Soberanía de los datos en Canadá

¿Qué es la soberanía de los datos en Canadá?

La soberanía de los datos es la idea de que los datos están sujetos a las leyes y al control del lugar donde se recopilan, almacenan o procesan. En la práctica, las organizaciones canadienses utilizan este término para plantear dos preguntas sobre cualquier servicio que almacene sus datos:

• ¿Dónde están los datos? El país y el centro de datos donde se conservan los archivos y las copias de seguridad.
• ¿Quién los controla? La empresa que opera el servicio y las normas que dicha empresa debe cumplir.

La residencia de los datos responde a la primera pregunta. Es la parte que puede especificarse en un contrato: una ciudad, una región de centro de datos, una ubicación de copias de seguridad. La soberanía de los datos abarca ambas preguntas, por lo que aparece en los cuestionarios de seguridad junto a la residencia, el cifrado y los controles de acceso.

En el ámbito sanitario, el tema no es abstracto. La información de salud es uno de los datos más sensibles que maneja una organización y, en Ontario, la PHIPA establece normas específicas sobre cómo se recopila, utiliza, divulga y protege, incluso cuando la gestiona un proveedor externo.

Residencia de los datos frente a soberanía de los datos: por qué importa la diferencia

Con frecuencia, los dos términos se usan como si significaran lo mismo. Se solapan, pero responden a preguntas distintas, y un proveedor puede destacar en uno y decir poco sobre el otro.

La residencia de los datos tiene que ver con la ubicación. Indica el país, la ciudad o la región del centro de datos donde se almacenan sus archivos y, idealmente, también dónde se guardan las copias de seguridad. Es algo concreto y fácil de verificar: un buen proveedor permite elegir la región, la muestra en la configuración de su cuenta y la incluye por escrito en el contrato.

La soberanía de los datos tiene que ver con el control. Incluye la residencia, pero también plantea quién opera el servicio, qué empresa firma su acuerdo y a qué se compromete dicha empresa por escrito respecto al tratamiento de sus datos.

Para un equipo sanitario canadiense, esto lleva a una regla práctica: empiece por la residencia, porque es lo que puede confirmar, y luego examine lo que la rodea. Hay cuatro detalles que se pasan por alto con facilidad:

• Copias de seguridad. La residencia debería abarcar las copias de seguridad, no solo los archivos activos. Pregunte si las copias permanecen en la misma región o pueden colocarse en una segunda ubicación en Canadá.
• Traslado posterior de los datos. Si sus requisitos cambian, ¿puede trasladar usted mismo los datos almacenados a otra región, o requiere una solicitud de soporte y un proyecto de migración?
• Archivos en tránsito. La residencia describe dónde se encuentran los archivos almacenados y las copias de seguridad. Los faxes que se están convirtiendo o transmitiendo se procesan de forma temporal antes de almacenarse, por lo que debe preguntar a cada proveedor cómo trata los archivos en tránsito y con qué rapidez elimina las copias temporales.
• Retención. Los datos que no se conservan no pueden quedar expuestos. Pregunte si puede configurar durante cuánto tiempo se almacenan los faxes, o desactivar el almacenamiento y conservar los faxes únicamente en sus propios sistemas.

Nada de esto sustituye al asesoramiento jurídico. Sin embargo, ofrece a su responsable de privacidad y a su equipo de TI un vocabulario común para comparar proveedores, y una breve lista de preguntas que plantear por escrito.

Cómo se aplica la PHIPA cuando envía información de salud por fax

La Ley de Protección de la Información Personal de Salud (PHIPA) de Ontario establece las normas sobre la información personal de salud en la provincia. Se articula en torno al custodio de información de salud: el hospital, la clínica, la farmacia, el laboratorio o el profesional que es responsable de la información. La PHIPA exige a los custodios adoptar medidas razonables para proteger la información personal de salud que tengan bajo su custodia o control frente a robo, pérdida y uso o divulgación no autorizados, y para proteger los registros frente a copia, modificación o eliminación no autorizadas.

Los custodios rara vez lo hacen todo por sí mismos. La PHIPA también define al agente: una persona u organización que, con la autorización del custodio, actúa por cuenta o en nombre del custodio en relación con la información personal de salud, para los fines del custodio y no para los propios. La PHIPA también establece normas para los proveedores de servicios electrónicos que suministran la tecnología que los custodios utilizan para gestionar la información de salud. Un proveedor de cloud que gestiona faxes en nombre de un custodio opera dentro de este marco, y por eso el acuerdo que firma con el proveedor es tan importante como la tecnología.

El fax añade algunos riesgos específicos, porque los documentos llegan fuera de su historia clínica electrónica:

• Los faxes permanecen en una bandeja independiente. Las derivaciones y los resultados esperan en una cuenta de fax hasta que alguien los archiva, por lo que esa cuenta necesita los mismos controles de acceso que el resto de sus historiales de salud.
• Las copias se multiplican. Las notificaciones por correo electrónico, las descargas y las impresiones pueden generar copias adicionales del mismo registro, y también una ronda de firmas que se realice a través de una herramienta distinta. Los ajustes que evitan incluir archivos adjuntos en el correo electrónico, limitan quién puede descargar y mantienen la firma dentro de la misma plataforma ayudan a controlar las copias.
• La retención es fácil de olvidar. Los faxes que se conservan indefinidamente en la cuenta de un proveedor son registros de los que usted sigue siendo responsable. Un período de retención definido, o ningún almacenamiento, mantiene reducido ese rastro.

La PHIPA no exige que la información personal de salud se almacene en Canadá. Se centra en las salvaguardas y la responsabilidad. Muchas organizaciones añaden sus propios requisitos, como conservar los historiales de salud y las copias de seguridad en centros de datos canadienses, y los incluyen en sus políticas y contratos con proveedores. Si necesita la comparación completa con las normas de EE. UU., consulte PHIPA vs HIPAA. Para dudas sobre sus propias obligaciones, el Comisionado de Información y Privacidad de Ontario publica orientaciones para los custodios.

Qué comprobar antes de elegir un proveedor de fax

Utilice estas ocho preguntas en su evaluación de proveedores. Solicite las respuestas por escrito y consérvelas junto con el contrato.

1. ¿Dónde se almacenan los archivos de fax y dónde están las copias de seguridad? Obtenga la región de ambos. «Canadá» es un comienzo; una ciudad concreta o una región de centro de datos con nombre es mejor.
2. ¿Puede elegir la región usted mismo y cambiarla más adelante? Busque un ajuste controlado por sus administradores y un método documentado para trasladar los datos almacenados si cambian sus requisitos.
3. ¿Quién es el propietario del proveedor y quién lo opera? Pregunte qué empresa gestiona el servicio, dónde tiene su sede y qué entidad jurídica firma su acuerdo.
4. ¿Qué acuerdo firma para la información de salud? Si es custodio en Ontario, solicite un acuerdo que cubra la PHIPA y la función del proveedor como su agente, compruebe qué plan lo incluye y confirme que también cubre la herramienta que utiliza para firmar los documentos que recibe por fax.
5. ¿Durante cuánto tiempo se conservan los faxes y puede desactivar el almacenamiento? Un período de retención configurable, o la opción de no almacenar los faxes en absoluto, limita lo que el proveedor conserva en su nombre.
6. ¿Cómo se controla y se registra el acceso? Busque acceso basado en roles, autenticación de dos factores, inicio de sesión único y un registro de auditoría de quién vio o descargó un fax.
7. ¿Cómo se cifran los archivos? Pregunte por el cifrado en reposo y en tránsito, y cómo se gestionan las notificaciones por correo electrónico para que la información de salud no viaje como archivo adjunto.
8. ¿Qué auditorías independientes respaldan las afirmaciones de seguridad? Certificaciones como ISO 27001 y un informe SOC 2 Tipo II demuestran que un auditor externo ha verificado los controles.

Un proveedor que responde con claridad a las ocho preguntas, y que incluye las respuestas en su acuerdo, ofrece a su responsable de privacidad lo que necesita para dar su visto bueno.

Cómo Fax.Plus facilita la residencia de los datos en Canadá

Fax.Plus Enterprise responde a cada pregunta de la lista y deja las respuestas por escrito. Cuesta desde 79,99 $ al mes con facturación anual (99,99 $ con facturación mensual), con 4000 páginas al mes y miembros ilimitados, y todos los precios están publicados.

• Archivos de fax y copias de seguridad en Canadá. Los propietarios de la cuenta y los administradores pueden almacenar los archivos de fax enviados y recibidos en Toronto o Montreal, y elegir por separado la ubicación de las copias de seguridad, de modo que los datos activos y las copias de seguridad puedan estar en dos centros de datos canadienses distintos.
• Su elección, y puede cambiarla. La región se define desde la configuración de la cuenta. Si sus requisitos cambian, los faxes almacenados pueden trasladarse a otra región desde el mismo lugar, sin cambiar de proveedor.
• Una empresa suiza independiente. Fax.Plus ha sido creado por Alohi, una empresa autofinanciada fundada en Ginebra, sin entidad jurídica en EE. UU.
• Un Acuerdo de proveedor de servicios PHIPA firmado. Enterprise incluye cobertura de PHIPA con Advanced Security Controls y un Acuerdo de proveedor de servicios PHIPA firmado, además de HIPAA con un BAA firmado para los equipos que también trabajan con socios de EE. UU.
• Firmas bajo las mismas normas. Muchos formularios recibidos por fax necesitan una firma antes de devolverse. Cualquier fax puede enviarse a Sign.Plus, el producto de firma electrónica propio de Alohi, para firmarlo usted mismo o solicitar firmas desde la misma cuenta. Sign.Plus Enterprise ofrece las mismas opciones de residencia de los datos en Canadá y la misma cobertura de PHIPA, de modo que los documentos firmados pueden conservarse bajo las mismas condiciones que sus faxes.
• Una retención que usted controla. Los administradores pueden definir durante cuántos días se conservan los faxes antes de eliminarse de forma permanente, incluso cero días. Los equipos también pueden desactivar el almacenamiento de faxes y archivarlos en sus propios sistemas mediante la API de Fax.Plus.
• Controles de acceso y registro de auditoría. Acceso basado en roles, autenticación de dos factores, inicio de sesión único y un registro de auditoría de la actividad de la cuenta.
• Cifrado y notificaciones más seguras. Fax.Plus cifra los archivos de fax almacenados con AES-256. Con Advanced Security Controls, las notificaciones por correo electrónico son solo de aviso de forma predeterminada. Las cuentas HIPAA/PHIPA que cumplan los requisitos pueden optar por recibir archivos adjuntos tras el consentimiento del propietario o administrador y la activación individual, con TLS 1.2 o superior obligatorio en el servidor de correo receptor. El cliente es responsable de proteger las copias entregadas en su entorno de correo electrónico. El Email-to-Fax saliente utiliza una dirección independiente con TLS obligatorio.
• Auditoría independiente. Alohi cuenta con la certificación ISO 27001 y un informe SOC 2 Tipo II, ambos emitidos por EY CertifyPoint.

Si su equipo gestiona información de salud en Ontario y necesita almacenarla en Canadá, hable con el equipo de Fax.Plus sobre un plan Enterprise con residencia de los datos en Canadá para Fax.Plus y Sign.Plus.