Fax.Plus i Sign.Plus zgodne teraz z PHIPA dla ochrony zdrowia w Ontario

Od lat pomagamy zespołom medycznym przesyłać wrażliwe dokumenty, a od klientów z Kanady wciąż słyszymy to samo pytanie: „Świetnie, ale czy to jest zgodne z PHIPA?”. Od dziś odpowiedź brzmi: zdecydowanie tak.

Fax.Plus i Sign.Plus są teraz zgodne z PHIPA dla placówek ochrony zdrowia w Ontario. Po pełnej ocenie zgodności obu usług spełniamy wymogi ontaryjskiej ustawy o prywatności danych zdrowotnych i oferujemy dedykowaną umowę z dostawcą usług zgodną z PHIPA dla organizacji, które przetwarzają informacje zdrowotne pacjentów. Jeśli prowadzisz przychodnię, szpital, aptekę lub praktykę w Ontario i nadal wysyłasz dokumentację pacjentów faksem albo zbierasz prawnie wiążące podpisy elektroniczne, ten wpis jest dla Ciebie.

‍

Czym jest PHIPA?

PHIPA to ontaryjska ustawa o prywatności danych zdrowotnych, a jej nazwa oznacza ustawę o ochronie osobistych informacji zdrowotnych. Reguluje ona, w jaki sposób informacje zdrowotne pacjentów są gromadzone, wykorzystywane, przechowywane i udostępniane w całej prowincji, i obowiązuje od 2004 roku.

Najłatwiej myśleć o tym tak: PHIPA to ontaryjski odpowiednik HIPAA, amerykańskiej ustawy o prywatności danych zdrowotnych, którą większość osób już zna. Ten sam cel, inny kraj: chronić informacje medyczne pacjenta i dbać o ich bezpieczeństwo. Przestrzeganie ustawy egzekwuje Komisarz ds. Informacji i Prywatności Ontario, niezależny organ nadzorczy, który rozpatruje skargi i bada naruszenia. Od 2024 roku Komisarz może nakładać na organizację administracyjne kary pieniężne do 500 000 CAD, więc te przepisy mają realną wagę. Jeśli interesuje Cię strona amerykańska, omawia ją nasz artykuł wyjaśniający, czym jest HIPAA.

‍

Czy PHIPA dotyczy dostawców takich jak Fax.Plus i Sign.Plus?

PHIPA dotyczy Fax.Plus i Sign.Plus jako agentów, a nie podmiotów, na których spoczywa główny obowiązek prawny. Warto zrozumieć to rozróżnienie, bo pokazuje ono dokładnie, co zapewniamy my, a co pozostaje po Twojej stronie.

PHIPA nakłada podstawowe obowiązki na powiernika informacji zdrowotnych, czyli samą organizację ochrony zdrowia: lekarza, przychodnię, szpital. Powiernik decyduje, jakie informacje o pacjentach gromadzić i komu je przekazywać. Usługi takie jak Fax.Plus i Sign.Plus działają jako agenci, czyli dostawcy usług elektronicznych. Mówiąc wprost, zapewniamy bezpieczną warstwę obiegu dokumentów. Ty decydujesz, co i do kogo wysłać, a my dbamy o to, by dokumenty były przesyłane i przechowywane bezpiecznie. Obowiązki takie jak uzyskanie zgody pacjenta pozostają po Twojej stronie jako powiernika. Bezpieczeństwo przesyłania i przechowywania leży po naszej stronie. Całą ocenę oparliśmy na tym podziale, aby nie było wątpliwości, kto za co odpowiada.

‍

Co obejmowała ocena zgodności z PHIPA?

Ocena objęła każdy wymóg PHIPA, który dotyczy dostawców usług w naszej roli, i zakończyła się bez otwartych luk na jakimkolwiek poziomie ryzyka. Przegląd obejmował obszary, które naprawdę mają znaczenie dla organizacji ochrony zdrowia.

‍

Zabezpieczenia i monitorowanie audytowe

Dokumenty wysyłane przez Fax.Plus i obsługiwane w Sign.Plus są szyfrowane podczas przesyłania (TLS 1.3) i w spoczynku (256-bitowy AES z kluczami przypisanymi do poszczególnych użytkowników). Dostęp opiera się na unikalnych identyfikatorach użytkowników, uprawnieniach zależnych od roli, uwierzytelnianiu dwuskładnikowym i jednokrotnym logowaniu. Każdy transfer pliku i zdarzenie dostępu są rejestrowane i można je wyeksportować na potrzeby audytu. PHIPA wymaga czegoś więcej niż samego prowadzenia dzienników: oczekuje aktywnego monitorowania ścieżki audytu, dlatego codziennie uruchamiamy automatyczne kontrole anomalii, zamiast przeglądać dzienniki dopiero po incydencie. Szczegóły znajdziesz na naszej stronie poświęconej bezpieczeństwu i prywatności oraz w naszym omówieniu tego, czy Fax.Plus jest bezpieczny.

‍

Postępowanie w przypadku naruszeń

Jeśli incydent bezpieczeństwa dotknie dane klienta, nasz proces reagowania na incydenty szybko powiadamia go i przekazuje potrzebne szczegóły. Pomaga to placówce w wypełnieniu jej własnego obowiązku wynikającego z PHIPA, czyli powiadomienia poszkodowanych pacjentów oraz, w razie potrzeby, zgłoszenia sprawy do IPC.

‍

Umowa z dostawcą usług

Placówki przetwarzające informacje zdrowotne pacjentów otrzymują umowę z dostawcą usług zgodną z PHIPA, która uzupełnia standardową umowę o świadczenie usług i określa na piśmie warunki dotyczące poufności, powiadamiania o naruszeniach oraz postępowania z danymi.

‍

Przechowywanie i usuwanie

To Ty decydujesz, jak długo faksy są przechowywane. Rekordy można usuwać pojedynczo, zbiorczo przez API lub w całości na żądanie, a usunięte pliki faksów są niszczone w sposób uniemożliwiający ich odzyskanie.

‍

Czy dane medyczne z Ontario mogą pozostać w Kanadzie?

Tak. Powiernicy z Ontario mogą wybrać kanadyjski region przetwarzania dla swojego tenanta Fax.Plus w ramach umowy z powiernikiem, a ten wybór jest egzekwowany zarówno technicznie, przez przypisanie do regionu, jak i umownie. PHIPA w rzeczywistości nie wymaga, aby dane pacjentów pozostawały w Ontario ani w Kanadzie, ale wielu powierników tego woli, a niektórzy uwzględniają to we własnych zasadach postępowania z informacjami. Oferowanie kanadyjskiego regionu eliminuje tę kwestię, zanim stanie się zarzutem.

‍

Jak zgodność z PHIPA ma się do HIPAA, ISO 27001 i SOC 2?

Zgodność z PHIPA bezpośrednio opiera się na certyfikatach, które Fax.Plus i Sign.Plus już posiadają, zamiast zaczynać od zera. Usługi działają w ramach niezależnie audytowanych programów ISO 27001 i SOC 2 Type II, wspierają HIPAA dzięki podpisanej umowie Business Associate Agreement dla klientów z sektora ochrony zdrowia w USA oraz przechowują dane zgodnie z rygorystycznym szwajcarskim prawem o ochronie prywatności, z dostępnymi ponad 40 lokalizacjami przechowywania danych.

Krótkie wyjaśnienie, bo skróty szybko się mnożą. ISO 27001 i SOC 2 Type II to w istocie niezależne kontrole tego, jak firma chroni dane, przeprowadzane przez zewnętrznych audytorów, a nie przez samą firmę. Zgodność z PHIPA przenosi ten sam fundament na konkretny język prawny Ontario. Jeśli już wcześniej ufano Fax.Plus lub Sign.Plus dzięki tym certyfikatom, zgodność z PHIPA jest kolejną warstwą na tej samej podstawie.

‍

Co powinny zrobić dalej placówki ochrony zdrowia w Ontario?

Jeśli Twoja organizacja przetwarza dane zdrowotne pacjentów w Ontario i korzysta z Fax.Plus lub Sign.Plus, kolejnym krokiem jest złożenie wniosku o umowę z dostawcą usług zgodną z PHIPA, aby zobowiązania dostawcy zostały udokumentowane na piśmie. Warto też poprosić zespół ds. prywatności o potwierdzenie, które obowiązki wynikające z PHIPA pozostają po Twojej stronie jako powiernika, ponieważ niektórych zadań, takich jak uzyskanie zgody pacjenta i powiadomienie osób po naruszeniu ochrony danych, nie można przekazać dostawcy usług.

Aby zobaczyć, jak Fax.Plus sprawdza się w rzeczywistym procesie pracy w ochronie zdrowia, odwiedź naszą stronę z rozwiązaniem faksowym dla ochrony zdrowia lub przeczytaj o faksowaniu zgodnym z HIPAA.

‍

FAQ

‍

Czy Fax.Plus i Sign.Plus są zgodne z PHIPA?

Tak. Po przeprowadzeniu pełnej oceny zgodności Fax.Plus i Sign.Plus spełniają wymogi PHIPA dla placówek ochrony zdrowia w Ontario i oferują umowę z dostawcą usług zgodną z PHIPA dla organizacji przetwarzających dane zdrowotne pacjentów.

Czy PHIPA wymaga, aby moje dane pozostawały w Kanadzie?

Nie. PHIPA nie wymaga, aby dane pacjentów pozostawały w Ontario lub w Kanadzie, ale Fax.Plus oferuje kanadyjski region przetwarzania dla powierników, którzy preferują lub wymagają lokalnego przetwarzania danych.

‍

Kto odpowiada za zgodę pacjenta: Fax.Plus, Sign.Plus czy placówka?

Placówka ochrony zdrowia, jako powiernik. Fax.Plus i Sign.Plus działają jako agenci, którzy pomagają bezpiecznie przesyłać, przetwarzać, podpisywać i przechowywać dokumenty; nie zbierają zgód pacjentów w imieniu placówki.

Czy istnieje certyfikat lub rejestracja PHIPA?

Nie. PHIPA nie prowadzi centralnego programu certyfikacji ani rejestracji. Zgodność oznacza wdrożenie wymaganych zasad, zabezpieczeń i procedur postępowania w przypadku naruszeń oraz możliwość wykazania ich na żądanie.

‍