Conçu pour la Loi 25

La Loi 25 (anciennement projet de loi 64) modernise le cadre juridique québécois en matière de protection des renseignements personnels. Pour les cliniques, elle impose des obligations strictes concernant la collecte, l'utilisation et la conservation des données de santé.

Zenicall a été conçu dès le départ pour respecter ces exigences : évaluation des facteurs relatifs à la vie privée (EFVP), ententes de traitement signées avec nos fournisseurs, politique de confidentialité publiée. La conformité se juge chez l'organisation responsable des renseignements : nous vous remettons ce qu'il faut pour documenter la vôtre.

Ce que la Loi 25 exige d'une clinique

La Loi 25 modifie la Loi sur la protection des renseignements personnels dans le secteur privé. Ses obligations sont entrées en vigueur en trois temps, en septembre 2022, 2023 et 2024. Pour une clinique, elles se résument ainsi :

• Un responsable de la protection des renseignements personnels. Par défaut, c'est la personne qui a la plus haute autorité dans l'entreprise. Cette fonction peut être déléguée par écrit, et le titre et les coordonnées du responsable doivent être publiés sur votre site.
• Des politiques publiées. Une politique de confidentialité en termes simples, et des règles encadrant la gouvernance des renseignements (conservation, destruction, rôles de chacun, traitement des plaintes).
• Un consentement manifeste, libre et éclairé. Les renseignements de santé sont des renseignements sensibles : leur utilisation demande un consentement exprès, donné à des fins précises.
• Un registre des incidents de confidentialité. Chaque incident y est consigné. S'il présente un risque de préjudice sérieux, vous devez aviser la Commission d'accès à l'information (CAI) et les personnes concernées.
• Une évaluation des facteurs relatifs à la vie privée (EFVP). Elle est exigée avant d'acquérir ou de développer un système qui traite des renseignements personnels, et avant de communiquer des renseignements à l'extérieur du Québec.
• Les droits des personnes. Accès, rectification, retrait du consentement et, depuis septembre 2024, portabilité des renseignements.

Les manquements peuvent entraîner des sanctions administratives pécuniaires allant jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial, et des amendes pénales allant jusqu'à 25 M$ ou 4 %. Selon votre statut, la Loi sur les renseignements de santé et de services sociaux peut aussi s'appliquer : vérifiez auprès de votre ordre professionnel ou de votre conseiller juridique.

Les questions à poser avant d'adopter un outil qui répond au téléphone

Une réceptionniste IA entend les noms, les numéros de téléphone et souvent le motif de consultation de vos patients. Avant de la choisir, demandez au fournisseur :

1. Où sont hébergés les enregistrements et les transcriptions ? Au Canada, ou ailleurs ? Une communication hors Québec exige une EFVP de votre part.
2. Quels sous-traitants traitent les appels, et sont-ils liés par des ententes de traitement des données ?
3. Les données servent-elles à entraîner des modèles d'IA ?
4. Qui, chez le fournisseur, peut écouter les appels, et comment ces accès sont-ils journalisés ?
5. Combien de temps les enregistrements sont-ils conservés, et pouvez-vous en demander la destruction ?
6. Dans quel délai êtes-vous avisé d'un incident de confidentialité ?
7. Le fournisseur peut-il vous remettre une EFVP ou les éléments pour réaliser la vôtre ?

Ce que Zenicall vous remet

Nos serveurs et vos enregistrements sont au Canada. Nos fournisseurs sont encadrés par des ententes de traitement des données, les données sont chiffrées en transit et au repos, les accès sont restreints aux personnes autorisées, et vos données ne servent pas à entraîner l'IA. Nous vous fournissons notre EFVP sur demande, ainsi qu'un texte d'avis de collecte que vous validez avant la mise en service. Voir aussi : hébergement des données au Canada et accès sécurisé.