# Cybersécurité des cliniques de santé au Québec : le guide

Source : https://cybercaribou.com/blogue/cybersecurite-cliniques-sante-quebec · Cyber Caribou

> LRSSS, Loi 25, dossiers électroniques et rançongiciels : les obligations et les mesures de cybersécurité prioritaires pour une clinique de santé au Québec.

Lundi, 7 h 45, dans une clinique de physiothérapie de Gatineau. Le logiciel de rendez-vous refuse de s'ouvrir, le dossier électronique aussi. Sur le poste de la réception, une note réclame une rançon. Douze patients sont attendus avant midi, et personne ne sait qui était censé venir.

Les renseignements de santé comptent parmi les plus sensibles qui soient. Et le secteur est dans la mire : selon le Centre canadien pour la cybersécurité, les incidents de rançongiciel touchant le secteur de la santé sont en hausse constante dans le monde, et ils perturbent directement la capacité de soigner les patients.

Beaucoup de propriétaires de cliniques pensent encore que seule la Loi 25 les concerne. Or, depuis le 1er juillet 2024, une loi propre au secteur encadre les renseignements de santé détenus par les cliniques privées, avec des obligations de sécurité très concrètes. Faisons le tour.

- Depuis le 1er juillet 2024, la Loi sur les renseignements de santé et de services sociaux (LRSSS) encadre les renseignements de santé détenus par les cabinets privés de professionnels; la Loi 25 continue de s'appliquer aux autres renseignements personnels, comme ceux des employés.
- La LRSSS exige notamment une politique de gouvernance, des mécanismes de journalisation, un registre public des produits technologiques utilisés et une formation annuelle du personnel.
- Un incident présentant un risque de préjudice sérieux doit être déclaré avec diligence au ministre et à la Commission d'accès à l'information.
- Les priorités techniques : authentification multifacteur, comptes nominatifs, sauvegardes hors ligne et isolement des postes reliés aux appareils médicaux.

## Quelle loi s'applique à votre clinique ?

La Loi sur les renseignements de santé et de services sociaux (RLRQ, c. R-22.1) a été adoptée en 2023. On l'appelle souvent « loi 5 », d'après son numéro de chapitre dans les lois de 2023. L'essentiel de ses dispositions est en vigueur depuis le 1er juillet 2024.

Elle vise les « organismes du secteur de la santé et des services sociaux ». En plus du réseau public, son annexe II inclut notamment les personnes ou groupements qui exploitent un **cabinet privé de professionnel** : une entreprise où des médecins, dentistes ou autres professionnels pratiquent à titre privé et à leur seul compte, sans hébergement ni traitements médicaux spécialisés. Les centres médicaux spécialisés, les laboratoires et les résidences privées pour aînés figurent aussi à l'annexe.

Pour ces organismes, la Loi 25 ne s'applique pas aux renseignements de santé et de services sociaux qu'ils détiennent : c'est la LRSSS qui prend le relais. Mais la Loi 25 continue de s'appliquer au reste.

| Type de renseignement | Exemple | Loi applicable, en général |
|---|---|---|
| Dossier du patient | Notes cliniques, résultats, plan de traitement | LRSSS |
| Renseignements liés aux services reçus | Rendez-vous, facturation des soins | LRSSS |
| Dossiers des employés recueillis pour la gestion RH | Paie, évaluations, candidatures | Loi 25 |
| Contacts commerciaux | Fournisseurs, prospects d'une infolettre générale | Loi 25 |

La frontière n'est pas toujours nette, surtout pour les cliniques multidisciplinaires. Validez votre situation avec votre conseiller juridique.

## Ce que la LRSSS exige, côté sécurité

La loi et son Règlement sur la gouvernance des renseignements de santé et de services sociaux traduisent la sécurité en obligations précises. Voici celles qui touchent le plus directement une clinique privée.

| Obligation | Source | En pratique |
|---|---|---|
| Mesures de sécurité raisonnables selon la sensibilité des renseignements | LRSSS, art. 99 | MFA, chiffrement, sauvegardes, contrôle des accès |
| Politique de gouvernance incluant journalisation, mesures de sécurité, calendrier de mise à jour des produits technologiques et traitement des incidents | LRSSS, art. 105 | Un document écrit, connu de l'équipe |
| EFVP avant d'acquérir, de développer ou de refondre un produit technologique | LRSSS, art. 106 | Nouveau DMÉ, prise de rendez-vous en ligne, téléconsultation |
| Registre des produits et services technologiques, publié sur le site Internet | LRSSS, art. 107 | La liste de vos logiciels et services, en ligne |
| Registre des incidents de confidentialité | LRSSS, art. 110 | Tout incident est consigné, grave ou non |
| Formation reconnue par le ministre dès l'entrée en fonction, mise à jour annuelle | Règlement, art. 1 et 2 | Inclut les stagiaires et le personnel d'agence |
| Analyse des accès aux renseignements au moins une fois par année | Règlement, art. 7 | Revue des journaux du DMÉ |
| Calendrier des fins de vie des produits technologiques | Règlement, art. 15 | Savoir quand votre logiciel ou Windows cessera d'être supporté |
| Personne désignée pour la sécurité des produits technologiques | Règlement, art. 16 | Un nom, pas « le fournisseur s'en occupe » |

Si vos renseignements sont communiqués ou hébergés à l'extérieur du Québec, la LRSSS impose aussi une évaluation préalable et une entente écrite (art. 78), un mécanisme semblable à celui de la Loi 25.

## Les angles morts typiques d'une clinique

Les cliniques ont des contraintes que les bureaux ordinaires n'ont pas : du personnel qui circule, des patients dans la salle d'attente et des appareils spécialisés. Les mêmes faiblesses reviennent souvent :

- **Le compte partagé à la réception.** « reception1 », connu de tout le monde. Il rend la journalisation exigée par la loi pratiquement inutile, puisqu'on ne sait plus qui a consulté quoi.
- **Les postes reliés aux appareils.** Radiographie, échographie, électrocardiographe : ces ordinateurs tournent parfois sur de vieilles versions de Windows, gérées par le fournisseur de l'appareil, et partagent le réseau du reste de la clinique.
- **Le Wi-Fi de la salle d'attente** branché sur le même réseau que le dossier électronique.
- **L'envoi de documents par courriel non chiffré**, faute d'un portail sécurisé.
- **Les fournisseurs infonuagiques** dont personne ne connaît l'emplacement d'hébergement ni la procédure d'avis d'incident.

Prenons une clinique dentaire de Rimouski de 15 employés. Son poste de radiographie numérique fonctionnait sous un système qui n'était plus supporté, sur le même réseau que la réception. La solution n'a pas été de le remplacer du jour au lendemain, mais de l'isoler sur un réseau distinct, sans accès Internet, en attendant le renouvellement prévu au calendrier.

## Les mesures prioritaires

Voici la checklist que notre équipe utilise comme point de départ avec une clinique privée :

- [ ] Authentification multifacteur sur le courriel, le dossier électronique et tout accès à distance.
- [ ] Comptes nominatifs pour chaque personne, avec verrouillage automatique rapide des postes.
- [ ] Sauvegardes testées, dont une copie hors ligne ou immuable (voir notre guide des [sauvegardes 3-2-1-1-0](https://cybercaribou.com/blogue/sauvegardes-3-2-1-1-0-rancongiciel)).
- [ ] Réseau distinct pour les appareils médicaux et réseau invité séparé pour la salle d'attente.
- [ ] Mises à jour automatiques des postes; calendrier des fins de vie tenu à jour.
- [ ] Journaux d'accès du dossier électronique activés et revus au moins une fois par année.
- [ ] Domaine de courriel protégé par [SPF, DKIM et DMARC](https://cybercaribou.com/blogue/spf-dkim-dmarc-explication) pour limiter l'usurpation auprès des patients.
- [ ] Contrats fournisseurs précisant l'hébergement, les mesures de sécurité et le délai d'avis d'incident.
- [ ] Registre des produits technologiques publié sur le site Internet.
- [ ] Procédure de fonctionnement dégradé : comment accueillir les patients si tout est en panne.

## Quand l'incident survient

Le jour où un poste est infecté ou un portable volé, la loi demande d'abord de prendre des mesures raisonnables pour diminuer le risque de préjudice et éviter que l'incident se répète. Ensuite, si l'incident présente un risque de préjudice sérieux, il faut aviser avec diligence le ministre de la Santé et des Services sociaux et la Commission d'accès à l'information, ainsi que les personnes concernées.

L'évaluation tient compte de la sensibilité des renseignements, des conséquences appréhendées et de la probabilité d'une utilisation préjudiciable. Pour des renseignements de santé, la sensibilité est élevée d'emblée. Le déroulement de la déclaration est détaillé dans notre article sur la [déclaration d'un incident à la CAI](https://cybercaribou.com/blogue/declarer-incident-confidentialite-cai-loi-25).

Notre équipe peut évaluer la posture de votre clinique, vérifier vos registres et vos journaux, et vous remettre un plan priorisé dans le cadre d'un [audit de cybersécurité](https://cybercaribou.com/services/audit-cybersecurite). Pour les questions d'interprétation de la LRSSS, votre conseiller juridique et votre ordre professionnel restent vos meilleurs alliés.

## FAQ

**Un dossier médical électronique hébergé dans l'infonuagique peut-il être conforme ?**
Oui, à certaines conditions. La clinique doit évaluer le produit (EFVP) avant de l'adopter, encadrer le fournisseur par un contrat qui précise les mesures de sécurité et l'avis d'incident, et savoir où les données sont hébergées. Si elles sortent du Québec, la LRSSS exige une évaluation tenant compte du régime juridique de l'endroit visé et une entente écrite.

**Les ordres professionnels imposent-ils aussi des règles de sécurité ?**
Oui. Les professionnels restent soumis au secret professionnel et aux règlements de leur ordre, notamment sur la tenue et la conservation des dossiers. Ces exigences s'ajoutent à la LRSSS et à la Loi 25. Vérifiez auprès de votre ordre les règles précises applicables à votre profession.

**Que risque une clinique qui ne déclare pas un incident de confidentialité ?**
La LRSSS prévoit qu'omettre de déclarer un incident au ministre ou à la Commission d'accès à l'information, lorsqu'on y est tenu, constitue une infraction passible d'une amende de 3 000 $ à 30 000 $ pour une organisation. Les montants sont doublés en cas de récidive. Communiquer ou utiliser un renseignement sans autorisation est puni plus sévèrement.

## Sources

- [LégisQuébec : Loi sur les renseignements de santé et de services sociaux (R-22.1)](https://www.legisquebec.gouv.qc.ca/fr/document/lc/R-22.1)
- [LégisQuébec : Règlement sur la gouvernance des renseignements de santé et de services sociaux (R-22.1, r. 2)](https://www.legisquebec.gouv.qc.ca/fr/document/rc/R-22.1,%20r.%202)
- [Gouvernement du Québec : Entrée en vigueur de la Loi sur les renseignements de santé et de services sociaux](https://www.quebec.ca/nouvelles/actualites/details/entree-en-vigueur-loi-renseignements-sante-services-sociaux-57074)
- [LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1)](https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1)
- [Centre canadien pour la cybersécurité : Évaluation des cybermenaces nationales 2025-2026](https://www.cyber.gc.ca/fr/orientation/evaluation-cybermenaces-nationales-2025-2026)