Fax.Plus und Sign.Plus sind jetzt PHIPA-konform für das Gesundheitswesen in Ontario

Seit Jahren unterstützen wir Teams im Gesundheitswesen dabei, sensible Dokumente zu übermitteln, und unsere kanadischen Kunden stellen uns immer wieder dieselbe Frage: „Das ist großartig, aber ist es PHIPA-konform?“ Seit heute lautet die Antwort ganz klar: Ja.

Fax.Plus und Sign.Plus sind jetzt PHIPA-konform für Gesundheitsdienstleister in Ontario. Nach einer umfassenden Compliance-Prüfung beider Dienste erfüllen wir die Anforderungen des Gesundheitsdatenschutzgesetzes von Ontario und bieten Organisationen, die Patientengesundheitsdaten verarbeiten, eine eigene PHIPA-Dienstleistervereinbarung an. Wenn Sie in Ontario eine Klinik, ein Krankenhaus, eine Apotheke oder eine Praxis betreiben und weiterhin Patientenakten faxen oder rechtsverbindliche elektronische Signaturen einholen, ist dieser Beitrag für Sie.

‍

Was ist PHIPA?

PHIPA ist das Gesundheitsdatenschutzgesetz von Ontario und steht für Personal Health Information Protection Act (Gesetz zum Schutz personenbezogener Gesundheitsinformationen). Es regelt, wie Patientengesundheitsdaten in der gesamten Provinz erhoben, verwendet, gespeichert und weitergegeben werden, und gilt seit 2004.

So lässt es sich einfach einordnen: PHIPA ist die Ontario-Version von HIPAA, dem amerikanischen Gesundheitsdatenschutzgesetz, das die meisten bereits kennen. Gleiches Ziel, anderes Land: die medizinischen Informationen von Patienten vertraulich und sicher zu halten. Durchgesetzt wird das Gesetz von der Informations- und Datenschutzbehörde von Ontario, einer unabhängigen Aufsichtsbehörde, die Beschwerden bearbeitet und Datenschutzverletzungen untersucht. Seit 2024 kann sie gegen eine Organisation administrative Geldbußen von bis zu 500.000 CAD verhängen – die Regeln haben also echtes Gewicht. Wenn Sie die amerikanische Seite kennenlernen möchten, erklärt unser Beitrag Was ist HIPAA? die Details.

‍

Gilt PHIPA für Anbieter wie Fax.Plus und Sign.Plus?

PHIPA gilt für Fax.Plus und Sign.Plus als Beauftragte, nicht als die Parteien, die die Hauptverantwortung tragen. Diese Unterscheidung ist wichtig, denn sie zeigt genau, was Sie von uns erhalten und was bei Ihnen bleibt.

PHIPA legt die zentralen Pflichten einem Verwahrer von Gesundheitsinformationen auf, also der Gesundheitseinrichtung selbst: der Ärztin oder dem Arzt, der Klinik, dem Krankenhaus. Der Verwahrer entscheidet, welche Patienteninformationen erhoben und an wen sie gesendet werden. Dienste wie Fax.Plus und Sign.Plus handeln als Beauftragte bzw. elektronische Dienstleister. Einfach gesagt: Wir stellen die sichere Ebene für den Dokumentenworkflow bereit. Sie entscheiden, was Sie an wen senden; wir sorgen dafür, dass es sicher übertragen und gespeichert wird. Pflichten wie das Einholen der Einwilligung der Patientinnen und Patienten bleiben bei Ihnen als Verwahrer. Die Sicherheit von Übertragung und Speicherung liegt bei uns. Wir haben unsere gesamte Prüfung auf diese Aufteilung ausgerichtet, damit keine Unklarheit darüber besteht, wer wofür zuständig ist.

‍

Was umfasste die PHIPA-Prüfung?

Die Prüfung umfasste jede PHIPA-Anforderung, die für Dienstleister in unserer Rolle gilt, und wurde ohne offene Lücken auf irgendeiner Risikostufe abgeschlossen. Sie deckte die Bereiche ab, die für eine Gesundheitseinrichtung tatsächlich wichtig sind.

‍

Schutzmaßnahmen und Audit-Überwachung

Dokumente, die über Fax.Plus gesendet oder über Sign.Plus verarbeitet werden, sind bei der Übertragung (TLS 1.3) und im Ruhezustand (256-Bit-AES mit benutzerspezifischen Schlüsseln) verschlüsselt. Der Zugriff erfolgt über eindeutige Benutzer-IDs, rollenbasierte Berechtigungen, Zwei-Faktor-Authentifizierung und Single Sign-on. Jede Dateiübertragung und jedes Zugriffsereignis wird protokolliert und lässt sich für Audits exportieren. PHIPA erwartet mehr als bloßes Protokollieren, nämlich eine aktive Überwachung der Audit-Trails. Deshalb führen wir automatisierte tägliche Anomalieprüfungen durch, statt Protokolle erst nach einem Vorfall zu prüfen. Details finden Sie auf unserer Seite zu Sicherheit und Datenschutz oder in unserer Analyse, ob Fax.Plus sicher ist.

‍

Umgang mit Datenschutzverletzungen

Wenn ein Sicherheitsvorfall die Daten eines Kunden betrifft, benachrichtigt unser Incident-Response-Prozess diesen Kunden umgehend mit allen erforderlichen Details. So kann der Gesundheitsdienstleister seiner eigenen PHIPA-Pflicht nachkommen, betroffene Patienten zu benachrichtigen und, wo erforderlich, den Vorfall an die Behörde zu melden.

‍

Dienstleistervereinbarung

Gesundheitsdienstleister, die Patientengesundheitsdaten verarbeiten, erhalten eine PHIPA-Dienstleistervereinbarung, die den Standard-Servicevertrag ergänzt und Vertraulichkeit, Meldung von Datenschutzverletzungen und Datenverarbeitung schriftlich regelt.

‍

Aufbewahrung und Löschung

Sie bestimmen, wie lange Faxe aufbewahrt werden. Datensätze können einzeln, gesammelt über die API oder auf Anfrage vollständig entfernt werden, und gelöschte Faxdateien werden so vernichtet, dass sie nicht wiederhergestellt werden können.

‍

Können Gesundheitsdaten aus Ontario in Kanada bleiben?

Ja. Verwahrer in Ontario können im Rahmen einer Verwahrervereinbarung für ihren Fax.Plus-Mandanten eine kanadische Verarbeitungsregion auswählen, und diese Wahl wird sowohl technisch durch Region-Pinning als auch vertraglich durchgesetzt. PHIPA verlangt eigentlich nicht, dass Patientendaten in Ontario oder Kanada bleiben, doch viele Verwahrer bevorzugen das, und manche verankern es in ihren eigenen Informationspraktiken. Mit einer kanadischen Region erübrigt sich diese Frage, bevor sie zum Einwand wird.

‍

Wie hängt die PHIPA-Konformität mit HIPAA, ISO 27001 und SOC 2 zusammen?

Die PHIPA-Konformität baut direkt auf den Zertifizierungen auf, die Fax.Plus und Sign.Plus bereits besitzen, statt bei null zu beginnen. Die Dienste werden nach unabhängig geprüften ISO 27001- und SOC 2 Type II-Programmen betrieben, unterstützen HIPAA mit einem unterzeichneten Business Associate Agreement für Gesundheitskunden in den USA und speichern Daten unter dem strengen Schweizer Datenschutzrecht, mit über 40 verfügbaren Standorten für die Datenresidenz.

Kurz übersetzt, denn die Abkürzungen häufen sich schnell: ISO 27001 und SOC 2 Type II sind im Wesentlichen unabhängige Überprüfungen, wie ein Unternehmen Daten schützt, durchgeführt von externen Prüfern statt vom Unternehmen selbst. Die PHIPA-Konformität überträgt dieselbe Grundlage auf die spezifische Rechtssprache von Ontario. Wenn Sie Fax.Plus oder Sign.Plus bereits aufgrund dieser Zertifizierungen vertraut haben, ist die PHIPA-Konformität die nächste Ebene auf derselben Basis.

‍

Was sollten Gesundheitsdienstleister in Ontario als Nächstes tun?

Wenn Ihre Organisation in Ontario Patientengesundheitsdaten verarbeitet und Fax.Plus oder Sign.Plus nutzt, besteht der nächste Schritt darin, die PHIPA-Dienstleistervereinbarung anzufordern, damit Ihre Pflichten gegenüber dem Anbieter schriftlich dokumentiert sind. Es empfiehlt sich außerdem, dass Ihr Datenschutzteam bestätigt, welche PHIPA-Pflichten als Verwahrer von Gesundheitsinformationen bei Ihnen verbleiben, da einige Verantwortlichkeiten – etwa die Einwilligung der Patientinnen und Patienten oder die Benachrichtigung der Betroffenen nach einer Datenschutzverletzung – nicht an einen Dienstleister übertragen werden können.

Wie Fax.Plus in einen realen Arbeitsablauf im Gesundheitswesen passt, erfahren Sie auf unserer Seite zur Fax-Lösung für das Gesundheitswesen oder in unserem Beitrag zum HIPAA-konformen Faxen.

‍

FAQ

‍

Sind Fax.Plus und Sign.Plus PHIPA-konform?

Ja. Nach einer umfassenden Compliance-Prüfung erfüllen Fax.Plus und Sign.Plus die PHIPA-Anforderungen für Gesundheitsdienstleister in Ontario und bieten eine PHIPA-Dienstleistervereinbarung für Organisationen an, die Patientengesundheitsdaten verarbeiten.

Verlangt PHIPA, dass Ihre Daten in Kanada bleiben?

Nein. PHIPA verlangt nicht, dass Patientendaten in Ontario oder Kanada verbleiben. Fax.Plus bietet jedoch eine kanadische Verarbeitungsregion für Verwahrer an, die eine lokale Datenverarbeitung bevorzugen oder benötigen.

‍

Wer ist für die Einwilligung der Patientinnen und Patienten verantwortlich: Fax.Plus, Sign.Plus oder der Gesundheitsdienstleister?

Der Gesundheitsdienstleister als Verwahrer. Fax.Plus und Sign.Plus handeln als Beauftragte, die dabei helfen, Dokumente sicher zu übertragen, zu verarbeiten, zu signieren und zu speichern. Die Einwilligung der Patientinnen und Patienten holen sie nicht im Namen des Gesundheitsdienstleisters ein.

Gibt es ein PHIPA-Zertifikat oder eine PHIPA-Registrierung?

Nein. PHIPA sieht kein zentrales Zertifizierungs- oder Registrierungsprogramm vor. Compliance bedeutet, dass die erforderlichen Richtlinien, Schutzmaßnahmen und Verfahren bei Datenschutzverletzungen vorhanden sind und auf Anfrage nachgewiesen werden können.

‍