Politiques de confidentialité

Politiques de confidentialité

Date de la dernière mise à jour : 21 août 2026

POLITIQUE DE GOUVERNANCE À L’ÉGARD DES RENSEIGNEMENTS PERSONNELS (RP) DÉTENUS PAR LE GROUPE MÉDICAL LACROIX ET POLITIQUE DE CONFIDENTIALITÉ

PRÉAMBULE :

Clinique Médicale Lacroix inc., Lacroix Chirurgie Privée Montréal Inc., Lacroix Chirurgie Privée Québec Inc. et Lacroix Labo Privé Inc. sont des sociétés liées qui collectivement forment le «Groupe Médical Lacroix».

Dans le cadre de ses activités, le Groupe Médical Lacroix recueille et utilise des renseignements personnels sur les patients et usagers qui requièrent ses services ainsi que ses employés.

Le Groupe Médical Lacroix est soumis aux dispositions des différentes lois en matière de confidentialité des renseignements personnels, dont notamment la Loi sur les renseignements de santé et de services sociaux (ci-après la « Loi sur les RSSS ») et la Loi sur la protection des renseignements personnels dans le secteur privé (ci-après la « Loi sur les RP »). À cette fin, le Groupe Médical Lacroix est responsable d’assurer la protection des renseignements personnels qu’il détient et de se conformer aux lois en vigueur, (ci-après, les « Lois »).

La présente politique vise à assurer la protection des renseignements personnels et à encadrer la manière dont le Groupe Médical Lacroix les collecte, les utilise, les communique, les conserve et les détruit. De plus, elle vise à informer toute personne intéressée sur la manière dont le Groupe Médical Lacroix traite leurs renseignements personnels.

Bien que les renseignements collectés automatiquement ne permettent généralement pas d’identifier directement une personne, ils peuvent, dans certains cas, constituer des renseignements personnels au sens de la législation applicable. L’Annexe « B » de la présente politique vise à renseigner les personnes intéressées sur les pratiques du Groupe Médical Lacroix relativement aux renseignements collectés automatiquement.

La présente politique est complémentaire aux différents documents internes portant sur la protection des renseignements personnels et sur la sécurité de l’information.

1. INTRODUCTION

1.1. Objectifs

La présente politique vise à :

§ Établir les engagements qui guident les pratiques du Groupe médical Lacroix dans sa gestion des renseignements personnels;

§ Définir les rôles et les responsabilités des membres du personnel et les prestataires de services du Groupe médical Lacroix à l’égard des renseignements personnels et uniformiser les pratiques en la matière;

§ Permettre aux membres du personnel et des prestataires de services de connaître et de comprendre les exigences légales et les principes de protection des renseignements personnels dans le cadre de l’exercice de leurs fonctions;

§ Établir les engagements qui guident les pratiques du Groupe médical Lacroix dans sa gestion des renseignements personnels;

§ Informer les personnes concernées des pratiques du Groupe médical Lacroix en matière de collecte, d’utilisation, de communication, de conservation et de protection des renseignements personnels;

§ Assurer la protection des renseignements personnels et le respect des droits des personnes concernées, conformément aux lois applicables.

1.2. Champ d’application

La présente politique s’applique à tous les membres du personnel et les prestataires de services du Groupe Médical Lacroix lorsqu’ils recueillent, utilisent, communiquent, conservent ou détruisent des renseignements personnels dans le cadre de leurs fonctions. Elle s’applique à tous les renseignements personnels, quel que soit leur support, de leur collecte à leur destruction

1.3 Définitions

Un RENSEIGNEMENT DE SANTÉ ET DE SERVICES SOCIAUX (ci-après « RSSS ») est tout renseignement qui permet d’identifier une personne de manière directe ou indirecte tout en répondant à une des conditions suivantes :

1. Il concerne l’état de santé physique ou mentale de cette personne et ses facteurs déterminants, y compris les antécédents médicaux ou familiaux de la personne;

2. Il concerne tout matériel prélevé sur cette personne dans le cadre d’une évaluation ou d’un traitement, incluant le matériel biologique, ainsi que tout implant ou toute orthèse, prothèse ou autre aide suppléant à une incapacité de cette personne;

3. Il concerne les services de santé ou les services sociaux offerts à cette personne, notamment la nature de ces services, leurs résultats, les lieux où ils ont été offerts et l’identité des personnes ou des groupements qui les ont offerts;

4. Il a été obtenu dans l’exercice d’une fonction prévue par la Loi sur la santé publique.

De plus, un renseignement permettant l’identification de la personne est également un RSSS lorsqu’il est accolé à un des renseignements mentionnés précédemment ou qu’il est recueilli en vue de l’enregistrement, de l’inscription ou de l’admission de la personne dans un établissement ou de sa prise en charge par un autre organisme du secteur de la santé et des services sociaux tels que les cliniques, centres médicaux et laboratoires.

À titre d’exemple, voici des RSSS qui sont susceptibles d’être collectés par le Groupe Médical Lacroix :

§ Dossier médical et notes médicales;

§ Résultats d’examens médicaux;

§ État de santé;

§ Liste de médicaments;

§ Nom, date de naissance, coordonnées et numéro d’assurance maladie des patients collectés en vue de leur prise en charge

Un RENSEIGNEMENT PERSONNEL (ci-après le « RP ») est un renseignement, autre qu’un RSSS, qui concerne une personne physique et qui permet de l’identifier, de manière directe ou indirecte. À titre d’exemple, voici des RP que le Groupe Médical Lacroix peut collecter :

§ Nom et coordonnées;

§ Adresses domiciliaires et électroniques;

§ Numéro de téléphone;

§ Prénom et nom des parents;

§ Données démographiques (Genre, date de naissance).

Un RENSEIGNEMENT PERSONNEL SENSIBLE (ci-après le « RP Sensible ») est un renseignement, autre qu’un RSSS, qui, en raison de sa nature suscite un haut degré d’attente raisonnable en matière de vie privée. À titre d’exemple, voici des RP Sensibles que le Groupe Médical Lacroix peut collecter sur ses usagers, patients et/ou employé(e)s :

§ Numéro d’assurance maladie; (pour les employés seulement).

§ Antécédents judiciaires;

§ Numéro d’assurance sociale (pour les employés seulement).

Un RENSEIGNEMENT ANONYMISÉ (ci-après le « RP Anonymisé ») est un renseignement qui est, en tout temps, raisonnable de prévoir dans les circonstances qu’il ne permet plus, de façon irréversible, d’identifier directement ou indirectement la personne concernée.

Le terme COLLECTE désigne le fait de recueillir, d’acquérir ou d’obtenir des renseignements personnels auprès de toute source, y compris les tierces parties, par quelque moyen que ce soit.

Un INCIDENT DE CONFIDENTIALITÉ fait référence à l’accès, l’utilisation ou la communication non autorisée par la Loi d’un renseignement personnel, la perte d’un renseignement personnel ou toute autre atteinte à la protection d’un tel renseignement.

2. Engagement

2.1. Responsabilité

Le Groupe Médical Lacroix est responsable des renseignements personnels qu’il détient, y compris ceux dont la collecte, l’utilisation, la conservation ou la destruction est assurée par un tiers. Il met en œuvre des politiques et des pratiques qui démontrent cette responsabilité.

2.2. Application

La présente politique s’applique aux dirigeants, employés, prestataires de services, consultants, fournisseurs et tout autre sous-traitant qui représente ou œuvre pour le compte de Groupe Médical Lacroix.

Elle vise tous les types de RSSS, RP et RP Sensible que le Groupe Médical Lacroix collecte, gère et utilise, que ce soit les RSSS de ses patients ou les RP et RP Sensible de ses employés, de ses prestataires de services, de ses sous-traitants et de ses consultants, tels qu’ils sont décrits en Annexe « A » des présentes.

2.3. Collecte des RSSS, RP et RP Sensible

Dans le cadre de ses activités, le Groupe Médical Lacroix collecte divers types de RSSS, de RP et de RP Sensibles, et ce, à différentes fins, tels que plus amplement décrits en Annexe « A » des présentes.

Généralement, la collecte des RSSS, RP et RP Sensibles se fait directement auprès de la personne qui sollicite des services ou devient partenaire, fournisseur, employé(e) ou prestataire de services du Groupe Médical Lacroix. Dans certains cas, des RSSS, RP et RP Sensibles peuvent être reçus par le Groupe Médical Lacroix via des tiers, notamment lorsqu’il s’agit de résultats d’examens complémentaires faits à l’externe.

2.4. Limitation de la collecte

Au moment de la collecte, le Groupe Médical Lacroix recueille uniquement les renseignements personnels nécessaires à la réalisation des fins déterminées.

2.5. Consentement à la collecte des RSSS, RP et RP Sensible

Le Groupe Médical Lacroix informe adéquatement toute personne de la collecte des RSSS, RP ou RP Sensibles qui la concernent, de l’utilisation qu’il en fera et à qui il communiquera ses renseignements à cette fin. Il s’assure d’informer la personne concernée, au plus tard au moment de la collecte :

§ Des fins auxquelles ces renseignements sont recueillis;

§ Des moyens par lesquels les renseignements sont recueillis;

§ Du caractère obligatoire ou facultatif de la demande;

§ Des conséquences d’un refus de répondre ou de consentir à la demande;

§ Des droits d’accès et de rectification des renseignements prévus par les Lois;

§ De la possibilité que les renseignements personnels soient communiqués à l’extérieur du Québec ou à des tiers, le cas échéant;

§ De leur droit de retirer son consentement à l’utilisation et la communication des renseignements recueillis.

Lorsque les renseignements collectés sont des RSSS, le Groupe Médical Lacroix informe également la personne concernée :

De la possibilité pour cette personne de restreindre ou de refuser l’accès à ces renseignements par certaines personnes ou catégories d’intervenants tel que prévu aux articles 7 et 8 de la Loi sur les RSSS et des modalités selon lesquelles elle peut se prévaloir de cette possibilité.

De la durée pendant laquelle ces renseignements seront conservés.

Groupe Médical Lacroix obtient le consentement de la personne avant d’utiliser ou de communiquer ses renseignements à d’autres fins, à moins que les Lois ne l’autorise à faire autrement. Le consentement à la collecte est fait de manière explicite ou implicite, selon le cas. Dans certains cas, le Groupe Médical Lacroix utilise un formulaire de consentement à la collecte (en ligne ou en personne).

Lorsque le Groupe Médical Lacroix collecte des RP et RP Sensibles sur des personnes de moins de QUATORZE (14) ans, le titulaire de l’autorité parentale ou le tuteur doit consentir à la collecte, à moins que la collecte ne soit manifestement au bénéfice de ce mineur. Dans un tel cas, le Groupe Médical Lacroix s’assure que la collecte est justifiée dans l’intérêt du mineur.

2.6. Limitation de l’utilisation, de la communication et de la conservation des RSSS, RP et RP Sensibles

Le Groupe Médical Lacroix limite l’utilisation et la communication des renseignements personnels aux seules fins auxquelles la personne concernée a été informée lors de la collecte ou à celles auxquelles elle a consenti, à moins que les Lois ne l’autorise à faire autrement. Il conserve les renseignements personnels uniquement pour la durée nécessaire à la réalisation des fins pour lesquelles ils ont été collectés, sous réserve des délais de conservation prévus par les lois applicables et les obligations professionnelles

2.6.1. Utilisation des RSSS, RP et RP Sensibles

Le Groupe Médical Lacroix limite l’utilisation des RSSS, RP et RP Sensibles aux fins pour lesquelles ils ont été collectés, telle que décrit dans la présente politique (précisément en Annexe « A ») ou au moment de la collecte et aux fins expressément prévues par les Lois.

2.6.2. Communication sans le consentement de la personne concernée

Le Groupe Médical Lacroix peut divulguer certains RSSS, RP et RP Sensibles qu’il détient, sans le consentement de la personne concernée, si les fins d’utilisation des RSSS, RP et RP Sensibles sont compatibles avec les fins pour lesquelles les RSSS, RP et RP Sensibles avaient été recueillis et/ou notamment lorsque cette communication est autorisée ou requise par la loi, ou dans des situations d’urgence mettant en danger la vie, la santé ou la sécurité d’une personne.

Le Groupe Médical Lacroix peut communiquer certains RSSS, RP et RP Sensibles qu’il détient à un membre du personnel du Groupe Médical Lacroix qui a la qualité pour les recevoir et lorsque ces renseignements sont nécessaires à l’exercice de ses fonctions, notamment lorsque les fins d’utilisation des RSSS, RP et RP Sensibles sont manifestement au bénéfice de la personne (exemple : à des fins médicales ou à des fins d’aide).

Le Groupe Médical Lacroix peut transférer des RSSS, RP et RP Sensibles qu’il collecte à des fournisseurs de services et à d’autres tiers qui le soutiennent, notamment lorsque l’utilisation des RSSS, RP et RP Sensibles est nécessaire afin d’effectuer une enquête de crédit et/ou prévenir une situation de fraude.

Lorsqu’un transfert de RSSS, RP et RP Sensibles à un tiers est nécessaire dans le cadre de l’exercice des fonctions du Groupe Médical Lacroix, ce transfert n’aura lieu que s’il est évalué que le renseignement bénéficierait d’une protection adéquate, notamment en considérant la sensibilité du renseignement, la finalité de son utilisation et les mesures de protection dont le renseignement bénéficierait. Le transfert sera également soumis aux ententes contractuelles appropriées afin d’assurer cette protection adéquate.

Ainsi, un contrat ou une entente liant le Groupe Médical Lacroix à ces tiers, ou une formule d’engagement signée par ces derniers doit les obliger à garder les RP et RP Sensibles confidentiels, à les utiliser uniquement aux fins pour lesquelles le Groupe Médical Lacroix les divulgue et à traiter les RP et RP Sensibles selon les normes énoncées et en respect des Lois. Lorsque des RSSS sont communiqués à ces tiers, l’engagement signé par ceux-ci doit également les obliger à utiliser uniquement des produits et services technologiques qui sont autorisés par le Groupe Médical Lacroix pour le traitement des RSSS, à aviser le Responsable de la protection des renseignements du Groupe Médical Lacroix de toute violation ou tentative de violation de l’une des obligations relatives à la protection des renseignements prévues par le contrat, à permettre a Groupe médical Lacroix de faire toute vérification ou enquête relative à la protection des renseignements et à respecter les dispositions de la Loi sur les RSSS visant la protection des RSSS.

Le Groupe Médical Lacroix peut communiquer un ou plusieurs RP Anonymisé à des fins d’étude, de recherche ou de production de statistiques sous réserve des conditions prévues par les Lois.

Le Groupe Médical Lacroix peut communiquer un RSSS qu’il détient en vue de protéger une personne ou un groupe de personnes identifiable lorsqu’il existe un motif raisonnable de croire qu’un risque sérieux de mort ou de blessures graves, lié notamment à une disparition ou à un acte de violence, dont une tentative de suicide, menace cette personne ou ce groupe et que la nature de la menace inspire un sentiment d’urgence.

Le Groupe Médical Lacroix peut communiquer certains RSSS à un corps de police dans certaines situations prévues par la Loi sur les RSSS lorsque cette communication est nécessaire à la planification ou à l’exécution d’une intervention adaptée aux caractéristiques d’une personne.

Le Groupe Médical Lacroix pourrait être amené à communiquer des RSSS, RP et RP Sensibles à l’extérieur du Québec, par exemple, lorsque ses prestataires de services, sous-traitants ou employés sont situés à l’extérieur du Québec ou lorsque les serveurs de certains services informatiques sont situés à l’extérieur du Québec.

Lorsqu’un transfert de RSSS, RP et RP Sensibles à l’extérieur du Québec est nécessaire dans le cadre de l’exercice des fonctions du Groupe Médical Lacroix, ce transfert n’aura lieu que s’il est évalué que le renseignement bénéficierait d’une protection adéquate, notamment en considérant la sensibilité du renseignement, la finalité de son utilisation, les mesures de protection dont le renseignement bénéficierait et le régime juridique applicable dans l’État ou la province où ce renseignement serait communiqué. Le transfert sera également soumis aux ententes contractuelles appropriées afin d’assurer cette protection adéquate.

Dans certains cas d’exception prévus par les Lois, le Groupe Médical Lacroix pourra utiliser les RSSS, RP et RP Sensibles s’il juge que l’utilisation est en accord avec les lois en matière de déontologie et selon les recommandations du Collège des Médecins du Québec, de l’Ordre des Infirmières et Infirmiers du Québec ou de tout autre ordre professionnel régissant les professionnels œuvrant au sein du Groupe Médical Lacroix, notamment dans des processus d’enquête et d’inspection, tel que ces lois pourraient être amendées de temps à autre;

Dans certaines situations prévues par les Lois, la personne responsable de la protection des renseignements doit inscrire la communication dans le registre de communication des renseignements personnels.

2.6.3. Communication avec le consentement de la personne concernée

En règle générale, le Groupe Médical Lacroix ne communiquera pas les RSSS, RP et RP Sensibles qu’il détient à quiconque sans l’autorisation de la personne concernée, à moins d’une exception prévue aux présentes ou dans les Lois.

Si le Groupe Médical Lacroix entend communiquer à un tiers certains RSSS, RP et RP sensibles à d’autres fins qui ne sont pas prévues à la section 2.6.2. de la présente politique, la personne concernée devra donner son consentement de manière libre et éclairé. S’il s’agit d’un RSSS ou d’un RP Sensible, ce consentement devra être explicite.

Toute personne ayant besoin d’assistance en lien avec la notion de consentement peut contacter le Responsable de la protection des renseignements à l’adresse suivante: legal@cliniqueslacroix.ca.

2.6.4. Conservation et destruction des RSSS, RP et RP Sensibles

Le Groupe Médical Lacroix conserve les RSSS, RP et RP Sensibles qu’il détient pour la durée nécessaire à la réalisation des fins pour lesquelles ils ont été recueillis. Le temps nécessaire à la conservation des RSSS, RP et RP Sensibles peut varier selon le type de personne concernée et les raisons pour lesquelles il a été en contact avec le Groupe Médical Lacroix.

En règle générale, lorsque les fins pour lesquelles un RSSS, RP et RP Sensibles a été recueilli sont accomplies, le Groupe Médical Lacroix doit détruire les RSSS, RP et RP Sensibles ou les anonymiser sous réserve des obligations prévues au calendrier de conservation du Groupe et aux lois applicables. Pour les renseignements contenus au dossier clinique d’un patient, les délais de conservation minimaux prévus par la législation et la réglementation applicables devront être respectés.

Un renseignement est considéré comme anonymisé lorsqu’il est, de façon irréversible, raisonnable de prévoir qu’il ne permet plus d’identifier directement ou indirectement une personne.

Lorsque le Groupe Médical Lacroix procède à la destruction de documents contenant des RSSS, RP et RP Sensibles, il s’assure de prendre les mesures de protection nécessaires visant à assurer la confidentialité de ceux-ci.

La méthode de destruction utilisée doit être déterminée en fonction de la sensibilité des renseignements, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support.

2.7. Protection des renseignements personnels

Le Groupe Médical Lacroix a mis en place des mesures de sécurité physiques, organisationnelles, contractuelles et technologiques appropriées et raisonnables afin de protéger les RSSS, RP et RP sensibles, peu importe le support sur lequel ils sont enregistrés contre la perte ou le vol et contre l’accès, la divulgation, la copie, l’utilisation ou la modification non autorisée par la Loi.

Le Groupe Médical Lacroix a pris des mesures pour faire en sorte que seuls les membres du personnel qui doivent absolument avoir accès aux RSSS, RP et RP Sensibles dans le cadre de leurs fonctions soient autorisés à y accéder.

Les personnes qui travaillent pour le Groupe Médical Lacroix ou en son nom doivent, notamment :

§ Fournir des efforts raisonnables pour minimiser le risque de divulgation non intentionnelle de RSSS, RP et RP Sensibles;

§ Prendre des précautions pour s’assurer que les RSSS, RP et RP Sensibles ne sont pas épiés, entendus, consultés ou perdus, particulièrement lorsqu’elles travaillent dans des locaux autres que les bureaux du Groupe Médical Lacroix;

§ Prendre des mesures raisonnables pour protéger les RSSS, RP et RP Sensibles lorsqu’elles se déplacent d’un endroit à l’autre.

§ Communiquer les RSSS sous une forme qui ne permet pas d’identifier directement la personne concernée lorsque cela est possible.

§ Dénoncer tout incident susceptible de mettre en péril la confidentialité des RSSS, RP et RP Sensibles afin qu’il soit inscrit au registre des incidents de confidentialité.

Toute personne pouvant avoir accès aux RSSS, RP et RP Sensibles détenus par le Groupe Médical Lacroix est tenue de respecter des obligations strictes de confidentialité et a signé un engagement de confidentialité à cet effet.

Ils s’engagent également à respecter la présente politique et s’assurer du traitement des RSSS, RP et RP Sensibles durant tout leur cycle de vie de la façon la plus sécuritaire possible.

Tout projet visant l’acquisition, le développement ou la refonte de système d’information ou de prestation électronique de services impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de RSSS, RP ou RP Sensibles doit être validé auprès du Responsable de la protection des renseignements

2.7.1. Concernant les Patients

Les RSSS, que le Groupe Médical Lacroix détient concernant les patients sont conservés sur un logiciel infonuagique de type Dossier Médical Électronique, dont les données sont chiffrées (ci-après le « DME »).

Le DME lui-même est hébergé dans le centre de données de MEDFAR Solutions cliniques. La solution est homologuée par le ministère de la Santé et des Services sociaux (MSSS) et détient une certification de type TGV (Trousse Globale de vérification) relativement aux exigences du secteur socio sanitaire du Québec en matière de sécurité, de protection des renseignements personnels (PRP), de performance et de technologie1.

Le Groupe Médical Lacroix limite l’accès aux RSSS contenus dans le DME aux personnes qui en ont besoin dans l’exercice de leurs fonctions. À cette fin, il crée autant d’accès sécurisés au DME que nécessaire afin de personnaliser et de restreindre les droits d’accès des différents intervenants aux RSSS.

À cette fin, les accès au DME sont protégés par un mot de passe unique, propre à chaque utilisateur, et par un mécanisme d’authentification multifactorielle. Toute personne qui n’est plus employé(e), prestataire de services, sous-traitant(e) ou n’a plus à avoir accès aux RSSS détenus par le Groupe Médical Lacroix voit son accès au DME révoqué immédiatement.

La gestion des accès DME est administrée par les différentes équipes de direction et supervisée par le Responsable de la protection des renseignements.

Les renseignements personnels de patients recueillis via des formulaires en ligne sont conservés de manière sécurisée sur les serveurs du site web. Ils sont ensuite transférés dans les systèmes du Groupe et supprimés conformément aux lois applicables et aux politiques de conservation.

Certains renseignements des Patients peuvent être conservés sur la plateforme de type TPV permettant de prélever les paiements nommés Netbanx opérée par Paysafe Group Limited. Pour en connaître davantage sur la gestion des renseignements faite par Netbanx, veuillez consulter le https://www.paysafe.com/ca-en/paysafegroup/comprehensive-privacy-notice/.

2.7.2. Concernant les employés, prestataires de services, sous-traitants et consultants

Les RP et RP Sensibles des employés, prestataires de services, sous-traitants et consultants, et dans de rares cas d’exceptions, certains RSSS, RP et RP Sensibles de patients sont conservés sur un serveur infonuagique hébergé par Microsoft (ci-après le « SharePoint GML »).

Le Groupe Médical Lacroix limite l’accès aux RSSS, RP et RP Sensibles contenus dans le SharePoint GML aux personnes qui en ont besoin dans l’exercice de leurs fonctions. Elle crée autant d’accès et de sites dans le SharePoint GML que nécessaires pour s’assurer de personnaliser et limiter les accès des différents employés aux RSSS, RP et RP sensibles.

À cette fin, chaque utilisateur se voit octroyer un accès Microsoft 365 avec mot de passe unique et double authentification pour l’accès au SharePoint GML. Toute personne qui n’est plus employé(e), prestataire de services, sous-traitant(e) ou n’a plus à avoir accès aux RSSS, RP et RP Sensibles contenus dans le SharePoint GML voit son accès Microsoft 365 révoqué immédiatement.

Les sous-traitants ayant accès aux RSSS, RP et RP Sensibles dont le Groupe Médical Lacroix a la garde ou le contrôle seront informés de la présente politique de protection des renseignements personnels et des autres politiques et processus applicables pour assurer la sécurité et la protection des renseignements personnels.

2.8. Droit d’accès aux RSSS, RP et RP Sensibles et droit de rectification et de retrait du consentement

2.8.1. Droit d’accès aux RSS, RP et RP Sensibles

Toute personne qui en fait la demande a le droit d’accéder aux renseignements personnels la concernant détenus par le Groupe Médical Lacroix, sous réserve des exceptions prévues par la Loi.

Une demande de communication ne peut être considérée que si elle est faite par écrit par une personne physique justifiant de son identité à titre de personne concernée, à titre de représentante ou de représentant, d’héritière ou d’héritier ou de successible de cette dernière, à titre de liquidatrice ou de liquidateur de la succession, à titre de bénéficiaire d’assurance vie ou d’indemnité de décès, à titre de titulaire de l’autorité parentale ou à titre de conjointe ou de conjoint ou de proche parent d’une personne décédée suivant l’article 40.1 de la Loi sur le Privé ou suivant les articles 17 à 31 de la loi sur les RSSS dans les cas où le renseignement en question est un RSSS.

Les dispositions prévues dans les Lois s’appliquent.

Les personnes sur lesquelles le Groupe Médical Lacroix détient des RSSS, RP et RP Sensibles ont le droit, en tout temps, via la procédure décrite ci-après de contacter le Groupe Médical Lacroix pour :

§ Connaître les RSSS, RP et RP Sensibles que le Groupe Médical Lacroix détient sur elles;

§ Connaître les catégories de personnes au sein du Groupe Médical Lacroix qui ont accès aux RSSS détenus sur elles;

§ Restreindre l’accès aux RSSS détenus sur elle par certaines personnes ou certaines catégories d’intervenants;

§ Connaître la durée de conservation des RSSS, RP et RP Sensibles détenues sur elles;

§ Demander l’accès aux RSSS, RP et RP Sensibles détenus sur elles;

§ Demander que le Groupe Médical Lacroix cesse d’utiliser les RSSS, RP et RP Sensibles qui les concernent;

§ Demander que les RSSS, RP et RP Sensibles qui les concernent soient anonymisés.

Le Groupe Médical Lacroix donnera suite à ces demandes dans un délai maximal de TRENTE (30) jours à moins que les Lois ne prévoient une exception ou une interdiction de ce faire.

Cette demande doit être adressée au Responsable de la protection des renseignements du Groupe Médical Lacroix, qui peut être jointe par courriel à l’adresse suivante: legal@cliniqueslacroix.ca.

Cette demande doit être écrite (par courriel ou par la poste). Le Responsable de la protection des renseignements aura TRENTE (30) jours à compter de la date de réception de la demande pour y donner suite. En cas de refus, celui-ci sera motivé par une disposition légale et indiquera les recours possibles en vertu des Lois et le délai pour les exercer.

Si elle fait droit à une demande d’accès à des RSSS, le Responsable de la protection des renseignements fourni à la personne ayant fait la demande, si celle-ci le requiert, l’assistance d’un professionnel qualifié pour l’aider à comprendre les renseignements.

2.8.2. Demande de rectification

Toute personne qui reçoit confirmation de l’existence dans un fichier d’un RSSS, RP et RP Sensibles la concernant peut, s’il est inexact, incomplet ou équivoque, ou si sa collecte, sa communication ou sa conservation ne sont pas autorisées par les Lois, exiger que le fichier soit rectifié.

Une demande de rectification ne peut être considérée que si elle est faite par écrit par une personne physique justifiant de son identité à titre de personne concernée, à titre de représentante ou de représentant, d’héritière ou d’héritier ou de successible de cette dernière, à titre de liquidatrice ou de liquidateur de la succession, à titre de bénéficiaire d’assurance vie ou d’indemnité de décès, à titre de conjointe ou de conjoint ou de proche parent d’une personne décédée.

Cette demande doit être adressée au Responsable de la protection des renseignements du Groupe Médical Lacroix qui peut être jointe par courriel à l’adresse suivante : legal@cliniqueslacroix.ca.

Lorsque le Responsable de la protection des reneignements refuse, en tout ou en partie, de faire droit à une demande de rectification visant des RSSS, elle doit, sur demande de la personne ayant fait la demande de rectification, enregistrer la demande de rectification avec le renseignement.

Les dispositions prévues dans les Lois s’appliquent.

3. GOUVERNANCE

3.1. Rôles et responsabilité

3.1.1. Responsable de la protection des renseignements

Le Responsable de la protection des renseignements veille à assurer le respect et la mise en œuvre des Lois au sein du Groupe Médical Lacroix. En tant que plus haute autorité au sein du Groupe Médical Lacroix en matière d’accès à l’information et de renseignements personnels, il peut déléguer en tout ou en partie ces fonctions à un membre de la direction.

Il est le responsable de l’accès à l’information et le responsable de la protection des renseignements personnels. En ces matières, ses fonctions consistent notamment à assurer la protection des renseignements personnels, à traiter les demandes d’accès aux documents et à participer à la saine gestion du cycle de vie des renseignements. En vertu de l’article 3.1 de la Loi sur le privé et de l’article 100 de la Loi sur les RSSS, il exerce ses fonctions de manière autonome.

Les coordonnées du Responsable de la protection des renseignements sont les suivantes :

Mᵉ ELSA RIZKALLAH, avocate et directrice des affaires juridiques Adresse : 401-1000, chemin Ste-Foy, Québec (Québec) G1L 3Z5 Téléphone : 418 781-2860, poste 1658 Courriel : legal@cliniqueslacroix.ca

3.1.2. Direction des technologies de l’information (TI)

Le directeur des technologies de l’information s’assure de la sécurité et de la confidentialité des données numériques.

Plus précisément, il :

§ Octroie les droits d’accès aux systèmes et aux répertoires électroniques à la suite de l’autorisation des directeurs concernés;

§ Peut utiliser ses bases de données afin de produire des rapports d’accès aux systèmes et aux répertoires électroniques.

§ Détruit ou anonymise les renseignements personnels sur demande du Responsable de la protection des renseignements ou lorsque leur période de conservation est atteinte.

3.1.3. Direction des affaires juridiques

Le directeur des affaires juridiques est chargé d’assurer la gestion des renseignements personnels contenus dans les dossiers du personnel du Groupe médical Lacroix.

Plus précisément, il s’assure de :

§ La mise à jour des registres d’accès aux locaux, aux classeurs, aux répertoires et aux bases de données sécurisées de la Direction des affaires juridiques;

§ La création, de la protection et de la conservation du dossier de l’employé et des prestataires de services;

§L’application et l’élaboration des procédures et des règles de gouvernance relatives aux activités de classement, de conservation, de consultation, d’épuration, de rectification et de destruction de documents contenant des renseignements personnels en sa possession.

3.1.4. Directeurs et gestionnaires

Les directeurs et gestionnaires, à l’égard des renseignements personnels :

§ Veillent au respect de la présente politique et des règles de protection des renseignements personnels;

§ Collaborent à l’élaboration et à la révision des fichiers de renseignements personnels dont ils sont responsables;

§ Assurent une saine gestion des renseignements personnels en leur possession.

§ Avisent le Responsable de la protection des renseignements de tout projet qui implique la communication de renseignements personnels à l’extérieur du Québec ou l’acquisition, le développement ou la refonte de systèmes d’information ou de prestation électronique de services.

3.1.5. Détenteurs et utilisateurs de l’information contenant des renseignements personnels

Les personnes détenant des renseignements personnels :

§ Participent à la catégorisation de l’information relevant de leur responsabilité en matière de disponibilité, d’intégrité, de protection et de confidentialité;

§ Veillent à ce que les renseignements personnels qu’ils conservent soient à jour;

§ S’impliquent dans l’ensemble des activités relatives à la gestion des risques, notamment des incidents de confidentialité;

§ Dirigent toute demande d’accès à l’information provenant de tiers vers le Responsable de la protection des renseignements;

§ Veillent à la mise en place et à l’application des mesures de sécurité de l’information, y compris celles liées au respect des exigences de protection des renseignements personnels;

§ Informent leur supérieur immédiat ainsi que le Responsable de la protection des renseignements de toute violation des mesures de protection des renseignements personnels ou de confidentialité dont ils pourraient être témoins.

3.1.6. Employés

Les employés respectent la présente politique et les règles de protection des renseignements personnels.

3.1.7 Catégories d’intervenants ayant accès aux renseignements

Médecins et autres professionnels de la santé : Les médecins et autres professionnels de la santé exerçant leur profession au sein du Groupe Médical Lacroix peuvent être appelés à recueillir et à consulter des RSSS visant les patients dans le but d’offrir à ceux-ci des services de santé et assurer la qualité des soins.

Employés (Personnel clinique) : Les infirmières, technologues et autre personnel clinique peuvent appelés à recueillir et à consulter des RSSS visant les patients dans le but d’offrir à ceux-ci des services de santé.

Employés (personnel administratif et de soutient) : Les employés du Groupe médical Lacroix, autres que le personnel clinique peuvent occasionnellement être appelés à recueillir et à consulter des RSSS visant les patients dans le but des services de soutien technique, administratif ou autre au Groupe Médical Lacroix.

Administrateurs et dirigeants : Les administrateurs et dirigeants du groupe Médical Lacroix peuvent occasionnellement être appelés à consulter des RSSS visant les patients dans le but d’assurer la gestion du Groupe Médical Lacroix.

3.2. Gestion des incidents de confidentialité

Lorsque le Groupe Médical Lacroix a des motifs de croire que s’est produit un incident de confidentialité impliquant un RSSS, RP ou RP Sensibles qu’il détient, il prend les mesures raisonnables pour diminuer les risques qu’un préjudice soit causé et éviter que de nouveaux incidents de même nature ne se produisent.

Si l’incident de confidentialité présente le risque qu’un préjudice sérieux soit causé, le Groupe Médical Lacroix en avise la Commission d’accès à l’information du Québec avec diligence. Il avise également toute personne susceptible de prévenir ou de diminuer le risque de préjudice sérieux et toute personne dont un renseignement personnel est concerné par l’incident. Si les renseignements touchés par l’incident sont des RSSS, il en avise également le ministre de la Santé et des services sociaux du Québec.

Le Groupe Médical Lacroix tient un registre des incidents de confidentialité, dont le contenu est déterminé par les Lois et par les règlements adoptés par le gouvernement.

3.3. Processus de traitement des plaintes en lien avec la présente politique

3.3.1. Dépôt d’une plainte

Toute personne qui a des motifs de croire qu’un incident de confidentialité s’est produit et que le Groupe Médical Lacroix a fait défaut d’assurer la confidentialité des RSSS, RP et RP Sensibles qu’il détient peut adresser une plainte écrite auprès du Responsable de la protection des renseignements pour demander que la situation soit corrigée.

La plainte doit être formulée par écrit à legal@cliniqueslacroix.ca et comporter une description de l’incident, la date ou la période où l’incident s’est produit, la nature des renseignements personnels visés par l’incident et le nombre de personnes concernées.

3.3.2. Traitement de la plainte

Lorsqu’une plainte est reçue, la personne responsable de la protection des renseignements l’analyse et la traite après en avoir accusé réception auprès de son auteur.

L’accusé de réception devra contenir les informations suivantes :

§ Une copie de la Politique de gouvernance à l’égard des renseignements personnels détenus par le Groupe Médical Lacroix et politique de confidentialité;

§ Une description de la plainte reçue, précisant le reproche fait au Groupe Médical Lacroix, le préjudice ou la mesure correctrice demandée;

§ Le nom et les coordonnées du responsable du traitement de la plainte;

§ Dans le cas d’une plainte incomplète, un avis comportant une demande de complément d’information à laquelle le plaignant doit répondre dans un délai fixé, soit CINQ (5) jours ouvrables, à défaut de quoi la plainte sera réputée abandonnée.

Dans les TRENTE (30) jours de la réception de la plainte complète, sous réserve de tout délai différent qui pourrait être prévu par les lois, le Responsable de la protection des renseignements devra la traiter, puis envoyer une réponse finale, écrite et motivée au plaignant.

Si le Groupe Médical Lacroix ne peut pas traiter la plainte dans ce délai de TRENTE (30) jours, le plaignant devra être informé par écrit des motifs du retard et du délai dans lequel sa plainte sera traitée. Dans le cas où la plainte s’avère fondée, le Groupe Médical Lacroix prend les mesures requises pour corriger la situation dans les meilleurs délais et procède à l’inscription de l’incident au registre approprié.

Le Responsable de la protection des renseignements communique la réponse finale à la personne qui a formulé la plainte.

La réponse finale indique notamment quelles sont les mesures de redressement qui seront appliquées.

3.4. Activités de formation et de sensibilisation à la protection des renseignements personnels

Le Groupe Médical Lacroix et son Responsable de la protection des renseignements recherchent le soutien nécessaire pour se former et créer des outils qui l’aideront à respecter les nouvelles obligations législatives. Parmi les activités de formation, notons les suivantes :

§ La participation régulière des responsables de l’accès à l’information et de la protection des renseignements personnels à des formations pour étendre leurs connaissances en la matière;

§ La tournée des directions du Groupe médical Lacroix pour présenter les principes de base en matière de protection des renseignements personnels;

§ La présentation de la politique lors des activités d’accueil du personnel.

4. SANCTION APPLICABLE EN CAS DE NON-RESPECT DE LA POLITIQUE

Le non-respect de la présente politique pourrait entraîner des mesures administratives et/ou disciplinaires. La nature, la gravité et le caractère répétitif des actes reprochés doivent être pris en considération au moment de déterminer une sanction.

5. ENTRÉE EN VIGUEUR ET RÉVISION DE LA POLITIQUE

La Politique est approuvée par le Comité de direction.

Elle entre en vigueur à la date de son approbation par le Comité exécutif. Elle demeure en application tant et aussi longtemps qu’elle n’est pas abrogée, modifiée ou remplacée par une autre politiques.

Publiée le 21 août 2025. Mise à jour le 21 août 2025

ANNEXE « A »

L’Annexe « A » consiste en une liste exhaustive sur les types de RP et RP Sensibles que le Groupe Médical Lacroix peut collecter et utiliser.

ANNEXE « B »

Les renseignements collectés automatiquement ne peuvent généralement pas être considérés comme des renseignements personnels, dans le sens où ceux-ci ne sont pas collectés de façon à nous permettre de vous identifier personnellement.

PAR QUELLES MÉTHODES RECUEILLONS-NOUS AUTOMATIQUEMENT DES RENSEIGNEMENTS ?

Lorsque vous visitez notre site Web cliniquesmedicaleslacroix.com, nous pouvons recueillir automatiquement certaines informations à l’aide de témoins (« cookies ») et les stocker dans des dossiers journaux (« log files »). Les témoins sont de petits fichiers texte que nous créons et stockons sur votre ordinateur lorsque vous naviguez sur notre site Web. Ils enregistrent vos préférences de sorte que vos visites suivantes sur le site Web se déroulent plus efficacement.

Notez que vous pouvez à tout moment paramétrer votre navigateur pour qu’il bloque les fichiers témoins. Par défaut, les navigateurs permettent l’utilisation de ces témoins. De plus, vous pouvez aussi voir les fichiers témoins qui ont été créés sur votre disque dur à l’aide de votre navigateur et les effacer manuellement quand vous le désirez.

QUELS TYPES DE RENSEIGNEMENTS PEUVENT-ÊTRE RECUEILLIS AUTOMATIQUEMENT ?

Les informations recueillies à l’aide de ces témoins peuvent inclure sans s’y limiter :

§ Information sur le navigateur;

§ Système d’exploitation;

§ Fournisseurs de services Internet (FSI);

§ Pages visitées et requêtes;

§ Heure et jour de connexion;

§ Fréquence et durée des visites;

§ Géographie et préférence de langue.

COMMENT UTILISONS-NOUS CES RENSEIGNEMENTS COLLECTÉS AUTOMATIQUEMENT ?

Les renseignements collectés par les fichiers témoins nous permettent principalement de :

§ Traiter des statistiques et des informations sur le trafic;

§ Créer des listes d’audience pour faire du re ciblage publicitaire;

§ Faciliter la navigation et d’améliorer le service pour votre confort.