Fax.Plus e Sign.Plus estão agora em conformidade com a PHIPA para a saúde em Ontário

Há anos que ajudamos equipas de saúde a enviar documentos sensíveis, e os nossos clientes canadianos colocam-nos constantemente uma pergunta: „Isto é ótimo, mas cumpre a PHIPA?“ A partir de hoje, a resposta é um sim claro.

Fax.Plus e Sign.Plus cumprem agora a PHIPA para prestadores de cuidados de saúde em Ontário. Após uma avaliação de conformidade completa de ambos os serviços, cumprimos os requisitos da lei de privacidade da saúde de Ontário e oferecemos um Acordo de Prestador de Serviços PHIPA dedicado para organizações que tratam informações de saúde de pacientes. Se gere uma clínica, um hospital, uma farmácia ou um consultório em Ontário e ainda envia registos de pacientes por fax ou recolhe assinaturas eletrónicas juridicamente vinculativas, este conteúdo é para si.

‍

O que é a PHIPA?

A PHIPA é a lei de privacidade da saúde de Ontário e significa Personal Health Information Protection Act (Lei de Proteção das Informações de Saúde Pessoais). Regula a forma como as informações de saúde dos pacientes são recolhidas, utilizadas, armazenadas e partilhadas em toda a província, estando em vigor desde 2004.

Eis uma forma simples de a entender. A PHIPA é a versão de Ontário da HIPAA, a lei norte-americana de privacidade da saúde que a maioria das pessoas já conhece. Mesmo objetivo, país diferente: manter privadas e seguras as informações médicas de um paciente. A lei é aplicada pelo Information and Privacy Commissioner of Ontario (Comissário de Informação e Privacidade de Ontário), um regulador independente que trata das queixas e investiga violações de dados. Desde 2024, o Comissário pode aplicar sanções pecuniárias administrativas até 500 000 C$ a uma organização, pelo que as regras têm um peso real. Se quiser conhecer o lado norte-americano, o nosso artigo explicativo sobre o que é a HIPAA aborda o tema.

‍

A PHIPA aplica-se a prestadores como Fax.Plus e Sign.Plus?

A PHIPA aplica-se a Fax.Plus e Sign.Plus como agentes, e não como as partes que detêm o dever legal principal. Vale a pena compreender esta distinção, porque ela indica exatamente o que recebe de nós e o que continua a ser da sua responsabilidade.

A PHIPA atribui as suas responsabilidades principais a um Health Information Custodian (custodiante de informações de saúde), que é a própria organização de saúde: o médico, a clínica, o hospital. O custodiante decide que informações de pacientes recolher e a quem as enviar. Serviços como Fax.Plus e Sign.Plus atuam como agentes, ou prestadores de serviços eletrónicos. Em termos simples, fornecemos a camada segura do fluxo de trabalho de documentos. Você decide o que enviar e a quem; nós garantimos que viaja e é armazenado em segurança. Deveres como obter o consentimento do paciente continuam a ser seus, enquanto custodiante. A segurança da transmissão e do armazenamento é da nossa responsabilidade. Construímos toda a nossa avaliação em torno desta divisão, para que não haja dúvidas sobre quem assegura o quê.

‍

O que abrangeu a avaliação da PHIPA?

A avaliação analisou todos os requisitos da PHIPA aplicáveis a prestadores de serviços no nosso papel e terminou sem lacunas em aberto, em qualquer nível de risco. A análise abrangeu as áreas que realmente importam a uma organização de saúde.

‍

Salvaguardas e monitorização de auditoria

Os documentos enviados através de Fax.Plus e os documentos tratados através de Sign.Plus são cifrados em trânsito (TLS 1.3) e em repouso (AES de 256 bits com chaves por utilizador). O acesso baseia-se em IDs de utilizador únicos, permissões baseadas em funções, autenticação de dois fatores e início de sessão único. Cada transferência de ficheiros e cada evento de acesso é registado e pode ser exportado para auditoria. A PHIPA espera mais do que a simples conservação de registos; espera uma monitorização ativa do registo de auditoria, por isso executamos verificações diárias automatizadas de anomalias em vez de rever os registos apenas após um incidente. Pode aprofundar os detalhes na nossa página de segurança e privacidade ou na nossa análise sobre se Fax.Plus é seguro.

‍

Tratamento de violações

Se um incidente de segurança afetar os dados de um cliente, o nosso processo de resposta a incidentes notifica rapidamente esse cliente com os detalhes de que necessita. Isto ajuda o prestador a cumprir o seu próprio dever, previsto na PHIPA, de notificar os pacientes afetados e, quando exigido, de comunicar ao IPC.

‍

Acordo de Prestador de Serviços

Os prestadores que tratam informações de saúde de pacientes recebem um Acordo de Prestador de Serviços PHIPA, que complementa o acordo de serviço padrão e estabelece por escrito os termos de confidencialidade, notificação de violações e tratamento de dados.

‍

Retenção e eliminação

É você quem controla durante quanto tempo os faxes são conservados. Os registos podem ser removidos individualmente, em massa através da API, ou na totalidade a pedido, e os ficheiros de fax eliminados são destruídos de forma a não poderem ser recuperados.

‍

Os dados de saúde de Ontário podem permanecer no Canadá?

Sim. Os custodiantes de Ontário podem selecionar uma região de processamento canadiana para a sua instância de Fax.Plus ao abrigo de um acordo de custodiante, e essa escolha é imposta tanto tecnicamente, através da fixação de região, como contratualmente. A PHIPA não exige, na verdade, que os dados dos pacientes permaneçam em Ontário ou no Canadá, mas muitos custodiantes preferem-no, e alguns incluem-no nas suas próprias práticas de informação. Oferecer uma região canadiana elimina essa questão antes de se tornar uma objeção.

‍

Como se relaciona a conformidade com a PHIPA com a HIPAA, a ISO 27001 e a SOC 2?

A conformidade com a PHIPA assenta diretamente nas certificações que Fax.Plus e Sign.Plus já possuem, em vez de partir do zero. Os serviços funcionam ao abrigo de programas ISO 27001 e SOC 2 Type II auditados de forma independente, suportam a HIPAA com um Business Associate Agreement assinado para clientes de saúde dos EUA e armazenam os dados ao abrigo da sólida lei de privacidade suíça, com mais de 40 localizações de residência de dados disponíveis.

Uma tradução rápida, já que as siglas se acumulam depressa. ISO 27001 e SOC 2 Type II são, no essencial, inspeções independentes à forma como uma empresa protege os dados, realizadas por auditores externos e não pela própria empresa. A conformidade com a PHIPA transpõe essa mesma base para a linguagem jurídica específica de Ontário. Se já confiava em Fax.Plus ou Sign.Plus pela solidez dessas certificações, a conformidade com a PHIPA é a camada seguinte sobre a mesma base.

‍

O que devem os prestadores de cuidados de saúde de Ontário fazer a seguir?

Se a sua organização trata informações de saúde de pacientes em Ontário e utiliza Fax.Plus ou Sign.Plus, o passo seguinte é solicitar o Acordo de Prestador de Serviços PHIPA, para que as obrigações do fornecedor fiquem documentadas por escrito. Convém também que a sua equipa de privacidade confirme quais as obrigações PHIPA que permanecem consigo, enquanto custodiante, uma vez que algumas responsabilidades, como o consentimento do paciente e a notificação das pessoas em caso de violação de dados, não podem ser transferidas para um prestador de serviços.

Para ver como Fax.Plus se adapta a um fluxo de trabalho real na área da saúde, visite a nossa página da solução de fax para a saúde ou saiba mais sobre o envio de fax em conformidade com a HIPAA.

‍

Perguntas frequentes

‍

Fax.Plus e Sign.Plus estão em conformidade com a PHIPA?

Sim. Após uma avaliação de conformidade completa, Fax.Plus e Sign.Plus cumprem os requisitos da PHIPA para os prestadores de cuidados de saúde de Ontário e disponibilizam um Acordo de Prestador de Serviços PHIPA para as organizações que tratam informações de saúde de pacientes.

A PHIPA exige que os meus dados permaneçam no Canadá?

Não. A PHIPA não exige que os dados dos pacientes permaneçam em Ontário ou no Canadá, mas Fax.Plus disponibiliza uma região de processamento canadiana para os custodiantes que prefiram ou necessitem de um tratamento de dados local.

‍

Quem é responsável pelo consentimento do paciente: Fax.Plus, Sign.Plus ou o prestador de cuidados?

O prestador de cuidados de saúde, enquanto custodiante. Fax.Plus e Sign.Plus atuam como agentes que ajudam a transmitir, processar, assinar e armazenar documentos em segurança; não recolhem o consentimento do paciente em nome do prestador.

Existe algum certificado ou registo PHIPA?

Não. A PHIPA não dispõe de um programa central de certificação ou de registo. Estar em conformidade significa ter implementadas as políticas, as salvaguardas e os procedimentos de violação de dados exigidos, e conseguir demonstrá-los quando solicitado.

‍