En bref : Loi 5 fournisseur technologique : la Loi sur les renseignements de santé et de services sociaux (chapitre R-22.1) oblige, depuis le 1er juillet 2024, tout établissement du réseau de la santé québécois à encadrer par une entente écrite le fournisseur qui traite ses renseignements de santé. Ces obligations retombent directement sur vous, dès que votre produit touche à ces renseignements.
Vous vendez un logiciel, une plateforme infonuagique ou un service technologique à un CIUSSS, un CISSS ou un autre établissement du réseau de la santé québécois. À un moment du processus, quelqu’un chez votre client vous envoie une entente à signer, mentionne une EFVP, ou vous demande votre registre des incidents de confidentialité.
Personne ne vous a expliqué d’où ça vient ni ce que ça implique réellement pour votre entreprise. Les cabinets d’avocats qui écrivent sur le sujet s’adressent à l’établissement, pas à vous. Ce dossier fait l’inverse : il traduit la loi en langage de fournisseur qui doit livrer un produit conforme et signer une entente sans tout céder.
Dans cet article
Loi 5 fournisseur technologique : qui est concerné ?
Tout fournisseur dont le produit touche à des renseignements de santé d’un organisme du réseau québécois est concerné, dès que cet organisme les lui communique. La Loi 5 le rejoint alors par l’entente qu’il doit lui faire signer. La loi porte un nom officiel plus long, la Loi sur les renseignements de santé et de services sociaux, inscrite au chapitre R-22.1 des lois du Québec, en vigueur depuis le 1er juillet 2024.
Le texte s’adresse d’abord aux organismes du réseau : établissements, CIUSSS, CISSS, et Santé Québec elle-même. C’est le mécanisme de l’entente obligatoire, imposé à ces organismes, qui vous touche directement même si votre entreprise n’a jamais eu d’obligation légale directe envers le Québec auparavant.
Le siège social de votre entreprise n’y change rien. Que vous soyez établi à Montréal, à Toronto ou ailleurs en Amérique du Nord, si votre produit traite des renseignements de santé d’un établissement québécois, l’entente s’applique à vous. Nous couvrons cette réalité en détail dans Se brancher au réseau de la santé québécois : le guide de l’éditeur hors Québec.
Qu’est-ce que l’entente sur les renseignements de santé que mon client veut me faire signer ?
L’entente que votre client vous présente n’est pas un contrat commercial ordinaire qu’on négocie clause par clause comme un abonnement logiciel. La loi en fixe le contenu minimal, et l’établissement n’a pas vraiment le choix de vous la faire signer telle quelle.
Trois éléments reviennent systématiquement.
- Les mesures de protection des renseignements que vous vous engagez à appliquer, souvent alignées sur ce que l’établissement exige déjà de ses propres systèmes internes.
- La limitation de l’usage des renseignements au seul mandat confié : vous ne pouvez pas réutiliser les données reçues pour entraîner un modèle, améliorer un autre produit ou constituer une base de données interne, à moins que l’entente ne le prévoie explicitement.
- La non-conservation des renseignements au-delà du mandat : à la fin du contrat, ou dès que les renseignements ne sont plus nécessaires, vous devez les détruire ou les retourner, selon ce que l’entente précise exactement.
Un dirigeant qui signe cette entente sans comprendre ces trois obligations signe un engagement qu’il ne pourra pas tenir si son produit n’a pas été conçu pour ça dès le départ.
C’est quoi une EFVP en santé, et pourquoi me la demande-t-on à moi comme fournisseur ?
EFVP est le sigle d’évaluation des facteurs relatifs à la vie privée. C’est un exercice que l’organisme de santé doit réaliser avant de lancer un projet qui implique des renseignements sensibles, pour identifier les risques pour la vie privée des patients et les mesures pour les réduire.
Vous ne réalisez pas l’EFVP à la place de votre client : c’est son obligation, pas la vôtre. Mais l’EFVP porte en bonne partie sur votre produit, son architecture, l’hébergement des données, les sous-traitants que vous utilisez, les mesures de sécurité en place, les accès à distance. L’établissement ne peut pas répondre à ces questions sans vous.
Concrètement, on vous demande de fournir l’information que l’EFVP exige :
- où les données sont hébergées ;
- qui y a accès ;
- comment elles sont chiffrées ;
- quels sous-traitants interviennent dans la chaîne.
Un fournisseur qui a déjà cette information rassemblée avance plus vite que celui qui la découvre à chaque appel d’offres.
Quelles sont les obligations concrètes : journalisation, registre d’incidents, responsable désigné ?
Au-delà de l’entente elle-même, la loi impose des mécanismes internes que vous devez tenir en continu, pas seulement produire une fois au moment de la signature. Le tableau suivant résume ces obligations et ce qu’elles signifient concrètement pour votre entreprise.
| Obligation de la loi | Ce que ça veut dire pour votre entreprise |
|---|---|
| Entente écrite avec l’organisme | Vous signez un document qui encadre l’usage, la protection et la durée de conservation des renseignements. |
| Limitation de l’usage au mandat | Vos processus internes, et vos contrats de sous-traitance, doivent empêcher toute réutilisation hors mandat. |
| Non-conservation après le mandat | Votre produit doit permettre de détruire ou de retourner les données de façon vérifiable, pas seulement de les archiver quelque part. |
| Responsable désigné de la protection des renseignements | Un rôle nommé, accessible, capable de répondre aux questions de vos clients du réseau. |
| Registre des incidents de confidentialité | Un registre tenu, pas un engagement verbal : chaque incident touchant des renseignements de santé y est consigné. |
| EFVP pour les projets à risque élevé | Vous devez pouvoir répondre rapidement aux questions d’architecture et de sécurité que l’exercice pose. |
La désignation d’un responsable ne veut pas dire embaucher une nouvelle personne. Dans une PME, c’est souvent une responsabilité ajoutée à un rôle existant, direction des opérations ou direction technique. Ce qui compte, c’est que le rôle existe, soit documenté, et que la personne sache répondre quand un client du réseau lui pose une question.
Le registre des incidents de confidentialité suit la même logique. Ce n’est pas un système sophistiqué : c’est un registre daté, qui démontre que vous savez ce qui s’est passé quand quelque chose s’est mal passé. Un fournisseur qui n’a jamais eu d’incident et qui n’a pas de registre n’a rien démontré. Il n’a simplement pas encore été testé.
Quel est le lien entre la Loi 5 et la certification TGV ?
Loi 5 fournisseur technologique et certification TGV sont deux démarches qui se recoupent sans s’équivaloir. La certification TGV est un exercice de vérification par un tiers, contre une grille précise, pour obtenir un statut qui vaut pour l’ensemble du réseau. La Loi 5 est une obligation légale directe envers chaque organisme avec qui vous contractez, indépendante du fait que votre produit soit certifié ou non.
Si vous êtes déjà engagé dans une démarche de certification TGV, une partie du terrain vous est familière. La grille TGV consacre 108 critères à la protection des renseignements personnels, que nous détaillons dans notre article sur les 108 critères de protection des renseignements personnels de la TGV, et plusieurs recoupent directement les obligations de la Loi 5 : mesures de protection, limitation d’usage, gestion des incidents.
Un produit certifié TGV doit quand même signer l’entente prévue par la loi avec chaque établissement client. Un produit non certifié TGV est quand même soumis à la Loi 5 dès qu’il traite des renseignements de santé d’un établissement québécois.
La bonne pratique consiste à cartographier les deux exigences ensemble plutôt qu’en parallèle. Une preuve qui sert à la certification, votre politique de gestion des incidents par exemple, peut souvent servir aussi à démontrer votre conformité à l’entente légale. Refaire le travail deux fois coûte du temps que vous n’avez pas.
Que se passe-t-il en cas d’incident de confidentialité chez nous ?
Un incident touchant des renseignements de santé chez vous n’est pas seulement votre problème. C’est aussi celui de votre client, qui a lui-même des obligations de déclaration envers la Commission d’accès à l’information du Québec. L’entente que vous avez signée prévoit normalement un délai de notification à votre client, souvent court, pour lui permettre de respecter ses propres délais.
La Commission d’accès à l’information dispose de pouvoirs d’enquête et de sanction sous ce régime légal. Les montants précis sont fixés dans le texte de loi et varient selon la nature du manquement ; ce n’est pas un barème que ce dossier reproduit ici, faute de source à citer avec certitude. Ce qui compte pour vous à ce stade n’est pas de mémoriser un montant, c’est de savoir que l’absence de registre, de processus de notification ou de responsable désigné aggrave votre position si un incident survient, peu importe le montant final retenu.
Loi 5 fournisseur technologique et Loi 25 sont deux régimes distincts. La Loi 25 encadre les renseignements personnels des entreprises du secteur privé québécois en général ; la Loi 5, elle, vise spécifiquement le réseau de la santé et des services sociaux depuis le 1er juillet 2024. Si votre produit traite aussi des renseignements personnels hors du contexte de la santé, les deux régimes peuvent s’appliquer en parallèle. Ce n’est pas une raison de paniquer, c’est une raison de documenter une seule fois, correctement, plutôt que de gérer deux conformités disjointes.
Par où commencer pour préparer votre dossier fournisseur ?
Un dossier fournisseur prêt à remettre accélère chaque appel d’offres et chaque discussion contractuelle qui suit. Loi 5 fournisseur technologique : quatre pièces à rassembler, dans un ordre qui reflète ce qu’on vous demandera en premier.
- Une fiche d’architecture et d’hébergement à jour : où les données résident, qui y a accès, quels sous-traitants interviennent. C’est la première question que pose toute EFVP.
- Une politique écrite de gestion des incidents, avec le registre qui l’accompagne, même vide s’il n’y a eu aucun incident à ce jour.
- La désignation documentée d’un responsable de la protection des renseignements, avec ses coordonnées, prête à être communiquée à un client.
- Un gabarit d’entente déjà révisé par vos soins, pour ne pas découvrir les trois obligations centrales (protection, limitation d’usage, non-conservation) au moment de signer sous la pression d’un échéancier serré.
Votre client du réseau vous a remis une entente et une liste d’exigences ? Faites préparer votre dossier fournisseur (EFVP, mesures, registre) par un cabinet indépendant qui ne vous revendra rien d’autre. Vous pouvez planifier un échange sur votre accompagnement à la certification TGV pour situer où vous en êtes et ce qu’il reste à faire.
Pour aller plus loin avec Factero :
Foire aux questions
La Loi 5 s’applique-t-elle à mon entreprise si elle est établie hors Québec ?
Oui. La loi ne s’attache pas au siège social de votre entreprise, mais au fait qu’un organisme du réseau de la santé québécois vous communique des renseignements de santé. Un fournisseur établi ailleurs au Canada ou aux États-Unis est visé exactement comme un fournisseur québécois, dès que l’entente prévue par la loi entre en jeu.
Dois-je réaliser une EFVP pour chaque projet avec mon client du réseau de la santé ?
Non. Cette obligation revient à l’organisme de santé, pas à vous, et seulement pour les projets qui impliquent des renseignements sensibles, pas pour chaque contrat signé. Vous devez toutefois lui fournir l’information sur votre produit (hébergement, accès, sous-traitants) dont il a besoin pour réaliser l’évaluation.
Quelle est la différence entre la Loi 5 et la Loi 25 ?
La Loi 25 encadre les renseignements personnels des entreprises du secteur privé québécois en général. La Loi 5, en vigueur depuis le 1er juillet 2024, vise spécifiquement le réseau de la santé et des services sociaux, et s’ajoute aux obligations de la Loi 25 lorsque votre produit traite aussi des renseignements personnels hors du contexte de la santé.
Puis-je refuser de signer l’entente que mon client du réseau me demande ?
En pratique, non. La loi oblige l’organisme à conclure cette entente avant de vous communiquer des renseignements de santé : sans elle, il ne peut pas légalement vous transmettre les données nécessaires au mandat. Le contenu minimal de l’entente (protection, limitation d’usage, non-conservation) n’est pas non plus négociable clause par clause.
Qui, chez nous, doit être désigné responsable de la protection des renseignements ?
La loi n’impose pas de titre précis. Ce qui compte est qu’un rôle existant et identifiable soit désigné, documenté, et capable de répondre aux questions de vos clients du réseau et, au besoin, de la Commission d’accès à l’information.
