Fax.Plus et Sign.Plus sont désormais conformes à la PHIPA pour le secteur de la santé en Ontario

Nous aidons depuis des années les équipes de santé à échanger des documents sensibles, et une question revient sans cesse chez nos clients canadiens : « C'est très bien, mais est-ce conforme à la PHIPA ? » Aujourd'hui, la réponse est un oui sans équivoque.

Fax.Plus et Sign.Plus sont désormais conformes à la PHIPA pour les prestataires de santé de l'Ontario. À l'issue d'une évaluation de conformité complète des deux services, nous répondons aux exigences de la loi ontarienne sur la protection de la vie privée en matière de santé, et nous proposons un contrat de prestataire de services PHIPA dédié aux organisations qui traitent des informations de santé de patients. Si vous dirigez une clinique, un hôpital, une pharmacie ou un cabinet en Ontario et que vous faxez encore des dossiers de patients ou recueillez des signatures électroniques juridiquement contraignantes, cette annonce vous concerne.

‍

Qu'est-ce que la PHIPA ?

La PHIPA est la loi ontarienne sur la protection de la vie privée en matière de santé. Son nom complet est Personal Health Information Protection Act. Elle encadre la manière dont les informations de santé des patients sont collectées, utilisées, conservées et partagées dans la province, et elle est en vigueur depuis 2004.

Voici une façon simple de la comprendre. La PHIPA est la version ontarienne de la loi HIPAA, la loi américaine sur la confidentialité des données de santé que beaucoup connaissent déjà. Même objectif, pays différent : préserver la confidentialité et la sécurité des informations médicales d'un patient. La loi est appliquée par le Commissaire à l'information et à la protection de la vie privée de l'Ontario, un organisme de réglementation indépendant qui traite les plaintes et enquête sur les violations de données. Depuis 2024, le commissaire peut infliger à une organisation des sanctions administratives pécuniaires pouvant atteindre 500 000 $ CA : ces règles ont donc un poids réel. Si vous souhaitez connaître le volet américain, notre article expliquant ce qu'est la loi HIPAA vous détaille le sujet.

‍

La PHIPA s'applique-t-elle à des prestataires comme Fax.Plus et Sign.Plus ?

La PHIPA s'applique à Fax.Plus et Sign.Plus en tant qu'agents, et non en tant que parties assumant la responsabilité juridique principale. Cette distinction mérite d'être comprise, car elle indique précisément ce que nous vous apportons et ce qui reste de votre ressort.

La PHIPA confie ses principales responsabilités à un dépositaire de renseignements sur la santé (Health Information Custodian), c'est-à-dire l'organisation de santé elle-même : le médecin, la clinique, l'hôpital. Le dépositaire décide quelles informations de patients collecter et à qui les transmettre. Des services comme Fax.Plus et Sign.Plus agissent en tant qu'agents, ou fournisseurs de services électroniques. Concrètement, nous fournissons la couche sécurisée du flux de documents. Vous décidez de ce que vous envoyez et à qui ; nous veillons à ce que les documents soient transmis et conservés en toute sécurité. Les obligations telles que l'obtention du consentement du patient restent à votre charge en tant que dépositaire. La sécurité de la transmission et du stockage nous incombe. Toute notre évaluation repose sur ce partage des rôles, afin qu'il n'y ait aucune ambiguïté sur qui couvre quoi.

‍

Que couvrait l'évaluation PHIPA ?

L'évaluation a passé en revue toutes les exigences de la PHIPA applicables aux prestataires de services dans notre rôle, et elle s'est conclue sans aucun écart ouvert, quel que soit le niveau de risque. Elle a porté sur les domaines qui comptent réellement pour une organisation de santé.

‍

Mesures de protection et surveillance des pistes d'audit

Les documents envoyés via Fax.Plus et ceux traités via Sign.Plus sont chiffrés en transit (TLS 1.3) et au repos (AES 256 bits avec des clés propres à chaque utilisateur). L'accès repose sur des identifiants utilisateur uniques, des autorisations basées sur les rôles, l'authentification à deux facteurs et l'authentification unique. Chaque transfert de fichier et chaque accès sont consignés et exportables à des fins d'audit. La PHIPA n'exige pas seulement de conserver des journaux : elle attend une surveillance active des pistes d'audit. Nous effectuons donc chaque jour des contrôles automatisés d'anomalies, plutôt que d'examiner les journaux uniquement après un incident. Vous pouvez en découvrir les détails sur notre page Sécurité et confidentialité ou dans notre analyse expliquant si Fax.Plus est sûr.

‍

Gestion des violations de données

Si un incident de sécurité touche les données d'un client, notre processus de réponse aux incidents l'en informe rapidement, avec toutes les précisions nécessaires. Cela aide le prestataire à respecter sa propre obligation, au titre de la PHIPA, d'informer les patients concernés et, le cas échéant, de le signaler au commissaire à l'information et à la protection de la vie privée (IPC).

‍

Contrat de prestataire de services

Les prestataires qui traitent des informations de santé de patients reçoivent un contrat de prestataire de services PHIPA qui complète le contrat de service standard et précise par écrit les conditions de confidentialité, de notification des violations et de traitement des données.

‍

Conservation et suppression

Vous contrôlez la durée de conservation des fax. Les enregistrements peuvent être supprimés individuellement, en masse via l'API, ou intégralement sur demande, et les fichiers de fax supprimés sont détruits de façon à ne pas pouvoir être récupérés.

‍

Les données de santé de l'Ontario peuvent-elles rester au Canada ?

Oui. Les dépositaires ontariens peuvent sélectionner une région de traitement canadienne pour leur instance Fax.Plus dans le cadre d'un contrat de dépositaire, et ce choix est garanti à la fois sur le plan technique, grâce au verrouillage de région (region-pinning), et sur le plan contractuel. La PHIPA n'exige pas réellement que les données des patients restent en Ontario ou au Canada, mais de nombreux dépositaires le préfèrent, et certains l'intègrent à leurs propres pratiques de gestion de l'information. Proposer une région canadienne permet de lever cette question avant qu'elle ne devienne un frein.

‍

Quel lien entre la conformité à la PHIPA, HIPAA, ISO 27001 et SOC 2 ?

La conformité à la PHIPA s'appuie directement sur les certifications que Fax.Plus et Sign.Plus détiennent déjà, au lieu de repartir de zéro. Les services fonctionnent dans le cadre de programmes ISO 27001 et SOC 2 Type II audités de manière indépendante, prennent en charge la conformité HIPAA grâce à un Business Associate Agreement signé pour les clients du secteur de la santé aux États-Unis, et stockent les données selon la législation suisse, très protectrice en matière de vie privée, avec plus de 40 emplacements de résidence des données disponibles.

Un petit décryptage, car les acronymes s'accumulent vite. ISO 27001 et SOC 2 Type II sont en substance des inspections indépendantes de la façon dont une entreprise protège les données, réalisées par des auditeurs externes plutôt que par l'entreprise elle-même. La conformité à la PHIPA transpose cette même base dans le langage juridique propre à l'Ontario. Si vous faisiez déjà confiance à Fax.Plus ou Sign.Plus grâce à ces certifications, la conformité à la PHIPA constitue la couche suivante, construite sur les mêmes fondations.

‍

Que doivent faire ensuite les prestataires de santé de l'Ontario ?

Si votre organisation traite des informations de santé de patients en Ontario et utilise Fax.Plus ou Sign.Plus, la prochaine étape consiste à demander le contrat de prestataire de services PHIPA afin que vos obligations envers votre fournisseur soient consignées par écrit. Il est également judicieux de demander à votre équipe chargée de la confidentialité de confirmer quelles obligations PHIPA restent à votre charge en tant que dépositaire, car certaines responsabilités, comme le consentement des patients et la notification des personnes concernées après une violation, ne peuvent pas être déléguées à un prestataire de services.

Pour voir comment Fax.Plus s'intègre à un flux de travail réel dans le secteur de la santé, consultez notre page dédiée à la solution de fax pour la santé ou découvrez l'envoi de fax conforme à HIPAA.

‍

FAQ

‍

Fax.Plus et Sign.Plus sont-ils conformes à la PHIPA\u00a0?

Oui. À l'issue d'une évaluation complète de conformité, Fax.Plus et Sign.Plus répondent aux exigences de la PHIPA pour les prestataires de soins de santé de l'Ontario et proposent un contrat de prestataire de services PHIPA aux organisations qui traitent des informations de santé de patients.

La PHIPA exige-t-elle que mes données restent au Canada\u00a0?

Non. La PHIPA n'exige pas que les données des patients restent en Ontario ou au Canada, mais Fax.Plus propose une région de traitement canadienne pour les dépositaires qui préfèrent ou exigent un traitement local des données.

‍

Qui est responsable du consentement des patients\u00a0: Fax.Plus, Sign.Plus ou le prestataire de soins\u00a0?

Le prestataire de soins, en sa qualité de dépositaire. Fax.Plus et Sign.Plus agissent comme des agents qui aident à transmettre, traiter, signer et stocker les documents en toute sécurité\u00a0; ils ne recueillent pas le consentement des patients au nom du prestataire.

Existe-t-il un certificat ou un enregistrement PHIPA\u00a0?

Non. La PHIPA ne prévoit aucun programme central de certification ou d'enregistrement. Être conforme signifie disposer des politiques, des mesures de protection et des procédures en cas de violation requises, et pouvoir le démontrer sur demande.

‍