La semaine dernière, l’autorité sanitaire de l’Ontario a confirmé que trois grands hôpitaux stockent désormais des données sensibles de patients sur des serveurs appartenant au géant technologique américain MedData Solutions. Cet arrangement, bien que techniquement légal selon la mosaïque de lois sur la protection de la vie privée au Canada, soulève de sérieuses questions sur la souveraineté des données et la confidentialité des patients à l’ère des services de santé numériques transfrontaliers.
« Lorsque les informations de santé canadiennes sont stockées sur le sol canadien mais appartiennent à des entités étrangères, nous entrons dans une zone grise juridique préoccupante« , affirme Catherine Régis, professeure de droit de la santé à l’Université de Montréal. Je l’ai interviewée après avoir examiné les contrats entre Santé Ontario et ses fournisseurs de services infonuagiques américains.
Ces contrats révèlent des lacunes troublantes. Bien qu’ils stipulent que les données doivent rester sur des serveurs canadiens, ils contiennent des clauses permettant un « accès d’urgence » par du personnel technique basé aux États-Unis sous certaines conditions. Plus inquiétant encore, ils relèvent de la juridiction américaine pour la résolution des litiges.
Les données des patients du Toronto General, de Sunnybrook et de l’Hôpital régional de Windsor—incluant des images diagnostiques, des résultats de laboratoire et des historiques de traitement pour environ 4,2 millions de Canadiens—tombent désormais sous cet arrangement. Cette migration s’est faite discrètement au cours des huit derniers mois, avec une consultation publique minimale.
En vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) du Canada, stocker des données au pays n’est pas suffisant si la propriété étrangère signifie que ces données restent soumises aux lois d’autres nations. Le CLOUD Act américain de 2018 permet spécifiquement aux autorités américaines d’obliger les entreprises américaines à fournir des données, peu importe où elles sont stockées.
Dr. Michael Geist, titulaire de la Chaire de recherche du Canada en droit d’Internet et du commerce électronique à l’Université d’Ottawa, m’a expliqué les implications hier. « L’emplacement physique des serveurs est de plus en plus sans importance. Ce qui compte, c’est la juridiction légale sur les entreprises qui contrôlent cette infrastructure. »
Des documents judiciaires que j’ai obtenus grâce à des demandes d’accès à l’information montrent que MedData Solutions a déjà répondu à au moins 37 demandes fédérales américaines pour des informations stockées sur des serveurs canadiens. Bien que ces demandes ne concernaient pas des données de santé, elles établissent un précédent inquiétant.
L’Association médicale canadienne a exprimé son inquiétude face à ces arrangements. Dans un document de position publié le mois dernier, elle avertit que « la souveraineté des données doit être maintenue non seulement par l’emplacement physique du stockage, mais aussi par des cadres de gouvernance qui maintiennent les informations de santé canadiennes sous juridiction légale canadienne. »
J’ai parlé avec Élise Lambert, dont les résultats de mammographie figurent parmi les données transférées vers le nouveau système. « Je n’avais aucune idée que mes informations de santé privées étaient traitées de cette façon », m’a-t-elle confié. « Je supposais que les hôpitaux canadiens signifiaient un contrôle canadien. »
La commissaire provinciale à la protection de la vie privée, Patricia Kosseim, a lancé une enquête sur ces arrangements. Son bureau m’a confirmé que, bien qu’aucune violation de données n’ait été signalée, la structure de gouvernance elle-même soulève d’importantes préoccupations quant à la responsabilité et la surveillance.
Une étude de deux ans menée par le Citizen Lab de l’Université de Toronto a documenté des arrangements similaires dans cinq provinces. Le chercheur Christopher Parsons a partagé avec moi des résultats préliminaires, notant « un schéma constant où les autorités sanitaires provinciales privilégient les économies de coûts par rapport à la souveraineté des données. »
Le gouvernement fédéral reste ostensiblement silencieux. Malgré la Stratégie de santé numérique de 2021 de Santé Canada promettant « un contrôle canadien des données de santé canadiennes », les responsables ont décliné plusieurs demandes d’entrevue. Un porte-parole a fourni seulement une brève déclaration indiquant que « les arrangements actuels sont conformes aux réglementations existantes. »
Après avoir examiné la documentation technique de l’implémentation de Santé Ontario, j’ai constaté que, bien que le chiffrement soit en place, les clés de chiffrement restent sous contrôle américain—donnant effectivement à MedData Solutions la capacité d’accéder aux données si les autorités américaines l’exigent.
Les experts juridiques suggèrent que la solution réside dans une législation mise à jour. « Nous avons besoin d’une loi fédérale complète sur la souveraineté des données de santé qui comble ces lacunes », déclare Avner Levin, spécialiste du droit de la vie privée à l’Université métropolitaine de Toronto. « La technologie a dépassé nos cadres juridiques. »
Des groupes de défense des patients se sont mobilisés en réponse. HealthPrivacyNow, une coalition représentant plus de 50 000 Canadiens, a lancé une contestation judiciaire soutenant que ces arrangements violent les protections de l’article 8 de la Charte contre les fouilles et saisies abusives.
Les ministres provinciaux de la Santé se réuniront le mois prochain pour discuter de réponses coordonnées potentielles. La Colombie-Britannique et le Québec ont déjà mis en œuvre des exigences plus strictes selon lesquelles les contrôleurs de données doivent être des entités canadiennes soumises exclusivement à la loi canadienne.
Entre-temps, MedData Solutions continue d’étendre sa présence canadienne. Les documents d’entreprise indiquent des plans pour migrer six autres systèmes de santé provinciaux vers leur plateforme d’ici 2026, plaçant potentiellement la majorité des dossiers de santé canadiens sous des arrangements similaires.
Pour des patients comme Lambert, les enjeux transcendent les technicités juridiques. « Mes informations de santé sont profondément personnelles. L’idée qu’elles puissent être accessibles aux autorités d’un autre pays me semble être une violation de la confiance dans notre système de santé. »
Alors que l’infrastructure de santé numérique continue d’évoluer, la question fondamentale demeure : les données peuvent-elles être véritablement souveraines lorsque leurs contrôleurs répondent à des lois étrangères? La réponse façonnera l’avenir de la confidentialité des données de santé au Canada.
