Si votre clinique a fait ses devoirs de Loi 25 (politique de confidentialité, responsable nommé, registre des incidents), une partie de ce travail vise des données qui n'en relèvent plus. Depuis le 1er juillet 2024, les dossiers des patients relèvent de la Loi sur les renseignements de santé et de services sociaux (LRSSS). Et les exigences les plus visibles de cette loi se trouvent souvent sur votre site web, dans votre outil de rendez-vous et chez vos fournisseurs, le terrain de nos abonnements web.
On l'appelle « Loi 5 » parce qu'elle forme le chapitre 5 des lois de 2023 : adoptée comme projet de loi n° 3, elle a été sanctionnée le 4 avril 2023. Cet article s'adresse à la personne qui gère la clinique, pas au professionnel.
La réponse courte, pour les pressés
La LRSSS (Loi 5), en vigueur depuis le 1er juillet 2024, s'applique à toute personne qui exploite un « cabinet privé de professionnel » : une entreprise où des médecins, dentistes ou autres professionnels exercent à titre privé, sans hébergement ni traitements médicaux spécialisés. Pour ces cliniques, les renseignements de santé des patients sortent de la Loi 25; la Loi 25 continue de régir le reste, comme les dossiers d'employés ou l'infolettre. Les obligations nouvelles touchent surtout la gestion : un responsable choisi à l'interne et déclaré au ministre et à la Commission d'accès à l'information, une politique de gouvernance publiée sur le site, un registre public des logiciels utilisés, une formation annuelle du personnel, des contrats fournisseurs aux clauses précises sous peine de nullité, et une évaluation des facteurs relatifs à la vie privée avant tout nouvel outil ou tout hébergement hors Québec. Une clinique où personne n'est membre d'un ordre professionnel se trouve dans une zone grise.
Votre clinique est-elle visée?
L'article 4 de la loi dresse la liste des « organismes du secteur de la santé et des services sociaux », et son annexe II y ajoute onze catégories d'entreprises privées. La première vise la plupart des cliniques : le « cabinet privé de professionnel ». La Loi sur la gouvernance du système de santé et de services sociaux (art. 481) le définit comme l'entreprise où un ou plusieurs médecins, dentistes ou autres professionnels pratiquent habituellement leur profession à titre privé et à leur seul compte, sans offrir d'hébergement ni de traitements médicaux spécialisés.
Le guide de référence du ministère cite le cabinet de psychologue et la pharmacie communautaire, le Collège des médecins le cabinet de médecins, et l'Ordre de la physiothérapie écrit que « la très grande majorité » des milieux de ses membres est concernée. Une clinique qui offre des services pour le compte de Santé Québec est visée pour ces activités (art. 4, 4°). Et un professionnel qui tient lui-même ses dossiers dans une clinique est lui-même assimilé à un organisme (art. 4, al. 3).
Deux situations restent floues.
Personne n'est membre d'un ordre. La loi ne définit pas « autres professionnels ». Le Code des professions définit le « professionnel » comme le titulaire d'un permis inscrit au tableau d'un ordre, et la massothérapie ou la naturopathie n'ont pas d'ordre au Québec. Nous n'avons trouvé aucune position officielle sur ce cas. Par défaut, la Loi 25 reste votre socle; un avis juridique tranche le reste.
Une société salarie les professionnels. La définition vise des professionnels qui exercent « à leur seul compte ». Les exemples officiels cités plus haut ne tranchent pas ce cas, et la définition décrit d'abord le cabinet indépendant. Une chaîne ou une société de gestion devrait faire valider son statut.
Deux lois, un même classeur
L'article 3 de la Loi 25 (Loi sur la protection des renseignements personnels dans le secteur privé) exclut les renseignements de santé détenus par un organisme au sens de la LRSSS, ou par un tiers pour son compte. La Commission d'accès à l'information le confirme : la Loi 25 continue de régir les autres renseignements personnels de ces organismes.
Le périmètre de la LRSSS est plus large qu'on ne le croit. Selon l'article 2, un nom ou des coordonnées deviennent des renseignements de santé dès qu'ils sont accolés à un renseignement sur la santé ou sur les services reçus, ou recueillis en vue de la prise en charge de la personne. Votre formulaire de rendez-vous recueille donc des renseignements de santé, même s'il ne demande qu'un nom, un téléphone et un motif. À l'inverse, les renseignements recueillis pour la gestion des ressources humaines sont exclus. Dossiers d'employés, candidatures, liste d'envoi d'une infolettre ouverte au public : tout cela reste sous la Loi 25, que nous avons résumée ici.
Ce qui change pour la direction
Le responsable. C'est d'office la personne ayant la plus haute autorité (art. 100), mais la délégation est plus étroite que sous la Loi 25 : par écrit, à un administrateur ou un cadre, à défaut à un membre du personnel ou à un professionnel qui exerce dans la clinique. La Loi 25 permet de déléguer « à toute personne » (art. 3.1), y compris un consultant externe; la LRSSS ne le prévoit pas. Le titre et les coordonnées du responsable sont transmis au ministre et à la Commission, puis publiés sur le site (art. 102).
La politique de gouvernance. L'article 105 en fixe le contenu minimal : rôles, catégories de personnes autorisées, mesures de sécurité, calendrier de mise à jour des logiciels, traitement des incidents et des plaintes, formation. Elle est publiée sur le site. La loi laissait six mois pour l'adopter, un délai échu depuis janvier 2025.
La formation. Chaque membre du personnel et chaque professionnel reçoit, dès son arrivée, une formation reconnue par le ministre, puis se met à jour chaque année (Règlement sur la gouvernance, art. 1 et 2). La personne à l'accueil, qui n'est pas membre d'un ordre, a besoin en plus d'une autorisation d'accès et d'un engagement écrit de discrétion (Règlement d'application, art. 8).
Ce que le règlement allège. Pas de comité de gouvernance, et une analyse des accès aux dossiers une fois par année plutôt que chaque mois (Règlement sur la gouvernance, art. 7 et 8).
Vos fournisseurs, clause par clause
Une clinique confie souvent ses renseignements à plusieurs logiciels : dossier médical électronique, rendez-vous, rappels par texto, facturation.
L'article 77 exige un contrat écrit avec chaque fournisseur qui reçoit des renseignements et en dicte le contenu « sous peine de nullité ». Le fournisseur doit entre autres vous transmettre, avant toute communication, un engagement de confidentialité signé par chaque personne qui aura accès aux renseignements, aviser sans retard votre responsable de toute violation, accepter vos vérifications, signaler ses sous-traitants et détruire les renseignements à la fin du contrat. Rien ne garantit que les conditions d'utilisation standard d'un logiciel, rédigées pour tous les marchés, contiennent ces clauses : vérifiez-les une à une.
Si les renseignements quittent le Québec, même pour un simple hébergement, l'article 78 exige avant la signature une évaluation des facteurs relatifs à la vie privée qui démontre une protection adéquate. L'article 106 en exige une aussi pour toute acquisition ou refonte d'un produit technologique. Le format ressemble à celui de notre guide de l'ÉFVP pour une entreprise privée.
Enfin, l'article 107 impose un registre public de tous les produits technologiques utilisés : type, description et fins, fournisseur, et mention d'une décision entièrement automatisée s'il y a lieu (Règlement d'application, art. 10). Votre site affichera donc la liste de vos logiciels.
Le site web de la clinique, ligne par ligne
Le formulaire de rendez-vous. L'article 14 exige d'informer la personne, à la collecte, du nom de l'organisme, des fins, des moyens, de ses droits d'accès et de rectification, de la durée de conservation, et de sa possibilité de restreindre ou de refuser l'accès à ses renseignements. Ce dernier droit est propre à la LRSSS (art. 7 et 8) : un avis copié d'un modèle Loi 25 l'oublie. Notre article sur la prise de rendez-vous en ligne couvre le reste du module.
Les pixels publicitaires. Selon l'article 2, un renseignement qui identifie une personne et concerne les services qu'elle reçoit, y compris le lieu et le professionnel, est un renseignement de santé. Une réservation en est un. Un pixel de réseau social sur la page de confirmation risque de le transmettre à une plateforme sans le consentement exprès qu'exige l'article 5. Retirez-les des parcours de réservation.
Les demandes des patients. Le responsable répond dans les 30 jours (art. 34), sans frais pour l'accès (art. 66). Le patient a aussi le droit de savoir qui a consulté ou reçu ses renseignements, et quand (art. 18). Tant que la journalisation des accès (art. 103) n'est pas en vigueur, ce droit s'exerce par la consultation d'un registre où la clinique inscrit chaque communication à un tiers : nature des renseignements, destinataire, finalité et justification (art. 265).
Incidents, conservation et amendes
Un incident qui présente un risque de préjudice sérieux se déclare au ministre et à la Commission (art. 108), et non à la seule Commission comme sous la Loi 25. Le registre des incidents se garde au moins cinq ans (Règlement d'application, art. 16).
La durée de conservation des dossiers suit les règles de votre ordre, que l'article 16 réserve. À l'échéance, l'article 111 exige de détruire ou d'anonymiser, selon les critères expliqués dans notre article sur l'anonymisation, et la clinique garde une preuve de chaque destruction.
Les amendes sont plus modestes que sous la Loi 25 (jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial). Pour une société, elles vont de 3 000 $ à 30 000 $ ou de 15 000 $ à 150 000 $ selon l'infraction, doublées dès la première récidive (art. 159 à 161), sans sanctions administratives pécuniaires. Mais détenir des renseignements sans respecter les obligations de gouvernance décrites plus haut tombe dans la catégorie la plus lourde (art. 160), et chaque jour compte comme une infraction distincte (art. 163).
Par où commencer
Quatre gestes, dans l'ordre : confirmer que votre clinique est visée, nommer et déclarer le responsable, inventorier les logiciels et leur lieu d'hébergement, puis reprendre les contrats un par un. La partie publique (politique, registre, formulaire, pixels) se règle sur votre site, un chantier que nous menons dans nos abonnements web. Pour savoir où en est votre clinique, écrivez-nous : la première conversation ne coûte rien.
Ce texte vulgarise un cadre juridique pour aider une clinique à poser les bonnes questions; il ne constitue pas un avis juridique. L'assujettissement d'une clinique donnée dépend de sa structure et de ses professionnels. Les textes officiels publiés sur LégisQuébec font foi : pour une situation particulière, consultez un juriste ou votre ordre professionnel.
Écrit parXavier Peich