Pourquoi la cyberassurance coûte-t-elle plus cher pour une clinique que pour une PME ordinaire au Québec ? Parce que les renseignements de santé sont une catégorie de données sensibles au sens de la Loi 25, ce qui expose votre PME à des obligations réglementaires renforcées — évaluation des facteurs relatifs à la vie privée, désignation d'un responsable de la protection des renseignements personnels, notification à la CAI en cas d'incident présentant un risque de préjudice sérieux — et pousse les assureurs à exiger des mesures de sécurité plus strictes avant même d'émettre une police.
Ce guide s'adresse aux propriétaires et gestionnaires de cliniques médicales, de cabinets dentaires, de cliniques de physiothérapie et d'autres établissements de santé privés au Québec qui cherchent à comprendre ce que les assureurs cyber exigent réellement de leur secteur, comment ces exigences s'articulent avec la Loi 25, et combien tout cela coûte concrètement en dollars canadiens. Nous couvrons les exigences renforcées propres au secteur de la santé, le lien direct avec la Loi 25 et le rôle central de la Commission d'accès à l'information du Québec (CAI), une checklist complète de conformité, trois études de cas réalistes d'établissements québécois, des fourchettes de prix précises pour les primes et la mise en conformité, et les ressources gouvernementales disponibles pour vous accompagner. Nos techniciens certifiés appliquent cette même rigueur lorsqu'ils accompagnent des cliniques dans leur démarche de cybersécurité ou réalisent un audit de sécurité informatique avant le renouvellement d'une police d'assurance.
Ce guide ne remplace pas un avis juridique
Les obligations décrites ici reflètent le cadre général de la Loi 25 applicable aux renseignements de santé et les pratiques généralement observées chez les assureurs cyber actifs au Québec. Chaque clinique demeure toutefois un cas particulier : consultez un conseiller juridique spécialisé en protection des renseignements personnels et un courtier d'assurance qualifié avant de finaliser vos politiques internes ou votre police de cyberassurance. Pour les bases générales de la Loi 25 applicables à toute PME, voir notre guide Loi 25 au Québec : Guide Pratique pour PME.
Pourquoi le secteur de la santé fait face à des exigences renforcées
Une clinique médicale de quartier, un cabinet dentaire familial ou une clinique de physiothérapie ne se perçoivent pas toujours comme des cibles à haut risque — pourtant, du point de vue d'un assureur cyber, ce sont précisément les établissements les plus exposés parmi les PME québécoises. Trois raisons concrètes expliquent ce traitement différencié.
Les renseignements de santé sont une catégorie de données sensibles
La Loi 25 traite les renseignements de santé comme des renseignements personnels sensibles, une catégorie qui impose des obligations plus strictes que pour de simples coordonnées de facturation. Un dossier de santé typique combine diagnostics, traitements, antécédents familiaux, résultats de laboratoire, notes cliniques et parfois des informations sur la santé mentale ou des conditions stigmatisantes — un ensemble d'informations dont la divulgation peut causer un préjudice bien plus grave qu'une simple fuite d'adresse courriel ou de numéro de téléphone. Les assureurs le savent, et ajustent leur évaluation du risque en conséquence : plus la donnée est sensible, plus le coût potentiel d'un sinistre — recours collectifs, sanctions réglementaires, atteinte réputationnelle — grimpe.
Le volume et la valeur des dossiers patients sur le marché noir
Un dossier médical complet se revend généralement plus cher sur les marchés clandestins qu'un simple numéro de carte de crédit, car il contient suffisamment d'informations pour usurper une identité de façon durable, réclamer frauduleusement des prestations d'assurance ou faire chanter une personne au sujet d'un diagnostic sensible. Une clinique qui détient plusieurs milliers de dossiers patients actifs représente donc, aux yeux d'un groupe de rançongiciel, une cible dont le potentiel de gain dépasse largement celui d'une PME de taille comparable dans un autre secteur — ce qui se traduit concrètement par une fréquence d'attaques plus élevée contre le secteur de la santé, observée année après année dans les rapports de cybersécurité.
Des obligations réglementaires qui dépassent le cadre général de la Loi 25
Au-delà des obligations générales applicables à toute PME québécoise, le traitement de renseignements de santé déclenche des exigences supplémentaires sous la Loi 25 : réalisation d'une évaluation des facteurs relatifs à la vie privée pour les projets impliquant ces données, exigences renforcées de consentement et de minimisation, et un seuil de notification à la CAI qui se déclenche presque systématiquement en cas d'incident touchant des dossiers médicaux, compte tenu du risque de préjudice sérieux presque toujours associé à ce type de donnée. Ces obligations réglementaires renforcées font partie intégrante de l'évaluation de risque que réalise un assureur avant d'émettre une police, et expliquent en bonne partie pourquoi le questionnaire de souscription est plus détaillé pour une clinique que pour un commerce de détail comparable.
Le lien direct avec la Loi 25 : ce que votre clinique doit faire
La Loi 25 (anciennement le projet de loi 64) a progressivement resserré les obligations des organisations québécoises en matière de protection des renseignements personnels depuis son entrée en vigueur graduelle, avec des exigences additionnelles particulièrement pertinentes pour tout établissement qui traite des renseignements de santé. Comprendre ces obligations n'est pas seulement une question de conformité légale : c'est également ce que votre assureur cyber vérifiera, directement ou indirectement, avant d'accepter de vous couvrir.
L'évaluation des facteurs relatifs à la vie privée (EFVP)
Toute clinique qui acquiert, développe ou modifie substantiellement un système ou un service électronique impliquant la collecte, l'utilisation ou la communication de renseignements personnels — ce qui inclut la mise en place d'un nouveau dossier médical électronique (DME), l'ajout d'un portail patient en ligne ou l'intégration d'un nouveau système de facturation — doit réaliser une évaluation des facteurs relatifs à la vie privée avant le déploiement. Cette évaluation documente la nature des renseignements traités, les risques pour la vie privée des patients, et les mesures prévues pour atténuer ces risques. Plusieurs assureurs cyber actifs dans le secteur de la santé demandent désormais une copie ou un résumé de la dernière EFVP réalisée lors de la souscription ou du renouvellement d'une police, ce qui en fait un document à conserver précieusement, pas seulement un exercice ponctuel de conformité.
La désignation d'un responsable de la protection des renseignements personnels
La Loi 25 exige que chaque organisation désigne un responsable de la protection des renseignements personnels, dont les coordonnées doivent être rendues accessibles au public — habituellement sur le site web de la clinique ou dans la documentation remise aux patients. À défaut d'une désignation explicite, ce rôle revient par défaut à la personne exerçant la plus haute autorité au sein de l'organisation, généralement le médecin propriétaire, le dentiste responsable ou le directeur de la clinique. Ce responsable doit avoir l'autorité réelle de superviser les pratiques de protection des données, de répondre aux demandes d'accès des patients et de coordonner la réponse en cas d'incident. Les assureurs demandent fréquemment le nom et le titre de cette personne dans le questionnaire de souscription, un signal que l'absence de désignation formelle peut directement affecter la disponibilité ou le coût de la couverture.
La notification à la CAI en cas d'incident
Lorsqu'un incident de confidentialité touche des renseignements personnels et présente un risque de préjudice sérieux pour les personnes concernées — un seuil presque systématiquement atteint pour des renseignements de santé compte tenu de leur sensibilité intrinsèque — la Loi 25 impose deux obligations parallèles : aviser la Commission d'accès à l'information du Québec dans les meilleurs délais, et notifier les personnes concernées. Cette double obligation de notification représente l'un des postes de dépense les plus importants en cas de sinistre majeur, entre l'analyse juridique du risque de préjudice, la rédaction des avis, l'envoi aux patients touchés et, dans certains cas, la mise en place d'un service de surveillance de crédit. C'est précisément ce type de frais qu'une police de cyberassurance avec garantie de gestion de crise et de conformité réglementaire est conçue pour couvrir — à condition que la police ait été souscrite avec une limite de couverture suffisante pour un incident impliquant potentiellement plusieurs milliers de dossiers patients.
Le registre des incidents de confidentialité
La Loi 25 impose également la tenue d'un registre de tous les incidents de confidentialité survenus au sein de l'organisation, même ceux qui ne présentent pas un risque de préjudice sérieux suffisant pour déclencher une notification à la CAI. Ce registre doit documenter la nature de l'incident, les renseignements concernés, une évaluation du risque de préjudice et les mesures prises en réponse. Au-delà de l'obligation légale, ce registre constitue une preuve documentée de diligence raisonnable que plusieurs assureurs demandent à consulter lors du renouvellement d'une police, particulièrement après un premier sinistre — un dossier bien tenu peut faire la différence entre un renouvellement à conditions stables et une hausse de prime substantielle.
Conformité et assurabilité : deux démarches complémentaires, jamais interchangeables
Respecter la Loi 25 est une obligation légale qui existe indépendamment de toute police d'assurance. Être assurable est une conséquence de cette conformité, pas un substitut. Une clinique qui souscrit une cyberassurance sans avoir mis en place les mesures de base de la Loi 25 s'expose à un double risque : une sanction réglementaire en cas de manquement constaté, et un refus de réclamation si l'assureur détermine que les mesures de sécurité déclarées à la souscription n'étaient pas réellement en place au moment du sinistre.
Cyberassurance secteur santé vs secteurs généraux : ce qui change concrètement
Le tableau suivant résume les principales différences observées entre les exigences et les conditions de cyberassurance pour une clinique de santé et celles d'une PME de secteur général au Québec (commerce de détail, services professionnels non réglementés, etc.), à taille d'entreprise comparable.
| Critère | Secteur santé (clinique, cabinet dentaire, physio) | PME secteur général |
|---|---|---|
| Authentification multifacteur (MFA) | Exigée sur tous les accès aux dossiers patients, souvent condition de souscription | Recommandée, pas toujours exigée sous la barre des 20 employés |
| Chiffrement des données | Obligatoire au repos et en transit, incluant les postes mobiles | Recommandé, application variable selon l'assureur |
| Audit de sécurité par un tiers | Souvent exigé annuellement dès 2 000 dossiers patients | Généralement non exigé sous 10 employés |
| Prime annuelle typique (5-15 employés) | 3 500 $ à 9 000 $ CAD | 1 500 $ à 4 000 $ CAD |
| Franchise typique | 5 000 $ à 15 000 $ CAD | 2 500 $ à 7 500 $ CAD |
| Limite de couverture recommandée | 1 000 000 $ à 3 000 000 $ CAD | 500 000 $ à 1 000 000 $ CAD |
| Questionnaire de souscription | Détaillé, inclut EFVP, RPRP et registre des incidents | Standard, questions sectorielles limitées |
| Clause de notification réglementaire | Spécifique aux renseignements de santé sous la Loi 25 | Générale Loi 25, seuil de déclenchement souvent plus rarement atteint |
Ces chiffres constituent des ordres de grandeur observés sur le marché québécois et varient selon l'assureur, l'historique de sinistres de la clinique, le nombre exact de dossiers patients actifs et les mesures de sécurité déjà en place. Un courtier spécialisé peut comparer plusieurs offres pour votre situation précise — notre guide Courtier ou Assureur Direct : Comment Choisir sa Cyberassurance détaille les avantages de chaque approche.
Votre clinique est-elle réellement assurable en ce moment ?
Nos techniciens certifiés IT Cares réalisent des audits de sécurité informatique conçus spécifiquement pour les cliniques et cabinets de santé, avec un rapport que vous pouvez présenter directement à votre assureur ou courtier lors du renouvellement.
Ce que les assureurs exigent concrètement avant d'émettre une police
Au-delà des principes généraux, voici les mesures techniques précises que les assureurs cyber actifs dans le secteur de la santé au Québec demandent le plus fréquemment lors de la souscription, souvent sous forme de questions fermées dans le formulaire de proposition d'assurance.
Authentification multifacteur sur tous les accès sensibles
La MFA est aujourd'hui considérée comme une mesure de base non négociable par la quasi-totalité des assureurs cyber, particulièrement pour l'accès au dossier médical électronique, à la messagerie professionnelle et à tout accès à distance. Une clinique qui ne peut pas confirmer que la MFA est activée sur l'ensemble de ces points d'accès se voit fréquemment proposer une prime plus élevée, une franchise plus haute, ou dans certains cas un refus pur et simple de couverture jusqu'à la mise en place de cette mesure.
Chiffrement des données au repos et en transit
Les dossiers patients doivent être chiffrés tant sur les serveurs et postes de travail (données au repos) que lors de leur transmission entre systèmes ou vers des tiers comme un laboratoire externe (données en transit). Une attention particulière doit être portée aux appareils mobiles et portables utilisés hors des murs de la clinique, car un appareil volé ou perdu sans chiffrement constitue l'un des scénarios de sinistre les plus fréquents et les plus coûteux du secteur — un point illustré plus loin dans une des études de cas de ce guide.
Solution de détection et réponse sur les postes (EDR)
Un antivirus traditionnel, conçu pour détecter des signatures de logiciels malveillants déjà connues, ne suffit plus aux yeux de la majorité des assureurs cyber. Une solution EDR (Endpoint Detection and Response) surveille activement le comportement des postes de travail et des serveurs pour détecter des activités suspectes même lorsqu'aucune signature connue n'est présente, et permet une réponse rapide en cas d'incident en cours — une capacité de plus en plus fréquemment exigée explicitement dans les questionnaires de souscription pour le secteur de la santé.
Sauvegardes régulières, testées et isolées
Des sauvegardes chiffrées, effectuées à une fréquence adaptée au volume de nouveaux dossiers créés quotidiennement, et surtout isolées du réseau principal (pour ne pas être elles-mêmes chiffrées par un rançongiciel qui se propagerait sur le réseau) constituent une exigence quasi universelle. La capacité à démontrer que ces sauvegardes ont été testées avec succès — et pas seulement configurées — fait souvent partie des questions posées lors du renouvellement d'une police après un premier incident dans le secteur.
Plan documenté de réponse aux incidents
Un plan écrit, connu du personnel clé, précisant qui contacter en cas d'incident (technicien IT, avocat, assureur, courtier), les étapes immédiates à suivre et les critères d'évaluation du risque de préjudice sérieux, réduit considérablement le temps de réponse lors d'un sinistre réel — et plusieurs assureurs demandent à consulter ce plan ou en font une condition de couverture pour les cliniques de taille moyenne à grande.
Checklist de conformité pour votre clinique
Voici une checklist actionnable regroupant les mesures les plus fréquemment exigées, à la fois pour la conformité à la Loi 25 et pour l'assurabilité de votre clinique auprès d'un assureur cyber. Imprimez-la ou partagez-la avec votre équipe de direction et votre responsable de la protection des renseignements personnels.
Checklist de conformité Loi 25 et cyberassurance pour clinique de santé
- Réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) pour tout nouveau système traitant des renseignements de santé, incluant le dossier médical électronique
- Désigner formellement un responsable de la protection des renseignements personnels et publier ses coordonnées
- Chiffrer tous les dossiers de santé au repos (serveurs, postes, disques) et en transit (courriel, transferts vers laboratoires)
- Activer l'authentification multifacteur sur le dossier médical électronique, la messagerie et tout accès à distance
- Déployer une solution de détection et réponse (EDR) sur l'ensemble des postes de travail et serveurs
- Mettre en place des sauvegardes chiffrées, testées régulièrement et isolées du réseau principal
- Documenter une politique interne de gestion des incidents de confidentialité conforme à la Loi 25
- Tenir un registre à jour de tous les incidents de confidentialité, même mineurs
- Former l'ensemble du personnel clinique et administratif annuellement sur la protection des renseignements de santé et le hameçonnage
- Limiter les accès aux dossiers patients selon le principe du moindre privilège, par rôle
- Faire réaliser un audit de sécurité informatique annuel par une firme externe indépendante
- Appliquer systématiquement les mises à jour et correctifs de sécurité sur tous les systèmes
- Chiffrer et verrouiller automatiquement tous les appareils mobiles et portables utilisés pour consulter des dossiers
- Rédiger un plan de réponse aux incidents incluant les coordonnées de l'assureur et du courtier
- Vérifier auprès du courtier les clauses de notification à la CAI et les délais applicables dans la police
- S'assurer que les fournisseurs tiers (facturation, laboratoire, hébergement infonuagique) ont des clauses contractuelles de protection des données
Études de cas : trois établissements de santé québécois
Les scénarios suivants sont fictifs mais construits à partir de situations réalistes et représentatives observées dans le secteur de la santé au Québec, avec des chiffres plausibles pour illustrer concrètement l'impact de la préparation — ou de son absence — sur le coût et l'issue d'un incident.
Une tentative de rançongiciel bloquée grâce à l'EDR
Une clinique médicale familiale de Sherbrooke, comptant six médecins et environ 8 500 dossiers patients actifs, avait renouvelé sa police de cyberassurance avec une prime annuelle de 6 800 $ CAD après avoir déployé une solution EDR sur l'ensemble de ses postes six mois plus tôt, à la suite d'une recommandation de son courtier. Un employé administratif a ouvert une pièce jointe malveillante reçue dans un courriel se faisant passer pour un fournisseur de matériel médical. La solution EDR a détecté et bloqué l'exécution du rançongiciel avant qu'il ne puisse chiffrer les fichiers du réseau, isolant automatiquement le poste concerné. Aucune donnée patient n'a été compromise, aucune réclamation n'a été déposée, et la clinique a pu présenter cet incident maîtrisé — documenté dans son registre d'incidents — comme preuve de diligence lors du renouvellement suivant, obtenant un rabais de 12 % sur sa prime après un audit de sécurité complémentaire.
Un hameçonnage réussi, mais un accès bloqué par la MFA
Un cabinet dentaire de Trois-Rivières, trois dentistes et 4 200 dossiers patients, payait une prime annuelle de 4 200 $ CAD. Une hygiéniste dentaire a saisi ses identifiants sur une fausse page de connexion imitant le portail de messagerie du cabinet, à la suite d'un courriel de hameçonnage bien conçu. L'attaquant a obtenu le mot de passe, mais l'authentification multifacteur activée sur l'ensemble des comptes a bloqué la tentative de connexion au dossier médical électronique, faute du second facteur. Le cabinet a immédiatement révoqué les identifiants compromis, documenté l'incident dans son registre, et déterminé — avec l'aide de son conseiller juridique — qu'aucun renseignement personnel n'avait été effectivement consulté ou compromis, ce qui n'a pas déclenché d'obligation de notification à la CAI. L'audit de sécurité annuel suivant a cité cet incident comme démonstration concrète de l'efficacité des mesures en place, sans impact négatif sur le renouvellement de la police.
Un ordinateur portable non chiffré, un sinistre déclaré et une prime qui grimpe
Une clinique de physiothérapie exploitant trois succursales entre Gatineau et Saguenay, 22 employés et environ 12 000 dossiers patients au total, payait une prime annuelle de 11 500 $ CAD. Un physiothérapeute s'est fait voler son ordinateur portable professionnel dans son véhicule, appareil qui contenait les dossiers non chiffrés de 340 patients suivis à domicile. Contrairement au chiffrement des postes fixes en clinique, la politique de chiffrement des appareils mobiles n'avait pas encore été étendue à l'ensemble du parc portable au moment du vol. La clinique a dû notifier la CAI et les 340 patients concernés dans le délai prescrit, engager des honoraires juridiques et un service de communication de crise. Les coûts totaux de gestion de l'incident — enquête technique, notification, service de surveillance de crédit offert aux patients touchés et honoraires juridiques — se sont élevés à environ 38 000 $ CAD, couverts par la garantie de première partie de la police de cyberassurance. Au renouvellement suivant, l'assureur a maintenu la couverture mais augmenté la prime de 18 %, conditionnellement à la mise en place immédiate du chiffrement obligatoire sur l'ensemble des appareils mobiles de la clinique — une mesure qui figure désormais, avec le recul, dans la checklist de conformité de l'établissement dès le premier jour d'embauche de tout nouvel employé.
Budget et prix au Québec : combien prévoir en dollars CAD
Les fourchettes suivantes reflètent les ordres de grandeur observés sur le marché québécois de la cyberassurance et de la mise en conformité pour le secteur de la santé, à ajuster selon la taille réelle de votre clinique, votre historique de sinistres et les mesures déjà en place.
Primes de cyberassurance selon la taille de la clinique
| Profil de clinique | Prime annuelle typique (CAD) |
|---|---|
| Clinique ou cabinet 1-5 employés, moins de 2 000 dossiers patients | 1 800 $ à 3 500 $ |
| Clinique médicale 6-15 employés, 2 000 à 8 000 dossiers patients | 3 500 $ à 9 000 $ |
| Cabinet dentaire indépendant, 3-8 employés | 2 500 $ à 5 500 $ |
| Clinique de physiothérapie ou pluridisciplinaire, 10-20 employés | 6 000 $ à 12 000 $ |
| Clinique multi-succursales, 20 employés et plus | 9 000 $ à 20 000 $ et plus |
Coûts de mise en conformité Loi 25 pour une clinique
| Poste de dépense | Fourchette de coût (CAD) |
|---|---|
| Évaluation des facteurs relatifs à la vie privée (EFVP) initiale, avec accompagnement externe | 2 500 $ à 6 000 $ (ponctuel) |
| Formation annuelle du personnel sur la protection des renseignements de santé | 800 $ à 2 000 $ par année |
| Déploiement du chiffrement et de l'authentification multifacteur sur l'ensemble des postes | 3 000 $ à 8 000 $ (ponctuel) |
| Solution EDR pour l'ensemble des postes et serveurs | 50 $ à 120 $ par poste, par année |
| Audit de sécurité informatique annuel par un tiers | 3 500 $ à 7 500 $ par année |
Les cliniques qui investissent de façon proactive dans ces mesures obtiennent généralement de meilleures conditions à la souscription et lors des renouvellements ultérieurs. Notre guide Réduire sa Prime de Cyberassurance grâce à la Sécurité IT détaille les leviers concrets pour négocier de meilleures conditions au fil du temps, un principe qui s'applique avec encore plus de poids dans un secteur aussi surveillé que la santé.
Ressources gouvernementales pertinentes pour votre clinique
La Commission d'accès à l'information du Québec (CAI)
La CAI est l'organisme responsable de l'application de la Loi 25 au Québec. Elle joue un rôle central pour toute clinique traitant des renseignements de santé, à plusieurs niveaux. D'abord, un rôle de guichet obligatoire : c'est à la CAI que doit être adressée la notification en cas d'incident de confidentialité présentant un risque de préjudice sérieux, dans les meilleurs délais suivant la découverte de l'incident. La Commission publie également des lignes directrices et des outils d'aide à la conformité, incluant des modèles pour documenter les évaluations des facteurs relatifs à la vie privée et les registres d'incidents, particulièrement utiles pour une petite clinique sans service juridique interne. Enfin, la CAI dispose d'un pouvoir de sanction : la Loi 25 prévoit un régime de sanctions administratives pécuniaires et, pour les manquements les plus graves, de sanctions pénales, dont les montants maximaux prévus par la loi sont substantiels — la Commission applique toutefois un principe de proportionnalité qui tient compte de la taille de l'organisation, de la nature du manquement et des efforts de bonne foi déployés pour s'y conformer. Pour une clinique, l'enjeu concret n'est généralement pas d'atteindre les plafonds maximaux prévus par la loi, mais bien d'éviter un manquement documenté qui pourrait à la fois entraîner une intervention de la CAI et compliquer sérieusement une réclamation d'assurance.
La Banque de développement du Canada (BDC)
La BDC offre du financement et des services-conseils aux PME canadiennes, incluant des solutions de prêt qui peuvent couvrir des investissements en cybersécurité — mise à niveau de l'infrastructure réseau, déploiement de solutions de chiffrement ou de détection avancée, ou modernisation d'un dossier médical électronique vieillissant. Pour une clinique qui doit financer plusieurs des mesures décrites dans la checklist de ce guide en une seule fois plutôt que progressivement, un prêt à conditions avantageuses spécifiquement destiné aux investissements technologiques peut représenter une option à explorer avec un conseiller de la BDC, en complément — jamais en remplacement — d'un plan de mise en conformité déjà amorcé.
Investissement Québec
Investissement Québec propose différents programmes d'accompagnement et de financement destinés aux PME québécoises engagées dans une démarche de transformation numérique, un cadre sous lequel peuvent parfois se qualifier des projets de modernisation technologique liés à la cybersécurité ou à la mise en conformité réglementaire. Les critères d'admissibilité et les programmes disponibles évoluent régulièrement ; il est recommandé de vérifier directement auprès d'Investissement Québec ou d'un conseiller économique régional si votre projet de mise à niveau technologique pourrait se qualifier pour un soutien financier ou un accompagnement stratégique.
Combiner conformité, financement et couverture d'assurance
Les cliniques les mieux préparées ne traitent pas la conformité Loi 25, le financement des investissements technologiques et la cyberassurance comme trois démarches séparées, mais comme un seul projet cohérent : documenter les besoins avec un audit de sécurité, financer les correctifs nécessaires en s'appuyant au besoin sur des ressources comme la BDC ou Investissement Québec, puis présenter ce dossier renforcé à l'assureur ou au courtier pour négocier de meilleures conditions de couverture.
Une clinique, un cabinet dentaire ou une clinique de physiothérapie au Québec ?
IT Cares accompagne les établissements de santé québécois dans leur mise en conformité Loi 25 et leur préparation à la cyberassurance : audit de sécurité informatique complet, déploiement du chiffrement et de l'authentification multifacteur, solution de détection et réponse sur les postes, et rapport détaillé à présenter à votre courtier ou assureur.
Erreurs courantes qui compromettent l'assurabilité d'une clinique
Au-delà des mesures techniques, certaines habitudes organisationnelles reviennent fréquemment dans les dossiers de cliniques québécoises qui peinent à s'assurer à des conditions raisonnables, ou qui voient une réclamation refusée après un sinistre.
Déclarer des mesures de sécurité qui ne sont pas réellement en place
Le formulaire de proposition d'assurance constitue une déclaration engageante : si une clinique affirme que la MFA est activée sur tous les accès alors que ce n'est le cas que pour une partie du personnel, ou que le chiffrement est appliqué à l'ensemble du parc informatique alors que certains appareils plus anciens en sont exclus, l'assureur peut invoquer cette inexactitude pour réduire ou refuser une indemnisation après un sinistre lié précisément à cette lacune — comme illustré dans l'étude de cas de la clinique de physiothérapie plus haut. Mieux vaut déclarer honnêtement une lacune et obtenir une prime ajustée en conséquence que de découvrir un refus de réclamation au pire moment possible.
Traiter les appareils mobiles comme une réflexion après coup
Les mesures de sécurité les plus rigoureuses sont souvent appliquées en priorité aux postes fixes de la clinique, laissant les ordinateurs portables, tablettes et téléphones utilisés en dehors des murs de l'établissement — visites à domicile, gardes, télétravail administratif — avec un niveau de protection inférieur. Ces appareils mobiles, précisément parce qu'ils quittent le périmètre physique sécurisé de la clinique, présentent un risque de perte ou de vol nettement plus élevé et méritent une attention au moins équivalente, sinon supérieure, à celle des postes fixes.
Négliger la formation du personnel non clinique
Les efforts de formation en sécurité se concentrent parfois sur le personnel soignant, en oubliant le personnel administratif et de réception, souvent la première ligne de contact avec les courriels de hameçonnage et les appels frauduleux se faisant passer pour des fournisseurs ou des patients. Comme l'illustre l'étude de cas du cabinet dentaire de Trois-Rivières, une formation adéquate combinée à des mesures techniques comme la MFA peut transformer un hameçonnage potentiellement dévastateur en incident mineur sans conséquence.
Foire aux questions
Les renseignements de santé sont considérés comme des renseignements personnels sensibles au sens de la Loi 25, ce qui signifie qu'une fuite touche potentiellement des diagnostics, traitements ou antécédents médicaux plutôt que de simples coordonnées. Les assureurs cyber évaluent le risque de sinistre en fonction de la sensibilité des données traitées, du volume de dossiers patients et des obligations réglementaires renforcées applicables au secteur de la santé, ce qui se traduit par des exigences de sécurité plus strictes et des primes généralement plus élevées que pour une PME du secteur général.
Une évaluation des facteurs relatifs à la vie privée est une analyse structurée exigée par la Loi 25 pour tout projet impliquant l'acquisition, le développement ou la refonte d'un système ou d'un service électronique qui traite des renseignements personnels, incluant les dossiers médicaux électroniques. Elle documente les risques pour la vie privée des patients et les mesures prévues pour les atténuer, et constitue un élément que plusieurs assureurs demandent désormais lors de la souscription d'une police cyber pour une clinique.
Oui, dès qu'un incident de confidentialité présente un risque de préjudice sérieux pour les personnes concernées, ce qui est presque toujours le cas pour des renseignements de santé compte tenu de leur nature sensible. La Loi 25 exige que la Commission d'accès à l'information du Québec (CAI) soit avisée dans les meilleurs délais, et que les personnes concernées soient également notifiées. La police de cyberassurance couvre généralement les frais liés à cette notification lorsqu'elle inclut une garantie de gestion de crise et de conformité réglementaire.
La Loi 25 prévoit que le rôle de responsable de la protection des renseignements personnels revient par défaut à la personne ayant la plus haute autorité au sein de l'organisation, soit généralement le médecin propriétaire, le dentiste responsable ou le directeur de clinique, à moins qu'une autre personne ne soit formellement désignée par écrit et que ses coordonnées soient rendues accessibles au public.
Les primes varient surtout selon le nombre de dossiers patients actifs, le nombre d'employés et les mesures de sécurité déjà en place. Une petite clinique de moins de 2 000 dossiers paie généralement entre 1 800 $ et 3 500 $ CAD par année, tandis qu'une clinique de taille moyenne avec 2 000 à 8 000 dossiers se situe plutôt entre 3 500 $ et 9 000 $ CAD, et qu'une clinique multi-succursales avec plus de 20 employés peut dépasser 9 000 $ à 20 000 $ CAD annuellement.
Non. La cyberassurance couvre les conséquences financières d'un incident déjà survenu — frais juridiques, notification, restauration des systèmes, réclamations de tiers — mais ne remplace jamais les obligations légales de conformité à la Loi 25, qui existent indépendamment d'une police d'assurance. De plus, l'absence de mesures de conformité de base peut mener à un refus de réclamation si l'assureur détermine que la clinique n'a pas respecté les engagements de sécurité déclarés à la souscription.
La plupart des assureurs actifs dans le secteur de la santé au Québec exigent au minimum l'authentification multifacteur sur tous les accès aux dossiers, le chiffrement des données au repos et en transit, des sauvegardes régulières testées et isolées du réseau principal, une solution de détection et réponse sur les postes de travail, ainsi qu'un plan documenté de réponse aux incidents. L'absence de l'une de ces mesures de base peut entraîner un refus de couverture ou une prime nettement plus élevée.
Une police de cyberassurance avec garantie de première partie couvre généralement les frais de gestion de l'incident : enquête technique, notification à la CAI et aux patients concernés, service de surveillance de crédit lorsque applicable, honoraires juridiques et communication de crise. Toutefois, si l'appareil volé n'était pas chiffré alors que le chiffrement était une condition déclarée à la souscription, l'assureur peut réduire ou refuser l'indemnisation, ce qui souligne l'importance de respecter réellement les mesures de sécurité annoncées à l'assureur.
Commentaires (3)
On vient de traverser exactement le scénario décrit dans le premier cas — courriel piégé bloqué par notre EDR. Content d'avoir suivi les recommandations de notre courtier l'an dernier, sinon ça aurait pu être bien pire.
Je ne savais pas que l'EFVP pouvait être demandée par un assureur, pas juste par la CAI. On a un rendez-vous avec notre courtier la semaine prochaine, je vais apporter ce point.
Le cas de la clinique de physio avec le portable volé, c'est presque identique à ce qu'on a vécu il y a deux ans. Le chiffrement des appareils mobiles, c'est la première chose qu'on vérifie maintenant à chaque nouvel employé.
Laisser un commentaire