Résumé de l'EFVP pour les services d'hébergement

Date du rapport de l'EFVP : Septembre 2013

Date de la dernière révision et mise à jour du résumé de l'EFVP : 2 décembre 2025 (Redéfinition de la marque)

Ce qui suit est un résumé de l’évaluation des facteurs relatifs à la vie privée (EFVP) mentionnée ci-dessus, y compris un bref contexte, les principales conclusions et les risques et recommandations, le cas échéant. Consultez notre page Contact – Vie privée pour savoir comment contacter le Bureau de la protection de la vie privée de Santé Ontario si vous avez des questions.

Contexte

Cette EFVP identifie les exigences en matière de protection de la vie privée, les risques et les recommandations pour les services d'hébergement permettant à CyberSanté Ontario de construire une solution conforme à la protection de la vie privée en utilisant des principes solides de gestion des risques.

L'hébergement consiste en l'installation et la maintenance de l'infrastructure informatique dans un environnement physiquement sécurisé. Il s'agit d'un environnement technique où résident les données de santé et les applications informatiques. Les services d'hébergement peuvent ou non inclure des applications clients qui contiennent des informations personnelles ou de santé.

Trois types de services d'hébergement sont proposés :

Hébergement principal :

Fournit un environnement physique hautement sécurisé, une infrastructure de soutien hautement disponible et des services de connectivité gérés, tandis que les clients conservent la propriété, l'administration et le contrôle de leur solution, y compris les contrôles de sécurité.

Hébergement géré :

Il s'agit d'un service entièrement géré intégrant toutes les fonctionnalités de l'hébergement principal, ainsi qu'une suite de composants et de services d'infrastructure pouvant être utilisés en fonction des besoins du client, notamment la gestion des serveurs/systèmes, la gestion de la sécurité personnalisée, les services de base de données, de projet et d'enregistrement.

Hébergement géré par un tiers :

Permet aux clients d'héberger leurs applications dans un centre de données tiers via un contrat de service géré, tout en conservant la propriété, l'administration et le contrôle de leur équipement et de leurs données. L'accord prévoit différents niveaux de service qui reflètent les besoins des clients et les capacités du site d'hébergement.

Principales conclusions

L’EFVP analyse l’autorité législative de CyberSanté Ontario en matière de services d’hébergement et évalue les mesures de protection techniques, administratives et physiques en place. Elle garantit que les services d'hébergement sont conformes à ses politiques, procédures et meilleures pratiques en matière de confidentialité, aux accords pertinents et au code de confidentialité de l'Association canadienne de normalisation.

L'EFVP conclut que, dans le cadre de la fourniture de services d'hébergement :

• CyberSanté Ontario ne recueille, n'utilise ni ne divulgue de renseignements personnels/sur la santé;
• Le rôle de CyberSanté Ontario est d’être un fournisseur de services électroniques tel que défini par la Loi de 2004 sur la protection des renseignements personnels sur la santé (LPRPS); et
• CyberSanté Ontario est en mesure de fournir les processus techniques et les mesures de protection nécessaires (par exemple, les journaux d'accès) aux clients qui sont des fournisseurs de réseaux d'information sur la santé tels que définis par la LPRPS.

Risques et recommandations

Deux risques potentiels ont été identifiés :

1. L’absence de procédures documentées concernant les accords formels avec les clients et les accords de gestion opérationnelle ou de services présente des risques potentiels de non-conformité à la LPRPS.
2. Il existe un risque de non-conformité avec l'accord-cadre de services de CyberSanté Ontario, car rien ne prouve que les politiques de confidentialité mises à jour aient été communiquées à Hewlett Packard, le fournisseur d'hébergement tiers.

L’EFVP formule trois recommandations :

1. Élaborer des processus exigeant que tous les clients concluent des accords formels avec CyberSanté Ontario pour les services d'hébergement; et des procédures de validation internes pour les accords de niveau opérationnel.
2. Effectuer une évaluation du seuil de confidentialité pour les nouveaux clients afin de déterminer le type de :
   • Rôle que jouera CyberSanté Ontario en vertu de la LPRPS; et
   • Des clauses relatives à la protection de la vie privée devraient être ajoutées aux contrats clients.
3. Partager les politiques de confidentialité avec les fournisseurs de services tiers (par exemple Hewlett Packard) pour les services d'hébergement.

CyberSanté Ontario met actuellement en œuvre ces recommandations.