Loi 25 et physiothérapie au Québec : obligations concrètes pour votre clinique en 2026

Les formulaires d'évaluation initiale, les notes de traitement, les dossiers de progression — chaque document que vous créez dans une clinique de physiothérapie contient des renseignements personnels sensibles au sens de la Loi 25. En 2026, la Commission d'accès à l'information (CAI) a fait du secteur santé une priorité d'inspection. Voici ce que ça signifie concrètement pour vous.

Pourquoi les cliniques de physiothérapie sont dans le viseur de la CAI

Les données que vous traitez — diagnostics, antécédents médicaux, limitations fonctionnelles, parfois photos ou vidéos de bilan postural — sont parmi les plus sensibles qui existent. Une fuite ou un accès non autorisé constitue une atteinte grave à la vie privée de vos patients, avec obligation de signalement à la CAI dans les 72 heures.

Le secteur santé est explicitement ciblé dans les priorités d'inspection 2026 de la CAI. Les cliniques de physiothérapie ne font pas exception, qu'elles soient solo ou multidisciplinaires.

Les 4 zones à risque dans votre pratique

1. Votre logiciel de gestion de clinique

Jane App, Cliniko, Meditix, Power Diary — la plupart de ces outils hébergent tout ou partie des données à l'extérieur du Québec. L'article 17 de la Loi 25 exige une Évaluation des facteurs relatifs à la vie privée (EFVP) avant tout transfert de données patients hors Québec. Demandez à votre fournisseur un document précisant la localisation des serveurs de production et des sauvegardes.

2. Votre formulaire de prise en charge en ligne

Si votre site contient un formulaire où les patients saisissent leur nom, motif de consultation ou antécédents, vous collectez des renseignements personnels. Ce formulaire doit être accompagné d'une mention de confidentialité, d'un lien vers votre politique, et votre site doit avoir une bannière de consentement aux cookies conforme.

3. Les rappels de rendez-vous par SMS ou courriel

Envoyer des rappels via un service tiers (Mailchimp, Brevo, Twilio) constitue une communication de renseignements personnels à un sous-traitant. Votre politique de confidentialité doit le mentionner, et vos patients doivent avoir consenti à ce type de communication au moment de l'inscription.

4. L'IA dans vos notes de traitement

Dicter une note dans un outil de transcription IA ou la résumer via ChatGPT implique un transfert de données de santé vers des serveurs américains. Sans EFVP documentée, c'est une infraction potentielle à l'article 17. Pour les détails : Loi 25 et intelligence artificielle dans les cliniques.

Checklist de conformité pour une clinique de physiothérapie

• Votre site a une bannière de consentement aux cookies fonctionnelle
• Votre politique de confidentialité mentionne vos logiciels et la localisation de leurs serveurs
• Vous avez demandé un accord de traitement des données à votre fournisseur de logiciel
• Vos employés ont un accès restreint aux dossiers patients (principe du besoin de savoir)
• Vous avez désigné un responsable de la protection des renseignements personnels
• Vous savez comment réagir en cas d'incident de confidentialité