English: (3) The following are prescribed as requirements with respect to a health information network provider in the course of providing services to enable a health information custodian to use electronic means to collect, use, disclose, retain or dispose of personal health information: 1. The provider shall notify every applicable health information custodian at the first reasonable opportunity if,  i. the provider accessed, used, disclosed or disposed of personal health information other than in accordance with paragraphs 1 and 2 of subsection (1), or  ii. an unauthorized person accessed the personal health information. 2. The provider shall provide to each applicable health information custodian a plain language description of the services that the provider provides to the custodians, that is appropriate for sharing with the individuals to whom the personal health information relates, including a general description of the safeguards in place to protect against unauthorized use and disclosure, and to protect the integrity of the information. 3. The provider shall make available to the public,  i. the description referred to in paragraph 2,  ii. any directives, guidelines and policies of the provider that apply to the services that the provider provides to the health information custodians to the extent that these do not reveal a trade secret or confidential scientific, technical, commercial or labour relations information, and  iii. a general description of the safeguards implemented by the person in relation to the security and confidentiality of the information. 4. The provider shall to the extent reasonably practical, and in a manner that is reasonably practical, keep and make available to each applicable health information custodian, on the request of the custodian, an electronic record of,  i. all accesses to all or part of the personal health information associated with the custodian being held in equipment controlled by the provider, which record shall identify the person who accessed the information and the date and time of the access, and  ii. all transfers of all or part of the information associated with the custodian by means of equipment controlled by the provider, which record shall identify the person who transferred the information and the person or address to whom it was sent, and the date and time it was sent. 5. The provider shall perform, and provide to each applicable health information custodian a written copy of the results of, an assessment of the services provided to the health information custodians, with respect to,  i. threats, vulnerabilities and risks to the security and integrity of the personal health information, and  ii. how the services may affect the privacy of the individuals who are the subject of the information. 6. The provider shall ensure that any third party it retains to assist in providing services to a health information custodian agrees to comply with the restrictions and conditions that are necessary to enable the provider to comply with this section. 7. The provider shall enter into a written agreement with each health information custodian concerning the services provided to the custodian that,  i. describes the services that the provider is required to provide for the custodian,  ii. describes the administrative, technical and physical safeguards relating to the confidentiality and security of the information, and  iii. requires the provider to comply with the Act and the regulations.
French: (3) Les exigences suivantes sont prescrites à l'égard du fournisseur d'un réseau d'information sur la santé lorsqu'il fournit des services afin de permettre à un dépositaire de renseignements sur la santé d'utiliser des moyens électroniques pour recueillir, utiliser, divulguer, conserver ou éliminer des renseignements personnels sur la santé : 1. Le fournisseur avise chaque dépositaire de renseignements sur la santé concerné à la première occasion raisonnable si, selon le cas :  i. il a eu accès à des renseignements personnels sur la santé ou en a utilisés, divulgués ou éliminés d'une façon qui n'est pas conforme aux dispositions 1 et 2 du paragraphe (1),  ii. une personne non autorisée a eu accès aux renseignements. 2. Le fournisseur remet à chaque dépositaire de renseignements sur la santé concerné une description claire des services qu'il lui fournit, laquelle peut être partagée avec les particuliers que concernent les renseignements personnels sur la santé, y compris une description générale des mesures de précaution qui ont été mises en place pour éviter une utilisation et une divulgation non autorisées et protéger l'intégrité des renseignements. 3. Le fournisseur met ce qui suit à la disposition du public :  i. la description mentionnée à la disposition 2,  ii. ses directives, lignes directrices et politiques, le cas échéant, qui s'appliquent aux services qu'il fournit aux dépositaires de renseignements sur la santé dans la mesure où elles ne révèlent pas de secret industriel ni de renseignements confidentiels d'ordre scientifique, technique ou commercial ou qui ont trait aux relations de travail,  iii. la description générale des mesures de précaution qu'il a prises à l'égard de la protection et du caractère confidentiel des renseignements. 4. Dans la mesure où il est raisonnablement possible et pratique de le faire, le fournisseur tient un dossier électronique contenant les données suivantes et le met à la disposition de chaque dépositaire de renseignements sur la santé concerné qui le lui demande :  i. tous les cas d'accès à la totalité ou à une partie des renseignements personnels sur la santé confiés au dépositaire que contient l'équipement dont le fournisseur a le contrôle, avec indication du nom de la personne qui y a accédé et des date et heure de l'accès,  ii. tous les cas de transfert de la totalité ou d'une partie des renseignements confiés au dépositaire effectué en utilisant l'équipement dont le fournisseur a le contrôle, avec indication du nom de la personne qui les a transférés, du nom ou de l'adresse du destinataire et des date et heure du transfert. 5. Le fournisseur évalue les services qui ont été fournis aux dépositaires de renseignements sur la santé concernés à l'égard des points suivants et remet à chacun d'eux une copie des résultats obtenus :  i. les menaces, la vulnérabilité et les risques qui existent en matière de protection et d'intégrité des renseignements personnels sur la santé,  ii. l'impact possible des services sur la vie privée des particuliers que concernent les renseignements. 6. Le fournisseur veille à ce que les tiers qu'il engage pour l'aider à fournir des services aux dépositaires de renseignements sur la santé conviennent de satisfaire aux restrictions et aux conditions nécessaires pour lui permettre de se conformer au présent article. 7. Le fournisseur conclut avec chaque dépositaire de renseignements sur la santé un accord écrit sur les services qui ont été fournis à ce dernier, lequel réunit les conditions suivantes :  i. il décrit les services qu'il est tenu de lui fournir,  ii. il décrit les mesures de précaution d'ordre administratif, technique et physique qui existent afin d'assurer le caractère confidentiel et la protection des renseignements,  iii. il exige que le fournisseur se conforme à la Loi et aux règlements.