Projet de loi S-5 — Loi visant un système de soins de santé connecté au Canada

Par courriel : soci@sen.parl.gc.ca

L’honorable Rosemary Moodie
Présidente, Comité sénatorial permanent des affaires sociales, des sciences et de la technologie
Le Sénat du Canada
Ottawa (Ontario) K1A 0A6

Madame la Sénatrice Moodie,

Objet : Projet de loi S-5, Loi visant un système de soins de santé connecté au Canada

Nous vous écrivons au nom des Sections du droit de la santé, du droit de la vie privée et du droit des personnes aînées ainsi que de la Section des testaments, successions et fiducies de l’Association du Barreau canadien (les « sections de l’ABC ») concernant le projet de loi S-5, Loi visant un système de soins de santé connecté au Canada. Nous remercions le Sénat de cette occasion de faire des commentaires. Les sections de l’ABC appuient l’objectif du projet de loi, soit faciliter l’échange de données pour améliorer la continuité des soins et la sécurité des patients, tout en allégeant le fardeau administratif dans un système de santé de plus en plus surchargé. Pour atteindre cet objectif, il faudra harmoniser les exigences d’interopérabilité avec les cadres fédéral, provinciaux et territoriaux de protection de la vie privée si l’on veut éviter les obligations juridiques contradictoires. Les observations qui suivent portent sur les principaux points à clarifier pour renforcer le projet de loi.

L’ABC est une association nationale de plus de 40 000 membres qui regroupe des juristes, des notaires, des professeures et professeurs de droit et des étudiantes et étudiants en droit. Son mandat est de promouvoir la primauté du droit, d’améliorer l’accès à la justice et d’encourager une réforme efficace du droit. Les sections de l’ABC analysent les questions de droit et d’orientation stratégique dans leurs domaines d’expertise respectifs. Le présent mémoire a été rédigé par la section du droit de la santé avec l’aide et d’après la rétroaction des autres sections de l’ABC susmentionnées.

Observations générales sur le projet de loi S-5

Les sections de l’ABC constatent que le projet de loi S-5 vise les fournisseurs de technologies de l’information sur la santé, plutôt que l’ensemble des dépositaires et fiduciaires de renseignements sur la santé. Cela fait contraste avec la stratégie adoptée par les États-Unis dans la 21^st Century Cures Act¹ et ses règlements d’application axés sur l’interdiction de blocage de données, lesquels s’appliquent plus largement aux parties intéressées du secteur de l’information sur la santé et visent à régir les fournisseurs de technologies tout comme les responsables du contrôle et de la divulgation des renseignements sur la santé.

Dans le préambule du projet de loi S-5, on énonce d’importants objectifs en lien avec l’échange de données sur la santé, notamment l’amélioration de la sécurité des patients et des résultats en matière de santé. Toutefois, dans l’actuel cadre réglementaire canadien, les renseignements sur la santé sont régis selon un modèle où le dépositaire (ou fiduciaire) agit comme gardien des données sur la santé. Le dépositaire veille à ce que la collecte, l’utilisation, la divulgation et la préservation des renseignements respectent la Loi sur l’accès à l’information et la protection de la vie privée applicable. Dans ce contexte, le projet de loi S-5 favorise sans doute l’interopérabilité en améliorant l’efficacité des communications entre les systèmes, mais il n’autorise pas ni n’exige l’échange des renseignements sur la santé comme tels.

Résultat : atteindre les objectifs annoncés du projet de loi dépendra non seulement des exigences d’interopérabilité imposées aux fournisseurs, mais aussi de l’harmonisation avec les cadres juridiques et opérationnels qui régissent les processus décisionnels des dépositaires. Des mesures supplémentaires, notamment la coordination entre les provinces et territoires ainsi que la précision du rôle des dépositaires dans un environnement d’interopérabilité, pourraient être nécessaires pour bénéficier pleinement des avantages anticipés des soins de santé connectés. Le projet de loi S-5 n’en reste pas moins une première étape importante vers la modernisation des systèmes de santé du Canada et la mise en œuvre des principes de la Charte pancanadienne sur les données de santé.²

Interopérabilité des technologies de l’information sur la santé : harmonisation nécessaire

Exiger l’interopérabilité des technologies de l’information sur la santé utilisées sous licence, vendues ou fournies au Canada est primordial si nous voulons recourir aux outils de santé numériques pour communiquer, échanger et utiliser des renseignements électroniques sur la santé, de façon sécuritaire et efficace. L’interopérabilité est essentielle pour des soins de santé modernes. La fragmentation des systèmes compromet la continuité des soins, alourdit le fardeau administratif et expose les patients à des risques de sécurité.

Les sections de l’ABC sont conscientes que la plupart des détails seront précisés dans la réglementation et qu’un cadre législatif clair peut garantir l’échange sécuritaire de renseignements tout en respectant le droit à la vie privée et les garde-fous constitutionnels. Sans harmonisation claire, les exigences d’interopérabilité risquent d’engendrer des obligations contradictoires dans les territoires et provinces ainsi que des obstacles à la mise en œuvre.

Par ailleurs, les normes d’interopérabilité doivent être harmonisées avec les lois fédérales, provinciales et territoriales sur la protection de la vie privée et l’accès à l’information. Les exigences de consentement, les garde-fous de sécurité, les règles encadrant la recherche et les mécanismes de transparence doivent rester au cœur de tout cadre d’échange de données. L’omission d’exigences relatives à la protection de la vie privée et à la sécurité permet d’éviter tout conflit de lois à cet égard; toutefois, une référence explicite aux lois provinciales et territoriales sur la protection de la vie privée dans le projet de loi pourrait favoriser une mise en conformité qui s’inscrit dans l’objectif de systèmes interopérables et sécurisés. Une exécution ferme et cohérente est toute aussi essentielle si nous voulons que la législation produise l’effet escompté de manière équitable.

Modifications recommandées pour les définitions

Blocage de données

Dans sa version actuelle, la définition de « blocage de données » est large et englobe toute pratique ou acte qui empêche, décourage ou entrave l’utilisation ou l’échange de renseignements électroniques sur la santé ou l’accès à ceux-ci. Il faut plus de précision si on ne veut pas pénaliser les pratiques légitimes de protection de la vie privée. L’actuelle définition risque de s’appliquer par inadvertance à des démarches visant la conformité aux obligations légales et d’empêcher une protection adéquate de la vie privée.

Or, en pratique, on ne peut pas toujours divulguer des renseignements personnels sur la santé en entier. Les lois provinciales sur la protection de la vie privée obligent généralement les dépositaires de renseignements sur la santé à restreindre ou à « masquer » l’accès à certains renseignements pour n’utiliser et ne communiquer qu’une quantité minimale d’information permise. Il peut s’agir de caviarder certains renseignements ou de restreindre l’accès à des données sensibles à la demande d’un patient, comme des notes sur la santé mentale ou une séance de psychothérapie.

Le caviardage est une technique bien établie d’application des principes de protection de la vie privée de base. Toutefois, la définition large du terme « blocage de données » crée le risque que de telles pratiques soient jugées non conformes, mettant des organisations dans une situation où le fait de respecter les lois provinciales sur la vie privée les exposerait à une infraction en vertu du projet de loi S-5.

Les sections de l’ABC recommandent que la loi ou ses règlements d’application précisent expressément que le caviardage légitime de renseignements personnels sur la santé, exigé par une loi provinciale ou territoriale applicable, ne constitue pas un blocage de données.

Renseignements personnels sur la santé

La définition de « renseignement personnel sur la santé » comprend l’expression « tout renseignement relatif aux services de santé fournis à celui-ci [un individu] ». Or, le terme « services de santé » n’est pas défini. De plus, le terme « fournis » peut être interprété de façon restrictive de manière à exclure les services recommandés, demandés ou envisagés, mais qui, ultimement, ne sont pas fournis. Plus de clarté améliorerait la certitude et éviterait les lacunes accidentelles.

L’ABC recommande d’élargir la définition de « renseignement personnel sur la santé » pour inclure expressément les renseignements servant à identifier les fournisseurs de services de santé. Ce point est souvent source de confusion, car les fournisseurs peuvent percevoir ces renseignements comme leurs propres « renseignements personnels » plutôt que des renseignements liés aux soins d’un patient. La modification proposée apporterait la précision que la visée de cette loi est les données du patient, cadre avec les lois provinciales, notamment la Health Information Act de l’Alberta, et pourrait être intégrée à la définition législative ou prescrite par la réglementation à l’article 8a).³

Renseignement électronique sur la santé

Compte tenu du champ d’application étendu du projet de loi S-5 qui vise toute entité concédant sous licence, vendant ou fournissant des informations de santé à titre de service, et compte tenu de la définition du renseignement électronique sur la santé comme désignant le « renseignement personnel sur la santé sur support électronique, qu’il ait ou non été dépersonnalisé », l’on craint que le projet de loi ne s’applique involontairement à des plateformes d’analyse, de traitement des données et de recherche qui ne sont pas conçues pour permettre l’interopérabilité au point de service. Par exemple, les types d’offres qui utilisent des ensembles de données anonymisées ou agrégées à des fins de recherche, de réglementation, de sécurité ou d’analyse commerciale, plutôt que de faciliter l’échange clinique direct entre les prestataires. En conséquence, il est recommandé de modifier ces définitions dans le projet de loi ou par voie réglementaire afin de préciser que les exigences fondamentales en matière d’interopérabilité et les obligations de blocage des données s’appliquent uniquement aux systèmes permettant la prestation de soins cliniques, et non aux plateformes utilisées exclusivement pour l’analyse, la recherche, l’amélioration de la qualité ou d’autres utilisations secondaires de données anonymisées.

De plus, l’absence de distinction entre les ensembles de données dépersonnalisés et ceux qui ont été anonymisés ou pseudonymisés, d’une part, et les données synthétiques ou dérivées statistiquement, d’autre part, pourrait entraîner des conséquences négatives pour les chercheurs et les fournisseurs sans pour autant améliorer la prise en charge des patients.

Considérations relatives à la propriété intellectuelle

L’exigence d’un accès « complet » et d’un échange des informations sur la santé, jumelée à des dispositions générales contre le blocage des données, pourrait créer une incertitude quant aux exigences en matière de propriété intellectuelle. Par exemple, si le terme « interopérabilité » venait à être interprété à tort comme imposant une équivalence fonctionnelle ou une reproductibilité des systèmes propriétaires. Par conséquent, une clarification de ce point dans le projet de loi ou par le biais des règlements envisagés au paragraphe 5(2)b) pourrait être obtenue en affirmant expressément que les obligations d’interopérabilité n’exigent pas des fournisseurs qu’ils divulguent ou permettent la rétro-ingénierie d’algorithmes propriétaires, de secrets d’affaires, de modèles de données, d’ensembles de données dérivés ou de transformations à valeur ajoutée.

Répercussions sur les personnes âgées, les procurations et les décisions au nom d’autrui

L’interopérabilité des technologies de l’information sur la santé pourrait améliorer la prise de décisions en permettant l’accès aux dossiers dans divers contextes, diminuant ainsi les lacunes et la mésinformation. Un accès à de l’information plus précise et complète aidera les particuliers et leurs mandataires par procuration (ou quiconque est autorisé à prendre des décisions en leur nom) à prendre des décisions sur la santé. Le projet de loi S-5 autorise explicitement les patients à accéder à leurs propres renseignements, ce qui peut aussi faciliter l’accès et la prise de décisions pour eux et leurs mandataires. Un tel accès à l’information améliorera également le suivi à long terme sur la capacité, de même que les notes sur les évaluations ou le déclin cognitif. Cela dit, les préoccupations concernant la vie privée et la vulnérabilité chez les personnes âgées peuvent aussi intensifier les inquiétudes au sujet de la maltraitance dans ce groupe d’âge, qui se caractérise par la pression ou la coercition dans l’utilisation abusive des renseignements personnels sur la santé, un point à considérer pour la réglementation.

Sécurité et protection de la vie privée

Le projet de loi S-5 vise à permettre, de façon « facile, complète et sécurisée », d’avoir accès aux renseignements électroniques sur la santé et de les échanger. Le terme « sécurisé » est essentiel à l’objet du projet de loi, mais, mis à part sa mention au paragraphe 5(2)a), il n’y a aucune référence expresse aux lois fédérales et provinciales sur la protection de la vie privée qui établissent des exigences de protection. Ajouter une telle référence aux exigences existantes en matière de vie privée et de protection renforcerait l’importance de la sécurité et de la protection de la vie privée comme éléments fondamentaux de l’interopérabilité.

Bien que le projet de loi S-5 n’ait pas pour objectif de régir la protection de la vie privée et la sécurité dans leur totalité, plus de clarté quant à la manière dont les protections seront définies et mises en œuvre renforcerait le cadre législatif. Bon nombre de détails opérationnels semblent avoir été laissés aux futurs règlements, d’où une incertitude à l’étape de la mise en œuvre et le risque d’incohérence dans l’application des normes par les provinces, les territoires et les fournisseurs.

La loi bénéficierait de dispositions de protection plus claires et applicables, et d’un cadre plus solide pour ce qui est de vérifier, de surveiller et de protéger les systèmes avant et après le déploiement, notamment par une référence expresse aux lois applicables sur la protection de la vie privée.

Application

Le projet de loi S-5 bénéficierait d’un énoncé plus clair en matière d’application et de responsabilisation dans un contexte intergouvernemental. Il est en effet difficile de savoir quelle instance exercerait la compétence principale dans le cas de systèmes interconnectés, ou de savoir comment la responsabilité serait déterminée pour des renseignements qui proviennent d’un territoire de compétence, mais sont accessibles ou traités ailleurs. Préciser si la compétence réside dans un système principal, comme le point d’origine des données, aiderait à prévenir les lacunes ou conflits dans les mécanismes de surveillance ainsi qu’une application fragmentée ou incohérente.

Maints éléments liés à l’application semblent avoir été laissés aux futurs règlements, ce qui risque d’être source d’incertitude pour les fournisseurs et les organes de réglementation. La dissuasion efficace du blocage de données et de l’interopérabilité mandatée exige des pénalités assez sévères pour influencer les comportements, et des ressources suffisantes pour soutenir la surveillance et l’application.

Les sanctions administratives pécuniaires et les pouvoirs de vérification de la conformité proposés dans le projet de loi S-5 devraient également être accompagnés de dispositions claires sur la protection de l’équité procédurale et de mécanismes de surveillance transparents. Cela demande des processus d’examen et d’appel définis, ainsi que des rapports publics réguliers sur les activités d’application. Ces mesures favoriseraient la responsabilisation et renforceraient la confiance à l’égard du cadre réglementaire. Étant donné la définition très large du blocage des données, il est recommandé de modifier le projet de loi afin d’y inclure une disposition d’immunité permettant aux fournisseurs de faire valoir une défense fondée sur la « conformité de bonne foi », dans les cas où les données sont légitimement retenues afin de se conformer aux lois applicables en matière de protection de la vie privée ou lorsque le blocage des données est le fait du fournisseur d’accès plutôt que du fournisseur.

Conclusion

L’ABC appuie l’interopérabilité accrue et l’accès aux renseignements sur la santé partout au Canada. Pour que cela se fasse de façon sécuritaire et conforme aux actuels cadres juridiques, nous recommandons ce qui suit :

• clarifier les définitions clés, notamment celles de « blocage de données », « renseignement personnel sur la santé » et « renseignement électronique sur la santé »;
• reconnaître expressément les pratiques autorisées de caviardage de données;
• préciser la portée des exigences en matière d’interopérabilité et de lutte contre le blocage de données;
• améliorer les références aux obligations de sécurité et de protection de la vie privée;
• établir des protections de base claires et applicables;
• améliorer la certitude concernant l’application, les compétences et la responsabilisation.

Nous serions heureux d’avoir l’occasion d’apporter un soutien supplémentaire au Comité dans la poursuite de son étude du projet de loi S-5.

Veuillez agréer, Madame la Sénatrice, l’expression de nos salutations distinguées,

(lettre originale signée par Yasmin Khaliq au nom des présidentes des sections contributrices.)

Notes de fin