Résumé de l'EFVP pour la téléophtalmologie
Date du rapport de l'EFVP : Février 2022 (l'EFVP reflète les renseignements reçus jusqu'à cette date)
Date de la dernière révision et mise à jour du résumé de l'EFVP : 29 mai 2025
Ce qui suit est un résumé de l'évaluation des facteurs relatifs à la vie privée (EFVP) mentionnée ci-dessus, y compris un bref aperçu du service de téléophtalmologie (TOP), les principales conclusions, les risques et les recommandations, ainsi que les dates cibles d'achèvement. Si vous avez des questions, consultez notre page de contact sur la vie privée pour savoir comment contacter le Bureau de la protection de la vie privée de Santé Ontario.
Contexte
L'objectif de la téléophtalmologie (TOP) est de garantir que tous les patients diabétiques de la province, quel que soit leur lieu de résidence ou leur situation socioéconomique, aient accès à des examens réguliers de dépistage de la rétinopathie diabétique. Cet objectif s'inscrit dans la transition du gouvernement de l'Ontario vers des soins communautaires centrés sur le patient. Les technologies comme la télémédecine et la téléophtalmologie constituent des moyens essentiels pour assurer un accès équitable aux soins tout en rationalisant les processus et en réduisant les coûts. Santé Ontario favorise activement l'adoption de la TOP à l'échelle de la province en collaborant étroitement avec les RLISS, les organismes gouvernementaux et les organisations de soins de santé afin d'accroître la sensibilisation et de démontrer les avantages du programme.
La TOP se concentre sur la prestation de soins liés à la vision à distance. Elle repose sur l'utilisation de moyens électroniques pour stocker et transmettre des renseignements personnels sur la santé (RPS) numérisés, y compris des images, des données démographiques, des notes cliniques et des documents justificatifs. Les cliniciens du site de référence téléversent les images numériques de la rétine d'un patient dans iVision. Une fois chargées, les spécialistes de la santé visuelle peuvent accéder aux informations d'un patient au moyen d'une connexion Internet. Le résultat de ce processus est un diagnostic de l'état du patient, transmis au patient par les membres du personnel du site de référence. Les objectifs du projet sont les suivants :
- améliorer l'accès aux services de soins de la rétine;
- accroître l'efficacité de l'évaluation rétinienne; et
- réduire le fardeau des patients qui cherchent à obtenir un traitement.
Santé Ontario (anciennement Réseau Télémédecine Ontario) a initialement réalisé une évaluation des facteurs relatifs à la vie privée (EFVP) sur la TOP en janvier 2010, au lancement du programme. Après six années de soutien de la TOP à l'échelle de la province, Santé Ontario a reconnu la nécessité d'intégrer le dépistage rétinien dans les programmes de gestion des maladies chroniques. À cette fin, Santé Ontario a sélectionné, à l'issue d'un processus d'appel d'offres concurrentiel, une nouvelle solution de TOP rentable développée par Retina Labs RD Inc. (Retina). La solution est robuste, évolutive et offerte selon un modèle infonuagique de logiciel en tant que service (SaaS) hébergé au Canada. Le produit de Retina Labs (Retina), iVision, est une application Web sécurisée de TOP conçue pour soutenir l'expansion de la TOP. Santé Ontario a réalisé une évaluation des facteurs relatifs à la vie privée (EFVP) pour la migration du service vers Retina ainsi que pour évaluer la sécurité de l'infrastructure fournie par Retina. Depuis, les changements apportés aux services et aux rapports ont entraîné trois mises à jour de l'EFVP.
Principales conclusions
Avec le service de téléophtalmologie (TOP), l'analyse des facteurs relatifs à la vie privée de l'initiative a permis d'identifier sept (7) risques et de formuler vingt (20) recommandations d'atténuation. Conformément à la politique et aux procédures de gestion des risques en matière de vie privée de Santé Ontario, le directeur général de la protection de la vie privée (DGPVP) approuve et entérine les résultats de l'EFVP et du processus de gestion des risques. Si un ou plusieurs risques ne peuvent être atténués à un niveau de tolérance jugé acceptable (mineur), le responsable désigné du secteur d'activités ou du portefeuille concerné doit :
- examiner et signer le formulaire d'acceptation des risques;
- préparer une documentation à l'appui (note d'information) traitant des conséquences possibles liées à l'acceptation du ou des risques et à la non-mise en œuvre des recommandations formulées par le portefeuille « Affaires juridiques, vie privée et gestion des risques »; et
- soumettre le formulaire d'acceptation des risques et la documentation à l'appui au responsable exécutif du portefeuille concerné ainsi qu'au responsable exécutif du portefeuille « Vie privée, affaires juridiques et risques » pour examen et approbation.
La norme d'EFVP de Santé Ontario recommande que tous les risques très élevés, élevés et modérés soient atténués à un niveau acceptable (mineur) avant la mise en service d'un projet. Par conséquent, les recommandations suivantes devraient être mises en œuvre avant ou lors du lancement du projet. Les définitions des niveaux de risque utilisées pour évaluer chaque écart identifié sont disponibles sur demande.
Les définitions des niveaux de risque utilisées pour évaluer chaque écart identifié sont disponibles sur demande.
Risques et recommandations
L'EFVP formule les risques et recommandations suivantes :
Risque 1 : L'EFVP précédente identifiait Santé Ontario uniquement comme FSE et FRRS. Il existe un risque que Santé Ontario assume d'autres rôles. En conséquence, l'autorité de Santé Ontario en vertu de la LPRPS pourrait ne pas avoir été correctement définie, ce qui remet en question son rôle en matière d'évaluation et de gestion de programme.
Niveau de risque : Moyenne
Recommandations :
- Examiner le mandat de Santé Ontario et l'harmoniser avec l'autorité législative en vertu de la LPRPS.
- Demander aux DRS de désigner Santé Ontario comme mandataire.
- Établir l'autorité au moyen d'une entente de service/de mandataire en vertu de la LPRPS entre les DRS et Santé Ontario, afin de permettre aux DRS d'exercer le mandat de gestion et d'évaluation du programme et à Santé Ontario de remplir les exigences correspondantes.
- Santé Ontario doit mettre à jour le consentement recueilli par les DRS.
- Élaborer une entente/de la formation destinée aux employés de Santé Ontario pour distinguer l'accès aux RPS selon le rôle de mandataire ou de FRRS (entente de non-divulgation).
État : Terminé
Risque 2 : Il existe un risque de collecte excessive de RPS par Santé Ontario.
Niveau de risque : Moyenne
Recommandations :
- Confirmer que les éléments de données extraits sont bien ceux requis pour permettre aux DRS d'évaluer le programme selon les ICP.
- Examiner les éléments de données au niveau des dossiers et les catégoriser conformément aux lignes directrices de Santé Ontario sur la désidentification. Mettre à jour le modèle de rapport afin de corriger tout élément inutile.
- Demander à Retina de réviser le modèle de rapport pour refléter la nouvelle liste de données.
État : Terminé
Risque 3 : Il existe un risque que l'entente de service actuelle (accord d'utilisation du site Web de téléophtalmologie d'OTN daté de mars 2017) ne reflète pas les exigences relatives au FRRS conformément à la LPRPS. De plus, aucun registre de l'acceptation des conditions par les DRS ne semble exister.
Niveau de risque : Moyenne
Recommandations :
- Mettre à jour l'entente de service ou de mandataire afin d'y inclure les exigences liées au FRRS.
- Créer un mécanisme de suivi pour l'accusé de réception des conditions par les DRS.
État : Terminé
Risque 4 : Il existe un risque que le rapport de téléophtalmologie OTNhub permette aux DRS d'accéder aux données d'autres DRS, en contravention avec la directive de Santé Ontario sur la divulgation de petites valeurs. Il existe également un risque que le personnel de Santé Ontario et d'autres personnes ayant accès au tableau de bord Web puissent consulter des données en contravention avec ces mêmes lignes directrices.
Niveau de risque : Moyenne
Recommandations :
- Modifier l'accès au tableau de bord pour que les DRS ne puissent consulter que leurs propres rapports et les totaux généraux du programme.
- Réviser l'accès des DRS aux données des autres DRS afin de se conformer à la directive sur la divulgation de petites valeurs.
- Modifier le tableau de bord de Santé Ontario pour limiter les rapports aux éléments conformes à la règle des petites valeurs.
- Ajouter une clause de non-responsabilité au tableau de bord expliquant comment les données doivent être utilisées ou divulguées.
État : Terminé
Risque 5 : Il existe un risque qu'aucune période de conservation n'ait été établie pour le processus de production de rapports.
Niveau de risque : Faible
Recommandations :
- Collaborer avec l'équipe des opérations pour déterminer une période de conservation appropriée pour les rapports, y compris pour les extractions de données au niveau des dossiers provenant de Retina, les rapports destinés au ministère et le tableau de bord.
- Collaborer avec les DRS afin d'établir une période de conservation adéquate pour les RPS.
- Santé Ontario doit collaborer avec l'équipe de gestion des documents et de l'information pour définir un calendrier de conservation approprié.
État : En attente
Risque 6 : Il existe un risque que Retina n'ait pas mis à jour toutes les politiques et procédures pertinentes liées à la mise en œuvre du nouveau fournisseur infonuagique.
Niveau de risque : Faible
Recommandations : Examiner les politiques afin de s'assurer qu'elles respectent les recommandations de conformité liées à la mise en œuvre du nouveau fournisseur infonuagique.
État : Terminé
Risque 7 : Il existe un risque qu'une évaluation des menaces et des risques (EMR) différentielle ne soit pas envisagée pour confirmer que les mesures de sécurité et de contrôle en place correspondent au niveau de sensibilité des actifs de données.
Niveau de risque : Faible
Recommandations :
- Confirmer/valider si une EMR sera effectuée et si elle est requise.
- Si une EMR est nécessaire, le service de protection de la vie privée doit inclure dans cette EFVP les constatations relatives aux mesures de sécurité, ainsi que les risques identifiés, les mesures d'atténuation recommandées et les échéanciers.
État : Terminé
Dernière Mise à Jour: 16 janvier 2026