{"id":885,"date":"2026-09-28T07:00:00","date_gmt":"2026-09-28T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=885"},"modified":"2026-09-04T13:01:34","modified_gmt":"2026-09-04T18:01:34","slug":"loi-5-lrsss-fournisseur-technologique","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/loi-5-lrsss-fournisseur-technologique\/","title":{"rendered":"Loi 5 : ce qu&rsquo;elle exige de vous comme fournisseur technologique"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>Loi 5 fournisseur technologique : la Loi sur les renseignements de sant\u00e9 et de services sociaux (chapitre R-22.1) oblige, depuis le 1er juillet 2024, tout \u00e9tablissement du r\u00e9seau de la sant\u00e9 qu\u00e9b\u00e9cois \u00e0 encadrer par une entente \u00e9crite le fournisseur qui traite ses renseignements de sant\u00e9.<\/strong> Ces obligations retombent directement sur vous, d\u00e8s que votre produit touche \u00e0 ces renseignements.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/cybersecurite.png\" alt=\"Loi 5 fournisseur technologique : ce que l'entente exige de vous\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<p class=\"wp-block-paragraph\">Vous vendez un logiciel, une plateforme infonuagique ou un service technologique \u00e0 un CIUSSS, un CISSS ou un autre \u00e9tablissement du r\u00e9seau de la sant\u00e9 qu\u00e9b\u00e9cois. \u00c0 un moment du processus, quelqu&rsquo;un chez votre client vous envoie une entente \u00e0 signer, mentionne une EFVP, ou vous demande votre registre des incidents de confidentialit\u00e9.<\/p>\n\n<p class=\"wp-block-paragraph\">Personne ne vous a expliqu\u00e9 d&rsquo;o\u00f9 \u00e7a vient ni ce que \u00e7a implique r\u00e9ellement pour votre entreprise. Les cabinets d&rsquo;avocats qui \u00e9crivent sur le sujet s&rsquo;adressent \u00e0 l&rsquo;\u00e9tablissement, pas \u00e0 vous. Ce dossier fait l&rsquo;inverse : il traduit la loi en langage de fournisseur qui doit livrer un produit conforme et signer une entente sans tout c\u00e9der.<\/p>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#loi-5-fournisseur-technologique-qui-est-concerne\">Loi 5 fournisseur technologique : qui est concern\u00e9 ?<\/a><\/li><li class=\"\"><a href=\"#qu-est-ce-que-l-entente-sur-les-renseignements-de-sante-que-mon-client-veut-me-faire-signer\">Qu&rsquo;est-ce que l&rsquo;entente sur les renseignements de sant\u00e9 que mon client veut me faire signer ?<\/a><\/li><li class=\"\"><a href=\"#c-est-quoi-une-efvp-en-sante-et-pourquoi-me-la-demande-t-on-a-moi-comme-fournisseur\">C&rsquo;est quoi une EFVP en sant\u00e9, et pourquoi me la demande-t-on \u00e0 moi comme fournisseur ?<\/a><\/li><li class=\"\"><a href=\"#quelles-sont-les-obligations-concretes-journalisation-registre-d-incidents-responsable-designe\">Quelles sont les obligations concr\u00e8tes : journalisation, registre d&rsquo;incidents, responsable d\u00e9sign\u00e9 ?<\/a><\/li><li class=\"\"><a href=\"#quel-est-le-lien-entre-la-loi-5-et-la-certification-tgv\">Quel est le lien entre la Loi 5 et la certification TGV ?<\/a><\/li><li class=\"\"><a href=\"#que-se-passe-t-il-en-cas-d-incident-de-confidentialite-chez-nous\">Que se passe-t-il en cas d&rsquo;incident de confidentialit\u00e9 chez nous ?<\/a><\/li><li class=\"\"><a href=\"#par-ou-commencer-pour-preparer-votre-dossier-fournisseur\">Par o\u00f9 commencer pour pr\u00e9parer votre dossier fournisseur ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"loi-5-fournisseur-technologique-qui-est-concerne\" class=\"wp-block-heading\">Loi 5 fournisseur technologique : qui est concern\u00e9 ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Tout fournisseur dont le produit touche \u00e0 des renseignements de sant\u00e9 d&rsquo;un organisme du r\u00e9seau qu\u00e9b\u00e9cois est concern\u00e9, d\u00e8s que cet organisme les lui communique. La Loi 5 le rejoint alors par l&rsquo;entente qu&rsquo;il doit lui faire signer. La loi porte un nom officiel plus long, la Loi sur les renseignements de sant\u00e9 et de services sociaux, inscrite au chapitre R-22.1 des lois du Qu\u00e9bec, en vigueur depuis le 1er juillet 2024.<\/p>\n\n<p class=\"wp-block-paragraph\">Le texte s&rsquo;adresse d&rsquo;abord aux organismes du r\u00e9seau : \u00e9tablissements, CIUSSS, CISSS, et Sant\u00e9 Qu\u00e9bec elle-m\u00eame. C&rsquo;est le m\u00e9canisme de l&rsquo;entente obligatoire, impos\u00e9 \u00e0 ces organismes, qui vous touche directement m\u00eame si votre entreprise n&rsquo;a jamais eu d&rsquo;obligation l\u00e9gale directe envers le Qu\u00e9bec auparavant.<\/p>\n\n<p class=\"wp-block-paragraph\">Le si\u00e8ge social de votre entreprise n&rsquo;y change rien. Que vous soyez \u00e9tabli \u00e0 Montr\u00e9al, \u00e0 Toronto ou ailleurs en Am\u00e9rique du Nord, si votre produit traite des renseignements de sant\u00e9 d&rsquo;un \u00e9tablissement qu\u00e9b\u00e9cois, l&rsquo;entente s&rsquo;applique \u00e0 vous. Nous couvrons cette r\u00e9alit\u00e9 en d\u00e9tail dans <a href=\"https:\/\/factero.ca\/blog\/guide-editeur-hors-quebec-reseau-sante\/\">Se brancher au r\u00e9seau de la sant\u00e9 qu\u00e9b\u00e9cois : le guide de l&rsquo;\u00e9diteur hors Qu\u00e9bec<\/a>.<\/p>\n\n<h2 id=\"qu-est-ce-que-l-entente-sur-les-renseignements-de-sante-que-mon-client-veut-me-faire-signer\" class=\"wp-block-heading\">Qu&rsquo;est-ce que l&rsquo;entente sur les renseignements de sant\u00e9 que mon client veut me faire signer ?<\/h2>\n\n<p class=\"wp-block-paragraph\">L&rsquo;entente que votre client vous pr\u00e9sente n&rsquo;est pas un contrat commercial ordinaire qu&rsquo;on n\u00e9gocie clause par clause comme un abonnement logiciel. La loi en fixe le contenu minimal, et l&rsquo;\u00e9tablissement n&rsquo;a pas vraiment le choix de vous la faire signer telle quelle.<\/p>\n\n<p class=\"wp-block-paragraph\">Trois \u00e9l\u00e9ments reviennent syst\u00e9matiquement.<\/p>\n\n<ul class=\"wp-block-list\"><li>Les mesures de protection des renseignements que vous vous engagez \u00e0 appliquer, souvent align\u00e9es sur ce que l&rsquo;\u00e9tablissement exige d\u00e9j\u00e0 de ses propres syst\u00e8mes internes.<\/li><li>La limitation de l&rsquo;usage des renseignements au seul mandat confi\u00e9 : vous ne pouvez pas r\u00e9utiliser les donn\u00e9es re\u00e7ues pour entra\u00eener un mod\u00e8le, am\u00e9liorer un autre produit ou constituer une base de donn\u00e9es interne, \u00e0 moins que l&rsquo;entente ne le pr\u00e9voie explicitement.<\/li><li>La non-conservation des renseignements au-del\u00e0 du mandat : \u00e0 la fin du contrat, ou d\u00e8s que les renseignements ne sont plus n\u00e9cessaires, vous devez les d\u00e9truire ou les retourner, selon ce que l&rsquo;entente pr\u00e9cise exactement.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Un dirigeant qui signe cette entente sans comprendre ces trois obligations signe un engagement qu&rsquo;il ne pourra pas tenir si son produit n&rsquo;a pas \u00e9t\u00e9 con\u00e7u pour \u00e7a d\u00e8s le d\u00e9part.<\/p>\n\n<h2 id=\"c-est-quoi-une-efvp-en-sante-et-pourquoi-me-la-demande-t-on-a-moi-comme-fournisseur\" class=\"wp-block-heading\">C&rsquo;est quoi une EFVP en sant\u00e9, et pourquoi me la demande-t-on \u00e0 moi comme fournisseur ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>EFVP est le sigle d&rsquo;\u00e9valuation des facteurs relatifs \u00e0 la vie priv\u00e9e.<\/strong> C&rsquo;est un exercice que l&rsquo;organisme de sant\u00e9 doit r\u00e9aliser avant de lancer un projet qui implique des renseignements sensibles, pour identifier les risques pour la vie priv\u00e9e des patients et les mesures pour les r\u00e9duire.<\/p>\n\n<p class=\"wp-block-paragraph\">Vous ne r\u00e9alisez pas l&rsquo;EFVP \u00e0 la place de votre client : c&rsquo;est son obligation, pas la v\u00f4tre. Mais l&rsquo;EFVP porte en bonne partie sur votre produit, son architecture, l&rsquo;h\u00e9bergement des donn\u00e9es, les sous-traitants que vous utilisez, les mesures de s\u00e9curit\u00e9 en place, les acc\u00e8s \u00e0 distance. L&rsquo;\u00e9tablissement ne peut pas r\u00e9pondre \u00e0 ces questions sans vous.<\/p>\n\n<p class=\"wp-block-paragraph\">Concr\u00e8tement, on vous demande de fournir l&rsquo;information que l&rsquo;EFVP exige :<\/p>\n\n<ul class=\"wp-block-list\"><li>o\u00f9 les donn\u00e9es sont h\u00e9berg\u00e9es ;<\/li><li>qui y a acc\u00e8s ;<\/li><li>comment elles sont chiffr\u00e9es ;<\/li><li>quels sous-traitants interviennent dans la cha\u00eene.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Un fournisseur qui a d\u00e9j\u00e0 cette information rassembl\u00e9e avance plus vite que celui qui la d\u00e9couvre \u00e0 chaque appel d&rsquo;offres.<\/p>\n\n<h2 id=\"quelles-sont-les-obligations-concretes-journalisation-registre-d-incidents-responsable-designe\" class=\"wp-block-heading\">Quelles sont les obligations concr\u00e8tes : journalisation, registre d&rsquo;incidents, responsable d\u00e9sign\u00e9 ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Au-del\u00e0 de l&rsquo;entente elle-m\u00eame, la loi impose des m\u00e9canismes internes que vous devez tenir en continu, pas seulement produire une fois au moment de la signature.<\/strong> Le tableau suivant r\u00e9sume ces obligations et ce qu&rsquo;elles signifient concr\u00e8tement pour votre entreprise.<\/p>\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Obligation de la loi<\/th><th>Ce que \u00e7a veut dire pour votre entreprise<\/th><\/tr><\/thead><tbody><tr><td>Entente \u00e9crite avec l&rsquo;organisme<\/td><td>Vous signez un document qui encadre l&rsquo;usage, la protection et la dur\u00e9e de conservation des renseignements.<\/td><\/tr><tr><td>Limitation de l&rsquo;usage au mandat<\/td><td>Vos processus internes, et vos contrats de sous-traitance, doivent emp\u00eacher toute r\u00e9utilisation hors mandat.<\/td><\/tr><tr><td>Non-conservation apr\u00e8s le mandat<\/td><td>Votre produit doit permettre de d\u00e9truire ou de retourner les donn\u00e9es de fa\u00e7on v\u00e9rifiable, pas seulement de les archiver quelque part.<\/td><\/tr><tr><td>Responsable d\u00e9sign\u00e9 de la protection des renseignements<\/td><td>Un r\u00f4le nomm\u00e9, accessible, capable de r\u00e9pondre aux questions de vos clients du r\u00e9seau.<\/td><\/tr><tr><td>Registre des incidents de confidentialit\u00e9<\/td><td>Un registre tenu, pas un engagement verbal : chaque incident touchant des renseignements de sant\u00e9 y est consign\u00e9.<\/td><\/tr><tr><td>EFVP pour les projets \u00e0 risque \u00e9lev\u00e9<\/td><td>Vous devez pouvoir r\u00e9pondre rapidement aux questions d&rsquo;architecture et de s\u00e9curit\u00e9 que l&rsquo;exercice pose.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n<p class=\"wp-block-paragraph\">La d\u00e9signation d&rsquo;un responsable ne veut pas dire embaucher une nouvelle personne. Dans une PME, c&rsquo;est souvent une responsabilit\u00e9 ajout\u00e9e \u00e0 un r\u00f4le existant, direction des op\u00e9rations ou direction technique. Ce qui compte, c&rsquo;est que le r\u00f4le existe, soit document\u00e9, et que la personne sache r\u00e9pondre quand un client du r\u00e9seau lui pose une question.<\/p>\n\n<p class=\"wp-block-paragraph\">Le registre des incidents de confidentialit\u00e9 suit la m\u00eame logique. Ce n&rsquo;est pas un syst\u00e8me sophistiqu\u00e9 : c&rsquo;est un registre dat\u00e9, qui d\u00e9montre que vous savez ce qui s&rsquo;est pass\u00e9 quand quelque chose s&rsquo;est mal pass\u00e9. Un fournisseur qui n&rsquo;a jamais eu d&rsquo;incident et qui n&rsquo;a pas de registre n&rsquo;a rien d\u00e9montr\u00e9. Il n&rsquo;a simplement pas encore \u00e9t\u00e9 test\u00e9.<\/p>\n\n<h2 id=\"quel-est-le-lien-entre-la-loi-5-et-la-certification-tgv\" class=\"wp-block-heading\">Quel est le lien entre la Loi 5 et la certification TGV ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Loi 5 fournisseur technologique et certification TGV sont deux d\u00e9marches qui se recoupent sans s&rsquo;\u00e9quivaloir. La certification TGV est un exercice de v\u00e9rification par un tiers, contre une grille pr\u00e9cise, pour obtenir un statut qui vaut pour l&rsquo;ensemble du r\u00e9seau. La Loi 5 est une obligation l\u00e9gale directe envers chaque organisme avec qui vous contractez, ind\u00e9pendante du fait que votre produit soit certifi\u00e9 ou non.<\/p>\n\n<p class=\"wp-block-paragraph\">Si vous \u00eates d\u00e9j\u00e0 engag\u00e9 dans une d\u00e9marche de <a href=\"https:\/\/factero.ca\/blog\/guide-certification-tgv\/\">certification TGV<\/a>, une partie du terrain vous est famili\u00e8re. La grille TGV consacre 108 crit\u00e8res \u00e0 la protection des renseignements personnels, que nous d\u00e9taillons dans <a href=\"https:\/\/factero.ca\/blog\/famille-protection-renseignements-personnels-tgv\/\">notre article sur les 108 crit\u00e8res de protection des renseignements personnels de la TGV<\/a>, et plusieurs recoupent directement les obligations de la Loi 5 : mesures de protection, limitation d&rsquo;usage, gestion des incidents.<\/p>\n\n<p class=\"wp-block-paragraph\">Un produit certifi\u00e9 TGV doit quand m\u00eame signer l&rsquo;entente pr\u00e9vue par la loi avec chaque \u00e9tablissement client. Un produit non certifi\u00e9 TGV est quand m\u00eame soumis \u00e0 la Loi 5 d\u00e8s qu&rsquo;il traite des renseignements de sant\u00e9 d&rsquo;un \u00e9tablissement qu\u00e9b\u00e9cois.<\/p>\n\n<p class=\"wp-block-paragraph\">La bonne pratique consiste \u00e0 cartographier les deux exigences ensemble plut\u00f4t qu&rsquo;en parall\u00e8le. Une preuve qui sert \u00e0 la certification, votre politique de gestion des incidents par exemple, peut souvent servir aussi \u00e0 d\u00e9montrer votre conformit\u00e9 \u00e0 l&rsquo;entente l\u00e9gale. Refaire le travail deux fois co\u00fbte du temps que vous n&rsquo;avez pas.<\/p>\n\n<h2 id=\"que-se-passe-t-il-en-cas-d-incident-de-confidentialite-chez-nous\" class=\"wp-block-heading\">Que se passe-t-il en cas d&rsquo;incident de confidentialit\u00e9 chez nous ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Un incident touchant des renseignements de sant\u00e9 chez vous n&rsquo;est pas seulement votre probl\u00e8me. C&rsquo;est aussi celui de votre client, qui a lui-m\u00eame des obligations de d\u00e9claration envers la Commission d&rsquo;acc\u00e8s \u00e0 l&rsquo;information du Qu\u00e9bec. L&rsquo;entente que vous avez sign\u00e9e pr\u00e9voit normalement un d\u00e9lai de notification \u00e0 votre client, souvent court, pour lui permettre de respecter ses propres d\u00e9lais.<\/p>\n\n<p class=\"wp-block-paragraph\">La Commission d&rsquo;acc\u00e8s \u00e0 l&rsquo;information dispose de pouvoirs d&rsquo;enqu\u00eate et de sanction sous ce r\u00e9gime l\u00e9gal. Les montants pr\u00e9cis sont fix\u00e9s dans le texte de loi et varient selon la nature du manquement ; ce n&rsquo;est pas un bar\u00e8me que ce dossier reproduit ici, faute de source \u00e0 citer avec certitude. Ce qui compte pour vous \u00e0 ce stade n&rsquo;est pas de m\u00e9moriser un montant, c&rsquo;est de savoir que l&rsquo;absence de registre, de processus de notification ou de responsable d\u00e9sign\u00e9 aggrave votre position si un incident survient, peu importe le montant final retenu.<\/p>\n\n<p class=\"wp-block-paragraph\">Loi 5 fournisseur technologique et Loi 25 sont deux r\u00e9gimes distincts. La Loi 25 encadre les renseignements personnels des entreprises du secteur priv\u00e9 qu\u00e9b\u00e9cois en g\u00e9n\u00e9ral ; la Loi 5, elle, vise sp\u00e9cifiquement le r\u00e9seau de la sant\u00e9 et des services sociaux depuis le 1er juillet 2024. Si votre produit traite aussi des renseignements personnels hors du contexte de la sant\u00e9, les deux r\u00e9gimes peuvent s&rsquo;appliquer en parall\u00e8le. Ce n&rsquo;est pas une raison de paniquer, c&rsquo;est une raison de documenter une seule fois, correctement, plut\u00f4t que de g\u00e9rer deux conformit\u00e9s disjointes.<\/p>\n\n<h2 id=\"par-ou-commencer-pour-preparer-votre-dossier-fournisseur\" class=\"wp-block-heading\">Par o\u00f9 commencer pour pr\u00e9parer votre dossier fournisseur ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Un dossier fournisseur pr\u00eat \u00e0 remettre acc\u00e9l\u00e8re chaque appel d&rsquo;offres et chaque discussion contractuelle qui suit. Loi 5 fournisseur technologique : quatre pi\u00e8ces \u00e0 rassembler, dans un ordre qui refl\u00e8te ce qu&rsquo;on vous demandera en premier.<\/p>\n\n<ol class=\"wp-block-list\"><li>Une fiche d&rsquo;architecture et d&rsquo;h\u00e9bergement \u00e0 jour : o\u00f9 les donn\u00e9es r\u00e9sident, qui y a acc\u00e8s, quels sous-traitants interviennent. C&rsquo;est la premi\u00e8re question que pose toute EFVP.<\/li><li>Une politique \u00e9crite de gestion des incidents, avec le registre qui l&rsquo;accompagne, m\u00eame vide s&rsquo;il n&rsquo;y a eu aucun incident \u00e0 ce jour.<\/li><li>La d\u00e9signation document\u00e9e d&rsquo;un responsable de la protection des renseignements, avec ses coordonn\u00e9es, pr\u00eate \u00e0 \u00eatre communiqu\u00e9e \u00e0 un client.<\/li><li>Un gabarit d&rsquo;entente d\u00e9j\u00e0 r\u00e9vis\u00e9 par vos soins, pour ne pas d\u00e9couvrir les trois obligations centrales (protection, limitation d&rsquo;usage, non-conservation) au moment de signer sous la pression d&rsquo;un \u00e9ch\u00e9ancier serr\u00e9.<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">Votre client du r\u00e9seau vous a remis une entente et une liste d&rsquo;exigences ? Faites pr\u00e9parer votre dossier fournisseur (EFVP, mesures, registre) par un cabinet ind\u00e9pendant qui ne vous revendra rien d&rsquo;autre. Vous pouvez <a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-certification-tgv\/\">planifier un \u00e9change sur votre accompagnement \u00e0 la certification TGV<\/a> pour situer o\u00f9 vous en \u00eates et ce qu&rsquo;il reste \u00e0 faire.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-certification-tgv\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-certification-tgv\/\">accompagnement \u00e0 la certification TGV<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/conformite-loi-25\/\">conformit\u00e9 Loi 25 c\u00f4t\u00e9 TI<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>La Loi 5 s&rsquo;applique-t-elle \u00e0 mon entreprise si elle est \u00e9tablie hors Qu\u00e9bec ?<\/summary><p class=\"wp-block-paragraph\">Oui. La loi ne s&rsquo;attache pas au si\u00e8ge social de votre entreprise, mais au fait qu&rsquo;un organisme du r\u00e9seau de la sant\u00e9 qu\u00e9b\u00e9cois vous communique des renseignements de sant\u00e9. Un fournisseur \u00e9tabli ailleurs au Canada ou aux \u00c9tats-Unis est vis\u00e9 exactement comme un fournisseur qu\u00e9b\u00e9cois, d\u00e8s que l&rsquo;entente pr\u00e9vue par la loi entre en jeu.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Dois-je r\u00e9aliser une EFVP pour chaque projet avec mon client du r\u00e9seau de la sant\u00e9 ?<\/summary><p class=\"wp-block-paragraph\">Non. Cette obligation revient \u00e0 l&rsquo;organisme de sant\u00e9, pas \u00e0 vous, et seulement pour les projets qui impliquent des renseignements sensibles, pas pour chaque contrat sign\u00e9. Vous devez toutefois lui fournir l&rsquo;information sur votre produit (h\u00e9bergement, acc\u00e8s, sous-traitants) dont il a besoin pour r\u00e9aliser l&rsquo;\u00e9valuation.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Quelle est la diff\u00e9rence entre la Loi 5 et la Loi 25 ?<\/summary><p class=\"wp-block-paragraph\">La Loi 25 encadre les renseignements personnels des entreprises du secteur priv\u00e9 qu\u00e9b\u00e9cois en g\u00e9n\u00e9ral. La Loi 5, en vigueur depuis le 1er juillet 2024, vise sp\u00e9cifiquement le r\u00e9seau de la sant\u00e9 et des services sociaux, et s&rsquo;ajoute aux obligations de la Loi 25 lorsque votre produit traite aussi des renseignements personnels hors du contexte de la sant\u00e9.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Puis-je refuser de signer l&rsquo;entente que mon client du r\u00e9seau me demande ?<\/summary><p class=\"wp-block-paragraph\">En pratique, non. La loi oblige l&rsquo;organisme \u00e0 conclure cette entente avant de vous communiquer des renseignements de sant\u00e9 : sans elle, il ne peut pas l\u00e9galement vous transmettre les donn\u00e9es n\u00e9cessaires au mandat. Le contenu minimal de l&rsquo;entente (protection, limitation d&rsquo;usage, non-conservation) n&rsquo;est pas non plus n\u00e9gociable clause par clause.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Qui, chez nous, doit \u00eatre d\u00e9sign\u00e9 responsable de la protection des renseignements ?<\/summary><p class=\"wp-block-paragraph\">La loi n&rsquo;impose pas de titre pr\u00e9cis. Ce qui compte est qu&rsquo;un r\u00f4le existant et identifiable soit d\u00e9sign\u00e9, document\u00e9, et capable de r\u00e9pondre aux questions de vos clients du r\u00e9seau et, au besoin, de la Commission d&rsquo;acc\u00e8s \u00e0 l&rsquo;information.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/www.cai.gouv.qc.ca\/uploads\/pdfs\/CAI_GU_EFVP.pdf\" target=\"_blank\" rel=\"noopener nofollow\">Commission d&rsquo;acc\u00e8s \u00e0 l&rsquo;information du Qu\u00e9bec \u2014 guides EFVP<\/a><\/li><li><a href=\"https:\/\/www.legisquebec.gouv.qc.ca\/fr\/document\/lc\/r-22.1\" target=\"_blank\" rel=\"noopener nofollow\">Page Qu\u00e9bec.ca sur l&rsquo;encadrement des renseignements de sant\u00e9 et de services sociaux<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"La Loi 5 s\\u0027applique-t-elle \u00e0 mon entreprise si elle est \u00e9tablie hors Qu\u00e9bec ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Oui. La loi ne s\\u0027attache pas au si\u00e8ge social de votre entreprise, mais au fait qu\\u0027un organisme du r\u00e9seau de la sant\u00e9 qu\u00e9b\u00e9cois vous communique des renseignements de sant\u00e9. Un fournisseur \u00e9tabli ailleurs au Canada ou aux \u00c9tats-Unis est vis\u00e9 exactement comme un fournisseur qu\u00e9b\u00e9cois, d\u00e8s que l\\u0027entente pr\u00e9vue par la loi entre en jeu.\"}},{\"@type\":\"Question\",\"name\":\"Dois-je r\u00e9aliser une EFVP pour chaque projet avec mon client du r\u00e9seau de la sant\u00e9 ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non. Cette obligation revient \u00e0 l\\u0027organisme de sant\u00e9, pas \u00e0 vous, et seulement pour les projets qui impliquent des renseignements sensibles, pas pour chaque contrat sign\u00e9. Vous devez toutefois lui fournir l\\u0027information sur votre produit (h\u00e9bergement, acc\u00e8s, sous-traitants) dont il a besoin pour r\u00e9aliser l\\u0027\u00e9valuation.\"}},{\"@type\":\"Question\",\"name\":\"Quelle est la diff\u00e9rence entre la Loi 5 et la Loi 25 ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"La Loi 25 encadre les renseignements personnels des entreprises du secteur priv\u00e9 qu\u00e9b\u00e9cois en g\u00e9n\u00e9ral. La Loi 5, en vigueur depuis le 1er juillet 2024, vise sp\u00e9cifiquement le r\u00e9seau de la sant\u00e9 et des services sociaux, et s\\u0027ajoute aux obligations de la Loi 25 lorsque votre produit traite aussi des renseignements personnels hors du contexte de la sant\u00e9.\"}},{\"@type\":\"Question\",\"name\":\"Puis-je refuser de signer l\\u0027entente que mon client du r\u00e9seau me demande ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"En pratique, non. La loi oblige l\\u0027organisme \u00e0 conclure cette entente avant de vous communiquer des renseignements de sant\u00e9 : sans elle, il ne peut pas l\u00e9galement vous transmettre les donn\u00e9es n\u00e9cessaires au mandat. Le contenu minimal de l\\u0027entente (protection, limitation d\\u0027usage, non-conservation) n\\u0027est pas non plus n\u00e9gociable clause par clause.\"}},{\"@type\":\"Question\",\"name\":\"Qui, chez nous, doit \u00eatre d\u00e9sign\u00e9 responsable de la protection des renseignements ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"La loi n\\u0027impose pas de titre pr\u00e9cis. Ce qui compte est qu\\u0027un r\u00f4le existant et identifiable soit d\u00e9sign\u00e9, document\u00e9, et capable de r\u00e9pondre aux questions de vos clients du r\u00e9seau et, au besoin, de la Commission d\\u0027acc\u00e8s \u00e0 l\\u0027information.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>Loi 5 fournisseur technologique : ce que la loi exige depuis 2024 (entente, EFVP, registre d&rsquo;incidents) et comment pr\u00e9parer votre dossier sans tout c\u00e9der.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[22],"tags":[164,1178,1172,1176,1166,1174,1170,1168],"class_list":["post-885","post","type-post","status-publish","format-standard","hentry","category-cybersecurite","tag-cybersecurite-pme","tag-efvp-fournisseur-sante","tag-entente-renseignements-de-sante-fournisseur","tag-law-5-quebec-health-data","tag-loi-5-fournisseur-technologique","tag-loi-5-renseignements-de-sante","tag-loi-sur-les-renseignements-de-sante-et-de-services-sociaux","tag-lrsss-obligations-fournisseurs"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/885","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=885"}],"version-history":[{"count":3,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/885\/revisions"}],"predecessor-version":[{"id":1378,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/885\/revisions\/1378"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=885"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=885"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=885"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}