La Commission d'accès à l'information du Québec (CAI) administre la Loi 25, qui impose des obligations distinctes de HIPAA (États-Unis) et PHIPA (Ontario). Un fournisseur conforme à HIPAA n'est pas automatiquement conforme à la législation québécoise.
Nuance clinique
La confusion HIPAA / Loi 25 est fréquente et peut mener à de fausses assurances de conformité. Un fournisseur américain qui dit “nous sommes HIPAA compliant” répond à une exigence américaine — pas québécoise. HIPAA et Loi 25 partagent des principes communs (consentement, minimisation, sécurité) mais diffèrent sur des aspects importants : définitions, droits des personnes concernées, délais de notification de violation, obligations des sous-traitants. Un médecin qui signe un contrat de scribe IA sans valider la conformité à la Loi 25 s’expose à un risque réglementaire réel.
Points pratiques
Tableau comparatif simplifié :
| Aspect | Loi 25 (Québec) | HIPAA (USA) | PHIPA (Ontario) |
|---|---|---|---|
| S’applique à | Organisations québécoises | Entités couvertes US | Organisations de santé ON |
| Données couvertes | Renseignements personnels | PHI (Protected Health Info) | PHI en Ontario |
| Consentement | Requis, explicite pour usages sensibles | Requis selon l’usage | Requis selon l’usage |
| Stockage géographique | Préférence Canada explicite | Pas de restriction géo | Préférence Canada recommandée |
| Notification de violation | 72h CAI, notifications sujets | 60 jours HHS | 72h IPC, notifications sujets |
| Droit d’accès / suppression | Oui | Accès oui, suppression limité | Oui |
Ce qui est exigé pour un fournisseur de scribe IA au Québec :
- Entente formelle de traitement des renseignements personnels (pas juste des CGU génériques)
- Localisation des serveurs identifiée (idéalement Canada)
- Durée de rétention des données audio et textuelles précisée
- Engagement sur la non-utilisation pour l’entraînement des modèles (sans consentement explicite)
- Processus de signalement des violations conforme à la Loi 25
Questions à poser à un fournisseur :
- “Êtes-vous conformes à la Loi 25 du Québec — pas seulement HIPAA ?”
- “Pouvez-vous signer une entente de traitement des renseignements personnels conforme au droit québécois ?”
- “Où sont physiquement stockées les données audio et les notes transcrites ?”
- “Comment gérez-vous une demande de suppression de données d’un patient ?”
Preuves et contexte public
- La Loi 25 s’applique-t-elle aux scribes IA utilisés par les médecins québécois ?
- Comment protéger la confidentialité des patients quand on utilise des outils IA ?
- Gouvernance IA santé au Québec — pilier