Résumé de l'EFVP pour le programme eVisite d'OTNhub

Date du rapport de l'EFVP : 20 octobre 2022 (l'EFVP reflète les renseignements reçus jusqu'à cette date)  

Date de la dernière révision et mise à jour du résumé de l'EFVP : 9 mai 2025

Ce qui suit est un résumé de l'évaluation des facteurs relatifs à la vie privée (EFVP) susmentionnée constitue une mise à jour fondée sur une EFVP différentielle effectuée afin d'évaluer la fonction de clavardage. Le résumé comprend un bref aperçu du programme eVisite d'OTNhub, les principales conclusions, les risques et recommandations, le cas échéant, ainsi que les dates cibles d'achèvement.  Si vous avez des questions, consultez notre page de contact sur la vie privée pour savoir comment contacter le Bureau de la protection de la vie privée de Santé Ontario.

Contexte

Cette évaluation porte principalement sur le rôle de Santé Ontario dans la prestation du programme eVisite d'OTNhub aux utilisateurs situés en Ontario, soit les fournisseurs de soins de santé et les organismes membres associés. Le mandat de Santé Ontario, en vertu de la Loi de 2019 pour des soins interconnectés, comprend la prestation de soins virtuels afin d'aider les fournisseurs de soins de santé à offrir des soins aux patients au moyen de la technologie de vidéoconférence. 

Un aspect de ce mandat est mise en œuvre par le programme eVisite d'OTNhub de Santé Ontario, qui utilise la vidéoconférence pour (i) permettre aux fournisseurs de soins de santé d'effectuer à distance des rendez-vous avec les patients; (ii) permettre aux fournisseurs de soins de santé, au besoin, de se consulter entre eux dans le cadre des soins aux patients; et (iii) permettre aux fournisseurs de soins de santé de clavarder avec les patients pendant une eVisite. 

Les visites électroniques dans OTNhub peuvent se dérouler soit à partir des installations de vidéoconférence existantes de Santé Ontario situées dans des établissements de santé (eVisite hébergée), soit par vidéoconférence sur Internet (visites directes au patient). Ces deux modes de communication avec les patients (et entre fournisseurs de soins de santé) utilisent les services eVisite soutenus par Santé Ontario, des outils de planification développés et une plateforme d'infrastructure infonuagique. 

Principales conclusions

Avec le retrait du volet Outlook du projet, l'analyse de la vie privée de l'initiative a permis d'identifier quatre risques. La politique d'EFVP de Santé Ontario recommande que tous les risques élevés et modérés soient atténués à un niveau acceptable avant la mise en service d'un projet. Par conséquent, les recommandations suivantes devraient être mises en œuvre avant ou lors du lancement du projet. Les recommandations devraient permettre de réduire les cotes de «  élevé » à « modéré » et de « modéré » à « faible ». Les risques jugés faibles devraient être atténués dans un délai raisonnable déterminé par l'équipe de protection de la vie privée.

Les définitions des niveaux de risque utilisées pour évaluer chaque écart identifié sont disponibles sur demande.

Risques et recommandations

L'EFVP formule les risques et recommandations suivantes :

Risques et recommandations (EFVP différentielle 2024)

Risque 1 : L'entente actuelle de Santé Ontario avec l'organisme membre et les utilisateurs ne décrit pas clairement la fonction de clavardage du programme eVisite d'OTNhub.  Il existe un risque que, si la fonction de clavardage n'est pas mentionnée comme faisant partie du programme eVisite d'OTNhub, les ententes existantes ne s'appliquent pas à cette fonction. 

Niveau de risque : Faible

Recommandations : Santé Ontario devrait mettre à jour la section « Services de Santé Ontario » des ententes existantes avec les organismes membres et les utilisateurs d'OTNhub afin d'y inclure la fonction de clavardage comme partie intégrante du programme eVisite d'OTNhub. 

État : Accepté - Le risque a été étroitement surveillé au cours de la dernière année et ne s'est pas concrétisé. Aucun nouveau scénario de risque n'est survenu. 

Risque 2 : Le module de formation du programme eVisite d'OTNhub de Santé Ontario ne comprend pas de formation sur la fonction de clavardage.  Il existe un risque que, sans formation spécifique sur le clavardage, les utilisateurs ne soient pas informés des pratiques exemplaires en matière de protection de la vie privée lors de l'utilisation de cette fonction. 

Niveau de risque : Insignifiant

Recommandations : Santé Ontario devrait envisager d'ajouter une formation spécifique sur la protection de la vie privée liée à la fonction de clavardage au module de formation existant du programme eVisite d'OTNhub.

État : Terminé

Risques et recommandations (EFVP 2022) :

Risque 1 : Santé Ontario ne renvoie pas ou ne détruit pas de façon sécurisée les renseignements à la fin de l'entente. Aucune des ententes ne contient de disposition précisant que les RP ou les RPS seront retournés si l'entente est résiliée.

Niveau de risque : Insignifiant

Recommandations : Santé Ontario devrait examiner si des RP ou des RPS sont conservés à la résiliation des ententes avec les utilisateurs ou les organismes membres. Si de tels renseignements sont conservés, Santé Ontario devrait déterminer une période de conservation et établir un processus de destruction sécurisée de ces renseignements une fois cette période terminée.

État : Accepté - Le risque a été étroitement surveillé au cours de la dernière année et ne s'est pas concrétisé. Aucun nouveau scénario de risque n'est survenu. 

Risque 2 : Le document « Votre rendez-vous eVisite » recommande aux patients d'utiliser une adresse de courriel personnelle plutôt qu'une adresse de courriel professionnelle, mais ne fournit pas d'instructions sur la protection par mot de passe.  

Niveau de risque : Insignifiant

Recommandations : Santé Ontario devrait envisager de modifier les courriels envoyés aux patients afin de leur suggérer d'utiliser des mots de passe pour accéder à leurs courriels. 

État : Terminé

Risque 3 : Formulation proposée liée à l'affirmation du fournisseur de soins de santé quant à l'obtention du consentement. 

Niveau de risque : Insignifiant

Recommandations : Santé Ontario devrait envisager de modifier le libellé relatif à la protection de la vie privée et de fournir plus de détails dans la documentation d'orientation sur les points que les fournisseurs de soins de santé doivent aborder avec les patients au moment de la planification d'une eVisite. 

État : Terminé

Risque 4 : Santé Ontario propose de conserver le nom et l'adresse de courriel du patient pendant 15 ans. Aucune preuve ne démontre que cette conservation est nécessaire aux fins de la prestation de soins de santé, et aucune justification n'a été fournie pour une telle durée de conservation. 

Niveau de risque : Insignifiant

Recommandations : Santé Ontario devrait envisager (i) de déterminer si la conservation de ces renseignements est nécessaire ou si une période de conservation plus courte serait suffisante; et (ii) de confirmer si Santé Ontario dispose des moyens technologiques nécessaires pour conserver ces renseignements.

État : Accepté - Le risque a été étroitement surveillé au cours de la dernière année et ne s'est pas concrétisé. Aucun nouveau scénario de risque n'est survenu.  

Risque 5 : Les patients devraient être informés que leurs RP/RPS sont conservés par un fournisseur de services (Santé Ontario) pendant une période prolongée pour des raisons sans lien avec le but de leur consultation avec un fournisseur de soins de santé.  

Niveau de risque : Insignifiant

Recommandations : Santé Ontario devrait s'assurer que les patients sont informés que leur adresse de courriel est enregistrée et conservée par Santé Ontario chaque fois qu'ils reçoivent un courriel de planification d'une eVisite, et que Santé Ontario peut, dans certains cas, agir à titre d'agent de l'organisme membre ou du fournisseur de soins de santé. 

État : Terminé

Risque 6 : Le fournisseur de services infonuagiques (« SPE ») se réserve le droit de transférer les données des clients vers une autre région dans le cas où toutes les zones de disponibilité (« AZ ») d'une région seraient hors service. Étant donné qu'une région comporte plusieurs zones de disponibilité, cet événement est jugé très improbable (voire extrêmement improbable). 

Cependant, le SPE ne dispose actuellement que d'une seule région au Canada. En cas de défaillance régionale, toutes les données des locataires de Santé Ontario pourraient être transférées à l'extérieur du Canada. Le SPE prévoit ouvrir une deuxième région, située à Calgary, vers la fin de 2023 ou au début de 2024.  

Niveau de risque : Insignifiant

Recommandations : En prévision de la mise en service de la deuxième région canadienne du SPE, Santé Ontario devrait officialiser une entente avec ce dernier afin de s'assurer que tout transfert de données appartenant à Santé Ontario, hébergées dans la région canadienne actuelle, soit effectué vers cette nouvelle région. 

État : Accepté - Le risque a été étroitement surveillé au cours de la dernière année et ne s'est pas concrétisé. Aucun nouveau scénario de risque n'est survenu.