services (ex. : DME Medesync) peuvent conserver les renseignements confidentiels pour une durée plus longue sur leur serveur afin de respecter leurs obligations légales. Toutefois, ces entreprises doivent, elles aussi, se conformer à la Loi.
18. Droits des personnes concernées
La personne concernée peut modifier ou retirer son consentement quant à la collecte, à l’utilisation, la communication et la conservation des renseignements personnels, sous réserve de certaines limitations.
Page 9 sur 10
Pour ses activités courantes, la Clinique utilise des consentements implicites (ex. : nom, adresse, date de naissance, courriel) et explicites (ex. : chirurgie, infiltration, orthèses). Si ces consentements sont retirés, la Clinique pourrait ne plus être en mesure d’offrir ses services.
19. Consultation des renseignements personnels
Toute personne désirant consulter son dossier et ses renseignements personnels doit envoyer une demande écrite détaillée au Responsable de la protection des renseignements personnels dont le nom figure à la section 4.
La Clinique s’engage à traiter les demandes d’accès dans les 30 jours suivant la réception de celles-ci. La personne concernée sera informée des frais de transcription, reproduction ou transmission, s’il y a lieu.
La personne concernée recevra automatiquement une réponse écrite détaillant les démarches effectuées par la Clinique afin de répondre à sa demande.
Toute personne peut demander :
⮚ D’accéder à ses renseignements personnels.
⮚ De corriger ou mettre à jour ses renseignements personnels.
⮚ De recevoir une copie de ses renseignements personnels dans un format technologique structuré et souvent utilisé (ex. : fichier PDF).
⮚ De retirer, en tout temps, son consentement en remplissant le formulaire approprié disponible à la Clinique.
20. Ressources
Le personnel doit s’adresser à la coordonnatrice clinique (responsable de la protection des renseignements personnels) ou à la podiatre propriétaire pour toutes questions reliées à l’application de la présente politique ou pour obtenir de l’aide.
Page 10 sur 10
