Loi 5 : un nouveau paradigme en matière de gouvernance des renseignements de santé et de services sociaux (partie I)

Le 1^er juillet 2024 est finalement entrée en vigueur la Loi sur les renseignements de santé et de services sociaux (la « Loi 5 ») ainsi que deux règlements afférents. Cette loi, aussi vaste que complexe, entraîne des modifications importantes dans la gouvernance des renseignements personnels de santé dans le secteur public ainsi que dans le secteur privé.

Ce premier article présente un survol de la Loi 5 et de ses règlements et vise à permettre aux organismes publics, aux professionnels et aux entreprises de déterminer s’ils y sont assujettis et, le cas échéant, dans quelle mesure. Un second article, qui sera publié sous peu, s’attardera sur certains éléments phares de la Loi 5 en plus d’offrir une analyse comparative avec la Loi 25.

Objet de la Loi 5

La Loi 5, sous réserve de quelques exceptions¹, instaure un cadre juridique exclusif pour certains organismes et intervenants du secteur de la santé et des services sociaux qui a pour effet de soustraire les renseignements de santé et de services sociaux qu’ils collectent et détiennent de l’application de la Loi 25².

Il s’agit d’une loi complexe, dont l’application exige de considérer simultanément i) la nature et la qualification des renseignements de santé et de services sociaux en jeu, ii) l’identité des acteurs du secteur de la santé et des services sociaux impliqués et iii) la portée des ententes contractuelles liant ces acteurs avec des tiers qui, a priori, pourraient ne pas être assujettis à la Loi 5 mais pourraient être réputés l’être en raison de telles ententes.

La Loi 5 ne vise pas un renseignement concernant un employé lorsqu’il est recueilli à des fins de gestion des ressources humaines.

Quels sont les organismes assujettis à la Loi 5?

La Loi 5 vise un vaste éventail d’organismes et d’intervenants actifs dans le secteur de la santé et des services sociaux, notamment les organismes publics suivants :

• Le ministère de la Santé et des Services sociaux;
• Les établissements tels que les CISSS, CIUSSS, CHU/instituts universitaires;
• Les établissements qui servent les populations nordiques et certaines communautés autochtones;
• Les établissements d’enseignement de niveau collégial ou universitaire liés à la prestation de services de santé ou de services sociaux, incluant la prestation de tels services aux étudiants³;
• La Corporation d’urgences-santé;
• Héma-Québec;
• L’Institut national d’excellence en santé et en services sociaux;
• L’Institut national de santé publique du Québec;
• La Régie de l’assurance maladie du Québec.

La Loi 5 vise également :

• Les personnes ou groupements exploitant un cabinet privé de professionnels au sens de la Loi sur les services de santé et les services sociaux, c’est-à-dire « un cabinet de consultation ou bureau, situé ailleurs que dans une installation maintenue par un établissement, où un ou plusieurs médecins, dentistes ou autres professionnels, individuellement ou en groupe, pratiquent habituellement leur profession à titre privé et à leur seul compte, sans fournir à leur clientèle, directement ou indirectement, des services d’hébergement ». La Loi 5 s’applique ainsi notamment à la plupart des cliniques médicales, aux GMF, etc.
• Les personnes ou groupements exploitant un centre médical spécialisé au sens de la Loi sur les services de santé et les services sociaux, c’est-à-dire un « lieu aménagé hors d’une installation maintenue par un établissement aux fins de permettre à un ou plusieurs médecins de dispenser à leur clientèle les services médicaux nécessaires pour effectuer une arthroplastie-prothèse de la hanche ou du genou, une extraction de la cataracte avec implantation d’une lentille intra-oculaire ou tout autre traitement médical spécialisé déterminé par règlement du gouvernement »;
• Les organismes assurant la coordination des dons d’organes ou de tissus désignés par le ministre, conformément au récent article 10.3.4 de la Loi sur le ministère de la Santé et des Services sociaux;
• Les centres de communication santé visés par la Loi sur les services préhospitaliers d’urgence;
• Les personnes ou groupements exploitant un centre de procréation assistée au sens de la Loi sur les activités cliniques et de recherche en matière de procréation assistée;
• Les personnes ou groupements exploitant un laboratoire au sens de la Loi sur les laboratoires médicaux et sur la conservation des organes et des tissus;
• Les personnes ou groupements exploitant une résidence privée pour aînés visés à l’article 346.0.1 de la Loi sur les services de santé et les services sociaux. Pour rappel, cet article vise « tout ou partie d’un immeuble d’habitation collective occupé ou destiné à être occupé principalement par des personnes âgées de 65 ans et plus et où sont offerts par l’exploitant de la résidence, outre la location de chambres ou de logements, différents services compris dans au moins deux des catégories de services suivantes, définies par règlement : services de repas, services d’assistance personnelle, soins infirmiers, services d’aide domestique, services de sécurité ou services de loisirs »;
• Les ressources intermédiaires ou les ressources de type familial au sens de la Loi sur les services de santé et les services sociaux;
• Les autres ressources offrant de l’hébergement visées à l’article 346.0.21 de la Loi sur les services de santé et les services sociaux;
• Les titulaires d’un permis d’entreprise de services funéraires délivré conformément à la Loi sur les activités funéraires;
• Les titulaires d’un permis d’exploitation de services ambulanciers délivré conformément à la Loi sur les services préhospitaliers d’urgence;
• Les maisons de soins palliatifs au sens de la Loi concernant les soins de fin de vie.

En outre, la Loi 5 s’applique également dans le cas où une personne ou un groupement conclut avec l’un ou l’autre des organismes ou personnes précédemment mentionnés (à l’exclusion du ministère de la Santé et des Services sociaux) une entente visant la prestation de services de santé ou de services sociaux pour le compte de cet organisme. En pareilles circonstances, cette personne ou ce groupement n’est alors assujetti à la Loi 5 que pour ses activités liées à la prestation de ces services. En d’autres mots, une entreprise autrement assujettie à la Loi 25 peut être contrainte de devoir se conformer à la Loi 5 selon la nature des services offerts à l’un ou l’autre des organismes ou personnes mentionnés précédemment.

Enfin, la Loi 5 s’applique à un « intervenant » qui offre des services de santé ou des services sociaux au sein d’un organisme ou d’une personne précédemment mentionnée, autre qu’un établissement tels un CISSS ou un CIUSSS, et dont les dossiers ne sont pas tenus par cet organisme. La Loi 5 définit un intervenant comme « une personne physique qui offre des services de santé ou des services sociaux au sein d’un organisme du secteur de la santé et des services sociaux ou qui fournit à une telle personne des services de soutien technique ou administratif ».

La Loi 5, comme on le voit, ratisse très large, mais présente également de nombreuses exceptions. En pratique, une analyse au cas par cas s’avérera souvent nécessaire pour déterminer si la Loi 5 s’applique.

Qu’est-ce qu’un renseignement de santé et de services sociaux?  

La Loi 5 définit comme un renseignement de santé et de services sociaux tout renseignement qui permet d’identifier une personne physique, directement ou indirectement, et qui répond à l’une des caractéristiques suivantes :

1. Il concerne l’état de santé physique ou mentale de cette personne et ses facteurs déterminants, y compris les antécédents médicaux ou familiaux de la personne;
2. Il concerne tout matériel prélevé sur cette personne dans le cadre d’une évaluation ou d’un traitement, incluant le matériel biologique, ainsi que tout implant ou toute orthèse, prothèse ou autre aide suppléant à une incapacité de cette personne;
3. Il concerne les services de santé ou les services sociaux offerts à cette personne, notamment la nature de ces services, leurs résultats, les lieux où ils ont été offerts et l’identité des personnes ou des groupements qui les ont offerts;
4. Il a été obtenu dans l’exercice d’une fonction prévue par la Loi sur la santé publique;
5. Toute autre caractéristique déterminée par règlement du gouvernement.

L’article 2 de la Loi 5 prévoit également qu’un renseignement permettant l’identification d’une personne tels son nom, sa date de naissance, ses coordonnées ou son numéro d’assurance maladie est un renseignement de santé et de services sociaux lorsqu’il est accolé à un renseignement visé au premier alinéa ou qu’il est recueilli en vue de l’enregistrement, de l’inscription ou de l’admission de la personne concernée dans un établissement ou de sa prise en charge par un autre organisme du secteur de la santé et des services sociaux.

Encore une fois, au-delà des situations les plus évidentes, une analyse au cas par cas s’avérera souvent nécessaire pour déterminer si un renseignement constitue ou non un « renseignement de santé et de services sociaux » au sens de la Loi 5. Cet exercice paraît d’autant plus nécessaire que, selon la qualification d’un renseignement, celui-ci peut faire l’objet de règles distinctes en matière de collecte, d’utilisation et de conservation, ainsi qu’en matière de communication à des tiers. Ces distinctions importantes seront abordées dans notre second article portant sur la Loi 5.

Quelles sont les meilleures pratiques à adopter pour déterminer si mon organisation est assujettie à la Loi 5? 

L’entrée en vigueur d’un second régime normatif en matière de protection des renseignements personnels, en sus de la Loi 25, rend plus nécessaires que jamais la mise en œuvre et la mise à jour d’un inventaire (ou d’une cartographie) des renseignements collectés, utilisés et conservés par les organismes publics et les entreprises. Les organismes et les entreprises qui ne disposent pas d’un tel outil sont maintenant à risque d’appliquer le mauvais cadre normatif à des renseignements susceptibles d’être qualifiés de renseignements de santé et de services sociaux au sens de la Loi 5.

Par ailleurs, les entreprises qui offrent des services en matière de santé et de services sociaux devraient dès maintenant sensibiliser leurs employés clés quant aux implications que la conclusion d’une entente de prestation de service peut avoir sur leur conformité en matière de protection des renseignements personnels. Selon le cas, il peut être nécessaire d’impliquer des spécialistes à l’interne en matière de technologies de l’information afin d’assurer une configuration des outils informatiques pertinents de manière à permettre une conformité à la Loi 5.

¹ Loi 5, art. 4 (4) : Une personne ou un groupement qui conclut une entente visant la prestation de services de santé ou de services sociaux avec un organisme de santé sera assujetti à la loi pour les activités liées à la prestation de services de santé ou de services sociaux pour le compte de cet organisme.
² Soit la Loi sur la protection des renseignements personnels dans le secteur privé et la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels.
³ Règlement d’application de certaines dispositions, art.1.