Fax.Plus와 Sign.Plus, 이제 온타리오 의료기관을 위한 PHIPA 규정 준수

저희는 수년간 의료 팀이 민감한 문서를 안전하게 주고받도록 도와 왔으며, 캐나다 고객분들께 늘 받는 질문이 하나 있습니다. "정말 좋은데, PHIPA를 준수하나요?" 오늘부터 그 답은 분명한 '예'입니다.

Fax.Plus와 Sign.Plus는 이제 온타리오 의료기관을 위한 PHIPA 규정을 준수합니다. 두 서비스에 대한 전체 규정 준수 평가를 마쳤으며, 온타리오 의료 개인정보 보호법의 요건을 충족합니다. 또한 환자의 건강 정보를 다루는 조직을 위해 전용 PHIPA 서비스 제공자 계약서를 제공합니다. 온타리오에서 클리닉, 병원, 약국 또는 개인 의원을 운영하면서 아직도 환자 기록을 팩스로 보내거나 법적 효력이 있는 전자 서명을 받고 계신다면, 바로 여러분을 위한 소식입니다.

‍

PHIPA란 무엇인가요?

PHIPA는 온타리오주의 의료 개인정보 보호법으로, Personal Health Information Protection Act(개인 건강 정보 보호법)의 약자입니다. 이 법은 주 전역에서 환자의 건강 정보를 수집, 사용, 저장, 공유하는 방식을 규정하며 2004년부터 시행되고 있습니다.

쉽게 생각하면 이렇습니다. PHIPA는 대부분 이미 알고 있는 미국의 의료 개인정보 보호법인 HIPAA의 온타리오판입니다. 나라만 다를 뿐 목표는 같습니다. 환자의 의료 정보를 비공개로 안전하게 지키는 것입니다. 이 법은 불만 사항을 처리하고 정보 유출을 조사하는 독립 규제 기관인 온타리오주 정보·개인정보 보호 위원회(Information and Privacy Commissioner of Ontario)가 집행합니다. 2024년부터 위원회는 조직에 최대 50만 캐나다 달러의 행정 과징금을 부과할 수 있어, 이 규정은 실질적인 무게를 지닙니다. 미국 쪽 이야기가 궁금하시다면 HIPAA란 무엇인가에 대한 설명 글을 참고하세요.

‍

PHIPA는 Fax.Plus, Sign.Plus 같은 제공자에게도 적용되나요?

PHIPA는 Fax.Plus와 Sign.Plus에 주된 법적 책임을 지는 당사자가 아니라 대리인(agent)으로서 적용됩니다. 이 구분을 이해해 두면 저희가 무엇을 제공하고 무엇이 여러분의 몫으로 남는지 정확히 알 수 있습니다.

PHIPA는 핵심 책임을 건강 정보 수탁자(Health Information Custodian)에게 부여합니다. 이는 의사, 클리닉, 병원 같은 의료 기관 자체를 말합니다. 수탁자는 어떤 환자 정보를 수집하고 누구에게 보낼지 결정합니다. Fax.Plus와 Sign.Plus 같은 서비스는 대리인, 즉 전자 서비스 제공자로 활동합니다. 쉽게 말해, 저희는 안전한 문서 워크플로 계층을 제공합니다. 무엇을 누구에게 보낼지는 여러분이 결정하고, 저희는 문서가 안전하게 전송되고 저장되도록 합니다. 환자 동의를 받는 것과 같은 의무는 수탁자인 여러분에게 남아 있습니다. 전송과 저장의 보안은 저희가 책임집니다. 저희는 누가 무엇을 맡는지 혼동이 없도록 이 역할 구분을 기준으로 전체 평가를 설계했습니다.

‍

PHIPA 평가는 어떤 내용을 다뤘나요?

이번 평가에서는 저희 역할에 해당하는 서비스 제공자 대상 PHIPA 요건을 모두 검토했으며, 어떤 위험 수준에서도 미해결 격차 없이 마무리되었습니다. 검토 범위에는 의료 기관이 실제로 중요하게 여기는 영역이 포함되었습니다.

‍

보호 조치 및 감사 모니터링

Fax.Plus로 보내는 문서와 Sign.Plus에서 처리되는 문서는 전송 중(TLS 1.3)과 저장 시(사용자별 키를 사용하는 256비트 AES) 모두 암호화됩니다. 접근은 고유 사용자 ID, 역할 기반 권한, 2단계 인증, 싱글 사인온으로 관리됩니다. 모든 파일 전송과 접근 이벤트는 기록되며 감사를 위해 내보낼 수 있습니다. PHIPA는 단순히 로그를 보관하는 것 이상을 요구하며, 적극적인 감사 추적 모니터링을 기대합니다. 그래서 저희는 사고 발생 후에야 로그를 검토하는 데 그치지 않고 매일 자동 이상 징후 점검을 실행합니다. 자세한 내용은 보안 및 개인정보 보호 페이지 또는 Fax.Plus는 안전한가요?에 대한 상세 설명에서 확인하실 수 있습니다.

‍

침해 사고 대응

보안 사고가 고객의 데이터에 영향을 미치면, 저희의 사고 대응 절차에 따라 해당 고객에게 필요한 세부 정보를 신속하게 알립니다. 이는 의료 서비스 제공자가 영향을 받은 환자에게 알리고, 필요한 경우 IPC에 보고해야 하는 PHIPA상의 자체 의무를 이행하는 데 도움이 됩니다.

‍

서비스 제공자 계약서

환자 건강 정보를 다루는 제공자는 표준 서비스 계약을 보완하는 PHIPA 서비스 제공자 계약서를 받게 되며, 이 계약서에는 기밀 유지, 침해 통지, 데이터 처리 조건이 서면으로 명시됩니다.

‍

보존 및 삭제

팩스를 얼마나 오래 보관할지는 직접 정할 수 있습니다. 기록은 개별적으로, API를 통해 일괄적으로, 또는 요청 시 전체를 삭제할 수 있으며, 삭제된 팩스 파일은 복구할 수 없도록 완전히 파기됩니다.

‍

온타리오 의료 데이터를 캐나다 내에 보관할 수 있나요?

네. 온타리오의 수탁자는 수탁자 계약에 따라 Fax.Plus 테넌트의 처리 지역으로 캐나다를 선택할 수 있으며, 이 선택은 리전 고정(region-pinning)을 통해 기술적으로, 그리고 계약상으로도 강제됩니다. PHIPA는 사실 환자 데이터를 온타리오나 캐나다 내에 두도록 요구하지 않지만, 많은 수탁자가 이를 선호하고 일부는 자체 정보 관리 방침에 포함하기도 합니다. 캐나다 지역을 제공함으로써 이 문제가 이의 제기로 이어지기 전에 해소할 수 있습니다.

‍

PHIPA 준수는 HIPAA, ISO 27001, SOC 2와 어떤 관계인가요?

PHIPA 준수는 처음부터 새로 시작하는 것이 아니라 Fax.Plus와 Sign.Plus가 이미 보유한 인증을 토대로 합니다. 두 서비스는 독립적으로 감사받는 ISO 27001 및 SOC 2 Type II 프로그램에 따라 운영되고, 미국 의료 고객을 위해 서명된 Business Associate Agreement로 HIPAA를 지원하며, 강력한 스위스 개인정보 보호법에 따라 데이터를 저장하고 40곳 이상의 데이터 보관 위치를 제공합니다.

약어가 빠르게 쌓이니 간단히 풀어 드리겠습니다. ISO 27001과 SOC 2 Type II는 기본적으로 회사가 데이터를 어떻게 보호하는지에 대해 회사 자체가 아닌 외부 감사인이 수행하는 독립적인 점검입니다. PHIPA 준수는 그 동일한 기반을 온타리오의 구체적인 법률 용어에 맞춰 적용한 것입니다. 이미 이러한 인증을 근거로 Fax.Plus나 Sign.Plus를 신뢰하셨다면, PHIPA 준수는 같은 기반 위에 쌓은 다음 단계입니다.

‍

온타리오 의료 서비스 제공자는 다음에 무엇을 해야 하나요?

온타리오에서 환자 건강 정보를 취급하는 조직이 Fax.Plus 또는 Sign.Plus를 사용하고 있다면, 다음 단계는 PHIPA 서비스 제공자 계약서를 요청하여 공급업체의 의무를 서면으로 문서화하는 것입니다. 또한 환자 동의 확보나 침해 발생 후 개인에게 알리는 일처럼 일부 책임은 서비스 제공자에게 넘길 수 없으므로, 개인정보 보호팀과 함께 수탁자(custodian)로서 귀 조직에 남아 있는 PHIPA 의무가 무엇인지 확인해 두시는 것이 좋습니다.

Fax.Plus가 실제 의료 업무 흐름에 어떻게 적용되는지 알아보려면 의료 분야 팩스 솔루션 페이지를 방문하거나 HIPAA 준수 팩스 전송에 대한 글을 읽어 보세요.

‍

자주 묻는 질문

‍

Fax.Plus와 Sign.Plus는 PHIPA를 준수하나요?

네. 전체 규정 준수 평가를 거쳐 Fax.Plus와 Sign.Plus는 온타리오 의료 서비스 제공자를 위한 PHIPA 요건을 충족하며, 환자 건강 정보를 취급하는 조직을 위해 PHIPA 서비스 제공자 계약서를 제공합니다.

PHIPA는 데이터를 캐나다 내에 보관하도록 요구하나요?

아니요. PHIPA는 환자 데이터를 온타리오나 캐나다 내에 보관하도록 요구하지 않습니다. 다만 Fax.Plus는 현지 데이터 처리를 선호하거나 필요로 하는 수탁자(custodian)를 위해 캐나다 처리 지역을 제공합니다.

‍

환자 동의는 Fax.Plus, Sign.Plus, 의료 서비스 제공자 중 누가 책임지나요?

수탁자(custodian)인 의료 서비스 제공자입니다. Fax.Plus와 Sign.Plus는 문서를 안전하게 전송, 처리, 서명, 저장하도록 돕는 대리인(agent)으로서 역할을 하며, 의료 서비스 제공자를 대신하여 환자 동의를 받지 않습니다.

PHIPA 인증서나 등록 제도가 있나요?

아니요. PHIPA에는 중앙 인증 또는 등록 프로그램이 없습니다. 규정 준수란 필요한 정책, 보호 조치, 침해 대응 절차를 갖추고 요청 시 이를 입증할 수 있다는 의미입니다.

‍