Fax.Plus en Sign.Plus voldoen nu aan PHIPA voor de gezondheidszorg in Ontario

Al jarenlang helpen wij zorgteams bij het verplaatsen van gevoelige documenten, en onze Canadese klanten stellen ons voortdurend één vraag: „Dit is geweldig, maar is het PHIPA-compliant?” Sinds vandaag is het antwoord een duidelijk ja.

Fax.Plus en Sign.Plus zijn nu PHIPA-compliant voor zorgverleners in Ontario. Na een volledige compliance-beoordeling van beide diensten voldoen wij aan de vereisten van de privacywetgeving voor de gezondheidszorg van Ontario, en bieden wij een speciale PHIPA-serviceproviderovereenkomst aan voor organisaties die persoonlijke gezondheidsgegevens van patiënten verwerken. Als u in Ontario een kliniek, ziekenhuis, apotheek of praktijk runt en nog steeds patiëntendossiers faxt of juridisch bindende elektronische handtekeningen verzamelt, dan is dit bericht voor u.

‍

Wat is PHIPA?

PHIPA is de privacywet voor de gezondheidszorg van Ontario en staat voor de Personal Health Information Protection Act. De wet regelt hoe gezondheidsgegevens van patiënten in de hele provincie worden verzameld, gebruikt, opgeslagen en gedeeld, en is sinds 2004 van kracht.

Zo kunt u het eenvoudig zien. PHIPA is de Ontario-variant van HIPAA, de Amerikaanse privacywet voor de gezondheidszorg die de meeste mensen al kennen. Zelfde doel, ander land: de medische gegevens van een patiënt privé en veilig houden. De wet wordt gehandhaafd door de Information and Privacy Commissioner of Ontario, een onafhankelijke toezichthouder die klachten behandelt en datalekken onderzoekt. Sinds 2024 kan de Commissioner administratieve geldboetes van maximaal C$500.000 opleggen aan een organisatie, dus de regels hebben echt gewicht. Wilt u de Amerikaanse kant van het verhaal kennen, dan leest u in onze uitleg over wat HIPAA is er meer over.

‍

Is PHIPA van toepassing op aanbieders zoals Fax.Plus en Sign.Plus?

PHIPA is van toepassing op Fax.Plus en Sign.Plus als agents, niet als de partijen die de hoofdverantwoordelijkheid dragen. Dat onderscheid is goed om te begrijpen, want het laat precies zien wat u van ons krijgt en wat uw verantwoordelijkheid blijft.

PHIPA legt de kernverantwoordelijkheden bij een Health Information Custodian, oftewel de zorgorganisatie zelf: de arts, de kliniek, het ziekenhuis. De custodian bepaalt welke patiëntgegevens worden verzameld en naar wie ze worden verstuurd. Diensten zoals Fax.Plus en Sign.Plus treden op als agents, oftewel elektronische serviceproviders. In gewone taal: wij leveren de beveiligde laag voor de documentenworkflow. U bepaalt wat u verstuurt en naar wie; wij zorgen ervoor dat het veilig wordt verzonden en opgeslagen. Taken zoals het verkrijgen van toestemming van patiënten blijven bij u als custodian. De beveiliging van de verzending en opslag ligt bij ons. We hebben onze hele beoordeling rond die verdeling opgebouwd, zodat er geen onduidelijkheid bestaat over wie waarvoor verantwoordelijk is.

‍

Wat omvatte de PHIPA-beoordeling?

De beoordeling heeft elke PHIPA-vereiste getoetst die van toepassing is op serviceproviders in onze rol, en werd afgesloten zonder openstaande tekortkomingen op welk risiconiveau dan ook. De toetsing bestreek de gebieden waar een zorgorganisatie daadwerkelijk om geeft.

‍

Beveiligingsmaatregelen en auditmonitoring

Documenten die via Fax.Plus worden verzonden en documenten die via Sign.Plus worden verwerkt, zijn versleuteld tijdens het transport (TLS 1.3) en in rust (256-bit AES met sleutels per gebruiker). Toegang verloopt via unieke gebruikers-ID's, rolgebaseerde machtigingen, tweefactorauthenticatie en single sign-on. Elke bestandsoverdracht en elke toegangsgebeurtenis wordt gelogd en kan worden geëxporteerd voor audits. PHIPA verwacht meer dan alleen het bijhouden van logboeken; het verwacht actieve monitoring van het auditspoor, daarom voeren wij dagelijks geautomatiseerde anomaliecontroles uit in plaats van logboeken pas na een incident te bekijken. De details vindt u op onze pagina over beveiliging en privacy of in onze analyse van de vraag of Fax.Plus veilig is.

‍

Afhandeling van datalekken

Als een beveiligingsincident de gegevens van een klant raakt, informeert ons incidentresponsproces die klant snel, met de details die nodig zijn. Zo kan de zorgverlener voldoen aan zijn eigen PHIPA-plicht om getroffen patiënten te informeren en, indien vereist, melding te doen bij de IPC.

‍

Serviceproviderovereenkomst

Zorgverleners die gezondheidsgegevens van patiënten verwerken, ontvangen een PHIPA-serviceproviderovereenkomst die de standaard serviceovereenkomst aanvult en de voorwaarden voor vertrouwelijkheid, melding van datalekken en gegevensverwerking schriftelijk vastlegt.

‍

Bewaring en verwijdering

U bepaalt hoe lang faxen worden bewaard. Records kunnen afzonderlijk worden verwijderd, in bulk via de API, of volledig op verzoek, en verwijderde faxbestanden worden vernietigd zodat ze niet kunnen worden hersteld.

‍

Kunnen gezondheidsgegevens uit Ontario in Canada blijven?

Ja. Custodians in Ontario kunnen voor hun Fax.Plus-tenant op basis van een custodian-overeenkomst een Canadese verwerkingsregio kiezen, en die keuze wordt zowel technisch, via region-pinning, als contractueel afgedwongen. PHIPA vereist niet daadwerkelijk dat patiëntgegevens binnen Ontario of Canada blijven, maar veel custodians geven er de voorkeur aan en sommigen nemen het op in hun eigen informatiepraktijken. Door een Canadese regio aan te bieden, nemen we die vraag weg voordat die een bezwaar wordt.

‍

Hoe verhoudt PHIPA-compliance zich tot HIPAA, ISO 27001 en SOC 2?

PHIPA-compliance bouwt direct voort op de certificeringen die Fax.Plus en Sign.Plus al hebben, in plaats van helemaal opnieuw te beginnen. De diensten draaien onder onafhankelijk geauditeerde ISO 27001- en SOC 2 Type II-programma's, ondersteunen HIPAA met een ondertekende Business Associate Agreement voor Amerikaanse zorgklanten, en slaan gegevens op onder de strenge Zwitserse privacywetgeving, met meer dan 40 beschikbare gegevenslocaties.

Een korte uitleg, want de afkortingen stapelen zich snel op. ISO 27001 en SOC 2 Type II zijn in wezen onafhankelijke inspecties van de manier waarop een bedrijf gegevens beschermt, uitgevoerd door externe auditors in plaats van door het bedrijf zelf. PHIPA-compliance past diezelfde basis toe op de specifieke juridische taal van Ontario. Als u Fax.Plus of Sign.Plus al vertrouwde op grond van die certificeringen, is PHIPA-compliance de volgende laag op dezelfde basis.

‍

Wat moeten zorgverleners in Ontario nu doen?

Als uw organisatie in Ontario patiëntgezondheidsgegevens verwerkt en Fax.Plus of Sign.Plus gebruikt, is de volgende stap het aanvragen van de PHIPA-serviceproviderovereenkomst, zodat uw verplichtingen ten opzichte van leveranciers schriftelijk zijn vastgelegd. Het is ook raadzaam dat uw privacyteam bevestigt welke PHIPA-verplichtingen bij u blijven als custodian, aangezien bepaalde verantwoordelijkheden, zoals toestemming van patiënten en het informeren van betrokkenen na een datalek, niet kunnen worden overgedragen aan een serviceprovider.

Wilt u zien hoe Fax.Plus past in een echte zorgwerkstroom? Bezoek dan onze pagina over de faxoplossing voor de zorg of lees meer over HIPAA-conform faxen.

‍

Veelgestelde vragen

‍

Voldoen Fax.Plus en Sign.Plus aan PHIPA?

Ja. Na een volledige compliance-beoordeling voldoen Fax.Plus en Sign.Plus aan de PHIPA-vereisten voor zorgverleners in Ontario en bieden zij een PHIPA-serviceproviderovereenkomst aan voor organisaties die patiëntgezondheidsgegevens verwerken.

Vereist PHIPA dat uw gegevens in Canada blijven?

Nee. PHIPA vereist niet dat patiëntgegevens in Ontario of Canada blijven, maar Fax.Plus biedt een Canadese verwerkingsregio voor custodians die de voorkeur geven aan lokale gegevensverwerking of die dit vereisen.

‍

Wie is verantwoordelijk voor toestemming van patiënten: Fax.Plus, Sign.Plus of de zorgverlener?

De zorgverlener, als custodian. Fax.Plus en Sign.Plus treden op als agents die helpen documenten veilig te verzenden, te verwerken, te ondertekenen en op te slaan; zij vragen niet namens de zorgverlener toestemming van patiënten.

Bestaat er een PHIPA-certificaat of -registratie?

Nee. PHIPA kent geen centraal certificerings- of registratieprogramma. Naleving betekent dat de vereiste beleidsregels, beveiligingsmaatregelen en procedures voor datalekken zijn ingevoerd en dat u deze op verzoek kunt aantonen.

‍