PHIPA expliquée : la loi ontarienne sur la protection de la vie privée en santé, vos droits et les sanctions

La Loi de 2004 sur la protection des renseignements personnels sur la santé de l'Ontario (PHIPA) régit la façon dont les dépositaires de renseignements sur la santé, comme les médecins, les hôpitaux, les pharmacies et les laboratoires, recueillent, utilisent et communiquent les renseignements personnels sur la santé, et elle accorde à chaque patient un droit d'accès et de correction de son propre dossier sous 30 jours.

Informations vérifiées le 2026-08-15. Cet article n'a pas encore été révisé par un avocat.

Ce qu'est PHIPA

La Personal Health Information Protection Act, 2004 (PHIPA), Lois de l'Ontario de 2004, chapitre 3, annexe A, est la loi ontarienne consacrée à la protection de la vie privée dans le secteur de la santé. Elle est entrée en vigueur en novembre 2004 et établit les règles encadrant la collecte, l'utilisation et la communication des renseignements personnels sur la santé par les organismes et les personnes qui offrent des soins de santé dans la province.

PHIPA est plus étroite et plus spécifique que la loi fédérale générale sur la protection de la vie privée dans le secteur privé, la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE). Alors que la LPRPDE s'applique de façon générale à l'activité commerciale, PHIPA s'applique à une catégorie définie de dépositaires de renseignements sur la santé traitant une catégorie définie de renseignements personnels sur la santé, que ce dépositaire exerce ou non une activité commerciale. Un hôpital public ou un foyer de soins de longue durée ne se livre généralement pas à une activité commerciale au sens de la LPRPDE, ce qui explique en partie pourquoi l'Ontario a créé une loi distincte pour le secteur de la santé. Voir notre guide complémentaire PIPEDA (LPRPDE) expliquée pour le cadre fédéral général que cette page ne reprend pas.

Qui PHIPA couvre : dépositaires, mandataires et renseignements personnels sur la santé

Les dépositaires de renseignements sur la santé

L'article 3 de PHIPA énumère qui est considéré comme un dépositaire de renseignements sur la santé, souvent désigné par l'abréviation anglaise HIC. La liste comprend :

• Les praticiens de la santé et les cabinets de groupe de praticiens de la santé
• Les fournisseurs de services de soins à domicile et en milieu communautaire
• Les exploitants d'hôpitaux, d'hôpitaux privés, d'établissements psychiatriques, de foyers de soins de longue durée, de résidences pour personnes âgées, de pharmacies, de laboratoires et de centres de prélèvement, de services d'ambulance, ainsi que de centres communautaires ou de santé mentale dont la fonction principale est d'offrir des soins de santé
• Les évaluateurs au sens de la Health Care Consent Act et les évaluateurs au sens de la Substitute Decisions Act
• Le médecin-hygiéniste d'un conseil de santé
• Le ministre de la Santé, ainsi que toute autre personne ou catégorie prescrite par règlement

Les guérisseurs autochtones traditionnels, les sages-femmes autochtones traditionnelles et les guérisseurs par la foi ou la prière sont expressément exclus de la définition de dépositaire au paragraphe 3(4). Une personne qui travaille pour un dépositaire, comme une réceptionniste ou une commis aux dossiers, est généralement un mandataire du dépositaire plutôt qu'un dépositaire à part entière.

Les renseignements personnels sur la santé

L'article 4 définit largement les renseignements personnels sur la santé. La définition couvre les renseignements identificatoires sur une personne qui se rapportent à sa santé physique ou mentale, y compris ses antécédents de santé familiale, qui se rapportent à la prestation de soins de santé, qui se rapportent au paiement ou à l'admissibilité à une couverture de soins de santé, qui concernent le don d'une partie du corps ou d'une substance corporelle, qui constituent le numéro de carte Santé de la personne, ou qui identifient son mandataire spécial. Lorsqu'un dossier combine des renseignements personnels sur la santé avec d'autres renseignements identificatoires, le paragraphe 4(3) traite l'ensemble du dossier comme des renseignements personnels sur la santé.

Le consentement : exprès, implicite et le cercle de soins

PHIPA exige le consentement pour la plupart des activités de collecte, d'utilisation et de communication de renseignements personnels sur la santé, et l'article 18 en établit les règles de base : le consentement doit émaner de la personne concernée, être éclairé, se rapporter aux renseignements précis en cause, et ne pas avoir été obtenu par tromperie ou contrainte. Le consentement peut être exprès ou implicite, sauf que la communication à une personne qui n'est pas un dépositaire de renseignements sur la santé, ou la communication entre dépositaires à une fin autre que la prestation de soins de santé, doit être expresse.

Le paragraphe 20(2) est la disposition derrière ce que les praticiens appellent couramment le cercle de soins. Il permet à un dépositaire faisant partie de catégories précises, soit les praticiens de la santé, les fournisseurs de soins à domicile et en milieu communautaire, et les établissements énumérés ci-dessus, de présumer un consentement implicite pour recueillir, utiliser ou communiquer des renseignements personnels sur la santé reçus de la personne concernée, de son mandataire spécial ou d'un autre dépositaire, aux fins de fournir des soins de santé ou d'y contribuer, à moins que le dépositaire ne sache que la personne a expressément refusé ou retiré son consentement. Les propres lignes directrices du Commissaire à l'information et à la protection de la vie privée de l'Ontario (CIPVP) sont directes sur la terminologie : « cercle de soins » n'est pas un terme défini dans PHIPA. Il s'agit d'un raccourci utilisé dans le secteur pour désigner ce mécanisme du paragraphe 20(2), et il comporte de véritables limites. Il ne s'étend pas aux renseignements reçus d'un employeur, d'un assureur ou d'un établissement d'enseignement, et il n'autorise jamais la communication à une personne qui n'est pas un dépositaire.

Le « lockbox » qu'un patient peut demander fonctionne de la même façon, soit comme un raccourci informel plutôt qu'un terme législatif. La propre fiche d'information du CIPVP sur le sujet précise directement que « lock-box » n'est pas non plus un terme défini dans PHIPA. Il repose sur deux fondements législatifs : la clause « à moins de savoir » qu'il y a eu un retrait exprès, au paragraphe 20(2) lui-même, et des dispositions distinctes sur les instructions expresses aux articles 37, 38 et 50, qui permettent à un patient de bloquer des utilisations ou communications précises que la Loi permettrait autrement à des fins de soins de santé, qu'il s'agisse d'un seul diagnostic, d'un dossier complet ou de la communication à un fournisseur nommé. Un lockbox ne prime pas la capacité d'un dépositaire de communiquer des renseignements sans consentement lorsqu'il existe un risque important de préjudice corporel grave.

Votre droit d'accès à vos dossiers

L'article 52 accorde à toute personne un droit d'accès à ses propres renseignements personnels sur la santé qui sont en la garde ou sous le contrôle d'un dépositaire, sous réserve d'une liste définie d'exceptions, comme le privilège juridique, une instance judiciaire en cours ou un risque réel de préjudice grave découlant de la communication. La demande doit être faite par écrit en vertu de l'article 53, et le dépositaire doit aider à reformuler une demande qui n'est pas assez précise pour y donner suite.

À partir de là, l'article 54 fait courir le délai. Le dépositaire doit répondre, soit en accordant l'accès, en confirmant qu'aucun dossier n'existe, soit en refusant avec motifs, dans les 30 jours suivant la réception de la demande. Une prolongation d'au plus 30 jours supplémentaires est possible, mais seulement lorsque le volume de renseignements ou la nécessité d'une consultation externe rend le délai initial véritablement impraticable, et le dépositaire doit donner un avis écrit de la prolongation et de son motif. Si le dépositaire ne répond tout simplement pas dans le délai, ce silence équivaut à un refus présumé. En cas de refus, la personne peut porter plainte auprès du Commissaire à l'information et à la protection de la vie privée, et le fardeau de prouver que le refus était justifié incombe au dépositaire, non au patient.

Les dépositaires peuvent exiger des frais, mais seulement après avoir fourni une estimation, et les frais ne peuvent dépasser le montant prescrit, ou le montant d'un recouvrement raisonnable des coûts si rien n'est prescrit. C'est la nuance clé de cette page : aucun règlement n'a jamais réellement prescrit ce montant. Le chiffre couramment cité, des frais fixes de $30 couvrant les 20 premières pages plus $0.25 par page additionnelle, remonte à un barème de frais que le gouvernement de l'Ontario a proposé dans un projet de règlement en 2006, puis jamais adopté. Les arbitres du CIPVP l'ont néanmoins repris, à commencer par l'ordonnance HO-009 en 2010, comme référence de travail pour déterminer ce que constitue un recouvrement raisonnable des coûts, et ils appliquaient encore ce même cadre non adopté aussi récemment que dans une décision de juillet 2024, qui affirme clairement qu'« aucun règlement ne prescrit de frais pour l'accès ». Considérez le chiffre de $30 comme une pratique arbitrale constante, et non comme un barème de frais codifié, et sachez qu'un dépositaire peut se voir ordonner de facturer moins s'il a omis des étapes requises, comme fournir une estimation.

La correction de votre dossier

L'article 55 accorde à une personne qui a obtenu l'accès le droit de demander, par écrit, une correction si elle croit que le dossier est inexact ou incomplet pour les fins auxquelles le dépositaire l'utilise. Le même délai de 30 jours et la même prolongation unique de 30 jours s'appliquent, et une absence de réponse équivaut là aussi à un refus présumé.

Si la personne démontre que le dossier est inexact ou incomplet et fournit ce qui est nécessaire pour le corriger, le dépositaire a l'obligation de le corriger en vertu du paragraphe 55(8). Il existe deux exceptions : un dépositaire qui n'a pas créé le dossier et qui n'a ni la connaissance ni le pouvoir de le corriger, et une opinion ou observation professionnelle que le dépositaire a formulée de bonne foi, laquelle ne peut être forcée à changer même sur demande. Une correction n'efface jamais simplement l'inscription d'origine. Le dépositaire biffe ou étiquette le renseignement inexact tout en conservant ce qui avait été consigné à l'origine, et avise la personne ainsi que, sur demande, quiconque avait déjà reçu la version inexacte.

Lorsqu'une correction est refusée, PHIPA accorde plutôt à la personne un droit de déclaration de désaccord. Elle peut rédiger une déclaration expliquant le différend, exiger que le dépositaire la joigne au dossier, exiger qu'elle soit communiquée avec les renseignements à l'avenir, et demander que les destinataires antérieurs en soient avisés. Il s'agit du substitut fonctionnel prévu par la Loi à une correction forcée lorsque le dépositaire ne cède pas, le plus souvent à propos d'une opinion clinique contestée.

Se plaindre au CIPVP

Quiconque a des motifs raisonnables de croire qu'un dépositaire a contrevenu ou est sur le point de contrevenir à PHIPA peut porter plainte auprès du Commissaire à l'information et à la protection de la vie privée en vertu de l'article 56, pas seulement la personne dont les renseignements sont en cause. Le délai de prescription général est d'un an à compter du moment où l'affaire a été portée, ou aurait raisonnablement dû être portée, à la connaissance du plaignant, bien que le Commissaire puisse accorder plus de temps si cela ne cause aucun préjudice. Les plaintes portant précisément sur un refus d'accès ou de correction sont assujetties à un délai de prescription plus court, de six mois.

Le Commissaire peut d'abord tenter un règlement ou une médiation, et si cela échoue ou n'est pas utilisé, décide s'il y a lieu d'ouvrir un examen formel. Les examens s'accompagnent de véritables pouvoirs d'enquête, y compris l'inspection sans mandat des locaux d'un dépositaire sous certaines conditions, des exigences de production de documents et un pouvoir d'assignation à comparaître pour contraindre un témoignage. Un examen mené à terme peut donner lieu à une ordonnance exigeant une mesure précise, et les ordonnances rendues en vertu de la plupart des pouvoirs d'ordonnance du Commissaire peuvent être portées en appel devant la Cour divisionnaire sur une question de droit dans les 30 jours.

Les obligations de déclaration en cas d'atteinte

Les obligations de PHIPA en cas d'atteinte suivent deux volets distincts. En vertu de l'article 12, un dépositaire doit aviser la personne touchée à la première occasion raisonnable après tout vol, toute perte ou toute utilisation ou communication non autorisée de ses renseignements personnels sur la santé. La Loi ne fixe aucun seuil minimal de préjudice pour cet avis. Il s'applique peu importe la gravité de l'incident.

L'avis au Commissaire est plus restreint. Le Règlement de l'Ontario 329/04 énonce sept circonstances prescrites qui déclenchent l'obligation de faire rapport au CIPVP, notamment des motifs raisonnables de croire que les renseignements ont été volés, des motifs raisonnables de croire qu'ils seront utilisés de façon abusive à l'avenir, le fait que l'incident s'inscrive dans une série d'incidents semblables, et la propre détermination du dépositaire que l'incident est important après avoir soupesé la sensibilité des renseignements, le volume en cause et le nombre de personnes touchées.

Indépendamment de tout incident particulier, chaque dépositaire doit déposer un rapport annuel auprès du Commissaire, au plus tard le 1er mars de chaque année, indiquant le nombre total de fois, au cours de l'année civile précédente, où des renseignements personnels sur la santé sous sa garde ont été volés, perdus, ou utilisés ou communiqués sans autorisation. Ce bilan annuel limité à des chiffres est exigé, que l'un des incidents survenus pendant l'année ait ou non atteint le seuil des sept circonstances déclenchant une déclaration individuelle.

Les sanctions : deux régimes distincts

PHIPA assure le respect de ses règles au moyen de deux mécanismes distincts qu'il est facile de confondre.

Le volet le plus ancien est une infraction de nature pénale prévue à l'article 72, visant des actes comme la collecte, l'utilisation ou la communication délibérée et non autorisée de renseignements personnels sur la santé, et le fait d'entraver délibérément le Commissaire. Une modification de mars 2020 a quadruplé ces amendes, et non simplement doublé comme cela est parfois rapporté : de $50,000 à $200,000 pour une personne physique et de $250,000 à $1,000,000 pour un organisme, avec une peine d'emprisonnement pouvant aller jusqu'à un an également possible pour un particulier. Une poursuite dans ce volet exige le consentement du procureur général avant même de pouvoir être engagée, un frein pratique bien réel à la fréquence de son utilisation.

Le volet le plus récent est une pénalité administrative de nature civile, ajoutée par un règlement de 2023, le Règlement de l'Ontario 343/23, qui modifie le règlement général pris en vertu de PHIPA. Le Commissaire peut imposer une pénalité administrative pouvant atteindre $50,000 pour un particulier ou $500,000 pour un organisme, sans qu'une déclaration de culpabilité pénale soit nécessaire, et peut augmenter ce plafond du montant de tout avantage économique tiré par le contrevenant. Pour déterminer le montant, le Commissaire tient compte de facteurs tels que l'ampleur de l'écart entre la conduite et la Loi, la possibilité pour la personne d'avoir pu prévenir l'incident, l'étendue du préjudice, et le fait que la personne se soit ou non déclarée elle-même. Comme cette pénalité vise à encourager le respect de la Loi plutôt qu'à punir un crime, elle constitue un outil plus rapide et plus couramment utilisé que le volet des amendes pour infraction ci-dessus.

L'idée fausse au sujet des employeurs

Une méprise fréquente veut que PHIPA régisse le dossier qu'un employeur tient sur son propre personnel, y compris les notes de maladie et autres documents liés à la santé conservés à des fins de ressources humaines. Ce n'est généralement pas le cas. Le paragraphe 4(4) exclut les renseignements identificatoires qui se rapportent principalement aux propres employés ou mandataires d'un dépositaire et qui sont tenus principalement à une fin autre que de leur fournir des soins de santé. Un dossier personnel ordinaire, un registre de présence ou une note médicale conservée uniquement pour appuyer une demande de congé se situe en dehors de la définition des renseignements personnels sur la santé de PHIPA, précisément pour cette raison.

Ces données ne demeurent pas pour autant non réglementées. Elles relèvent généralement de la LPRPDE, pour un employeur sous réglementation fédérale, ou du cadre provincial applicable en matière de normes d'emploi et de protection de la vie privée, bien qu'aucune déclaration unique d'un organisme de réglementation n'énonce ce point à un seul endroit ; cela découle de la lecture de la propre disposition de PHIPA sur son champ d'application, mise en parallèle avec ces autres cadres. L'exception vise un employeur qui exploite séparément quelque chose comme une clinique de santé en milieu de travail dotée d'un praticien de la santé. Dans ce rôle restreint, l'employeur pourrait lui-même devenir un dépositaire de renseignements sur la santé pour les dossiers propres à cette clinique. Pour les pratiques générales entourant les notes médicales en milieu de travail, voir notre guide sur les congés de maladie et notes médicales au Canada.

PHIPA et la LPRPDE : où se situe la limite

PHIPA et la LPRPDE fonctionnent côte à côte, l'une ne remplaçant pas l'autre. La ligne de démarcation pratique est de savoir si l'organisme qui détient les renseignements est un dépositaire de renseignements sur la santé selon la liste de l'article 3 de PHIPA. Si c'est le cas, et que les renseignements constituent des renseignements personnels sur la santé au sens de l'article 4, PHIPA s'applique, que le dépositaire soit une entité commerciale ou publique. Si l'organisme n'est pas un dépositaire, un assureur-vie ou un assureur-maladie, ou une application de mieux-être grand public, par exemple, mais traite par ailleurs des renseignements personnels dans le cadre d'une activité commerciale, c'est plutôt la LPRPDE, ou la loi provinciale jugée essentiellement similaire, qui s'applique.

PHIPA se distingue aussi de la LPRPDE de façons qui touchent directement un patient. La LPRPDE ne comporte aucune disposition sur les frais, de sorte que les demandes d'accès fédérales sont gratuites, tandis que PHIPA permet des frais de recouvrement des coûts selon le cadre décrit plus haut. Les droits de correction de PHIPA comprennent le mécanisme formel de déclaration de désaccord décrit plus haut, que la LPRPDE ne prévoit pas sous la même forme. Pour le cadre fédéral général, le consentement exprès et implicite en dehors du secteur de la santé, et le fonctionnement de l'application de la LPRPDE elle-même et des exemptions provinciales jugées essentiellement similaires, voir notre guide complet PIPEDA (LPRPDE) expliquée.

Ressources connexes

Pour un portrait province par province de la façon de demander concrètement vos dossiers médicaux, y compris les structures particulières de la Colombie-Britannique et du Québec, voir l'accès aux dossiers médicaux au Canada. Pour le droit fédéral de la protection de la vie privée en général, voir PIPEDA (LPRPDE) expliquée et la Loi sur la protection des renseignements personnels du Canada. Pour les lois générales du secteur privé de l'Alberta et de la Colombie-Britannique, voir les lois PIPA de l'Alberta et de la Colombie-Britannique, et pour le régime du secteur privé du Québec, voir la Loi 25 du Québec expliquée.

Avis de non-responsabilité

Cet article est fourni à titre informatif seulement et ne constitue pas un avis juridique. Il reflète le texte de PHIPA tel que saisi dans une capture d'archive de janvier 2024 de la Loi, recoupé avec des sources réglementaires et des décisions du CIPVP à jour respectivement jusqu'en avril 2025 et juillet 2024. Les lecteurs ayant un différend en cours devraient confirmer le libellé actuel directement auprès du Commissaire à l'information et à la protection de la vie privée de l'Ontario ou d'un avocat autorisé. Deux éléments de cet article relèvent de la pratique arbitrale plutôt que du droit codifié et devraient être considérés comme tels : le cadre de frais de $30 plus $0.25 par page, qui remonte à un projet de règlement de 2006 jamais adopté, et la terminologie « cercle de soins » et « lockbox », qui est un raccourci du CIPVP et du secteur plutôt qu'un langage que PHIPA elle-même définit. Les différends relatifs aux dossiers de santé justifient de communiquer directement avec le Commissaire à l'information et à la protection de la vie privée de l'Ontario ou avec un avocat.