Fax.PlusとSign.Plusがオンタリオ州の医療機関向けにPHIPAに準拠

私たちは長年にわたり、医療チームによる機密性の高い文書のやり取りをお手伝いしてきました。その中で、カナダのお客様から繰り返し寄せられる質問があります。「とても便利ですが、PHIPAに準拠していますか?」本日より、その答えは明確に「はい」です。

Fax.PlusとSign.Plusは、オンタリオ州の医療機関向けにPHIPAへ準拠しました。両サービスの包括的なコンプライアンス評価を経て、オンタリオ州の医療プライバシー法の要件を満たしていることが確認されました。また、患者の医療情報を取り扱う組織向けに、PHIPA専用のサービスプロバイダー契約もご用意しています。オンタリオ州でクリニック、病院、薬局、診療所を運営し、今も患者の記録をFAXで送信したり、法的拘束力のある電子署名を取得したりしている方に、ぜひご覧いただきたい内容です。

‍

PHIPAとは?

PHIPAはオンタリオ州の医療プライバシー法で、Personal Health Information Protection Act(個人健康情報保護法)の略称です。州内で患者の医療情報を収集、使用、保管、共有する方法を規定しており、2004年から施行されています。

簡単に言えば、PHIPAはオンタリオ州版のHIPAAです。HIPAAは多くの方がすでにご存じのアメリカの医療プライバシー法で、国は違っても目的は同じ、つまり患者の医療情報をプライベートかつ安全に保つことです。この法律は、オンタリオ州情報・プライバシー・コミッショナーが執行しています。これは苦情を受け付け、情報漏えいを調査する独立した規制機関です。2024年以降、コミッショナーは組織に対して最大50万カナダドルの行政上の金銭的制裁金を科すことができるため、このルールには実質的な重みがあります。アメリカ側の事情が気になる方は、HIPAAとは何かの解説をご覧ください。

‍

PHIPAはFax.PlusやSign.Plusのようなプロバイダーにも適用されますか?

PHIPAは、Fax.PlusとSign.Plusに対して、主たる法的義務を負う当事者としてではなく、エージェントとして適用されます。この違いを理解しておくことが大切です。私たちが何を提供し、何がお客様の責任として残るのかが明確になるからです。

PHIPAは、中核となる責任をHealth Information Custodian(医療情報管理者)に課しています。これは医療機関そのもの、つまり医師、クリニック、病院を指します。管理者は、どの患者情報を収集し、誰に送信するかを決定します。Fax.PlusやSign.Plusのようなサービスは、エージェント(電子サービスプロバイダー)として機能します。わかりやすく言えば、私たちは安全な文書ワークフローの基盤を提供します。何を誰に送るかはお客様が決め、私たちはそれが安全に送信され保管されるようにします。患者の同意の取得といった義務は、管理者であるお客様が引き続き負います。送信と保管のセキュリティは私たちの責任です。誰が何を担うのかが曖昧にならないよう、評価全体をこの役割分担に沿って設計しました。

‍

PHIPA評価の対象範囲は?

この評価では、私たちの立場のサービスプロバイダーに適用されるPHIPAの要件をすべて確認し、あらゆるリスクレベルで未解決のギャップがない状態で完了しました。レビューは、医療機関が実際に重視する分野を対象としています。

‍

保護措置と監査モニタリング

Fax.Plusで送信される文書とSign.Plusで扱われる文書は、送信時(TLS 1.3)と保管時(ユーザーごとの鍵を使用した256ビットAES)の両方で暗号化されます。アクセスは、一意のユーザーID、ロールベースの権限、二要素認証、シングルサインオンによって管理されます。すべてのファイル転送とアクセスイベントはログに記録され、監査用にエクスポートできます。PHIPAはログの保管だけでなく、監査証跡の能動的なモニタリングも求めています。そのため、インシデント発生後にログを確認するだけでなく、毎日自動で異常検知を行っています。詳細は、セキュリティとプライバシーのページ、またはFax.Plusは安全かの解説をご覧ください。

‍

情報漏えい時の対応

セキュリティインシデントがお客様のデータに影響した場合、私たちのインシデント対応プロセスにより、お客様が必要とする詳細情報を添えて速やかに通知します。これにより、プロバイダーは、影響を受けた患者に通知し、必要に応じてIPCに報告するという自らのPHIPA上の義務を果たしやすくなります。

‍

サービスプロバイダー契約

患者の医療情報を取り扱うプロバイダーには、標準のサービス契約を補完するPHIPAサービスプロバイダー契約をご提供します。この契約では、機密保持、情報漏えいの通知、データの取り扱いに関する条件が書面で定められています。

‍

保持と削除

FAXの保管期間はお客様が管理できます。記録は個別に削除することも、APIで一括削除することも、ご依頼に応じて完全に削除することもできます。削除されたFAXファイルは復元できないように破棄されます。

‍

オンタリオ州の医療データをカナダ国内に保持できますか?

はい。オンタリオ州の管理者は、管理者契約に基づき、Fax.Plusのテナントにカナダの処理リージョンを選択できます。この選択は、リージョンピニングによる技術面と、契約面の両方で担保されます。PHIPAは、患者データをオンタリオ州内やカナダ国内に保持することを実際には義務づけていませんが、多くの管理者はそれを望んでおり、自らの情報取り扱い方針に組み込んでいる管理者もいます。カナダのリージョンを提供することで、この点が懸念事項になる前に解消できます。

‍

PHIPAへの準拠は、HIPAA、ISO 27001、SOC 2とどのように関係していますか?

PHIPAへの準拠は、ゼロから始めたものではなく、Fax.PlusとSign.Plusがすでに取得している認証の上に成り立っています。両サービスは、第三者による監査を受けたISO 27001およびSOC 2 Type IIのプログラムに基づいて運用されています。また、米国の医療機関のお客様には署名済みのBusiness Associate AgreementによりHIPAAをサポートし、厳格なスイスのプライバシー法の下でデータを保管しており、40か所以上のデータ所在地をご利用いただけます。

略語が次々に出てくるため、簡単に整理します。ISO 27001とSOC 2 Type IIは、企業自身ではなく外部の監査人が、その企業のデータ保護の取り組みを検査する独立した審査です。PHIPAへの準拠は、その同じ基盤をオンタリオ州固有の法的文言に対応づけたものです。これらの認証を信頼してすでにFax.PlusやSign.Plusをご利用いただいている場合、PHIPAへの準拠は、同じ基盤の上に重ねた次のレイヤーとなります。

‍

オンタリオ州の医療機関は次に何をすべきですか?

オンタリオ州で患者の医療情報を取り扱う組織がFax.PlusまたはSign.Plusをご利用の場合、次のステップはPHIPAサービスプロバイダー契約をリクエストし、ベンダーとしての義務を書面で明確にすることです。また、PHIPAに基づく義務のうち、管理者であるお客様側に残るものについて、プライバシー担当チームに確認してもらうことをおすすめします。患者の同意の取得や、情報漏えい後の本人への通知など、一部の責任はサービスプロバイダーに委ねることができないためです。

Fax.Plusが実際の医療ワークフローにどのように適合するかについては、医療向けFAXソリューションのページをご覧いただくか、HIPAA準拠のFAX送信についての記事をお読みください。

‍

よくある質問

‍

Fax.PlusとSign.PlusはPHIPAに準拠していますか?

はい。包括的なコンプライアンス評価を経て、Fax.PlusとSign.Plusはオンタリオ州の医療提供者向けのPHIPA要件を満たしており、患者の医療情報を取り扱う組織向けにPHIPAサービスプロバイダー契約を提供しています。

PHIPAでは、データをカナダ国内に保存する必要がありますか?

いいえ。PHIPAは、患者データをオンタリオ州内またはカナダ国内に保持することを求めていません。ただし、Fax.Plusでは、国内でのデータ処理を希望または必要とする管理者向けに、カナダの処理リージョンをご用意しています。

‍

患者の同意に責任を負うのは、Fax.Plus、Sign.Plus、医療提供者のうちどれですか?

管理者である医療提供者です。Fax.PlusとSign.Plusは、文書の送信、処理、署名、保存を安全に行うためのエージェントとして機能しており、医療提供者に代わって患者の同意を取得することはありません。

PHIPAの認証や登録はありますか?

いいえ。PHIPAには、中央での認証制度や登録制度はありません。コンプライアンスとは、必要なポリシー、保護措置、情報漏えい時の手順を整備し、求めに応じてそれらを示せる状態にあることを意味します。

‍