Résumé de l'EFVP Registre des clients

Contexte

La fonction du registre des clients est de fournir un référentiel officiel de données d'identification, permettant l'identification précise et unique de toute personne recevant des soins de santé en Ontario, grâce à l'utilisation de son numéro de carte d'assurance-maladie. Le Registre des clients est l'un des systèmes d'information fondamentaux qui soutiendront le déploiement d'un dossier de santé électronique longitudinal pour les Ontariens.

Le ministère de la Santé et des Soins de longue durée tient à jour la base de données sur les personnes inscrites (BDPI), un répertoire d’informations démographiques (y compris le numéro de carte d’assurance-maladie) sur tous les résidents de l’Ontario admissibles au Régime d’assurance-santé de l’Ontario (RASO). La BDPI comprend une liste des numéros de carte d'assurance-maladie uniques qui ont été délivrés aux personnes admissibles à la couverture du RASO, ainsi que des renseignements démographiques tels que la date de naissance, le sexe, l'adresse et la date de décès (le cas échéant).

CyberSanté Ontario reçoit un flux de données de la BDPI du MSSLD et conserve ces informations dans son registre des clients. Les systèmes approuvés par CyberSanté Ontario (et finalement les utilisateurs finaux) peuvent appeler le registre des clients, en utilisant le numéro de carte d'assurance-maladie d'une personne, pour confirmer l'identité de cette personne et/ou pour récupérer des informations démographiques, y compris des RPS, la concernant à partir du registre des clients. L’identification précise et rapide des personnes dont les renseignements personnels sur la santé (RPS) sont conservés dans les systèmes qui constituent le dossier de santé électronique est essentielle pour garantir que les renseignements diffusés par les systèmes de CyberSanté Ontario concernent la bonne personne et que cette personne reçoive les services de santé appropriés.

Étant donné que le registre des clients contient le numéro de carte d'assurance-maladie, qui est défini comme un RPS en vertu de la Loi de 2004 sur la protection des renseignements personnels sur la santé (LPRPS), les politiques de CyberSanté Ontario et le Règlement de l'Ontario 329/04 exigent qu'une EFVP du registre des clients soit entreprise.

Principales conclusions

La portée de l’EFVP physique du Registre des clients comprend tous les composants du système jusqu'à la version deux incluse, prévue pour novembre 2011. L’EFVP examine le cadre législatif en vertu duquel CyberSanté Ontario reçoit des RPS de la part des dépositaires de renseignements sur la santé (DRS) contributeurs (tels que le MSSLD et l’utilisateur final (DRS), et transmet ces informations à d’autres systèmes de CyberSanté Ontario qui consultent le registre des clients pour obtenir des RPS. L’EFVP examine également les mesures de protection techniques, administratives et physiques mises en place pour garantir que tous les flux de RPS se déroulent de manière sécurisée et respectueuse de la vie privée, et qu’ils sont conformes aux exigences législatives, aux accords pertinents, aux meilleures pratiques telles que décrites dans le Code de confidentialité de l’Association canadienne de normalisation et dans les politiques, procédures et meilleures pratiques en matière de protection de la vie privée de CyberSanté Ontario.

L’EFVP conclut que CyberSanté Ontario possède l’ensemble des pouvoirs prévus par la LPRPS pour l’exploitation et la gestion du Registre des clients aux fins de la création ou de la tenue d’un ou plusieurs dossiers de santé électroniques en vertu de l’article 6.2 du Règlement de l’Ontario 329/04. De plus, CyberSanté Ontario dispose d’une infrastructure robuste pour le traitement et le partage des RPS sensibles, avec des politiques et des pratiques visant à protéger la vie privée des Ontariens et la sécurité des renseignements conservés par CyberSanté Ontario.

L’EFVP recommande plusieurs mesures pour garantir que les données reçues et utilisées par CyberSanté Ontario, aux fins du Registre des clients, soient conformes à la LPRPS et le Règlement de l’Ontario 329/04 ainsi qu’aux politiques, procédures et meilleures pratiques en matière de protection de la vie privée de CyberSanté Ontario.

Risques et recommandations

L’EFVP physique formule un certain nombre de recommandations relatives à l’initiative du Registre des clients, résumées ci-dessous :

1. Les programmes et supports de formation annuels en matière de protection de la vie privée en entreprise seront révisés afin de refléter les politiques de protection de la vie privée mises à jour. De plus, CyberSanté Ontario mettra à jour le matériel de formation et d’éducation sur la protection de la vie privée en fonction des rôles, destiné aux utilisateurs et aux exploitants du registre des clients qui ont accès aux RPS.
2. La politique de conservation des données des dossiers de santé électroniques de CyberSanté Ontario doit être finalisée et approuvée, et les données du registre des clients doivent être conservées conformément à cette politique.
3. CyberSanté Ontario doit élaborer et documenter une procédure de contrôle d'accès qui définit le processus d'approbation de l'accès aux RPS au sein des systèmes de CyberSanté Ontario par le personnel et les fournisseurs de services de CyberSanté Ontario.
4. CyberSanté Ontario examinera et, au besoin, révisera les accords avec des tiers qui se rapportent au registre des clients, afin d’assurer la conformité aux obligations énoncées à l’article 6.2 du Règlement de l’Ontario 329/04.
5. CyberSanté Ontario examinera et, au besoin, mettra à jour les procédures de gestion des incidents de confidentialité et de sécurité afin de répondre spécifiquement à la nouvelle exigence du Règlement de l’Ontario 329/04 pour informer les DRS (c.-à-d. le MSSLD) de tout accès, utilisation ou divulgation inappropriés de RPS contenus dans le Registre des clients.
6. CyberSanté Ontario doit élaborer et documenter une procédure de gestion des demandes d’accès individuelles aux données du registre des clients (par exemple, orienter les personnes vers le DRS contributeur).

CyberSanté Ontario est actuellement en train de mettre en œuvre chacune des recommandations identifiées dans l’EFVP physique du registre des clients de 2011.