Politique de protection des renseignements personnels
Le Centre dentaire Vadeboncoeur détient des renseignements personnels, dont des renseignements de santé, sur ses patients, ses employés, ses candidats et ses fournisseurs. La présente politique décrit comment ces renseignements sont recueillis, utilisés, communiqués, conservés et protégés, et comment chacun peut exercer ses droits.
1. Objet, champ d’application et cadre légal
La politique s’applique à tous les renseignements personnels que la clinique détient, quel que soit leur support papier, numérique, imagerie, enregistrement et à toute personne qui y a accès : dentistes, hygiénistes, assistantes, personnel administratif, remplaçants, stagiaires et fournisseurs.
Elle complète la Politique de confidentialité du site monsourire.com, qui ne vise que la navigation et les formulaires Web.
Cadre légal
La clinique est assujettie notamment à :
- la Loi sur la protection des renseignements personnels dans le secteur privé, telle que modifiée par la Loi 25;
- le Code des professions et la réglementation de l’Ordre des dentistes du Québec applicable à la tenue des dossiers et des cabinets;
- le secret professionnel auquel sont tenus les dentistes.
Définitions
Un renseignement personnel est un renseignement qui concerne une personne physique et permet, directement ou indirectement, de l’identifier.
Un renseignement sensible est un renseignement qui, de par sa nature ou le contexte de son utilisation, suscite une attente élevée de vie privée. Les renseignements de santé contenus dans un dossier dentaire sont sensibles.
Un incident de confidentialité est l’accès, l’utilisation ou la communication non autorisés d’un renseignement personnel, sa perte, ou toute autre atteinte à sa protection.
2. Responsable de la protection des renseignements personnels
La clinique a désigné un responsable de la protection des renseignements personnels, chargé de veiller à l’application de la présente politique.
Dr Hugo Vadeboncoeur
Centre dentaire Vadeboncoeur
195, rue de l’Atmosphère, bureau 200
Gatineau (Québec) J9A 0A3
Téléphone : 819 770-9000
Courriel : [email protected]
Ses fonctions comprennent :
- traiter les demandes d’accès, de rectification et de retrait de consentement;
- approuver les politiques et pratiques de gestion des renseignements personnels;
- tenir le registre des incidents de confidentialité et coordonner la réponse à un incident;
- participer aux évaluations des facteurs relatifs à la vie privée;
- recevoir les plaintes et y répondre;
- veiller à la formation et à la sensibilisation du personnel.
3. Renseignements détenus et finalités
La clinique ne recueille que les renseignements nécessaires aux fins déterminées ci-dessous, et détermine ces fins avant la collecte.
| Personne visée | Renseignements détenus | Finalités |
|---|---|---|
| Patients | Identification et coordonnées; date de naissance; numéro d’assurance maladie; renseignements d’assurance dentaire; historique médical et médication; dossier dentaire, notes cliniques, plans de traitement; radiographies et photographies cliniques; consentements aux soins; renseignements de facturation et de paiement | Fournir les soins dentaires; tenir le dossier exigé par la réglementation professionnelle; planifier et rappeler les rendez-vous; facturer et percevoir; traiter les réclamations d’assurance; respecter les obligations légales et déontologiques |
| Parents ou tuteurs d’un patient mineur | Identification, coordonnées, lien avec le patient, consentement aux soins | Obtenir les consentements requis et communiquer au sujet des soins |
| Candidats à un emploi | Prénom, nom, coordonnées, curriculum vitæ, formation, expérience, numéro de permis professionnel, références | Évaluer la candidature et communiquer avec la personne |
| Employés et contractuels | Identification et coordonnées; numéro d’assurance sociale; renseignements bancaires pour la paie; dossier d’emploi; attestations professionnelles; vaccination et formation obligatoires | Gérer la relation d’emploi, la paie et les avantages; respecter les obligations légales et fiscales |
| Fournisseurs et partenaires | Coordonnées professionnelles, renseignements contractuels et de facturation | Gérer la relation d’affaires |
Aucun renseignement n’est utilisé à une fin nouvelle sans que la personne concernée en soit informée et, lorsque la loi l’exige, y consente.
La clinique ne vend, ne loue ni n’échange aucun renseignement personnel.
4. Consentement
Le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques. Il vaut pour la durée nécessaire à la réalisation de ces fins.
La clinique informe la personne, au moment de la collecte, des fins poursuivies, des moyens de collecte, des droits d’accès et de rectification, et de son droit de retirer son consentement.
Renseignements sensibles
Les renseignements de santé étant sensibles, leur collecte, leur utilisation ou leur communication exigent un consentement exprès, distinct de tout autre consentement.
Mineurs
Les renseignements concernant un mineur de moins de 14 ans ne sont recueillis qu’avec le consentement du titulaire de l’autorité parentale ou du tuteur, sauf lorsque la collecte est manifestement au bénéfice du mineur. Un mineur de 14 ans et plus peut consentir seul aux soins requis par son état et aux renseignements qui s’y rapportent, dans les limites prévues par la loi.
Exceptions
La loi permet, dans certains cas, de recueillir ou de communiquer un renseignement sans consentement : urgence menaçant la vie ou la santé d’une personne, ordonnance d’un tribunal, demande d’un organisme ayant le pouvoir de contraindre, ou enquête de l’Ordre des dentistes du Québec.
Retrait
Une personne peut retirer son consentement en tout temps, sans frais, en écrivant au responsable. Le retrait vaut pour l’avenir. Certains renseignements doivent néanmoins être conservés lorsque la loi ou les obligations professionnelles l’exigent, notamment le dossier dentaire.
5. Accès interne et communication à des tiers
À l’interne
L’accès est accordé selon le principe du besoin de savoir : seules les personnes dont les fonctions l’exigent accèdent à un renseignement, et uniquement à la partie nécessaire. Chaque membre du personnel signe un engagement de confidentialité qui survit à la fin de son emploi.
Communication à des tiers
| Destinataire | Renseignements communiqués | Fondement |
|---|---|---|
| Laboratoires dentaires | Prescriptions, empreintes, données nécessaires à la fabrication | Exécution du soin |
| Dentistes spécialistes et autres professionnels de la santé | Renseignements cliniques pertinents à la référence | Consentement du patient |
| Assureurs et administrateurs de régimes, dont le Régime canadien de soins dentaires | Renseignements nécessaires au traitement de la réclamation | Consentement du patient |
| RAMQ | Renseignements requis pour les services couverts | Obligation légale |
| Fournisseurs de services (logiciel de gestion de clinique, infonuagique, soutien informatique, destruction de documents) | Accès limité au mandat confié | Entente écrite comportant des clauses de confidentialité et de sécurité |
| Ordre des dentistes du Québec, tribunaux, autorités compétentes | Selon la demande | Obligation légale |
Communication hors Québec
Avant de communiquer un renseignement personnel à l’extérieur du Québec, la clinique procède à une évaluation des facteurs relatifs à la vie privée afin de déterminer si le renseignement y bénéficiera d’une protection adéquate. La communication est encadrée par une entente écrite. L’évaluation est documentée et conservée.
6. Conservation et destruction
Les renseignements sont conservés aussi longtemps que nécessaire aux fins pour lesquelles ils ont été recueillis, puis détruits ou anonymisés.
| Catégorie | Durée de conservation |
|---|---|
| Dossier dentaire d’un patient | Cinq ans à compter de la dernière inscription au dossier, conformément à la réglementation applicable aux dentistes du Québec; la clinique applique une durée plus longue lorsque le contexte le justifie, notamment pour un patient mineur ou un traitement susceptible de donner lieu à un recours |
| Radiographies et imagerie | Même durée que le dossier auquel elles se rattachent |
| Documents de facturation et pièces comptables | Six ans après la fin de l’année fiscale visée |
| Dossier d’employé | Cinq ans après la fin de l’emploi; les registres de paie suivent les délais fiscaux applicables |
| Candidature non retenue | 12 mois, sauf demande de destruction immédiate |
| Correspondance administrative sans suite | 12 mois |
| Registre des incidents de confidentialité | Cinq ans après la date de l’incident |
La destruction est effectuée de manière sécuritaire : déchiquetage des documents papier, effacement sécurisé ou destruction physique des supports numériques. Le fournisseur de destruction est lié par une entente de confidentialité et fournit une attestation.
Le responsable tient à jour un calendrier de conservation et en révise l’application annuellement.
7. Mesures de sécurité
Les mesures sont proportionnelles à la sensibilité des renseignements, à leur quantité, à leur répartition et au support utilisé.
Mesures physiques
- Dossiers papier rangés sous clé, dans des locaux à accès contrôlé.
- Postes de travail et écrans positionnés de façon à éviter la consultation par des tiers.
- Accès aux locaux restreint hors des heures d’ouverture.
Mesures techniques
- Comptes nominatifs et mots de passe distincts pour chaque utilisateur, avec authentification multifacteur lorsque le système le permet.
- Droits d’accès configurés par rôle et révoqués au départ d’un employé.
- Chiffrement des données en transit et des supports mobiles.
- Copies de sauvegarde régulières, conservées de façon sécurisée et testées.
- Antivirus, pare-feu et mises à jour de sécurité appliquées sans délai.
- Journalisation des accès au logiciel de gestion de la clinique.
Mesures administratives
- Engagement de confidentialité signé par chaque membre du personnel.
- Formation à l’embauche et rappel annuel.
- Clauses de confidentialité et de sécurité dans les contrats de fournisseurs.
- Procédure de gestion des incidents (section 8).
8. Incidents de confidentialité
Toute personne qui constate ou soupçonne un incident doit en aviser le responsable sans délai, même en cas de doute.
La marche à suivre est la suivante :
- Signaler l’incident au responsable immédiatement.
- Contenir l’incident : suspendre l’accès compromis, récupérer ou isoler les renseignements, corriger la faille.
- Évaluer le risque qu’un préjudice sérieux soit causé aux personnes concernées, en tenant compte de la sensibilité des renseignements, des conséquences appréhendées et de la probabilité d’une utilisation préjudiciable.
- Aviser, si le risque de préjudice sérieux existe, la Commission d’accès à l’information et chaque personne concernée avec diligence. La clinique peut aussi aviser toute personne susceptible de réduire le risque.
- Consigner l’incident au registre des incidents de confidentialité, qui doit être transmis à la Commission sur demande.
- Corriger : revoir les mesures de sécurité et les pratiques afin d’éviter la répétition de l’incident.
Le registre consigne, pour chaque incident : la description des renseignements visés, la date ou la période de survenance, la date de la prise de connaissance, le nombre de personnes concernées, la description des éléments du risque, les avis donnés et les mesures prises.
9. Évaluation des facteurs relatifs à la vie privée
La clinique réalise une évaluation des facteurs relatifs à la vie privée avant :
- d’acquérir, de développer ou de refondre un système d’information ou de prestation électronique de services qui met en jeu des renseignements personnels, par exemple un nouveau logiciel de gestion de clinique, une solution d’imagerie ou un outil de prise de rendez-vous en ligne;
- de communiquer des renseignements personnels à l’extérieur du Québec;
- de communiquer des renseignements sans consentement à des fins d’étude, de recherche ou de production de statistiques.
L’évaluation est proportionnée à la sensibilité des renseignements, à leur finalité, à leur quantité, à leur répartition et à leur support. Elle est documentée, conservée et revue lorsque le projet change de nature.
Le responsable est consulté dès le début de tout projet visé.
10. Droits des personnes et traitement des demandes
Vos droits
- Accès — obtenir communication des renseignements détenus sur vous, dont votre dossier dentaire.
- Rectification — faire corriger un renseignement inexact, incomplet ou équivoque, ou faire supprimer un renseignement périmé ou non justifié par l’objet du dossier.
- Retrait du consentement — mettre fin à une utilisation ou à une communication fondée sur votre consentement.
- Portabilité — recevoir, dans un format technologique structuré et couramment utilisé, les renseignements informatisés que vous nous avez fournis, ou en demander la transmission à un tiers.
- Cessation de diffusion et désindexation — faire cesser la diffusion d’un renseignement ou faire désindexer un hyperlien, aux conditions prévues par la loi.
- Décision automatisée — être informé si une décision vous concernant repose uniquement sur un traitement automatisé et présenter vos observations. La clinique n’utilise aucun processus de ce type.
Comment faire une demande
La demande est adressée par écrit au responsable (section 2). L’identité du demandeur est vérifiée avant toute communication. Une demande visant le dossier d’un tiers doit être accompagnée d’une autorisation écrite ou d’un document établissant la qualité du demandeur.
Délai et frais
La clinique répond dans les 30 jours suivant la réception de la demande. L’accès et la rectification sont gratuits; des frais raisonnables peuvent être exigés pour la transcription, la reproduction ou la transmission, et le demandeur en est informé au préalable.
Refus
Tout refus est motivé par écrit, indique la disposition de la loi sur laquelle il se fonde, et précise les recours possibles ainsi que le délai pour les exercer. La loi permet notamment de refuser l’accès lorsque la communication risquerait de causer un préjudice grave à la santé de la personne concernée, ou de révéler un renseignement sur un tiers.
11. Plaintes, formation et révision
Plaintes
Toute plainte relative à la protection des renseignements personnels est adressée au responsable (section 2). Elle est consignée, examinée et fait l’objet d’une réponse écrite dans les 30 jours.
Une personne insatisfaite du traitement de sa plainte ou d’une décision de la clinique peut s’adresser à la Commission d’accès à l’information du Québec. Une plainte visant la conduite professionnelle d’un dentiste peut également être portée au syndic de l’Ordre des dentistes du Québec.
Formation et sensibilisation
Chaque membre du personnel reçoit une formation sur la présente politique à l’embauche, puis un rappel annuel. La formation porte notamment sur la confidentialité au comptoir d’accueil et au téléphone, la gestion des courriels et des documents, le signalement d’un incident et les règles d’accès au dossier.
Révision
La politique est révisée au moins tous les deux ans, et à chaque changement législatif, technologique ou organisationnel important. Le responsable approuve chaque version.
Diffusion
La politique est publiée sur monsourire.com en termes simples et clairs, affichée à la clinique et remise sur demande.
Entrée en vigueur
Version du 15 octobre 2026 approuvée par Dr Hugo Vadeboncoeur.