Canada · PIPEDA · PHIPA · HIA · PHIA · Loi 25 et Loi 5 du Québec · ordres professionnels

Le Canada n'a pas de HIPAA. Il a une loi fédérale, une loi provinciale sur la santé là où vous exercez, et un ordre professionnel par-dessus les deux.

Personne, dans le système de santé canadien, n'est régi par une seule loi. Un cabinet de psychothérapie à Toronto relève de la PHIPA et du commissaire à l'information et à la protection de la vie privée de l'Ontario. Le même cabinet, à Calgary, relève de la loi albertaine HIA. À Vancouver, c'est la PIPA et l'OIPC. À Montréal, ce sont la Loi 25 et la Loi 5, en français. Et partout, l'ordre professionnel ajoute des règles de tenue de dossiers dont la loi sur la vie privée ne parle jamais.

Cette page passe en revue ce qui s'applique, en mots ordinaires, et dit pour chaque obligation quelle part le logiciel assure déjà, quelle part est un nombre que vous fixez, et quelle part manque et pourquoi. La section sur ce que nous ne pouvons pas faire n'est pas en petits caractères tout en bas : c'est la section 09, et au Canada elle tranche la plupart des dossiers avant même qu'on parle de vie privée.

Propriétaires de cliniques et responsables de cabinet Gestionnaires de cabinet Responsables de la vie privée et personnes-ressources Groupes, soins virtuels et opérateurs de PAE

10+3provinces et territoires 4lois sur la santé jugées essentiellement similaires 30 jourspour répondre à une demande d'accès 24 moisde registres d'atteintes sous PIPEDA 0demandes provinciales que nous pouvons soumettre

Quel corpus de règles vous lie La carte, province par province Les dix principes de PIPEDA L'Ontario en détail Le coffre-fort Combien de temps les dossiers sont conservés Deux horloges de notification Où résident les données Ce que nous ne pouvons pas faire Québec Langue et accessibilité CASL et le volet marketing Où nous sommes plus solides Ce qui reste à votre charge

01 — Orientation

Quatre corpus de règles, et celui qui vous lie dépend de votre code postal

L'erreur la plus fréquente dans une conversation logicielle canadienne consiste à demander « êtes-vous conforme à HIPAA ? ». HIPAA est une loi américaine et ne s'applique pas du tout à une clinique canadienne. Ce qui s'applique, c'est un empilement, et le sommet de cet empilement change dès qu'on franchit une frontière provinciale.

Fédéral · PIPEDA

Le régime par défaut, et le plancher

La Loi sur la protection des renseignements personnels et les documents électroniques régit les renseignements personnels recueillis dans le cadre d'une activité commerciale, et elle porte dix principes d'équité en matière d'information à son annexe 1 : responsabilité, détermination des fins, consentement, limitation de la collecte, limitation de l'utilisation et de la conservation, exactitude, mesures de sécurité, transparence, accès individuel et possibilité de porter plainte.

Ce que l'on comprend de travers : PIPEDA s'applique sauf si une loi provinciale a été déclarée essentiellement similaire pour cette activité. C'est un filet, pas une exemption — dans une province sans loi propre sur la santé, PIPEDA est tout le corpus. Section 03.

Lois provinciales sur la santé

Le corpus qui vous régit le plus souvent réellement

La PHIPAde l'Ontario, la HIAde l'Alberta, la HIPAde la Saskatchewan, la PHIAdu Manitoba, la PHIPAAdu Nouveau-Brunswick, la PHIAde la Nouvelle-Écosse et de Terre-Neuve-et-Labrador, la HIAde l'Île-du-Prince-Édouard. Ce ne sont pas des lois sur la vie privée assorties d'un chapitre santé : ce sont des lois sur les renseignements de santé, écrites autour d'un custodian.

Pourquoi c'est important : elles portent des obligations que PIPEDA n'a pas du tout — le cercle de soins, le coffre-fort, l'obligation de journaliser chaque accès à un dossier électronique, et un rapport au commissaire provincial. Section 04.

Ordres professionnels

La tenue des dossiers, et elle n'est pas dans la loi

La durée de conservation d'un dossier, ce qu'il doit contenir et ce qui arrive à la fermeture d'un cabinet sont fixés par votre ordre — le CPSO, le CPSA, le CPSBC, le CRPO, l'ordre provincial des psychologues, des travailleurs sociaux, des infirmières. Ils diffèrent selon la province et selon la profession.

Pourquoi c'est important : la durée de conservation inscrite dans votre contrat n'est presque jamais un nombre tiré de la loi sur la vie privée. La Colombie-Britannique est à 16 ans après la dernière inscription ; l'Alberta à 10. Les deux sont des dates calculées, pas saisies. Section 06.

Le rail de facturation provincial

OHIP, MSP, AHCIP et les autres

Les services assurés sont facturés à un régime provincial — l'OHIP en Ontario, le MSP par Teleplan en Colombie-Britannique, l'AHCIP en Alberta — chacun avec son format de transmission, son processus de conformité fournisseur et son cycle de rapprochement.

Pourquoi c'est important : nous ne sommes sur aucun d'eux. C'est une limite, pas un arriéré, et la section 09 dit exactement où cela fait mal et où cela ne coûte rien.

La version courte, pour qui hésite à lire la suite

Si vous dirigez un cabinet privé, en assurance complémentaire, en PAE, financé par l'employeur ou en soins virtuels — psychothérapie, counseling, psychologie, la plupart des professions paramédicales — toutes les obligations de cette page sont à notre portée ou au-delà, et l'argument de la vie privée est ici inhabituellement fort parce que le logiciel tourne sur votre propre infrastructure : la question transfrontalière ne se pose donc jamais. Si facturer un service assuré à un régime provincial est votre modèle de revenus, lisez d'abord la section 09 : nous ne pouvons pas soumettre cette demande, et aucune architecture de vie privée n'y change quoi que ce soit.

02 — La carte

Quelle loi, quel commissaire, selon le lieu d'exercice

Lisez votre ligne et ignorez le reste. La colonne de droite est le bureau qui recevrait une plainte vous visant et, dans la plupart de ces provinces, un avis d'atteinte.

Deux choses que ce tableau ne fait délibérément pas. Il ne vous dit pas si votre cabinet est un « custodian » ou un « trustee » au sens de votre loi ; cela dépend de votre profession et de votre organisation, et c'est une question pour un avocat. Et il ne nomme pas votre ordre, parce que l'ordre dépend de la profession plutôt que de la province.

Où vous exercez	La loi sur les renseignements de santé	Qui la surveille
Ontario	Personal Health Information Protection Act, 2004 (PHIPA), avec le Règl. de l'Ont. 329/04	Commissaire à l'information et à la protection de la vie privée de l'Ontario
Alberta	Health Information Act (HIA) ; la PIPA albertaine pour le reste du secteur privé	Commissariat à l'information et à la protection de la vie privée de l'Alberta
Colombie-Britannique	Pas de loi santé distincte pour le secteur privé — Personal Information Protection Act (PIPA)	Commissariat à l'information et à la protection de la vie privée de la Colombie-Britannique
Saskatchewan	Health Information Protection Act (HIPA)	Commissaire à l'information et à la protection de la vie privée de la Saskatchewan
Manitoba	Personal Health Information Act (PHIA)	Ombudsman du Manitoba
Québec	Loi 25 (secteur privé), et Loi 5 — Loi sur les renseignements de santé et de services sociaux	Commission d'accès à l'information
Nouveau-Brunswick	Personal Health Information Privacy and Access Act (PHIPAA)	Ombud du N.-B. / Commissaire à l'accès à l'information et à la protection de la vie privée
Nouvelle-Écosse	Personal Health Information Act (PHIA)	Commissariat à l'information et à la protection de la vie privée de la Nouvelle-Écosse
Terre-Neuve-et-Labrador	Personal Health Information Act (PHIA)	Commissariat à l'information et à la protection de la vie privée
Île-du-Prince-Édouard	Health Information Act (HIA)	Commissaire à l'information et à la protection de la vie privée de l'Î.-P.-É.
Yukon, T.N.-O., Nunavut	Législation territoriale sur les renseignements de santé là où elle est adoptée ; PIPEDA pour l'activité commerciale à défaut	Commissaire territorial et/ou le CPVP
Partout, pour des données qui franchissent une frontière	PIPEDA régit les renseignements personnels qui circulent entre provinces ou hors du Canada dans le cadre d'une activité commerciale	Commissariat à la protection de la vie privée du Canada

« Essentiellement similaire » est un mot plus étroit qu'il n'y paraît

Le gouvernement fédéral a déclaré une poignée de lois provinciales sur la santé essentiellement similaires à PIPEDA pour les renseignements de santé détenus par des custodians — l'Ontario, le Nouveau-Brunswick, la Nouvelle-Écosse et Terre-Neuve-et-Labrador — et le Québec, la Colombie-Britannique et l'Alberta pour leurs lois générales sur le secteur privé en matière d'activité commerciale. La HIA de l'Alberta n'est pas sur cette liste, ce qui ne la rend pas plus faible ; cela fait de l'articulation entre la HIA et PIPEDA une question à poser à un avocat plutôt qu'à présumer.

Ce que cela veut dire en pratique : PIPEDA ne cesse jamais de compter. Même en Ontario, dès que des renseignements franchissent une frontière provinciale ou sortent du pays dans le cadre d'une activité commerciale, la loi fédérale entre en jeu aux côtés de la loi provinciale.

03 — PIPEDA

Les dix principes, et ce que le logiciel fait pour chacun

L'annexe 1 de PIPEDA est le code type de l'Association canadienne de normalisation, écrit en dix principes. Ce sont des obligations qui pèsent sur votre organisation, pas sur votre logiciel — mais huit des dix sont des obligations qu'un système soutient ou rend discrètement impossibles.

Lisez la colonne de statut, pas seulement la pastille. L'une d'elles est un partiel assumé et quatre disent « le mécanisme est à nous, la formulation est à vous ». Elles sont marquées comme telles.

✓ConstruitDans la plateforme aujourd'hui, et démontrable sur un système en service. ⚙Construit — la valeur est à vousLe mécanisme existe ; le nombre, la formulation ou la politique vous appartiennent. Ce n'est pas un manque. ◐Partiellement construitQuelque chose manque vraiment. La colonne de droite dit exactement quoi. §Le principe en demande moinsRien ne manque. L'obligation est organisationnelle, ou la loi arrive au même point par un autre chemin. ✗Non construitAbsent, et pas à un réglage près. C'est la section 09.

Principe	Statut	Ce qu'il demande, et ce qui se passe ici
1 · Responsabilité	⚙	Une organisation est responsable des renseignements sous son contrôle et doit désigner une personne chargée de la conformité. Le registre des désignations est construit — des rôles nommés portent des personnes nommées et des dates d'effet, et la trace ne change pas de mains en silence. Qui vous désignez vous appartient. Le registre contient aussi les ententes avec quiconque traite des renseignements pour votre compte, c'est-à-dire la preuve même qu'un commissaire réclame après un incident.
2 · Détermination des fins	⚙	Les fins doivent être déterminées au moment de la collecte ou avant. La finalité est un champ enregistré sur chaque communication, pas une note libre : « pourquoi ceci est-il sorti du cabinet » se répond donc document par document au lieu d'être reconstitué. Les mots que vous employez à la collecte vous appartiennent, et ils ont leur place dans le registre des politiques.
3 · Consentement	◐	La connaissance et le consentement sont exigés pour la collecte, l'utilisation et la communication, sauf dans les cas prévus par la Loi. Le consentement comme fondement d'une communication est construit — une communication consigne son fondement, et lorsque ce fondement est le consentement, elle porte la référence de l'autorisation. Ce qui manque, c'est le versant du retrait comme objet de premier rang : une instruction du patient qui restreint un dossier précis pour un usage précis, portée par le dossier lui-même et appliquée à la lecture. C'est le coffre-fort, et c'est la section 05.
4 · Limitation de la collecte	§	Ne recueillir que le nécessaire. Aucun logiciel ne peut limiter ce qu'un clinicien choisit de demander, et un système qui prétendrait le faire en promettrait trop. Ce que la plateforme fait, c'est vous laisser définir les formulaires, de sorte que la version la plus courte d'un formulaire relève du paramétrage et non du code.
5 · Limitation de l'utilisation, de la communication et de la conservation	✓	C'est le principe autour duquel l'architecture a été bâtie. L'accès suit la relation thérapeutique : un document clinique est lisible par une personne ayant une relation de soins en cours avec ce patient, et la relation porte une date de début, une date de fin et un délai de grâce, si bien que l'accès s'éteint de lui-même au lieu d'attendre que quelqu'un y pense. Chaque communication est une trace avec un destinataire, une finalité et un fondement. La conservation est un moteur, pas une convention de classement — section 06.
6 · Exactitude	✓	Les renseignements doivent être aussi exacts, complets et à jour que nécessaire. La correction est une demande de premier rang, avec un responsable et une horloge, et un document corrigé garde sa version antérieure au lieu de l'écraser — c'est ce qui vous permet de montrer ce qui a été corrigé et quand, et pas seulement que c'est exact aujourd'hui.
7 · Mesures de sécurité	✓	Une sécurité proportionnée à la sensibilité des renseignements. Les documents cliniques sont chiffrés avec une clé de données par version, enveloppée sous une clé qui n'est pas dans la base ; chaque lecture est inscrite dans une piste en ajout seul, chaînée par empreintes de sorte qu'une entrée supprimée ou modifiée brise la chaîne et se voit ; l'accès d'urgence est un bris de glace délibéré qui dépose sa propre trace. L'analyse de risque, la formation du personnel et les registres de sanctions qu'un commissaire réclame après un incident font partie du même système plutôt que d'un classeur.
8 · Transparence	⚙	Les politiques et les pratiques doivent être facilement accessibles. Le registre des politiques est construit : les politiques sont versionnées, chaque version garde ses propres dates d'effet, et les versions remplacées ne sont pas écrasées — vous pouvez donc répondre à « quelle était notre pratique en mars l'an dernier », qui est la forme que prend vraiment la question. Le texte vous appartient.
9 · Accès individuel	✓	Sur demande, une personne doit être informée de l'existence, de l'utilisation et de la communication de ses renseignements et y avoir accès, en général dans les 30 jours. Les demandes d'accès sont des dossiers de premier rang, avec une échéance légale calculée à partir de la demande, une prorogation consignée à part pour que le dossier montre combien de temps elle a réellement fait gagner, et un champ de forme et de format. La reddition des communications est générée à partir du registre des communications plutôt qu'assemblée à la main.
10 · Possibilité de porter plainte	✓	Une personne doit pouvoir contester la conformité auprès du responsable désigné. Les plaintes relatives à la vie privée sont des dossiers de premier rang, avec un responsable, une horloge et une issue consignée — pas une boîte de réception — et elles sont conservées assez longtemps pour répondre à une question de tendance plutôt qu'à un seul incident.

04 — L'Ontario, en détail

PHIPA, parce que c'est le plus grand marché et le gabarit le plus strict

L'Ontario mérite d'être lu même si vous n'y exercez pas. PHIPA est la plus exigeante des lois provinciales sur la santé sur les deux points que le logiciel tranche — journaliser chaque accès à un dossier électronique, et le coffre-fort — de sorte qu'un système bâti pour satisfaire l'Ontario satisfait généralement les autres. Le vocabulaire ci-dessous est celui de l'Ontario ; l'Alberta dit affiliate là où l'Ontario dit agent, la Saskatchewan dit trustee là où l'Ontario dit custodian, et la structure est la même.

Une seule définition décide de tout votre ensemble d'obligations. A health information custodian est le cabinet. Un agent agit pour le custodian. Un electronic service provider fournit le système sans regarder les renseignements — et lorsque ce fournisseur permet à deux custodians ou plus de partager des renseignements par voie électronique, il devient un health information network provider, avec une liste précise d'obligations à l'article 6(3) du Règl. de l'Ont. 329/04.

Ce que PHIPA demande	Statut	Ce qui se passe ici
Custodians, agents et pouvoirs	⚙	Un agent ne peut traiter des renseignements que dans la mesure permise par le custodian. L'autorisation d'accès est une trace explicite et datée, nommant qui peut faire quoi — « qui avait le droit de voir ceci en février » a donc une réponse qui ne dépend pas de l'état actuel du système. Qui vous nommez vous appartient.
Le cercle de soins — consentement implicite pour la prestation de soins	✓	PHIPA permet aux custodians de présumer un consentement implicite au partage aux fins de la prestation de soins de santé à ce patient. C'est exactement la forme du modèle de relation de soins : les relations de traitement, de supervision et d'administration sont des types distincts, chacun avec une date de début, une date de fin et un délai de grâce, et l'accès en lecture en découle au lieu d'être accordé comme un rôle. L'appartenance au cercle est donc un fait daté, ce qu'un commissaire demande justement à voir.
Le coffre-fort — instruction expresse, art. 20(2) et 37(1)a)	◐	Réellement manquant, et le plus grand écart de cette page. Un patient peut demander à un custodian de ne pas partager une partie de son dossier à l'intérieur du cercle de soins. Aujourd'hui cette instruction peut être consignée en note et respectée par les personnes ; ce n'est pas un objet du dossier que le chemin de lecture fait appliquer. La section 05 dit ce que sa construction suppose.
Dire au destinataire que quelque chose a été retenu	◐	Lorsqu'un coffre-fort empêche une communication, le custodian doit prévenir le custodian destinataire qu'il n'a pas pu communiquer tout ce qui était raisonnablement nécessaire — pour que le destinataire sache que le tableau est incomplet. Cet avis fait partie de la même pièce manquante, et c'est la moitié que l'on oublie.
art. 10(1) — des pratiques relatives aux renseignements en place	⚙	Un custodian doit avoir des pratiques relatives aux renseignements conformes à la Loi, et une déclaration publique écrite qui les décrit. Le registre versionné des politiques les tient ; les mots sont les vôtres.
art. 12(1) — mesures raisonnables de protection	✓	Chiffrement au repos avec des clés tenues hors de la base, accès fermé par défaut et dérivé des relations de soins, journal d'accès en ajout seul, bris de glace comme action consignée plutôt que mot de passe partagé, et une analyse de risque documentée. Section 03, principe 7.
art. 12(2) — aviser la personne à la première occasion raisonnable	✓	La trace d'atteinte porte les personnes touchées, ce qui était en cause, si les données étaient chiffrées, si des clés ont été compromises, et la notification elle-même comme étape datée — le dossier répond donc à « quand les avons-nous prévenues » plutôt qu'à « nous croyons l'avoir fait ».
art. 12(3) — signaler l'atteinte au commissaire	◐	Certaines atteintes doivent être signalées au CIPVP. La trace d'atteinte existe et contient tout ce que le signalement exige ; ce qui manque, c'est la liste des déclencheurs ontariens évaluée sur la trace, et le signalement lui-même comme document produit. Aujourd'hui c'est une personne qui lit la trace et remplit le formulaire du CIPVP. Section 07.
Statistiques annuelles d'atteintes au commissaire	◐	Les custodians suivent leurs statistiques d'atteintes par année civile et déclarent les chiffres de l'année précédente au CIPVP chaque mois de mars — y compris les atteintes qui n'ont jamais atteint le seuil de signalement. Les traces sous-jacentes existent et sont catégorisées ; le compte annuel n'est pas produit pour vous. C'est un petit travail, et c'est le genre que l'on oublie en février — ce qui est l'argument pour le construire plutôt que pour y penser.
art. 52 à 55 — accès et correction	✓	Accès dans les 30 jours, prorogeable ; correction avec droit de joindre une déclaration de désaccord en cas de refus du custodian. Les deux sont des demandes de premier rang avec des dates légales calculées, et un refus doit consigner son motif au lieu de simplement clore.
Règl. de l'Ont. 329/04, art. 6(3) — journalisation d'un dossier électronique	✓	Les dossiers tenus par voie électronique doivent conserver une trace électronique de qui a consulté quoi et quand. C'est le journal d'accès chaîné par empreintes, et c'est l'élément le plus utile d'une enquête PHIPA : il répond à la question du furetage — un membre du personnel a-t-il consulté un patient avec lequel il n'avait aucune relation — comme une requête plutôt que comme une déduction.
Obligations du fournisseur de réseau d'information sur la santé	◐	Si vous déployez la plateforme de façon que deux custodians ou plus partagent des renseignements par son entremise, l'article 6(3) ajoute des obligations : ententes écrites, évaluation des menaces et des risques et évaluation des incidences sur la vie privée mises à la disposition des custodians, description en langage clair du service, rapport écrit annuel sur les accès, et avis rapide des atteintes. Les preuves sous-jacentes — l'analyse de risque, les journaux, les traces d'atteintes — existent. La déclaration de pratiques du HINP et le rapport annuel n'existent pas comme documents. Un déploiement en cabinet unique ne soulève pas la question.
Conservation, transfert et destruction	⚙	Les dossiers doivent être conservés, transférés et détruits de façon sécuritaire. Le moteur de conservation calcule les dates de destruction et la destruction détruit la clé au lieu d'espérer que toutes les copies ont été trouvées ; les durées elles-mêmes sont à vous de fixer, parce qu'au Canada elles viennent de votre ordre. Section 06.

05 — Le coffre-fort

Le seul concept canadien que l'architecture n'a pas encore

Chaque page de compétence de ce site a une section comme celle-ci. Voici celle du Canada, et elle mérite d'être précise, car c'est ce qu'un acheteur ontarien bien préparé demandera.

Ce que la loi demande

Un patient peut clôturer une partie de son propre dossier

Sous PHIPA, un patient peut donner l'instruction expresse qu'une partie de ses renseignements ne soit ni utilisée ni communiquée pour la prestation de soins — même à l'intérieur du cercle de soins, même à un clinicien qui y aurait autrement droit. La HIA de l'Alberta arrive à un point voisin par la voie du souhait exprimé. Ce n'est pas un retrait du dossier ; c'est une clôture autour d'une partie de celui-ci.

Et il y a une seconde obligation : lorsque la clôture empêche une communication, le destinataire doit être prévenu que quelque chose a été retenu — pas quoi, mais que le tableau est incomplet.

Ce qui existe aujourd'hui

Tout ce à quoi la clôture s'attacherait

Les documents sont adressables et chiffrés un par un. L'accès est déjà dérivé à la lecture de la relation de soins plutôt qu'accordé comme un rôle figé. Chaque lecture est déjà journalisée. Les communications portent déjà un fondement et une finalité.

C'est bien là le point : le coffre-fort n'est pas une reconstruction. C'est un objet de restriction sur le dossier, plus une vérification dans un chemin de lecture qui existe déjà et qui est déjà la seule porte d'entrée.

Ce que sa construction suppose

Quatre pièces, aucune n'est grande

Une instruction du patient avec une portée, une date et un canal consigné ; l'application dans le chemin de lecture du document, pour qu'elle lie quel que soit le demandeur ; l'avis de non-communication comme document produit ; et la dérogation — car un coffre-fort cède devant une exigence légale, et une dérogation doit déposer sa propre trace comme le bris de glace le fait déjà.

Sa place est dans un pack canadien, à côté du calendrier de conservation et des deux flux d'atteinte, de la même façon que les packs RGPD, britannique et américain reposent sur le noyau commun.

Ce que nous ne prétendrons pas

Qu'une note dans un champ est un coffre-fort

Aujourd'hui un cabinet peut consigner l'instruction et la respecter par discipline, et beaucoup de cabinets canadiens fonctionnent exactement ainsi sur leur système actuel. C'est une vraie réponse, et c'est ce que nous dirions dans un appel d'offres.

Ce n'est pas le nom que nous lui donnerons. Un contrôle appliqué par des personnes n'est pas un contrôle appliqué par un logiciel, et l'acheteur à qui l'on dit le contraire l'apprend pendant une révision du CIPVP.

06 — Conservation

Le moteur est construit ; les nombres canadiens sont les vôtres, et voici pourquoi

En Allemagne, la durée de conservation vient de la loi. Au Royaume-Uni, elle vient d'un code de pratique national. Au Canada, elle vient de votre ordre professionnel, ce qui veut dire qu'elle change avec la profession autant qu'avec la province : un psychologue, un médecin et un psychothérapeute autorisé dans le même immeuble peuvent être sur trois horloges différentes.

La plateforme livre donc le mécanisme et non les nombres, et c'est un choix délibéré plutôt qu'un oubli.

La forme de la règle	Statut	Ce qu'elle veut dire, et où le Canada l'emploie
Un nombre fixe d'années après le classement	✓	Le cas simple — pièces financières, formulaires de consentement, documents administratifs.
Années après le dernier contact	✓	La forme clinique canadienne courante. L'ordre des médecins et chirurgiens de la Colombie-Britannique est à 16 ans après la dernière inscription ; celui de l'Alberta à 10 ans après la dernière date où le patient a été vu. Le « dernier contact » est calculé à partir des relations de soins et de l'activité du dossier, pas saisi par une personne au moment de la fermeture.
Jusqu'à la majorité du patient, plus des années	✓	La règle de l'enfant, et celle que les calendriers tenus à la main ratent. Les ordres canadiens prolongent couramment le dossier d'un mineur bien au-delà de la période adulte — la Colombie-Britannique jusqu'à 35 ans, l'Alberta jusqu'à deux ans après 18 ans, d'autres jusqu'à 21. L'âge de la majorité est fixé par règle, pas par système, parce qu'il diffère d'une province à l'autre (18 ou 19) et qu'un cabinet de groupe peut détenir des dossiers sous plus d'un.
Années après le décès	✓	Court à partir de la date de décès consignée, et l'emporte lorsque la règle de l'ordre retient la plus courte des deux.
Un calendrier canadien, livré comme données	◐	Non livré. Le pack britannique livre le calendrier du NHS en lignes de données parce qu'il y a un calendrier national à livrer. Le Canada n'en a aucun — aujourd'hui un déploiement canadien saisit donc ses propres règles, et nous préférons le dire plutôt que prétendre qu'une matrice province-profession tenue par nous serait plus sûre qu'une matrice approuvée par votre responsable de la vie privée.
Suspension légale	✓	Un dossier sous suspension n'atteint pas la destruction, quelle que soit sa règle, et la suspension est elle-même une trace datée avec un motif. Cela compte plus au Canada qu'ailleurs, parce qu'une enquête d'ordre professionnel peut durer plus longtemps qu'une durée de conservation.
Une destruction qui détruit vraiment	✓	La destruction détruit la clé au lieu d'effacer des lignes en espérant avoir atteint toutes les sauvegardes. La piste d'audit du document survit au document — c'est le bon sens de lecture, puisque la preuve que vous avez détruit un dossier correctement doit survivre au dossier.

Quoi faire à la mise en place

Apportez la norme de conservation des dossiers de votre ordre à la séance de paramétrage, pas la loi sur la vie privée. Chaque durée de cette page vient d'un ordre ou d'un organisme professionnel, et si vous détenez des dossiers pour plus d'une profession, vous finirez avec plus d'une règle. C'est normal, c'est pris en charge, et c'est bien mieux qu'un nombre unique et prudent qui garde tout pendant 30 ans et transforme votre dépôt de dossiers en passif.

07 — Quand quelque chose sort

Deux horloges, et ce ne sont pas les mêmes

Une clinique canadienne peut être soumise à une obligation de signalement fédérale et provinciale pour le même incident, avec des seuils différents, des destinataires différents et une tenue de registres différente. C'est là que la gestion des atteintes est vraiment plus difficile au Canada que son équivalent américain ou britannique, et cela vaut la peine d'y conduire un acheteur délibérément.

Fédéral · PIPEDA

Risque réel de préjudice grave

Une atteinte aux mesures de sécurité doit être signalée au Commissariat à la protection de la vie privée du Canada, et les personnes touchées avisées, dès que possible après que vous avez déterminé qu'elle crée un risque réel de préjudice grave. Le critère tient à la sensibilité des renseignements et à la probabilité d'usage abusif — et les renseignements de santé sont à peu près aussi sensibles que l'évaluation le permet.

Et séparément : vous devez tenir un registre de chaque atteinte aux mesures de sécurité pendant 24 mois, qu'elle ait été déclarable ou non, et produire ces registres au CPVP sur demande.

Provincial · PHIPA, Ontario

Aviser le patient, signaler au CIPVP, compter l'année

Trois obligations distinctes. Aviser la personne touchée à la première occasion raisonnable. Signaler au Commissaire à l'information et à la protection de la vie privée de l'Ontario lorsque l'atteinte relève de l'une des circonstances prescrites. Et suivre les statistiques de l'année civile et déclarer les chiffres de l'année précédente chaque mois de mars — y compris les atteintes qui n'ont jamais franchi le seuil de signalement.

Les autres provinces diffèrent. La HIA de l'Alberta porte sa propre obligation d'aviser le commissaire et le ministre ; plusieurs autres provinces ont la leur. Votre ligne à la section 02 est le point de départ.

Ce que la plateforme fait

Une seule trace, et les questions gênantes posées d'emblée

Une atteinte est une trace dès sa découverte : quand elle est survenue, quand vous en avez eu connaissance, qui l'a trouvée, quels documents et quelles personnes étaient en cause, et — les deux champs qui décident la plupart des évaluations canadiennes — si les données étaient chiffrées et si les clés ont été compromises. Les mesures d'atténuation et les notifications pendent à la même trace avec leurs propres dates.

Parce que le journal d'accès est en ajout seul et chaîné par empreintes, la question de la portée — ce qui a réellement été ouvert — se répond par la preuve plutôt que par l'estimation.

Ce qui manque

Les formulaires canadiens, et le compte annuel

La trace contient tout ce que les deux régulateurs demandent. Ce qu'elle ne fait pas, c'est évaluer les seuils canadiens à votre place — l'évaluation du risque réel de préjudice grave au fédéral, les circonstances prescrites en Ontario — ni produire l'un ou l'autre dépôt comme document, ni compter l'année civile pour le rapport de mars.

Aujourd'hui, c'est une personne qui lit une trace complète et remplit un formulaire. C'est praticable, et nettement mieux que de rassembler les faits depuis une boîte courriel. Cela reste du travail que nous devrions faire pour vous, et sa place est dans un pack canadien, à côté du coffre-fort et du calendrier de conservation.

08 — Où résident les données

La question que pose tout acheteur canadien, et la raison pour laquelle nous y répondons facilement

Les acheteurs canadiens en santé posent la question de la résidence des données plus tôt et plus durement que partout ailleurs sur ce site, en général dès la première rencontre. La position juridique honnête est plus nuancée que la légende — et l'architecture rend la nuance sans objet.

La croyance	Ce qu'il en est réellement
« Les données de santé canadiennes doivent rester au Canada. »	Généralement faux comme règle générale pour une clinique privée. PIPEDA n'interdit pas les transferts ; elle vous rend responsable des renseignements que vous confiez à un sous-traitant et exige une protection comparable par contrat. La plupart des lois provinciales sur la santé adoptent une approche semblable pour les custodians privés.
« La Colombie-Britannique l'exige. »	Elle l'exigeait, et cela a changé. L'obligation de la FIPPA, pour les organismes publics, de stocker et de consulter les renseignements personnels uniquement au Canada a été abrogée en novembre 2021 et remplacée par une obligation d'évaluation. De toute façon, la FIPPA régit les organismes publics et non les cliniques privées.
« La Nouvelle-Écosse l'exige. »	Pour les organismes publics et leurs fournisseurs, largement oui — la PIIDPA restreint le stockage et l'accès hors du Canada, et son remplacement modernisé n'entre en vigueur qu'en 2027. Si vous contractez avec un organisme public en Nouvelle-Écosse, c'est une contrainte vivante sur vos fournisseurs, pas seulement sur vous.
« Le Québec l'exige. »	Pas comme une interdiction — mais la Loi 25 exige une évaluation avant que des renseignements quittent le Québec, et le transfert ne peut avoir lieu que si cette évaluation montre une protection adéquate. En pratique, c'est un document que vous devez pouvoir produire.
« Donc un produit infonuagique convient. »	Juridiquement, souvent. Commercialement, c'est encore l'objection sur laquelle vous passerez la réunion — et avec un acheteur public ou affilié à un hôpital, elle peut être décisive quoi que dise la loi.

Pourquoi cette section est courte chez nous

La plateforme est déployée sur l'infrastructure que vous choisissez, avec une base de données distincte par organisation. Mettez-la chez un hébergeur canadien, ou dans votre propre immeuble, et la question du transfert transfrontalier ne se pose pas : il n'y a pas de transfert à évaluer, pas de sous-traitant à contracter, et aucun fournisseur détenant les dossiers de vos patients. C'est une réponse plus forte que celle de n'importe quel concurrent hébergé sur ce marché, et au Canada elle mérite d'ouvrir la conversation.

Le corollaire est honnête lui aussi : la sécurité de ce déploiement devient alors vraiment la vôtre. La section 14 dit ce que cela veut dire en pratique.

09 — La limite

Ce que nous ne pouvons pas faire au Canada, dit clairement et tôt

C'est la section qui tranche la plupart des dossiers canadiens, et sa place est ici plutôt qu'en note de bas de page. Rien de tout cela n'est un élément d'arriéré qui arrive au prochain trimestre. Chacun est un rail national ou provincial avec son propre processus de conformité, et en être dehors est un fait sur le produit d'aujourd'hui.

Le rail	Statut	Ce que c'est, et à qui cela nuit
Facturation provinciale des services assurés — OHIP, MSP/Teleplan, AHCIP et les autres	✗	Nous ne pouvons pas soumettre une demande de service assuré à un régime provincial. Chaque province a son format de transmission, son processus fournisseur et son cycle de remise et de rapprochement. Si vos revenus sont facturés à un régime provincial, c'est disqualifiant et nous préférons que vous le sachiez dès la première rencontre. Si votre travail est au privé, en assurance complémentaire, financé par l'employeur, en PAE ou par un tiers payeur — ce qui décrit la plus grande part de la psychothérapie, du counseling et des professions paramédicales au Canada — cela ne vous coûte rien, parce que ce sont des factures et que la plateforme fait bien les factures.
Visualiseurs et dépôts provinciaux de DSE	✗	connectingOntario et OLIS en Ontario, Netcare en Alberta, CareConnect en Colombie-Britannique, les systèmes provinciaux ailleurs. Ce sont des intégrations conditionnées par l'accréditation provinciale, la fédération d'identité et des tests de conformité. Nous ne sommes reliés à aucun d'eux : les résultats de laboratoire, l'historique des médicaments délivrés et les rapports hospitaliers n'arrivent donc pas.
Programmes de certification des DME	✗	La spécification DME de l'Ontario et les programmes provinciaux de certification qui l'accompagnent existent pour qualifier un produit comme DME de première ligne, parfois avec du financement à la clé. Nous ne sommes pas certifiés, et nous ne sommes pas un DME de première ligne. Pour un cabinet médical, c'est décisif ; pour un cabinet de psychothérapie ou de professions paramédicales, ce n'est généralement même pas pertinent.
Prescription électronique	✗	PrescripTIon et les systèmes provinciaux d'information sur les médicaments. Pas de prescription, pas de transmission à une pharmacie, pas de vérification des interactions médicamenteuses. Un cabinet prescripteur a besoin d'un autre système pour cette partie de son travail.
Interopérabilité pancanadienne — CA Core+ / FHIR	◐	L'orientation nationale est fondée sur FHIR, avec un jeu de profils de base canadiens. La plateforme a une API et des dossiers structurés ; elle n'implémente pas les profils FHIR canadiens et n'a subi aucun test de conformité. Marqué partiel plutôt qu'absent parce que l'écart est un travail de profils sur une interface qui existe, pas une interface manquante — mais personne ne devrait y lire « pris en charge ».
Le pack canadien lui-même	◐	Le noyau commun porte ce dont toute compétence a besoin, et les packs RGPD, britannique et américain reposent dessus. Il n'y a pas encore de pack canadien — le coffre-fort (section 05), le calendrier de conservation (section 06), les deux dépôts d'atteinte et le compte annuel (section 07) et les registres québécois (section 10) relèvent donc aujourd'hui du paramétrage et de la discipline plutôt que du logiciel. Tout ce à quoi ils s'attacheraient existe déjà.

Comment se servir de cette section

Deux questions décident si le reste de cette page compte. Facturez-vous un régime provincial pour des services assurés ? Et avez-vous besoin que les résultats de laboratoire et les rapports hospitaliers arrivent par voie électronique ? Si les deux réponses sont non — et pour un très grand nombre de cabinets canadiens en santé mentale, en counseling et en professions paramédicales les deux réponses sont non — rien sur cette liste ne vous coûte quoi que ce soit, et la position de la section 08 sur la vie privée est la plus forte du marché.

10 — Québec

Une compétence distincte, à tous les égards qui comptent ici

Le Québec n'est pas « le Canada en français ». Il a sa propre loi sur la vie privée, sa propre loi sur les renseignements de santé, son propre régulateur et sa propre loi linguistique, et un plan de déploiement canadien qui le traite comme une province de plus échouera au premier audit.

Loi 25

La loi du secteur privé, et ce que le Canada a de plus proche du RGPD

Entrée en vigueur par étapes depuis 2022 et complète depuis septembre 2024. Une personne désignée responsable de la protection des renseignements personnels. Un registre des incidents de confidentialité. Des évaluations des facteurs relatifs à la vie privée avant un projet de système d'information. Un consentement granulaire, finalité par finalité, avec consentement exprès pour les renseignements sensibles — et un renseignement de santé est sensible par définition. Des droits d'accès, de rectification, de portabilité et de désindexation. Des sanctions d'un ordre de grandeur supérieur au reste du Canada.

Loi 5

La loi sur les renseignements de santé, en vigueur depuis 2024

La Loi sur les renseignements de santé et de services sociaux est entrée en vigueur par étapes à partir de juillet 2024 et s'applique aux cliniques — y compris les cliniques médicales et dentaires privées — avec des obligations qui ne reprennent pas simplement la Loi 25. Elle est conçue pour protéger les données de santé et pour les faire circuler de façon sécuritaire dans le système de santé en même temps, ce qui donne des obligations dans les deux sens.

C'est la section à soumettre à un avocat québécois avant de faire une offre à une clinique du Québec. Elle est neuve, ses règlements se déposent encore, et nous n'allons pas la résumer comme si elle était réglée.

Ce que la plateforme vous donne déjà

Plus que vous ne le croiriez

Le registre des incidents, c'est la trace d'atteinte. La personne désignée, c'est le registre des désignations. L'accès, la rectification et la voie de plainte sont des demandes de premier rang. La portabilité a une vraie réponse — la machinerie d'export bâtie pour le RGPD est neutre du point de vue de la compétence — et l'effacement aussi, parce que la destruction détruit la clé au lieu d'effacer une ligne.

Les pièces vraiment québécoises sont l' évaluation des facteurs relatifs à la vie privée comme trace et l' évaluation du transfert avant que des renseignements quittent la province. Ni l'une ni l'autre n'existe comme objet aujourd'hui.

L'obligation linguistique

Le français n'est pas un agrément au Québec

La Charte de la langue française, telle que modifiée, exige le français dans les rapports avec la clientèle et dans le milieu de travail, ainsi qu'une version française de la présence numérique d'une entreprise. Pour un logiciel, cela atteint l'interface que vos employés et vos patients utilisent réellement.

Où nous en sommes : la plateforme fonctionne en français, et les guides de ce site ont une édition française. Ce qui n'a pas été fait, c'est une révision du vocabulaire clinique québécois — la différence entre un français correct et le français qu'un clinicien québécois s'attend à lire. Section 11.

11 — Langue et accessibilité

Deux obligations qui n'en sont pas de vie privée, et qu'on oublie

Obligation	Statut	Ce que cela veut dire ici
Le français, au Québec	⚙	L'interface, le portail patient et les documents que vous envoyez ont besoin d'une version française. La plateforme est entièrement traduisible et est livrée en français ; les gabarits et la formulation clinique vous appartiennent, et un déploiement québécois devrait prévoir une révision du vocabulaire plutôt que de présumer que le français livré se lit comme du français d'ici.
Service bilingue, hors Québec	⚙	Le Nouveau-Brunswick est officiellement bilingue, et le travail financé ou contracté par le fédéral porte ses propres obligations linguistiques. La même machinerie de traduction y répond ; quelles langues vous activez relève du paramétrage.
LAPHO — sites web accessibles, Ontario	◐	Les organisations ontariennes au-dessus du seuil des petits employeurs doivent respecter les WCAG 2.0 niveau AA sur les sites web publics et le contenu web depuis janvier 2021. Cela atteint votre portail patient et vos pages de réservation, qui sont du contenu web public. Le portail de la plateforme repose sur des composants web standard et sémantiques et se tient raisonnablement bien ; il n'a pas été audité formellement selon WCAG 2.0 AA, et nous ne revendiquerons pas une conformité que nous n'avons pas testée.
Loi canadienne sur l'accessibilité	§	S'applique aux organisations sous réglementation fédérale. Une clinique privée est de compétence provinciale et généralement hors de son champ — mais une clinique qui offre des services sous contrat fédéral devrait vérifier plutôt que présumer.

12 — CASL

La loi anti-pourriel, parce que les rappels de rendez-vous voisinent le marketing

La Loi canadienne anti-pourriel régit les messages électroniques commerciaux, et elle est plus stricte que la plupart des cliniques ne le croient : le consentement doit être exprès ou relever d'une catégorie implicite définie, chaque message doit identifier l'expéditeur et porter un lien de désabonnement fonctionnel, et les sanctions sont lourdes.

Ce que CASL demande	Statut	Ce qui se passe ici
Séparer un message de service d'un message de marketing	✓	Les préférences de communication sont tenues par personne et par canal, et la voie transactionnelle — confirmations de rendez-vous, rappels, avis de document sécurisé — est distincte de la voie marketing. Un patient qui se désabonne d'une infolettre apprend quand même que son rendez-vous a été déplacé.
Consigner comment le consentement a été obtenu	⚙	Le consentement est enregistré sur le contact avec son canal et sa date. Prouver le consentement est tout l'enjeu d'une défense sous CASL, et la discipline de le saisir au point de collecte vaut plus que n'importe quelle fonctionnalité.
Identification et désabonnement dans chaque message	⚙	Les gabarits les portent ; les coordonnées de l'expéditeur et la formulation vous appartiennent, et elles relèvent de la même révision que votre politique de confidentialité.

13 — Où nous sommes plus solides

Quatre choses qu'un acheteur canadien devrait peser de l'autre côté

La section 09 est délibérément peu flatteuse. Voici l'autre moitié de la même honnêteté.

La résidence, réglée par l'architecture

Rien ne sort, parce qu'il n'y a nulle part où aller

Le déploiement est le vôtre. Il n'y a pas d'espace fournisseur détenant des dossiers de patients canadiens, pas de transfert transfrontalier à évaluer sous la Loi 25, et pas d'entente de sous-traitance à négocier. Sur un marché où c'est la première question posée, c'est la meilleure réponse disponible — et elle est architecturale plutôt que contractuelle.

La question du furetage

Un journal d'accès qui y répond par une requête

L'incident canadien caractéristique en vie privée de la santé n'est pas un pirate ; c'est un membre du personnel qui consulte un dossier qui ne le regardait pas. Parce que l'accès découle de relations de soins datées et que chaque lecture est écrite dans une piste en ajout seul, chaînée par empreintes, « qui a consulté ce patient sans relation avec lui » est une requête et non une enquête. La plupart des systèmes de ce marché ne peuvent pas y répondre du tout.

Une destruction que vous pouvez prouver

Détruire la clé, pas effacer la ligne

La destruction sécuritaire est une obligation d'ordre professionnel autant qu'une obligation de vie privée, et l'échec habituel est une sauvegarde que personne n'a atteinte. Ici, la clé du dossier est détruite et la piste d'audit de la destruction survit au dossier — c'est la preuve qu'un ordre demande réellement.

Un seul système, pas cinq

Réservation, notes, documents, facturation, portail et versements

Un cabinet de groupe canadien fait typiquement tourner un outil de réservation, un outil de prise de notes, un partage de fichiers, un logiciel comptable et un processeur de paiements, et les rapproche à la main. L'exposition de cet ensemble en matière de vie privée est plus grande que celle de chacune de ses parties, et le consolider est un argument de vie privée autant que d'efficacité.

14 — Ce qui reste à votre charge

Les obligations qu'aucun logiciel ne porte, au Canada comme ailleurs

Chaque page de ce site se termine ici, et la liste est volontairement courte et volontairement franche.

À vous	Pourquoi cela ne peut pas être à nous
Être le custodian, le trustee ou la personne responsable	La loi nomme le cabinet, et dans la plupart des provinces une personne nommée en son sein. Un fournisseur ne peut pas tenir ce rôle pour vous et aucun contrat ne le transfère.
Les mots de votre politique de confidentialité et de vos formulaires de consentement	Ils décrivent ce que vous faites. Nous les tenons, les versionnons et gardons les versions remplacées ; nous ne les écrivons pas, et un gabarit que votre responsable de la vie privée n'a pas lu est pire que rien.
Les durées de conservation	Elles viennent de votre ordre. Section 06.
Décider si une atteinte est déclarable	Le jugement sur le risque réel de préjudice grave au fédéral, et les circonstances prescrites au provincial, sont des appréciations sur vos patients et votre contexte. Nous vous donnons une trace complète pour porter ce jugement ; le jugement est le vôtre.
Sécuriser le déploiement	Le corollaire de l'exploiter vous-même. Les correctifs, les sauvegardes, les tests de restauration, la sécurité réseau et l'accès physique à la machine sont à vous — et si vous voulez que ce soit porté, c'est un contrat d'exploitation, énoncé comme tel, pas une note au bas d'une licence.
Conseil juridique	Rien sur cette page n'est un conseil juridique, et cela ne remplace pas un avocat canadien. C'est une carte de ce qui s'applique et un compte rendu honnête de ce que le logiciel fait pour chaque élément. Les lois bougent — la Loi 5 est neuve, les règlements québécois se déposent encore, et la réforme fédérale de la vie privée est entrée et sortie du Parlement pendant des années.

Comment cette page a été écrite

Les obligations sont résumées à partir des lois, des directives des régulateurs et des normes des ordres nommées tout au long, et la colonne de statut est écrite d'après le code de ce dépôt plutôt que d'après une feuille de route — c'est pourquoi quatre lignes disent ◐ et six disent ✗. Lisez celles-là d'abord. Si un pack canadien est construit, cette page change avec lui et les marques bougent ; d'ici là elles disent ce qui est vrai aujourd'hui.

Les sources primaires n'étaient pas joignables depuis la machine où ceci a été écrit. Plusieurs sites de législation fédérale et provinciale sont bloqués par le réseau ici : les obligations ci-dessous ont donc été assemblées à partir de matériel de régulateurs et d'organismes professionnels plutôt que lues dans la loi. C'est acceptable pour une carte et inacceptable pour un dépôt : faites confirmer par un avocat canadien tout ce sur quoi vous comptez vous appuyer, en particulier pour le Québec, où la Loi 5 est neuve et où ses règlements se déposent encore.