Jan 24, 2014

À la lumière d’un grave cas d’atteinte à la vie privée en Alberta, l’Ombudsman du Manitoba rappelle aux dépositaires de renseignements médicaux personnels (RMP) qu’ils doivent veiller à protéger les RMP des Manitobains et Manitobaines, conformément aux dispositions de la Loi sur les renseignements médicaux personnels (LRMP).

Le vol, à Edmonton en septembre dernier, d’un ordinateur portatif contenant les RMP non chiffrés de 620 000 Albertains et Albertaines, a été récemment confirmé. L’ordinateur renfermait les noms, dates de naissance, numéros de cartes de santé provinciales, codes de facturation et codes de diagnostic des personnes ayant fréquenté un établissement de soins de santé au cours d’une période de deux ans. Il aurait appartenu à un conseiller en technologies de l’information qui configurait une base de données pour la soumission de demandes de paiement au gouvernement de l’Alberta.

L’Ombudsman du Manitoba tient à rappeler aux dépositaires les obligations suivantes auxquelles ils sont assujettis en matière de protection des RMP, selon les dispositions de la LRMP :

• Limiter le nombre de renseignements communiqués au nombre minimal de renseignements nécessaires à la communication, conformément à la LRMP [paragraphe 20(2)].
• Prendre des mesures de protection raisonnables, par exemple le chiffrement ou cryptage sur les supports amovibles comme les ordinateurs portatifs, pour assurer la sécurité des RMP sous forme électronique [paragraphe 18(1)].
• Lorsqu’ils remettent des RMP à un gestionnaire de l’information, notamment pour obtenir des services de gestion et de technologie de l’information, conclure avec lui un accord écrit [paragraphe 25(3)] qui prévoit la protection des RMP, comme le mentionne la LRMP (consulter le Guide du dépositaire concernant la préparation d’accords relatifs à la gestion de l’information, de Santé Manitoba). Se rappeler que le dépositaire est réputé maintenir les RMP transmis au gestionnaire de l’information [paragraphe 25(5)] et donc, qu’il est tenu de répondre en cas d’atteinte à la sécurité des RMP.
• Respecter l’obligation d’établir des directives écrites, comme le prescrit l’article 2 du Règlement sur les renseignements médicaux personnels 245/97, ces directives devant inclure des dispositions qui prévoient la consignation des atteintes à la sécurité des renseignements, ainsi que des mesures correctives en cas d’atteinte.

Pour faire la promotion de pratiques exemplaires, l’Ombudsman du Manitoba a publié des avis de pratique qui fournissent des conseils aux dépositaires sur les questions d’accès à l’information et de protection de la vie privée, notamment deux avis qui les aident à traiter les cas de violation de la vie privée :

• En cas d’atteinte à la vie privée, suivre les « Étapes clés de la réponse aux violations du respect de la vie privée », en particulier en ce qui concerne le moment et la façon d’aviser notamment les personnes concernées au sujet de la violation.
• Consulter le « Rapport d’une violation du respect de la vie privée à l’Ombudsman du Manitoba » pour élaborer un plan de réponse et des mesures de prévention.

Il n’est pas obligatoire de faire rapport d’une violation de la vie privée aux termes de la LRMP mais l’Ombudsman du Manitoba reçoit des rapports volontaires de la part des dépositaires.

Si des membres du public estiment qu’il y a eu atteinte à la sécurité de leurs RMP, ils peuvent déposer une plainte à l’Ombudsman du Manitoba.