Fax.Plus e Sign.Plus ora sono conformi alla PHIPA per la sanità dell'Ontario

Da anni aiutiamo i team sanitari a scambiare documenti sensibili e dai nostri clienti canadesi arriva continuamente una domanda: "Tutto questo è ottimo, ma è conforme alla PHIPA?" Da oggi la risposta è un chiaro sì.

Fax.Plus e Sign.Plus sono ora conformi alla PHIPA per gli operatori sanitari dell'Ontario. Dopo una valutazione di conformità completa di entrambi i servizi, soddisfiamo i requisiti della legge sulla privacy sanitaria dell'Ontario e offriamo uno specifico Service Provider Agreement PHIPA per le organizzazioni che trattano informazioni sanitarie dei pazienti. Se gestite una clinica, un ospedale, una farmacia o uno studio in Ontario e inviate ancora via fax le cartelle dei pazienti o raccogliete firme elettroniche legalmente vincolanti, questa novità fa per voi.

‍

Che cos'è la PHIPA?

La PHIPA è la legge sulla privacy sanitaria dell'Ontario, il cui nome completo è Personal Health Information Protection Act. Disciplina come le informazioni sanitarie dei pazienti vengono raccolte, utilizzate, conservate e condivise in tutta la provincia ed è in vigore dal 2004.

Ecco un modo semplice per inquadrarla. La PHIPA è la versione dell'Ontario dell'HIPAA, la legge americana sulla privacy sanitaria che la maggior parte delle persone già conosce. Stesso obiettivo, paese diverso: mantenere private e al sicuro le informazioni mediche dei pazienti. La legge è applicata dal Commissario per l'informazione e la privacy dell'Ontario, un'autorità di controllo indipendente che gestisce i reclami e indaga sulle violazioni. Dal 2024 il Commissario può imporre a un'organizzazione sanzioni amministrative pecuniarie fino a 500.000 C$, quindi le regole hanno un peso concreto. Se volete conoscere il lato americano della questione, il nostro approfondimento su che cos'è l'HIPAA lo illustra passo dopo passo.

‍

La PHIPA si applica a fornitori come Fax.Plus e Sign.Plus?

La PHIPA si applica a Fax.Plus e Sign.Plus in veste di agenti, non come soggetti su cui ricade l'obbligo giuridico principale. Questa distinzione è importante da comprendere, perché chiarisce esattamente che cosa ricevete da noi e che cosa resta a vostro carico.

La PHIPA attribuisce le responsabilità principali a un Health Information Custodian (custode delle informazioni sanitarie), ovvero l'organizzazione sanitaria stessa: il medico, la clinica, l'ospedale. Il custode decide quali informazioni dei pazienti raccogliere e a chi inviarle. Servizi come Fax.Plus e Sign.Plus operano come agenti, ovvero fornitori di servizi elettronici. In parole semplici, forniamo il livello sicuro del flusso documentale. Voi decidete che cosa inviare e a chi; noi garantiamo che viaggi e venga conservato in sicurezza. Gli obblighi come l'acquisizione del consenso del paziente restano a vostro carico in quanto custode. La sicurezza della trasmissione e della conservazione spetta a noi. Abbiamo costruito l'intera valutazione attorno a questa ripartizione, in modo che non ci siano dubbi su chi risponde di cosa.

‍

Che cosa ha incluso la valutazione PHIPA?

La valutazione ha esaminato ogni requisito PHIPA applicabile ai fornitori di servizi nel nostro ruolo e si è conclusa senza lacune aperte a nessun livello di rischio. La revisione ha riguardato gli ambiti che un'organizzazione sanitaria ha davvero a cuore.

‍

Misure di sicurezza e monitoraggio degli audit

I documenti inviati tramite Fax.Plus e quelli gestiti tramite Sign.Plus sono cifrati in transito (TLS 1.3) e a riposo (AES a 256 bit con chiavi per singolo utente). L'accesso si basa su ID utente univoci, autorizzazioni basate sui ruoli, autenticazione a due fattori e single sign-on. Ogni trasferimento di file e ogni evento di accesso viene registrato ed è esportabile per gli audit. La PHIPA richiede più della semplice conservazione dei log: richiede un monitoraggio attivo delle tracce di audit, quindi eseguiamo controlli automatici giornalieri delle anomalie anziché limitarci a esaminare i log dopo un incidente. Potete approfondire nella nostra pagina su sicurezza e privacy o nel nostro approfondimento su se Fax.Plus è sicuro.

‍

Gestione delle violazioni

Se un incidente di sicurezza coinvolge i dati di un cliente, il nostro processo di risposta agli incidenti avvisa tempestivamente quel cliente con i dettagli necessari. Questo aiuta l'operatore sanitario a rispettare il proprio obbligo PHIPA di avvisare i pazienti interessati e, ove richiesto, di segnalare l'accaduto all'IPC.

‍

Contratto con il fornitore di servizi

Gli operatori che trattano informazioni sanitarie dei pazienti ricevono un Service Provider Agreement PHIPA che integra il contratto di servizio standard e stabilisce per iscritto i termini di riservatezza, notifica delle violazioni e trattamento dei dati.

‍

Conservazione ed eliminazione

Siete voi a controllare per quanto tempo i fax vengono conservati. I record possono essere rimossi singolarmente, in blocco tramite l'API o integralmente su richiesta, e i file dei fax eliminati vengono distrutti in modo da non poter essere recuperati.

‍

I dati sanitari dell'Ontario possono restare in Canada?

Sì. I custodi dell'Ontario possono selezionare una regione di elaborazione canadese per il proprio tenant Fax.Plus nell'ambito di un accordo con il custode, e questa scelta è garantita sia sul piano tecnico, tramite region-pinning, sia su quello contrattuale. In realtà la PHIPA non richiede che i dati dei pazienti restino in Ontario o in Canada, ma molti custodi lo preferiscono e alcuni lo includono nelle proprie prassi informative. Offrire una regione canadese elimina la questione prima che diventi un'obiezione.

‍

Che rapporto c'è tra la conformità PHIPA, HIPAA, ISO 27001 e SOC 2?

La conformità PHIPA si basa direttamente sulle certificazioni che Fax.Plus e Sign.Plus già possiedono, anziché partire da zero. I servizi operano nell'ambito di programmi ISO 27001 e SOC 2 Type II sottoposti ad audit indipendenti, supportano la conformità HIPAA con un Business Associate Agreement firmato per i clienti sanitari statunitensi e conservano i dati in base alla solida normativa svizzera sulla privacy, con oltre 40 sedi di residenza dei dati disponibili.

Una rapida traduzione, perché gli acronimi si accumulano in fretta. ISO 27001 e SOC 2 Type II sono in sostanza ispezioni indipendenti sul modo in cui un'azienda protegge i dati, condotte da revisori esterni e non dall'azienda stessa. La conformità PHIPA applica la stessa base al linguaggio giuridico specifico dell'Ontario. Se già vi fidavate di Fax.Plus o Sign.Plus grazie a quelle certificazioni, la conformità PHIPA è il livello successivo costruito sulla stessa base.

‍

Cosa dovrebbero fare ora gli operatori sanitari dell'Ontario?

Se la vostra organizzazione gestisce informazioni sanitarie dei pazienti in Ontario e utilizza Fax.Plus o Sign.Plus, il passo successivo è richiedere il Service Provider Agreement PHIPA, in modo che gli obblighi del fornitore siano documentati per iscritto. Conviene anche far verificare al vostro team privacy quali obblighi PHIPA restano a vostro carico in qualità di custode, poiché alcune responsabilità, come il consenso del paziente e la notifica agli interessati dopo una violazione, non possono essere delegate a un fornitore di servizi.

Per scoprire come Fax.Plus si adatta a un flusso di lavoro sanitario reale, visitate la nostra pagina della soluzione fax per la sanità o approfondite il fax conforme all'HIPAA.

‍

FAQ

‍

Fax.Plus e Sign.Plus sono conformi alla PHIPA?

Sì. Dopo una valutazione di conformità completa, Fax.Plus e Sign.Plus soddisfano i requisiti PHIPA per gli operatori sanitari dell'Ontario e offrono un Service Provider Agreement PHIPA per le organizzazioni che gestiscono informazioni sanitarie dei pazienti.

La PHIPA richiede che i miei dati restino in Canada?

No. La PHIPA non richiede che i dati dei pazienti restino in Ontario o in Canada, ma Fax.Plus offre una regione di elaborazione canadese per i custodi che preferiscono o necessitano di una gestione locale dei dati.

‍

Chi è responsabile del consenso del paziente: Fax.Plus, Sign.Plus o l'operatore sanitario?

L'operatore sanitario, in qualità di custode. Fax.Plus e Sign.Plus agiscono come agenti che aiutano a trasmettere, elaborare, firmare e archiviare i documenti in modo sicuro; non raccolgono il consenso dei pazienti per conto dell'operatore sanitario.

Esiste un certificato o una registrazione PHIPA?

No. La PHIPA non prevede un programma centrale di certificazione o registrazione. Conformità significa disporre delle politiche, delle misure di protezione e delle procedure per le violazioni richieste, ed essere in grado di dimostrarlo su richiesta.

‍