Fax.Plus и Sign.Plus теперь соответствуют требованиям PHIPA для медицинских организаций Онтарио

Мы уже много лет помогаем медицинским командам передавать конфиденциальные документы. Канадские клиенты постоянно задают нам один и тот же вопрос: «Всё отлично, но соответствует ли сервис требованиям PHIPA?» С сегодняшнего дня ответ однозначный: да.

Fax.Plus и Sign.Plus теперь соответствуют требованиям PHIPA для медицинских организаций Онтарио. По итогам полной оценки соответствия обоих сервисов мы выполняем требования закона Онтарио о конфиденциальности медицинских данных. Для организаций, которые обрабатывают данные о состоянии здоровья пациентов, мы предлагаем отдельное Соглашение с поставщиком услуг по PHIPA. Если вы управляете клиникой, больницей, аптекой или частной практикой в Онтарио и по-прежнему отправляете медицинские документы пациентов по факсу или собираете юридически значимые электронные подписи, эта новость для вас.

‍

Что такое PHIPA?

PHIPA — это закон Онтарио о конфиденциальности медицинских данных, сокращение от Personal Health Information Protection Act (Закон о защите персональных данных о состоянии здоровья). Он регулирует сбор, использование, хранение и передачу данных о состоянии здоровья пациентов в провинции и действует с 2004 года.

Проще всего представить это так: PHIPA — аналог HIPAA, американского закона о конфиденциальности медицинских данных, который хорошо известен. Цель та же, страна другая: обеспечить конфиденциальность и безопасность медицинской информации пациента. Соблюдение закона контролирует Information and Privacy Commissioner of Ontario (Уполномоченный по информации и конфиденциальности Онтарио) — независимый регулятор, который рассматривает жалобы и расследует утечки. С 2024 года уполномоченный может назначать организации административные денежные штрафы до 500 000 канадских долларов, поэтому требования закона имеют вполне реальный вес. Об американском законодательстве рассказывает наш обзор о том, что такое HIPAA.

‍

Распространяется ли PHIPA на поставщиков услуг, таких как Fax.Plus и Sign.Plus?

PHIPA распространяется на Fax.Plus и Sign.Plus как на агентов, а не как на стороны, на которых лежит основная юридическая ответственность. Это различие важно: оно показывает, что именно вы получаете от нас и какие обязанности остаются за вами.

Основные обязанности по PHIPA возлагаются на Health Information Custodian (оператора персональных данных) — саму медицинскую организацию: врача, клинику, больницу. Оператор решает, какие данные о пациентах собирать и кому их направлять. Такие сервисы, как Fax.Plus и Sign.Plus, выступают в роли агентов, то есть поставщиков электронных услуг. Проще говоря, мы обеспечиваем защищённую среду для работы с документами. Вы решаете, что и кому отправлять, а мы отвечаем за безопасную передачу и хранение. Такие обязанности, как получение согласия пациента, остаются за вами как оператором. Безопасность передачи и хранения обеспечиваем мы. Всю оценку мы выстроили вокруг этого разделения, чтобы не оставалось неясности, кто за что отвечает.

‍

Что охватывала оценка соответствия PHIPA?

В ходе оценки проверили все требования PHIPA, которые применимы к поставщикам услуг в нашей роли. Она завершилась без открытых замечаний ни на одном уровне риска. Проверка охватила те области, которые действительно важны для медицинской организации.

‍

Меры защиты и мониторинг журналов аудита

Документы, отправленные через Fax.Plus или обработанные в Sign.Plus, шифруются при передаче (TLS 1.3) и при хранении (AES-256 с индивидуальными ключами пользователей). Доступ строится на уникальных идентификаторах пользователей, ролевых правах, двухфакторной аутентификации и единой точке входа (SSO). Каждая передача файла и каждое событие доступа фиксируются в журнале, который можно экспортировать для аудита. PHIPA требует не только вести журналы, но и активно отслеживать аудиторский след. Поэтому мы ежедневно запускаем автоматическую проверку на аномалии, а не просматриваем журналы лишь после инцидента. Подробнее читайте на нашей странице о безопасности и конфиденциальности или в материале о том, безопасен ли Fax.Plus.

‍

Действия при утечках

Если инцидент безопасности затрагивает данные клиента, в рамках процесса реагирования на инциденты мы быстро уведомляем клиента и передаём ему необходимые сведения. Это помогает медицинской организации выполнить собственную обязанность по PHIPA: уведомить пострадавших пациентов и, если требуется, сообщить об инциденте уполномоченному (IPC).

‍

Соглашение с поставщиком услуг

Организации, которые обрабатывают данные о состоянии здоровья пациентов, получают Соглашение с поставщиком услуг по PHIPA. Оно дополняет стандартное соглашение об оказании услуг и в письменной форме устанавливает условия конфиденциальности, уведомления об утечках и обработки данных.

‍

Хранение и удаление

Срок хранения факсов определяете вы. Записи можно удалять по отдельности, массово через API или полностью по запросу. Удалённые файлы факсов уничтожаются без возможности восстановления.

‍

Могут ли медицинские данные из Онтарио оставаться в Канаде?

Да. Операторы персональных данных из Онтарио могут выбрать канадский регион обработки для своей учётной среды Fax.Plus в рамках соглашения с оператором. Этот выбор обеспечивается как технически, через привязку к региону, так и на уровне договора. PHIPA на самом деле не требует, чтобы данные пациентов оставались в Онтарио или Канаде, однако многие операторы предпочитают такой вариант, а некоторые закрепляют его в собственных правилах работы с информацией. Канадский регион снимает этот вопрос до того, как он превратится в возражение.

‍

Как соответствие PHIPA связано с HIPAA, ISO 27001 и SOC 2?

Соответствие PHIPA напрямую опирается на сертификаты, которые у Fax.Plus и Sign.Plus уже есть, и не начинается с нуля. Сервисы работают в рамках программ ISO 27001 и SOC 2 Type II, прошедших независимый аудит. Для клиентов из сферы здравоохранения США поддерживается HIPAA с подписанием Business Associate Agreement. Данные хранятся в соответствии со строгим швейцарским законодательством о конфиденциальности, при этом доступно более 40 регионов размещения данных.

Аббревиатур много, поэтому поясним коротко. ISO 27001 и SOC 2 Type II — по сути, независимые проверки того, как компания защищает данные. Их проводят внешние аудиторы, а не сама компания. Соответствие PHIPA переносит ту же основу на специфические юридические требования Онтарио. Если вы уже доверяли Fax.Plus или Sign.Plus благодаря этим сертификатам, соответствие PHIPA становится следующим уровнем на той же основе.

‍

Что дальше делать медицинским организациям Онтарио?

Если ваша организация обрабатывает данные о состоянии здоровья пациентов в Онтарио и использует Fax.Plus или Sign.Plus, следующий шаг — запросить Соглашение с поставщиком услуг по PHIPA. Так обязательства поставщика будут зафиксированы в письменной форме. Также рекомендуем поручить команде по защите персональных данных уточнить, какие обязанности по PHIPA остаются за вами как за оператором персональных данных. Некоторые из них, например получение согласия пациента и уведомление граждан после утечки данных, нельзя передать поставщику услуг.

Чтобы узнать, как Fax.Plus применяется в реальных рабочих процессах медицинских организаций, посетите страницу решения для отправки факсов в сфере здравоохранения или прочитайте о факсах с соблюдением требований HIPAA.

‍

Часто задаваемые вопросы

‍

Соответствуют ли Fax.Plus и Sign.Plus требованиям PHIPA?

Да. По итогам полной оценки соответствия Fax.Plus и Sign.Plus отвечают требованиям PHIPA для медицинских организаций Онтарио. Для организаций, которые обрабатывают данные о состоянии здоровья пациентов, доступно Соглашение с поставщиком услуг по PHIPA.

Требует ли PHIPA хранить данные в Канаде?

Нет. PHIPA не требует, чтобы данные пациентов оставались в Онтарио или в Канаде. Однако Fax.Plus предлагает канадский регион обработки для операторов персональных данных, которые предпочитают или обязаны обрабатывать данные локально.

‍

Кто отвечает за получение согласия пациента: Fax.Plus, Sign.Plus или медицинская организация?

Медицинская организация как оператор персональных данных. Fax.Plus и Sign.Plus выступают как агенты: они помогают безопасно передавать, обрабатывать, подписывать и хранить документы. Согласие пациента от имени медицинской организации они не получают.

Существует ли сертификат или регистрация PHIPA?

Нет. PHIPA не предусматривает единой программы сертификации или регистрации. Соответствие требованиям означает, что у вас есть необходимые политики, меры защиты и процедуры на случай утечки данных, и вы можете подтвердить их по запросу.

‍