Informations détaillées sur la politique et procédure de confidentialité

Cette pharmacie possède une politique et procédure de confidentialité pour assurer la protection de vos renseignements personnels.

La personne responsable détient les formations nécessaires pour exercer son rôle.

Dans le cadre de notre politique et procédure de confidentialité, nous avons adopté des pratiques encadrant notre gouvernance à l'égard de vos renseignements personnels afin d'en assurer leur protection. Nous avons notamment :

• établi des normes relatives à la collecte, à la conservation, à l'utilisation, à la communication et à la destruction de vos renseignements personnels ;
• obtenu des engagements de la part de nos employés pour maintenir la confidentialité de vos renseignements personnels ;
• adopté et mis en place des mesures de sécurité technologiques ;
• offert de la formation destinée à nos employés en matière de protection des renseignements personnels.

À ce titre, nous avons identifié les rôles de chaque membre du personnel impliqué au sein de la pharmacie dans le cycle de vie de vos renseignements personnels. Notre politique et procédure de confidentialité comprend également un processus de traitement des plaintes ainsi qu'un registre des incidents de confidentialité en lien avec vos renseignements personnels.

De plus, lorsque nous communiquons des renseignements personnels à des fournisseurs, nous mettons en place des mesures contractuelles ainsi que d'autres mesures afin de nous assurer que ces fournisseurs protègent ces renseignements personnels, qu'ils ne les utilisent pas à d'autres fins que celles prévues au contrat, et qu'ils ne les conservent pas après le terme du contrat. Nous procédons, dans la mesure du possible, à des vérifications ou obtenons des rapports d'audits pour nous assurer de la conformité des fournisseurs aux exigences imposées.

Politique de gouvernance

La Loi sur les renseignements de santé et de services sociaux ainsi que ses règlements d'application (collectivement, la « Loi 5 ») prévoient qu'un organisme de santé doit adopter une politique de gouvernance des renseignements de santé visant à mettre en œuvre les règles de gouvernance édictées par le gouvernement du Québec.

Notre pharmacie possède une politique de gouvernance qui mise sur des pratiques encadrant la gouvernance de vos renseignements de santé (les « Renseignements de santé ») afin d'en assurer leur protection.

La notion de Renseignement de santé est définie comme suit : tout renseignement qui permet, même indirectement, de vous identifier et qui répond à l'une des caractéristiques suivantes :

• il concerne votre état de santé physique ou mentale et ses facteurs déterminants, y compris vos antécédents médicaux ou familiaux ;
• il concerne tout matériel prélevé sur vous dans le cadre d'une évaluation ou d'un traitement, incluant le matériel biologique ainsi que tout implant, orthèse, prothèse ou autre aide suppléant à une incapacité ;
• il concerne les services de santé ou les services sociaux qui vous sont offerts, notamment la nature de ces services, leurs résultats, les lieux où ils vous ont été offerts et l'identité des personnes ou des groupes de personnes qui vous les ont offerts ;
• il a été obtenu dans l'exercice d'une fonction prévue par la Loi sur la santé publique ;
• il présente toute autre caractéristique déterminée par règlement par le gouvernement.

La politique de gouvernance comprend les sections suivantes :

1. Rôles et responsabilités des membres du personnel et des professionnels de la pharmacie
2. Mesures de sécurité visant à assurer la protection des renseignements de santé
3. Mécanismes de journalisation
4. Communication des renseignements de santé
5. Calendrier de mise à jour des produits et services technologiques utilisés
6. Processus de traitement des incidents de confidentialité
7. Processus de traitement des plaintes relatives à la protection des renseignements de santé
8. Activités de formation et de sensibilisation
9. Mises à jour

1. Rôles et responsabilités du personnel et des professionnels

2. Mesures de sécurité visant à assurer la protection des renseignements de santé

À la base des services pharmaceutiques offerts par notre pharmacie, le Code des professions et le Code de déontologie des pharmaciens exigent des pharmaciens exerçant leur profession au sein de notre équipe :

• de respecter le secret de tout renseignement de nature confidentielle qui vient à leur connaissance dans l'exercice de leur profession ;
• de prendre les mesures raisonnables à l'égard de leurs employés et du personnel qui travaille avec eux pour que soit préservé le secret des renseignements de nature confidentielle.

Nous nous engageons à honorer ces exigences déontologiques, en plus d'assurer un haut degré de protection de vos Renseignements de santé à la lumière des exigences de la Loi 5.

Ce faisant, au quotidien, nous prenons les mesures de sécurité nécessaires pour assurer la protection de vos Renseignements de santé. Ces mesures sont raisonnables, compte tenu notamment de la sensibilité de vos Renseignements de santé, de la finalité de leur utilisation, de leur quantité, de leur répartition et du support sur lequel ils se trouvent.

Au surplus, nous nous assurons que les Renseignements de santé que nous utilisons ou communiquons sont exacts, complets et à jour, et prévoyons des mesures de sécurité adaptées à chacun des outils que nous employons.

Nous encadrons également la communication de vos Renseignements de santé à nos fournisseurs de services, dans la mesure où nous avons convenu d'un contrat écrit avec ces derniers et que ce contrat comprend des éléments essentiels, comme la mise en place de mesures adéquates de sécurité de vos Renseignements de santé.

Si la destruction de vos Renseignements de santé est effectuée en tout ou en partie par une firme externe, nous nous assurerons d'être liés par des obligations de confidentialité et veillerons à ce que la firme ait en place des mesures de protection sécurisées. Le cas échéant, nous nous assurerons aussi que cette firme fournisse une chaîne de traçabilité et un certificat de destruction garantissant qu'elle a détruit et recyclé les documents.

Nous nous engageons à effectuer une évaluation des facteurs relatifs à la vie privée (EFVP), si une telle évaluation est requise, notamment pour tout projet d'acquisition, de développement et de refonte de nos systèmes d'information ou de prestation électronique de services.

Lors de tout incident de confidentialité, nous nous engageons à appliquer des mesures immédiates pour assurer la sécurité des Renseignements de santé des clients concernés.

3. Mécanismes de journalisation

Afin d'assurer une gestion efficace des accès aux Renseignements de santé par le personnel de la pharmacie, la Loi 5 précise que tout membre du personnel doit journaliser l'ensemble des accès aux Renseignements de santé qu'il utilise.

En principe, la Loi 5 exige d'envoyer annuellement au ministre de la Santé et des Services sociaux un rapport de journalisation, une analyse mensuelle des accès aux Renseignements de santé que nous détenons et toute autre communication ou utilisation de ceux-ci, notamment afin de détecter les situations non conformes et de prendre les mesures appropriées.

Comme les outils technologiques employés par la pharmacie ne permettent pas, à l'heure actuelle, de procéder à une telle journalisation, nous nous engageons à demeurer informés de la mise en application de cette obligation par le gouvernement du Québec et, le cas échéant, à mettre à jour nos pratiques.

4. Communication de renseignements de santé

Suivant la Loi 5, la communication d'un Renseignement de santé nécessite que le consentement soit exprès ou donné par une personne légalement autorisée. De plus, le consentement ne peut être inféré. Toutefois, un renseignement de santé peut être communiqué à un tiers sans le consentement de la personne concernée dans certaines situations prévues par la Loi 5.

Nous conservons une preuve de tout consentement que nous recevons dans le cadre de nos opérations.

5. Calendrier de mise à jour des produits et services technologiques utilisés

Nous voyons à l'application des normes relatives aux produits et services technologiques que nous utilisons, et supervisons la mise en place et le maintien des mesures de sécurité nécessaires pour assurer la protection des Renseignements de santé contenus dans ces produits et services technologiques.

La Loi 5 définit un « produit ou service technologique » comme un équipement, une application ou un service requis afin de recueillir, de conserver, d'utiliser ou de communiquer un renseignement, par exemple une banque ou un système d'information, un réseau de télécommunication, une infrastructure technologique, un logiciel ou une composante informatique d'un équipement médical.

Nous nous engageons à prendre les mesures nécessaires afin d'éviter ou de mitiger les répercussions possibles de ces produits et services technologiques sur l'exercice de nos fonctions ou de nos activités.

La pharmacie tient à jour un registre des produits et services technologiques qu'elle utilise et le rend accessible sur demande.

6. Processus de traitement des incidents de confidentialité

La Loi 5 définit un incident de confidentialité comme l'accès, l'utilisation ou la communication non autorisés par la Loi 5 d'un renseignement de santé, la perte d'un tel renseignement de santé par un fournisseur ou un employé de la pharmacie, ou toute autre atteinte à la protection d'un renseignement de santé.

Nous avons mis en place un processus de traitement de tout incident de confidentialité et tenons un registre des incidents de confidentialité afin de documenter tous les incidents impliquant des Renseignements de santé et d'apporter des mesures nécessaires pour éviter que les mêmes incidents se reproduisent.

Lorsque l'incident présente un risque qu'un préjudice sérieux soit causé, nous nous engageons à aviser par écrit la Commission d'accès à l'information de même que les personnes dont les Renseignements de santé font l'objet d'un incident de confidentialité.

7. Processus de traitement des plaintes relatives à la protection des renseignements de santé

Nous avons également mis en place un processus de traitement de toute plainte relative à la protection des Renseignements de santé et tenons un registre des plaintes en matière de confidentialité afin de documenter toutes les plaintes impliquant des Renseignements de santé et de mettre en œuvre un plan d'action, lorsque nécessaire.

8. Activités de formation et de sensibilisation

La Loi 5 exige que tout employé de la pharmacie soit formé et sensibilisé en matière de protection des Renseignements de santé, en fonction de son rôle précis, et qu'il mette à jour annuellement ses connaissances.

Formation

Au sein de la pharmacie, nous voyons à ce que chaque membre de notre personnel et les professionnels qui y exercent leur profession, y compris les étudiants et les stagiaires, reçoivent une formation en matière de protection des Renseignements de santé dès leur entrée en fonction.

Sensibilisation

Nous sensibilisons aussi nos employés à la question de la confidentialité tout au long de l'année, par exemple en leur relayant les publications pertinentes et en leur recommandant de naviguer régulièrement sur le site Internet de la Commission d'accès à l'information.

Nous sensibilisons notamment nos employés au moyen :

• d'activités de formation et de sensibilisation ;
• de retours en groupe sur les incidents de confidentialité et les mesures permettant de les gérer ;
• de mesures pour activer, désactiver et sécuriser les mots de passe et tout identifiant personnel.

9. Mises à jour

Au moins une fois l'an, nous nous engageons à :

• analyser la pertinence des catégories de personnes autorisées à utiliser des Renseignements de santé ainsi que leurs rôles et responsabilités ;
• évaluer la conformité des mécanismes de journalisation et l'efficacité des mesures de sécurité mises en place pour assurer la protection des Renseignements de santé et, le cas échéant, revoir ces mécanismes et ces mesures.

Mensuellement, nous nous engageons à analyser les accès aux Renseignements de santé que nous détenons de même que toute autre utilisation et communication de ceux-ci, notamment afin de détecter les situations qui ne sont pas conformes aux normes applicables et, le cas échéant, de prendre les mesures appropriées.