Fax.Plus y Sign.Plus ya cumplen con PHIPA para el sector sanitario de Ontario

Llevamos años ayudando a equipos sanitarios a trasladar documentos sensibles, y nuestros clientes canadienses nos hacen constantemente una pregunta: "Es genial, pero ¿cumple con PHIPA?". A partir de hoy, la respuesta es un sí rotundo.

Fax.Plus y Sign.Plus ya cumplen con PHIPA para los proveedores de atención médica de Ontario. Tras una evaluación de cumplimiento completa de ambos servicios, cumplimos los requisitos de la ley de privacidad sanitaria de Ontario y ofrecemos un Acuerdo de proveedor de servicios PHIPA específico para las organizaciones que gestionan información de salud de pacientes. Si dirige una clínica, un hospital, una farmacia o una consulta en Ontario y todavía envía historiales de pacientes por fax o recopila firmas electrónicas legalmente vinculantes, esto le interesa.

‍

¿Qué es PHIPA?

PHIPA es la ley de privacidad sanitaria de Ontario y corresponde a las siglas de Personal Health Information Protection Act (Ley de protección de la información personal de salud). Regula cómo se recopila, utiliza, almacena y comparte la información de salud de los pacientes en toda la provincia, y está en vigor desde 2004.

Esta es la forma sencilla de entenderlo. PHIPA es la versión de Ontario de HIPAA, la ley estadounidense de privacidad sanitaria que la mayoría de las personas ya conoce. Mismo objetivo, distinto país: mantener la información médica de un paciente privada y segura. La ley la aplica la Information and Privacy Commissioner of Ontario (Comisionada de Información y Privacidad de Ontario), un organismo regulador independiente que gestiona las reclamaciones e investiga las brechas de seguridad. Desde 2024, la Comisionada puede imponer sanciones administrativas pecuniarias de hasta 500 000 C$ a una organización, por lo que las normas tienen un peso real. Si desea conocer el lado estadounidense, nuestra explicación sobre qué es HIPAA lo detalla.

‍

¿Se aplica PHIPA a proveedores como Fax.Plus y Sign.Plus?

PHIPA se aplica a Fax.Plus y Sign.Plus como agentes, no como las partes que tienen la responsabilidad legal principal. Conviene entender esta distinción, porque indica exactamente qué obtiene de nosotros y qué sigue siendo responsabilidad suya.

PHIPA asigna sus responsabilidades principales a un custodio de información de salud (Health Information Custodian), que es la propia organización sanitaria: el médico, la clínica, el hospital. El custodio decide qué información de los pacientes recopilar y a quién enviarla. Servicios como Fax.Plus y Sign.Plus actúan como agentes, o proveedores de servicios electrónicos. En términos sencillos, proporcionamos la capa segura del flujo de trabajo de documentos. Usted decide qué enviar y a quién; nosotros nos aseguramos de que viaje y se almacene de forma segura. Obligaciones como obtener el consentimiento del paciente siguen siendo suyas como custodio. La seguridad de la transmisión y del almacenamiento es responsabilidad nuestra. Hemos basado toda nuestra evaluación en esa división, para que no haya confusión sobre quién cubre qué.

‍

¿Qué abarcó la evaluación de PHIPA?

La evaluación revisó todos los requisitos de PHIPA que se aplican a los proveedores de servicios en nuestro papel, y concluyó sin deficiencias pendientes en ningún nivel de riesgo. La revisión abarcó los ámbitos que realmente importan a una organización sanitaria.

‍

Salvaguardas y monitorización de auditoría

Los documentos enviados a través de Fax.Plus y los gestionados mediante Sign.Plus están cifrados en tránsito (TLS 1.3) y en reposo (AES de 256 bits con claves por usuario). El acceso se basa en ID de usuario únicos, permisos por roles, autenticación de dos factores e inicio de sesión único. Cada transferencia de archivos y cada evento de acceso se registra y se puede exportar para auditorías. PHIPA espera algo más que conservar registros: exige una monitorización activa de la pista de auditoría, por lo que realizamos comprobaciones diarias automatizadas de anomalías en lugar de revisar los registros solo después de un incidente. Puede consultar los detalles en nuestra página de seguridad y privacidad o en nuestro análisis sobre si Fax.Plus es seguro.

‍

Gestión de brechas de seguridad

Si un incidente de seguridad afecta a los datos de un cliente, nuestro proceso de respuesta a incidentes se lo notifica con rapidez y con los detalles que necesita. Esto ayuda al proveedor a cumplir su propia obligación en virtud de PHIPA de notificar a los pacientes afectados y, cuando proceda, informar a la IPC.

‍

Acuerdo de proveedor de servicios

Los proveedores que gestionan información de salud de pacientes reciben un Acuerdo de proveedor de servicios PHIPA que complementa el contrato de servicio estándar y establece por escrito los términos de confidencialidad, notificación de brechas y tratamiento de datos.

‍

Conservación y eliminación

Usted controla durante cuánto tiempo se conservan los faxes. Los registros pueden eliminarse individualmente, de forma masiva mediante la API o por completo a petición, y los archivos de fax eliminados se destruyen para que no puedan recuperarse.

‍

¿Pueden los datos sanitarios de Ontario permanecer en Canadá?

Sí. Los custodios de Ontario pueden seleccionar una región de procesamiento canadiense para su entorno de Fax.Plus mediante un acuerdo de custodio, y esa elección se aplica tanto a nivel técnico, mediante la fijación de región (region-pinning), como contractual. En realidad, PHIPA no exige que los datos de los pacientes permanezcan dentro de Ontario o de Canadá, pero muchos custodios lo prefieren y algunos lo incorporan a sus propias prácticas de información. Ofrecer una región canadiense elimina esa cuestión antes de que se convierta en una objeción.

‍

¿Qué relación tiene el cumplimiento de PHIPA con HIPAA, ISO 27001 y SOC 2?

El cumplimiento de PHIPA se basa directamente en las certificaciones que Fax.Plus y Sign.Plus ya poseen, en lugar de partir de cero. Los servicios funcionan con programas ISO 27001 y SOC 2 Tipo II auditados de forma independiente, son compatibles con HIPAA mediante un Business Associate Agreement firmado para los clientes sanitarios de EE. UU. y almacenan los datos conforme a la sólida legislación suiza de privacidad, con más de 40 ubicaciones de residencia de datos disponibles.

Una traducción rápida, ya que las siglas se acumulan enseguida. ISO 27001 y SOC 2 Tipo II son, en esencia, inspecciones independientes de cómo una empresa protege los datos, realizadas por auditores externos y no por la propia empresa. El cumplimiento de PHIPA traslada esa misma base al lenguaje jurídico específico de Ontario. Si ya confiaba en Fax.Plus o Sign.Plus gracias a esas certificaciones, el cumplimiento de PHIPA es la siguiente capa sobre la misma base.

‍

¿Qué deben hacer a continuación los proveedores de atención médica de Ontario?

Si su organización gestiona información de salud de pacientes en Ontario y utiliza Fax.Plus o Sign.Plus, el siguiente paso es solicitar el Acuerdo de proveedor de servicios PHIPA para que las obligaciones de su proveedor queden documentadas por escrito. También conviene que su equipo de privacidad confirme qué obligaciones de PHIPA siguen recayendo en usted como custodio, ya que algunas responsabilidades, como el consentimiento del paciente y la notificación a las personas afectadas tras una brecha de seguridad, no pueden delegarse en un proveedor de servicios.

Para ver cómo encaja Fax.Plus en un flujo de trabajo sanitario real, visite nuestra página de solución de fax para el sector sanitario o consulte más información sobre el envío de faxes conforme a HIPAA.

‍

Preguntas frecuentes

‍

¿Cumplen Fax.Plus y Sign.Plus con PHIPA?

Sí. Tras una evaluación de cumplimiento completa, Fax.Plus y Sign.Plus cumplen los requisitos de PHIPA para los proveedores de atención médica de Ontario y ofrecen un Acuerdo de proveedor de servicios PHIPA para las organizaciones que gestionan información de salud de pacientes.

¿PHIPA exige que mis datos permanezcan en Canadá?

No. PHIPA no exige que los datos de los pacientes permanezcan en Ontario ni en Canadá, pero Fax.Plus ofrece una región de procesamiento canadiense para los custodios que prefieran o necesiten un tratamiento local de los datos.

‍

¿Quién es responsable del consentimiento del paciente: Fax.Plus, Sign.Plus o el proveedor de atención médica?

El proveedor de atención médica, como custodio. Fax.Plus y Sign.Plus actúan como agentes que ayudan a transmitir, procesar, firmar y almacenar documentos de forma segura; no recaban el consentimiento del paciente en nombre del proveedor.

¿Existe un certificado o registro de PHIPA?

No. PHIPA no cuenta con un programa central de certificación o registro. El cumplimiento consiste en contar con las políticas, las medidas de protección y los procedimientos ante brechas de seguridad exigidos, y poder demostrarlos cuando se soliciten.

‍