Gouvernance, risque et conformité

Loi de 2004 sur la protection des renseignements personnels sur la santé de l’Ontario (LPRPS / PHIPA) 2004, telle que modifiée

La loi ontarienne sur la protection des renseignements sur la santé, la Loi de 2004 sur la protection des renseignements personnels sur la santé.

Elle lie tous les dépositaires de renseignements sur la santé de la province (hôpitaux, médecins, cliniques, pharmacies, laboratoires, foyers de soins de longue durée, services d’ambulance, ainsi que les conseils et organismes qui les exploitent), de même que leurs mandataires et les fournisseurs de services électroniques auxquels ils font appel. Les obligations se répartissent en cinq volets : ne recueillir, utiliser et divulguer des renseignements personnels sur la santé qu’avec un consentement éclairé ou une autorisation prévue par la loi; prendre des mesures raisonnables, en vertu du paragraphe 12(1), pour les protéger; donner aux personnes l’accès à leur propre dossier et un moyen de le faire corriger; aviser la personne concernée de tout vol, perte, utilisation ou divulgation non autorisés, et aviser le commissaire à l’information et à la protection de la vie privée à la première occasion raisonnable lorsque l’une des sept circonstances prescrites s’applique; et déposer auprès du commissaire, au plus tard le 1er mars de chaque année, des statistiques sur les atteintes portant sur l’année civile précédente.

Deux régimes d’application distincts s’appliquent et sont souvent confondus : les pénalités administratives, en vigueur depuis le 1er janvier 2024, imposées par le commissaire sans poursuite, jusqu’à 50 000 $ pour un particulier et 500 000 $ pour une organisation; et les infractions poursuivies, jusqu’à 200 000 $ pour un particulier et 1 000 000 $ pour une organisation, plus jusqu’à un an d’emprisonnement. Les deux pénalités imposées jusqu’à présent par le commissaire visaient des consultations indiscrètes par un utilisateur autorisé, ce qui explique pourquoi l’examen des journaux d’audit, plutôt que la sécurité périmétrique, est le contrôle le plus important ici.

Niveaux d’évaluation pris en charge par Lavawall

Lavawall évalue ce cadre à chacun des niveaux ci-dessous, pour que vous puissiez commencer là où vous en êtes et progresser à mesure que votre programme mûrit.

Loi de 2004 sur la protection des renseignements personnels sur la santé de l’Ontario (LPRPS / PHIPA) : comment Lavawall® vous aide à atteindre la conformité

Ce cadre se résume surtout à des contrôles techniques que vous devez appliquer et prouver : maintenir les systèmes à jour, renforcer la configuration, détecter les intrusions tôt, sauvegarder ce qui compte, contrôler les accès et conserver la preuve que tout cela a bien été fait. Lavawall® applique ces contrôles sur Windows, macOS, Linux et Microsoft 365 / Google Workspace depuis une seule console, les associe aux exigences de ce cadre et suit votre posture en continu plutôt qu’une fois par année au moment de l’audit.

• Évaluez votre situation actuelle par rapport à ce cadre dans le module GRC de Lavawall, avec le questionnaire et l’ensemble de contrôles intégrés.
• Corrigez les écarts avec la même plateforme (correctifs automatisés, corrections de configuration, sauvegardes et revue des accès) plutôt que dans un projet distinct.
• Prouvez le tout avec des registres horodatés et exportables qu’acceptent les auditeurs, les assureurs et les clients.

Ressources connexes

Lavawall® prend en charge ce cadre dans son catalogue intégré de cadres de conformité. Les exigences sont résumées à des fins de planification; confirmez toujours le texte officiel en vigueur avant toute certification.