Règl. de l'Ont. 314/25: DISPOSITIONS GÉNÉRALES"

Règl. de l'Ont. 314/25: DISPOSITIONS GÉNÉRALES, PROTECTION DES RENSEIGNEMENTS PERSONNELS SUR LA SANTÉ (LOI DE 2004 SUR LA)

RÈGLEMENT DE L’ONTARIO 314/25

pris en vertu de la

Loi de 2004 sur la protection des renseignements personnels sur la santé

pris le 11 décembre 2025
déposé le 12 décembre 2025
publié sur le site Lois-en-ligne le 12 décembre 2025
publié dans la Gazette de l’Ontario le 27 décembre 2025

modifiant le Règl. de l’Ont. 329/04

(DISPOSITIONS GÉNÉRALES)

1. Le Règlement de l’Ontario 329/04 est modifié par adjonction de l’article suivant :

Définition pour l’application du présent règlement

1.1 La définition qui suit s’applique au présent règlement.

«moyen numérique d’accès» Système ou systèmes électroniques mis à disposition par l’Agence conformément au paragraphe 18.1.1 (3).

2. Le Règlement est modifié par adjonction des articles suivants :

Collecte et utilisation du numéro de la carte Santé à des fins liées au dossier de santé électronique

11.1 L’Agence et ses mandataires sont des personnes prescrites pour l’application de l’alinéa 34 (2) e) de la Loi.

Collecte et utilisation du numéro de la carte Santé par l’Agence

11.2 (1) Pour l’application de l’alinéa 34 (2) f) de la Loi, l’Agence et ses mandataires peuvent, avec le consentement exprès d’un particulier, recueillir ou utiliser le numéro de la carte Santé de ce particulier en vue d’exercer les pouvoirs ou fonctions que la partie V.2 de la Loi confère à l’Agence.

(2) La définition qui suit s’applique au présent article.

«mandataire» Relativement à l’Agence, s’entend d’une personne, que celle-ci ait ou non l’autorité de la lier, qu’elle soit ou non employée par l’Agence et qu’elle soit ou non rémunérée, qui agit pour l’Agence ou en son nom avec son autorisation, à ses fins à elle et non aux siennes, à l’égard de renseignements personnels sur la santé.

3. (1) L’article 12 du Règlement est modifié par adjonction des paragraphes suivants :

(2) Malgré le paragraphe 34 (3) de la Loi, l’Agence et ses mandataires peuvent, en ce qui concerne un particulier, divulguer le numéro de la carte Santé dont ils ont la garde ou le contrôle si les conditions suivantes sont réunies :

a) le particulier donne son consentement exprès à la divulgation;

b) la divulgation est faite au ministre en vue d’aider l’Agence à accomplir l’un ou l’autre des actes suivants :

(i) fournir des services de validation et de vérification,

(ii) valider l’identité d’un particulier qui a communiqué avec l’Agence parce qu’il a besoin d’aide pour avoir accès au moyen numérique d’accès visé au paragraphe 18.1.1 (3),

(iii) valider l’identité d’un particulier qui cherche à avoir accès aux dossiers électroniques que conserve l’Agence en application de la disposition 4, 5 ou 6 de l’article 55.3 de la Loi ou aux dossiers liés aux identifiants Santé numériques conformément au paragraphe 51 (7) de la Loi.

(3) La définition qui suit s’applique au présent article :

(2) L’alinéa 12 (2) b) du Règlement, tel qu’il est pris par le paragraphe (1), est modifié par adjonction du sous-alinéa suivant:

(ii.1) valider l’identité d’un particulier qui cherche à utiliser un autre moyen visé à l’alinéa 18.1.1 (3) b).

4. L’article 18.1 du Règlement est abrogé et remplacé par ce qui suit :

Organisation prescrite

18.1 (1) L’Agence est l’organisation prescrite pour l’application de la Loi.

(2) Sous réserve du paragraphe (3), les dispositions de la partie III de la Loi s’appliquent à l’Agence, avec les adaptations nécessaires, lorsqu’elle exerce ses pouvoirs, fonctions et responsabilités en tant qu’organisation prescrite sous le régime de toute autre partie de la Loi et en application du présent règlement.

(3) L’article 55.18 de la Loi précise la façon dont les dispositions de la partie III de la Loi s’appliquent à l’Agence lorsque celle-ci agit dans le cadre de la partie V.2 de la Loi.

5. (1) Le Règlement est modifié par adjonction des articles suivants :

Application du par. 51 (5) de la Loi

18.1.1 (1) Le présent article s’applique à l’Agence lorsqu’elle agit en tant qu’organisation prescrite visée au paragraphe 51 (5) de la Loi.

(2) Le paragraphe 51 (5) de la Loi n’accorde un droit d’accès qu’aux dossiers suivants :

1. Les dossiers dérivés du Répertoire numérique des médicaments, ou d’un répertoire qui le remplace, qui sont versés au dossier de santé électronique par le ministre.

2. Les dossiers dérivés du Système d’information de laboratoire de l’Ontario, ou d’un répertoire qui le remplace, qui sont versés au dossier de santé électronique par le ministre.

(3) L’Agence met à disposition un ou des systèmes électroniques servant de moyen numérique d’accès permettant aux particuliers qu’elle précise sur son site Web et qui disposent d’un identifiant Santé numérique l’accès, conformément aux exigences de la partie V de la Loi et du présent article, aux dossiers visés au paragraphe (2).

(4) L’Agence publie sur son site Web des instructions, à l’intention des personnes qui souhaitent accéder aux dossiers visés au paragraphe (2), mais qui ne peuvent pas ou ne souhaitent pas utiliser le moyen numérique d’accès, sur les manières de demander accès aux dossiers auprès du ou des dépositaires de renseignements sur la santé applicables.

(5) Lorsqu’elle reçoit une demande d’accès à des dossiers :

a) dans le cas d’une demande d’accès, par l’intermédiaire du moyen numérique d’accès, aux dossiers visés au paragraphe (2) qui émane d’un particulier qu’elle précise et qui dispose d’un identifiant Santé numérique, l’Agence y donne suite par l’intermédiaire d’un tel moyen d’accès;

b) sous réserve des autres exigences du présent règlement, l’Agence agit comme si elle était un dépositaire de renseignements sur la santé pour ce qui est de donner à l’auteur de la demande accès aux dossiers demandés par l’intermédiaire du moyen numérique d’accès.

(6) L’Agence n’est pas tenue de donner suite à toute autre demande d’accès aux dossiers visés au paragraphe (2) autre qu’une demande visée à l’alinéa (5) a).

(7) L’Agence n’est pas tenue de prendre en considération les exceptions au droit d’accès à un dossier visées aux alinéas 52 (1) a) à f) de la Loi; toutefois, elle doit :

a) veiller à ce que le dépositaire de renseignements sur la santé qui verse des renseignements personnels sur la santé au dossier de santé électronique ait été avisé que l’Agence peut donner accès au dossier de renseignements personnels sur la santé conformément à la partie V de la Loi;

b) donner accès au dossier conformément à la partie V de la Loi et au présent article si le dépositaire de renseignements sur la santé ne précise aucune exception visée aux alinéas 52 (1) a) à f) de la Loi qui s’applique.

(8) L’Agence est soustraite à l’exigence, visée au paragraphe 52 (1.1) de la Loi, de fourniture, par l’intermédiaire du moyen numérique d’accès, de dossiers sous la forme électronique que précise ce paragraphe.

(9) Lorsqu’elle donne accès aux dossiers, l’Agence est soustraite à l’application des paragraphes 52 (4) à (7) de la Loi.

(10) La définition qui suit s’applique au présent article.

«dossier de santé électronique» S’entend au sens de l’article 55.1 de la Loi.

Avis et désactivation de l’accès en cas d’application d’une exception

18.1.2 (1) Le dépositaire de renseignements sur la santé qui établit qu’une exception visée aux alinéas 52 (1) a) à f) de la Loi s’applique à l’un des dossiers qu’il verse au dossier de santé électronique peut en aviser l’Agence.

(2) Le droit d’un particulier d’avoir accès à un dossier visé au paragraphe 51 (5) de la Loi par l’intermédiaire du moyen numérique d’accès, y compris le droit d’avoir accès, par l’intermédiaire de ce moyen d’accès, à une partie d’un tel dossier séparée conformément au paragraphe 52 (2) de la Loi ne s’applique pas à un dossier figurant dans un répertoire visé au paragraphe 18.1.1 (2) du présent règlement si l’un des dossiers du particulier figurant dans ce répertoire a fait l’objet d’un avis visé au paragraphe (1).

(3) Si elle a reçu un avis en application du paragraphe (1), l’Agence confirme au dépositaire de renseignements sur la santé qui a donné l’avis que l’accès au dossier a été désactivé et lui demande, aux moments suivants, si l’exception s’applique toujours :

a) au moins une fois tous les trois mois;

b) conformément à tout échéancier dont elle convient avec le dépositaire.

(4) Si un particulier demande accès, par l’intermédiaire du moyen numérique d’accès, à un dossier à l’égard duquel l’Agence a reçu l’avis en application du paragraphe (1), l’Agence dirige le particulier vers le ou les dépositaires de renseignements sur la santé qui ont fourni les dossiers applicables de sorte qu’il puisse leur demander directement les dossiers conformément à la partie V de la Loi.

(5) Malgré les paragraphes (3) et (4), si l’accès d’un particulier, par l’intermédiaire du moyen numérique d’accès, aux dossiers figurant dans un répertoire visé au paragraphe 18.1.1 (2) a été désactivé parce qu’un de ses dossiers a fait l’objet d’un avis en application du paragraphe (1), l’Agence rétablit l’accès du particulier par l’intermédiaire du moyen numérique d’accès et cesse de lui fournir les confirmations en application du paragraphe (3) et de le diriger en application du paragraphe (4) si les conditions suivantes sont réunies :

a) le dépositaire de renseignements sur la santé qui a donné l’avis indique que les exceptions visées aux alinéas 52 (1) a) à f) de la Loi ne s’appliquent plus au dossier;

(b) aucune autre exception visée aux alinéas 52 (1) a) à f) de la Loi n’a été précisée comme exception s’appliquant à tout dossier du particulier concerné qui figure dans le répertoire.

(6) La définition qui suit s’applique au présent article.

«dossier de santé électronique» S’entend au sens de l’article 55.1 de la Loi.

Application du par. 51 (6) de la Loi

18.1.2.1 (1) Le présent article s’applique à l’Agence lorsqu’elle agit en tant qu’organisation prescrite visée au paragraphe 51 (6) de la Loi.

(2) Malgré le paragraphe 51 (6) de la Loi et le paragraphe (2) du présent article, l’Agence n’est pas tenue de fournir les dossiers visés au paragraphe 51 (6) de la Loi et des résumés de ces dossiers à l’égard de toute période antérieure au 1^er janvier 2024.

Application du par. 51 (7) de la Loi aux dossiers liés aux identifiants Santé numériques

18.1.2.2 (1) Pour l’application du paragraphe 51 (7) de la Loi, l’Agence est uniquement tenue d’agir comme si elle était un dépositaire de renseignements sur la santé en ce qui concerne les dossiers et relevés suivants liés aux identifiants Santé numériques :

1. Les dossiers portant sur une modification aux renseignements identificatoires utilisés pour créer ou maintenir l’identifiant Santé numérique.

2. Les dossiers liés aux consentements donnés ou retirés à l’égard de l’identifiant Santé numérique.

3. Les dossiers liés aux services de validation et de vérification.

4. Les relevés de la date d’utilisation d’un identifiant Santé numérique pour avoir accès au moyen numérique d’accès.

(2) L’Agence conserve, vérifie et surveille les dossiers électroniques visés au paragraphe (1).

Rapport annuel au commissaire

18.1.2.3 (1) Chaque année, l’Agence présente au commissaire un rapport visant l’année civile précédente.

(2) Le rapport annuel doit comprendre les renseignements suivants :

a) le nombre de demandes qu’a reçues l’Agence au cours de l’année relativement aux dossiers visés aux paragraphes 51 (5), (6) et (7) de la Loi;

b) le nombre de refus, par l’Agence, de divulgation des dossiers visés aux paragraphes 51 (5), (6) et (7) de la Loi, les dispositions de la Loi à l’appui de ces refus et la fréquence de renvoi à chacune des dispositions invoquées;

c) tout autre renseignement relatif aux mesures prises par l’Agence pour réaliser les objets de la Loi;

d) toute autre mesure ou tout autre indicateur que précise le commissaire.

(3) À compter de 2027, l’Agence présente au commissaire, au plus tard le 1^er mars de chaque année, le rapport rédigé selon les moyens électroniques et sous la forme qu’établit le commissaire.

(2) La disposition 1 du paragraphe 18.1.1 (2) du Règlement, telle qu’elle est prise par le paragraphe (1), est abrogée et remplacée par ce qui suit :

1. Les dossiers dérivés du Répertoire numérique des médicaments ou d’un répertoire qui le remplace.

(3) Le paragraphe 18.1.1 (3) du Règlement, tel qu’il est pris par le paragraphe (1), est abrogé et remplacé par ce qui suit :

(3) L’Agence met à la disposition :

a) des particuliers qui disposent d’un identifiant Santé numérique un ou des systèmes électroniques servant de moyen numérique d’accès aux dossiers visés au paragraphe (2);

b) des particuliers qui ne peuvent pas ou ne souhaitent pas utiliser le moyen numérique d’accès un autre moyen leur permettant d’accéder aux dossiers visés au paragraphe (2).

(4) Les paragraphes 18.1.1 (5) et (6) du Règlement, tels qu’ils sont pris par le paragraphe (1), sont abrogés et remplacés par ce qui suit :

(5) Lorsqu’elle reçoit une demande d’accès à des dossiers :

a) dans le cas d’une demande d’accès, par l’intermédiaire du moyen numérique d’accès, aux dossiers visés au paragraphe (2) qui émane d’un particulier disposant d’un identifiant Santé numérique, l’Agence y donne suite par l’intermédiaire d’un tel moyen d’accès;

b) sous réserve des autres exigences du présent règlement, l’Agence agit comme si elle était un dépositaire de renseignements sur la santé pour ce qui est de donner accès aux dossiers demandés par l’intermédiaire du moyen numérique d’accès.

(5.1) Lorsqu’elle reçoit une demande d’accès à des dossiers :

a) dans le cas d’une demande d’accès, par l’intermédiaire d’un autre moyen, aux dossiers visés au paragraphe (2), l’Agence y donne suite par l’intermédiaire de cet autre moyen d’accès;

(6) L’Agence n’est pas tenue de donner suite à toute demande d’accès aux dossiers visés au paragraphe (2) autre qu’une demande visée à l’alinéa (5) a) ou (5.1) a).

(5) Le paragraphe 18.1.2 (4) du Règlement, tel qu’il est pris par le paragraphe (1), est abrogé et remplacé par ce qui suit :

(4) Si un particulier demande accès, par l’intermédiaire du moyen numérique d’accès, à un dossier à l’égard duquel l’Agence a reçu un avis en application du paragraphe (1), l’Agence dirige le particulier vers l’autre moyen d’accès et lui donne accès, par l’intermédiaire de ce moyen d’accès, à l’un de ses dossiers visés au paragraphe (2) :

a) qui n’est pas visé par une exception énoncée aux alinéas 52 (1) a) à f) de la Loi;

b) dont l’accès par l’intermédiaire du moyen numérique d’accès a été désactivé.

(6) Le paragraphe 18.1.2.1 (2) du Règlement, tel qu’il est pris par le paragraphe (1), est abrogé.

6. (1) Le Règlement est modifié par adjonction des articles suivants :

Effet du retrait du consentement

18.12 (1) Le présent article s’applique si un particulier qui dispose d’un identifiant Santé numérique retire le consentement qu’il a donné à l’Agence pour faire ce qui suit :

a) recueillir, utiliser ou divulguer des renseignements personnels sur la santé qui le concernent, en application de l’article 55.17 de la Loi, en vue d’exercer des activités liées aux identifiants Santé numériques;

b) recueillir ou utiliser le numéro de la carte Santé du particulier, en application de l’article 11.2 du présent règlement, en vue d’exercer les pouvoirs ou fonctions que lui attribue la partie V.2 de la Loi.

(2) Malgré le retrait du consentement, l’Agence peut continuer d’utiliser et de divulguer les renseignements personnels sur la santé applicables aux fins suivantes :

1. La conservation, le maintien et l’élimination des renseignements personnels sur la santé.

2. Les activités de gestion des incidents et des violations, y compris le maintien, la vérification et les interventions en cas d’incidents ou de violations de ce genre.

Avis au commissaire : par. 55.24 (3) de la Loi

18.13 (1) Pour l’application du paragraphe 55.24 (3) de la Loi, sont prescrites les circonstances suivantes dans lesquelles l’Agence doit aviser le commissaire :

1. L’Agence a des motifs raisonnables de croire qu’un dossier lié aux identifiants Santé numériques a été utilisé ou divulgué sans autorisation par une personne qui savait ou qui aurait dû savoir qu’elle utilisait le dossier ou le divulguait sans autorisation.

2. L’Agence a des motifs raisonnables de croire qu’un dossier lié aux identifiants Santé numériques a été volé.

3. L’Agence a des motifs raisonnables de croire qu’après la perte initiale d’un dossier lié aux identifiants Santé numériques, ou l’utilisation ou la divulgation initiales d’un tel dossier sans autorisation, le dossier a été à nouveau, ou sera à nouveau, utilisé ou divulgué sans autorisation.

4. La perte ou l’utilisation ou la divulgation sans autorisation d’un dossier lié aux identifiants Santé numériques s’inscrit dans un contexte de pertes similaires ou d’utilisations ou de divulgations sans autorisation similaires de dossiers liés aux identifiants Santé numériques dont l’Agence a la garde ou le contrôle.

5. L’Agence établit que la perte ou l’utilisation ou la divulgation sans autorisation d’un dossier lié aux identifiants Santé numériques est importante, compte tenu de toutes les circonstances pertinentes, notamment :

i. La question de savoir si les renseignements personnels sur la santé qui ont été perdus ou utilisés ou divulgués sans autorisation sont d’une nature délicate.

ii. La question de savoir si la perte ou l’utilisation ou la divulgation sans autorisation de renseignements personnels sur la santé concernait un volume considérable de renseignements de cette nature.

iii. La question de savoir si la perte ou l’utilisation ou la divulgation sans autorisation de renseignements personnels sur la santé concernait de nombreux particuliers.

iv. La question de savoir si plus d’un mandataire de l’Agence était responsable de la perte ou de l’utilisation ou de la divulgation sans autorisation du dossier lié aux identifiants Santé numériques.

(2) À la première occasion raisonnable, l’Agence avise le commissaire de l’existence d’une circonstance énoncée au paragraphe (1).

Rapport annuel de l’Agence : vol ou perte de renseignements

18.14 (1) À compter de 2027, l’Agence présente au commissaire, au plus tard le 1^er mars de chaque année, un rapport précisant le nombre de fois au cours de l’année civile précédente où s’est produit chacun des incidents suivants :

1. Des dossiers liés aux identifiants Santé numériques ont été volés.

2. Des dossiers liés aux identifiants Santé numériques ont été perdus.

3. Des dossiers liés aux identifiants Santé numériques ont été utilisés sans autorisation.

4. Des dossiers liés aux identifiants Santé numériques ont été divulgués sans autorisation.

5. Des renseignements personnels sur la santé ont été recueillis sans autorisation par l’Agence pour l’application de la partie V.2 de la Loi.

(2) Le rapport est transmis au commissaire selon les moyens électroniques et sous la forme qu’établit le commissaire.

Évaluation des activités liées aux identifiants Santé numériques

18.15 L’Agence effectue les évaluations mentionnées au paragraphe 55.25 (1) de la Loi aux moments suivants :

1. Avant de commencer à recueillir, à utiliser et à divulguer pour la première fois des renseignements personnels sur la santé en vue d’offrir des activités liées aux identifiants Santé numériques.

2. Chaque fois qu’est décelée une nouvelle menace importante à la sécurité des activités liées aux identifiants Santé numériques de l’Agence.

3. Avant d’apporter toute modification importante à des activités liées aux identifiants Santé numériques de l’Agence.

4. En tout temps lorsque les règles de pratique et de procédure qu’elle doit établir et respecter conformément à l’article 55.19 de la Loi exigent que soit effectuée une évaluation.

Collecte et utilisation par l’Agence, accès aux demandes et problèmes d’accès

18.16 (1) L’Agence et ses mandataires peuvent, avec le consentement exprès du particulier que concernent les renseignements personnels sur la santé, recueillir ou utiliser des renseignements personnels sur la santé de ce particulier en vue de valider l’identité d’un particulier qui, selon le cas, réunit les conditions suivantes :

a) il a communiqué avec l’Agence parce qu’il a besoin d’aide pour avoir accès au moyen électronique d’accès visé au paragraphe 18.1.1 (3);

b) il cherche à accéder aux dossiers électroniques que conserve l’Agence en application de la disposition 4, 5 ou 6 de l’article 55.3 de la Loi ou aux dossiers liés aux identifiants Santé numériques conformément au paragraphe 51 (7) de la Loi.

(2) L’Agence et ses mandataires peuvent, avec le consentement exprès du particulier que concernent les renseignements personnels sur la santé, divulguer les renseignements personnels sur la santé de ce particulier au ministre en vue de valider l’identité d’un particulier visé au paragraphe (1).

(2) Le paragraphe 18.16 (1) du Règlement, tel qu’il est pris par le paragraphe (1), est modifié par adjonction de l’alinéa suivant :

c) il valide l’identité d’un particulier qui cherche à utiliser un autre moyen visé à l’alinéa 18.1.1 (3) b).

Révocation

7. Le paragraphe 1 (1) du Règlement de l’Ontario 394/22 est abrogé.

Entrée en vigueur

8. (1) Sauf disposition contraire du présent article, le présent règlement entre en vigueur le dernier en date du jour de l’entrée en vigueur du paragraphe 1 (1) de l’annexe 6 de la Loi de 2025 pour plus de soins commodes et du jour du dépôt du présent règlement.

(2) Le paragraphe 5 (2) entre en vigueur le dernier en date du jour qui tombe un an après le jour de l’entrée en vigueur du paragraphe 1 (1) de l’annexe 6 de la Loi de 2025 pour plus de soins commodes et du jour qui tombe un an après le jour du dépôt du présent règlement.

(3) Les paragraphes 3 (2), 5 (3) à (6), et 6 (2) entrent en vigueur le dernier en date du jour qui tombe deux ans après le jour de l’entrée en vigueur du paragraphe 1 (1) de l’annexe 6 de la Loi de 2025 pour plus de soins commodes et du jour qui tombe deux ans après le jour du dépôt du présent règlement.

(4) L’article 7 entre en vigueur le jour du dépôt du présent règlement.