Il y a trois principales lois sur la protection de la vie privée qui peuvent s’appliquer à l’exercice de l’ergothérapie :
- Loi de 2004 sur la protection des renseignements personnels sur la santé (LPRPS)
- Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE)
- Loi sur la protection des renseignements personnels (LPRP)
Les services fournis dans des communautés autochtones ou à des clients autochtones peuvent être visés par des lois supplémentaires, des traditions ou des règles impliquant les membres des Premières Nations,
les Inuits ou les Métis.
La loi applicable dépendra de différents facteurs : (1) si les services fournis (comme des évaluations liées au lieu de travail ou des évaluations indépendantes) sont considérés comme étant
des soins de santé ou non; (2) le type d’organisme qui finance ou fournit les services (gouvernement municipal, provincial ou fédéral, ou services fournis à des communautés autochtones). Vous trouverez plus
de détails sur chaque loi dans les pages suivantes.
Pour trouver à qui vous adresser en cas de problème lié à la protection de la vie privée, consultez https://www.priv.gc.ca/fr/signaler-un-probleme/leg_info_201405/.
a. Loi de 2004 sur la protection des renseignements personnels sur la santé (LPRPS)
La Loi de 2004 sur la protection des renseignements personnels sur la santé (LPRPS) est une loi ontarienne qui établit des règles concernant la collecte, l’utilisation et la divulgation de renseignements personnels
sur la santé pour tous les dépositaires de renseignements sur la santé. La LPRPS s’applique à la plupart des pratiques d’ergothérapie en Ontario.
La LPRPS précise les responsabilités des dépositaires de renseignements sur la santé en matière de protection des renseignements personnels sur la santé : obtenir le consentement pour la collecte, l’utilisation
et la divulgation de ces renseignements; répondre aux demandes de divulgation de ces renseignements à des tiers; faciliter le droit d’accès des clients à leurs propres renseignements sur la santé et leur droit
de faire corriger leur dossier de santé.
Renseignements personnels sur la santé
L’expression « renseignements personnels sur la santé » est définie dans le paragraphe 4(1) de la LPRPS. La définition comprend tous les renseignements identificatoires concernant un particulier si, selon le cas,
- ils ont trait à la santé physique ou mentale du particulier, y compris aux antécédents de sa famille en matière de santé;
- ils ont trait à la fourniture de soins de santé au particulier, notamment à l’identification d’une personne comme fournisseur de soins de santé de ce dernier;
- (c.1) ils constituent un programme qui énonce les services de soins à domicile et en milieu communautaire que doit fournir à un particulier un fournisseur de services de santé ou une équipe Santé Ontario conformément
au financement accordé en vertu de l’article 21 de la Loi de 2019 pour des soins interconnectés;
- ils ont trait aux paiements relatifs aux soins de santé fournis au particulier ou à son admissibilité à ces soins ou à cette assurance;
- ils ont trait au don, par le particulier, d’une partie de son corps ou d’une de ses substances corporelles ou découlent de l’analyse ou de l’examen d’une telle partie ou substance;
- ils sont le numéro de la carte Santé du particulier;
- ils permettent d’identifier le mandataire spécial d’un particulier.
Dépositaire de renseignements sur la santé
Tel que défini dans le paragraphe 3(1) de la LPRPS, « dépositaire de renseignements sur la santé » s’entend d’une personne ou d’une organisation visée dans la présente loi qui a « la
garde ou le contrôle de renseignements personnels sur la santé par suite ou à l’égard de l’exercice de ses pouvoirs ou de ses fonctions ».
Les ergothérapeutes sont des dépositaires de renseignements sur la santé pour ce qui est des dossiers de santé générés dans le cadre de leur pratique indépendante. Toutefois, lorsque les ergothérapeutes
sont engagés par un organisme (comme un hôpital, un établissement de soins de longue durée ou une équipe de santé familiale), l’organisme est généralement le dépositaire de ces renseignements.
Si des ergothérapeutes travaillent dans une pratique de groupe, il se peut que le groupe soit considéré comme le dépositaire.
Les ergothérapeutes doivent déterminer qui est le dépositaire dans le cadre de leur pratique. Le dépositaire de renseignements sur la santé est responsable de ces renseignements et des actions de ses mandataires.
Les dépositaires de renseignements sur la santé doivent :
- prendre des mesures raisonnables pour veiller à ce que les renseignements personnels sur la santé soient protégés contre le vol, la perte et toute utilisation, divulgation, modification ou élimination non autorisée
– ceci comprend la mise en place de mesures de sécurité physiques, techniques et administratives appropriées pour protéger les dossiers de santé;
- veiller à ce que les renseignements personnels sur la santé soient entreposés, transférés et éliminés de façon sécuritaire;
- s’assurer que les dossiers de santé sont accessibles sur demande des clients;
- répondre aux demandes de correction;
- élaborer et mettre en œuvre des politiques et des procédures pour donner suite à des directives en matière de consentement, notamment la gestion appropriée de renseignements de diffusion restreinte (format
papier ou électronique);
- répondre à des directives en matière de consentement (demandes de verrouillage);
- avoir des politiques en place pour assurer la protection de la vie privée et signaler toute atteinte au commissaire à l’information et à la protection de la vie privée;
- veiller à ce que tous les membres du personnel, étudiants et sous-traitants obtiennent la formation requise et se conforment ӑ la LPRPS;
- veiller à ce que les ententes conclues avec des mandataires, partenaires communautaires et fournisseurs précisent les attentes en matière de protection de la vie privée;
- élaborer et mettre en œuvre des politiques et procédures pour recueillir, utiliser et partager les renseignements sur la santé sans le consentement du client, lorsque cela est permis par la LPRPS.
Mandataire du dépositaire de renseignements sur la santé
Aux termes de la LPRPS, un « mandataire » est une personne qui est autorisée à fournir des services ou à réaliser des activités au nom d’un dépositaire de renseignements sur la santé.
Le mandataire peut être une personne ou un organisme qui conclut une entente avec le dépositaire, est embauché par celui-ci ou est un étudiant ou un bénévole travaillant avec le dépositaire.
Le mandataire doit se conformer aux politiques du dépositaire en matière d’entreposage, de sauvegarde, de rétention, d’élimination et de demande d’accès et de correction des dossiers de santé.
Par exemple, un mandataire pourrait être un ergothérapeute qui est engagé par un établissement de soins de longue durée qui est le dépositaire des renseignements sur la santé. L’ergothérapeute
doit se conformer à la LPRPS et aux pratiques de l’établissement en la matière.
Un mandataire doit aviser le dépositaire de renseignements sur la santé lorsque :
- des renseignements personnels sur la santé dont le mandataire a la charge ont été volés, perdus ou consultés par des personnes non autorisées;
- le mandataire reçoit une demande d’accès ou de divulgation de renseignements personnels sur la santé;
- le mandataire reçoit une demande de correction d’un dossier de santé dont le dépositaire a la garde;
- le mandataire reçoit une directive en matière de consentement.
Un mandataire doit redonner tous les renseignements personnels sur la santé au dépositaire lorsqu’il cesse de fournir des services ou ne travaille plus pour le dépositaire.
Directive en matière de consentement (verrouillage)
La directive en matière de consentement (directive de verrouillage) est un terme utilisé pour décrire une situation lorsqu’un client demande expressément à ce que certains renseignements ne soient pas divulgués
à d’autres fournisseurs de soins de santé de qui il reçoit des services.
Lorsqu’un client demande à ce que des renseignements cliniques ne soient pas partagés avec un autre fournisseur de soins de santé ayant le même dépositaire de renseignements sur la santé, on parle d’une
« utilisation limitée ou restreinte ». Lorsqu’un client désire prévenir la divulgation de renseignements sur la santé à des fournisseurs de soins de santé externes (qui ne partagent
pas le même dépositaire de renseignements sur la santé), il s’agit plutôt d’une « divulgation limitée ou restreinte ».
Voici des lignes directrices concernant l’utilisation d’une directive en matière de consentement :
- Élaborer et mettre en œuvre des politiques et des procédures pour la gestion appropriée de renseignements restreints (sur papier ou électroniques)
- Expliquer aux clients les risques possibles de l’utilisation d’une directive restrictive en matière de consentement
- Prévenir l’accès non autorisé à tous les renseignements verrouillés
- Veiller à ce que les instructions concernant la directive en matière de consentement soient bien indiquées dans le dossier de santé du client, que ces instructions soient conservées pendant la période de temps
requise et qu’elles soient accessibles au client ou à d’autres personnes qui sont légalement autorisées à consulter ces renseignements
Dans des situations où des renseignements verrouillés ne peuvent pas être divulgués à un autre fournisseur de soins de santé mais l’ergothérapeute croit que la divulgation de ces renseignements est
raisonnablement nécessaire pour fournir les services requis, l’ergothérapeute doit aviser l’autre fournisseur que des renseignements ont été retenus. Le contenu de ces renseignements retenus ne peut toutefois
pas être divulgué.
Les renseignements qui sont visés par une directive en matière de consentement peuvent être divulgués si l’ergothérapeute a des motifs raisonnables de croire que cette divulgation est nécessaire pour réduire
ou éliminer un risque important de préjudice grave pour une personne ou un groupe de personnes.
Les ergothérapeutes qui travaillent pour un dépositaire de renseignements sur la santé devraient confirmer avec l’organisme le processus en vigueur pour mettre en œuvre une directive en matière de consentement.
Les ergothérapeutes qui ont une pratique indépendante devraient établir des politiques et procédures à l’avance pour savoir quoi faire si cette situation se présente.
Cercle de soins et consentement tacite
Le « cercle de soins » n’est pas défini dans la LPRPS mais il est sous-entendu qu’il inclut des situations où les dépositaires de renseignements sur la santé et leurs mandataires assument qu’ils
ont le consentement tacite des clients de recueillir, utiliser et divulguer des renseignements personnels sur la santé à un autre dépositaire ou mandataire afin de fournir des soins de santé.
Ceci se produit le plus souvent dans des milieux où les ergothérapeutes travaillent avec une équipe interprofessionnelle, comme dans des hôpitaux, dans des établissements de soins de longue durée, dans des établissements
de soins primaires et dans un contexte offrant des services à domicile et en milieu communautaire. Toutefois, un consentement tacite peut également s’appliquer au partage de renseignements personnels sur la santé avec des
fournisseurs de soins de santé externes, comme des ergothérapeutes qui partagent des renseignements sur un client avec un fournisseur de soins en milieu communautaire offrant des services au même client (comme un médecin
de famille).
Les dépositaires de renseignements sur la santé ont le droit d’assumer qu’ils ont le consentement tacite du client de recueillir, utiliser et divulguer les renseignements personnels sur la santé du client à d’autres
fournisseurs de soins directs qui sont également des dépositaires du dossier, à des fins de soins de santé, sauf indication contraire du client.
Le partage de renseignements au sein du cercle de soins ne s’applique pas si le consentement est retiré ou retenu. Dans ce cas, il faut obtenir un consentement explicite pour toute collecte, utilisation ou divulgation future de renseignements
sur le client.
Avant de divulguer des renseignements recueillis auprès de clients, les ergothérapeutes devraient se demander si un autre fournisseur de soins de santé fait partie du cercle de soins. Les employeurs, compagnies d’assurance,
établissements d’enseignement et banques sont des exemples de tierces parties qui ne font pas partie du cercle de soins et pour qui l’obtention d’un consentement explicite est requis pour obtenir ces renseignements, sauf si
cela est permis ou exigé par la loi.
Utilisation secondaire de renseignements personnels sur la santé
Lorsque des renseignements personnels sur la santé sont recueillis, utilisés ou divulgués pour toute raison autre que la prestation de soins de santé à un client, on parle d’une utilisation secondaire des renseignements.
Ceci peut comprendre la planification de programmes, la gestion de risques, l’amélioration de la qualité, la recherche, la formation de personnel et la réponse à des procédures juridiques. Les ergothérapeutes
ne devraient pas recueillir, utiliser ou divulguer des renseignements personnels sur la santé pour toute raison autre que la prestation de soins de santé sans obtenir au préalable le consentement du client ou confirmer que la
collecte, l’utilisation ou la divulgation prévue est permise ou requise par la loi.
Dans certaines circonstances, la LPRPS permet aux dépositaires de renseignements sur la santé de faire une utilisation secondaire des renseignements sans obtenir le consentement du client. Toutefois, le type d’activité qui peut
être réalisée et les personnes qui peuvent le faire varient selon la situation, comme dans le cas d’un rapport requis par la loi. Les ergothérapeutes qui sont des mandataires et non pas des dépositaires de renseignements
sur la santé ne devraient pas utiliser des renseignements personnels sur la santé à des fins secondaires sans obtenir d’abord l’autorisation du dépositaire.
b. Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE)
La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) est une loi fédérale qui régit la collecte, l’utilisation et la divulgation de renseignements personnels recueillis
dans le cadre d’activités commerciales.
Dans l’exercice de l’ergothérapie, la LPRPDE peut s’appliquer au domaine de l’assurance pour des services facturables ou à des évaluations médico-légales qui sont réalisées pour
aider un assureur, employeur ou tiers à déterminer l’admissibilité à des prestations ou à une couverture, plutôt qu’à des bienfaits thérapeutiques ou à la prestation de services
de soins de santé à des clients. Généralement, si des ergothérapeutes vont fournir des services à des clients à la suite d’une évaluation demandée ou financée par un tiers,
la LPRPDE peut s’appliquer aux dossiers créés par les ergothérapeutes.
Renseignements personnels
Aux termes de la LPRPDE, on entend par « renseignement personnel » tout renseignement concernant un individu identifiable qui a été communiqué ou consigné. Ceci comprend entre autres les renseignements
suivants :
- l’âge, le nom, un numéro d’identification, le revenu, l’origine ethnique ou le groupe sanguin;
- une opinion, une évaluation, un commentaire, le statut social ou une mesure disciplinaire;
- le dossier d’un employé, un dossier de crédit ou de prêt, un dossier médical, l’existence d’un différend entre un consommateur et un commerçant ou le projet d’une personne (par exemple,
l’intention d’acquérir des biens ou des services ou de changer d’emploi). (Commissariat à la protection de la vie privée du Canada)
Application de la LPRPDE
Plusieurs des exigences en matière de protection de la vie privée de la LPRPDE sont jugées essentiellement similaires à celles de la LPRPS. Ceci peut viser par exemple la responsabilité des dépositaires de renseignements
de sauvegarder les renseignements personnels, l’obtention du consentement pour la collecte, l’utilisation et la divulgation de tels renseignements, la fourniture de l’accès aux dossiers qui renferment des renseignements et
le signalement de toute atteinte aux personnes affectées. Si des ergothérapeutes ont fourni des services qui sont soumis aux dispositions de la LPRPDE et ne sont pas certains de la meilleure façon de traiter une demande ou un
problème lié à la protection de la vie privée, ils devraient obtenir des conseils juridiques.
c. Loi sur la protection des renseignements personnels (LPRP)
La Loi sur la protection des renseignements personnels (LPRP) s’applique à la façon dont le gouvernement du Canada et d’autres organismes fédéraux recueillent, utilisent et divulguent des renseignements
personnels.
La LPRP s’applique à l’exercice de l’ergothérapie lorsque des ergothérapeutes sont employés ou engagés sous contrat par un organisme fédéral, comme Anciens combattants Canada, Service
correctionnel Canada ou Postes Canada. La loi peut également s’appliquer à des services financés par l’entremise du gouvernement fédéral et à des services fournis à des membres des Premières
Nations qui vivent dans des réserves fédérales. Si un ergothérapeute fournit des services à un membre des Premières Nations, un Inuit ou un Métis, il devrait vérifier si d’autres lois s’appliquent
dans ce cas.
Renseignements personnels
Aux termes de la LPRP, on entend par « renseignement personnel » tout renseignement consigné concernant un individu identifiable. Ceci comprend :
- les renseignements relatifs à sa race, à son origine nationale ou ethnique, à sa couleur, à sa religion, à son âge ou à sa situation de famille;
- les renseignements relatifs à son éducation, à son dossier médical, à son casier judiciaire et à ses antécédents professionnels;
- les opérations financières auxquelles il a participé;
- tout numéro ou symbole, ou toute autre indication identificatrice, qui lui est propre (comme un numéro de dossier personnel ou un numéro d’assurance sociale);
- son adresse, ses empreintes digitales ou son groupe sanguin;
- toute correspondance de nature privée ou confidentielle envoyée par lui à une institution fédérale;
- les opinions d’une autre personne qui portent sur un individu identifiable;
- son nom lorsque celui-ci est mentionné avec d’autres renseignements personnels le concernant ou lorsque la seule divulgation du nom révélerait des renseignements à son sujet;
- le fait qu’un individu soit un employé d’un organisme fédéral;
- le type de congé pris par un employé.
Application de la LPRP
Les ergothérapeutes devraient vérifier leurs ententes avec des organismes gouvernementaux (par exemple les principes de PCAP des Premières Nations − un ensemble de normes qui établissent comment les données et informations sur les Premières Nations devraient être recueillies,
protégées, utilisées et partagées) pour déterminer si des dossiers ou des services fournis sont régis par des dispositions de la LPRP. Si des ergothérapeutes ont fourni de tels services et ne sont pas
certains de la meilleure façon de traiter une demande ou un problème lié à la protection de la vie privée, ils devraient obtenir des conseils juridiques.
Consultez l’annexe à la fin du présent
document pour une comparaison de ces trois lois sur la protection de la vie privée.