PHIPA frente a HIPAA: diferencias clave para el cumplimiento normativo en el sector sanitario

¿Qué significa PHIPA?

PHIPA son las siglas de Personal Health Information Protection Act, 2004 (Ley de protección de la información personal de salud de 2004), la ley que regula la información de salud de los pacientes en Ontario, Canadá. Entró en vigor en 2004 y está supervisada por el Comisionado de Información y Privacidad de Ontario, un regulador independiente que investiga las reclamaciones y las brechas de seguridad.

PHIPA establece las normas sobre cómo las organizaciones sanitarias recopilan, utilizan, almacenan y comparten lo que denomina información personal de salud (PHI): cualquier dato que identifique a un paciente y esté relacionado con su salud, como historiales médicos, resultados de pruebas y recetas.

¿Qué significa HIPAA?

HIPAA son las siglas de Health Insurance Portability and Accountability Act (Ley de portabilidad y responsabilidad del seguro médico), la ley federal de Estados Unidos que protege la información de salud de los pacientes. Se aprobó en 1996 y, en EE. UU., este mismo tipo de datos se denomina información de salud protegida, que también se abrevia como PHI.

HIPAA se basa en unas pocas normas fundamentales: una Regla de Privacidad que limita cómo se utilizan y comparten los datos de salud, una Regla de Seguridad que exige salvaguardas para los registros electrónicos y una Regla de Notificación de Brechas que regula qué ocurre cuando los datos quedan expuestos. Para tener una visión completa, consulte nuestra explicación sobre qué es HIPAA y nuestra guía de las tres reglas de HIPAA.

¿Se aplica HIPAA en Canadá?

No, HIPAA no se aplica en Canadá. HIPAA es una ley federal de EE. UU. y no tiene fuerza legal al norte de la frontera. Esto confunde a menudo: una clínica canadiense solicita un servicio de fax «compatible con HIPAA» cuando en realidad necesita uno que cumpla la legislación canadiense de privacidad. Para el sector sanitario de Ontario, esa ley es PHIPA.

¿Cuál es el equivalente canadiense de HIPAA?

No existe un único equivalente canadiense de HIPAA. La privacidad sanitaria en Canadá se regula provincia por provincia, de modo que Ontario cuenta con PHIPA, mientras que una ley nacional distinta, denominada PIPEDA, abarca de forma más amplia los datos personales del sector privado. Para un proveedor sanitario de Ontario, la ley aplicable a los historiales de pacientes es PHIPA.

Esa es también la respuesta breve a una pregunta relacionada, PHIPA frente a PIPEDA: PHIPA es la ley específica de privacidad sanitaria de Ontario, y PIPEDA es la ley federal general de privacidad. Además, la PHI según PHIPA es más limitada y específica que la información personal según PIPEDA, ya que se relaciona directamente con la salud y la atención de una persona. Cuando hay información de salud de por medio en Ontario, prevalece PHIPA.

¿Cuáles son las principales diferencias entre PHIPA y HIPAA?

Las mayores diferencias entre PHIPA y HIPAA radican en la jurisdicción y en los nombres que cada ley asigna a los mismos roles. Ambas buscan mantener la privacidad de los datos de los pacientes y exigen una seguridad sólida, consentimiento y notificación de brechas, pero los detalles divergen de maneras que importan a un proveedor.

‍

Las estructuras son casi equivalentes, función por función. PHIPA denomina a la organización sanitaria Health Information Custodian (custodio de información de salud); HIPAA la denomina covered entity (entidad cubierta). PHIPA denomina agent (agente) al proveedor que trata datos en nombre del profesional sanitario; HIPAA lo denomina business associate (asociado comercial). En ambos sistemas, el profesional sanitario asume la responsabilidad legal principal y el proveedor trata los datos únicamente en virtud de un acuerdo escrito.

¿En qué se diferencian PHIPA y HIPAA en la notificación de brechas?

El plazo es la mayor diferencia práctica. Según HIPAA, una entidad cubierta dispone, por lo general, de hasta 60 días para notificar, y las brechas que afectan a 500 o más registros se comunican al organismo regulador federal. PHIPA es más rápida y más amplia: un custodio debe notificar al paciente afectado y al Comisionado de Información y Privacidad de Ontario de inmediato, en cuanto se cumple un supuesto de brecha notificable, y no existe un número mínimo de registros. PHIPA añade además un paso que HIPAA no contempla: los custodios presentan al IPC un informe anual con el recuento de las brechas notificables del año natural anterior, que debe entregarse antes del 1 de marzo.

Para un proveedor de fax, esto condiciona cómo debe funcionar la respuesta ante incidentes. Un servicio diseñado solo en torno al plazo de 60 días de HIPAA sería demasiado lento para Ontario. El proveedor debe señalar un incidente que cumpla los requisitos y facilitar los detalles al custodio de inmediato, para que este pueda cumplir el plazo más breve de PHIPA.

¿Cómo gestionan PHIPA y HIPAA el consentimiento del paciente?

Tanto PHIPA como HIPAA permiten que la información de salud circule con fines de tratamiento sin necesidad de un formulario firmado cada vez. Según PHIPA, un profesional de Ontario puede basarse en el consentimiento implícito dentro del círculo de atención, es decir, los profesionales que participan directamente en el tratamiento de un paciente, siempre que se cumplan una serie de condiciones. HIPAA funciona con un principio similar: permite que la información circule para tratamiento, pago y operaciones de atención sanitaria sin una autorización independiente. Ambas leyes exigen consentimiento explícito cuando se va más allá de esos fines básicos, como el marketing.

Para un proveedor de fax, lo importante en la práctica es lo mismo con ambas leyes: gestionar el consentimiento corresponde al profesional sanitario, no al proveedor. Un servicio de fax transmite el documento; nunca decide si existe consentimiento.

¿Qué exigen PHIPA o HIPAA para enviar historiales de pacientes por fax?

Para enviar historiales de pacientes por fax conforme a PHIPA o HIPAA, el servicio debe hacer algo más que enviar un documento. El fax sigue siendo habitual en el ámbito sanitario porque genera un registro claro punto a punto entre dos partes conocidas, pero una herramienta de fax común no satisfará ninguna de las dos leyes. Un servicio que cumpla la normativa necesita cifrado de los datos en tránsito y en reposo, controles de acceso como inicios de sesión únicos y autenticación de dos factores, registros de auditoría que indiquen quién envió o abrió cada documento, eliminación segura que impida la recuperación y un acuerdo escrito que recoja las obligaciones del proveedor.

La misma lógica se aplica cuando los formularios de los pacientes deben firmarse electrónicamente. Si una clínica recopila formularios de admisión, formularios de consentimiento, documentos de derivación u otros documentos relacionados con pacientes mediante una plataforma de firma electrónica, ese servicio también necesita las medidas de seguridad adecuadas y el acuerdo escrito correspondiente. No toda firma en un formulario enviado por fax es ese tipo de firma electrónica: muchos formularios de admisión y de consentimiento que aún llegan por fax llevan una firma facsímil, una reproducción sellada o preimpresa de una firma manuscrita, en lugar de una capturada electrónicamente, y esa distinción afecta al rastro de auditoría en el que un equipo de cumplimiento puede confiar realmente. Para los profesionales sanitarios de Ontario, esto significa utilizar una configuración de proveedor de servicios preparada para PHIPA; para los profesionales sanitarios de EE. UU., significa utilizar un proveedor preparado para HIPAA con un BAA firmado.

Ese acuerdo por escrito marca la línea divisoria. Sin un Acuerdo de proveedor de servicios de PHIPA o un BAA de HIPAA, una herramienta de fax no puede utilizarse para datos de pacientes, por sólida que sea su tecnología. El acuerdo firmado es lo que hace que el proveedor sea formalmente responsable.

¿Existe una certificación o un registro de PHIPA?

No, PHIPA no cuenta con un programa central de certificación ni de registro. El cumplimiento es algo que una organización demuestra, no una insignia que se obtiene de un registro. El custodio y sus proveedores conservan en sus archivos sus políticas, medidas de protección, procedimientos de consentimiento y registros de brechas, y los presentan si un cliente o el Comisionado los solicita. Por eso, un proveedor riguroso afirmará que cumple con PHIPA y podrá mostrar sus controles, en lugar de remitirse a un sello oficial de PHIPA que no existe.

¿Puede un mismo servicio de fax cumplir con PHIPA y con HIPAA?

Sí, una misma plataforma de documentos sanitarios puede admitir flujos de trabajo tanto de PHIPA como de HIPAA , y Fax.Plus y Sign.Plus lo hacen. Fax.Plus permite enviar fax en línea de forma conforme para historiales de pacientes, mientras que Sign.Plus ofrece firmas electrónicas seguras para formularios sanitarios, documentos de consentimiento, derivaciones y trámites administrativos.

Ambos servicios cumplen con PHIPA para los proveedores sanitarios de Ontario y con HIPAA para las organizaciones sanitarias de EE. UU., y ambos proporcionan el acuerdo por escrito que exige cada ley: un Acuerdo de proveedor de servicios de PHIPA para los proveedores de Ontario y un Business Associate Agreement firmado para las organizaciones de EE. UU. Los custodios de Ontario también pueden elegir una región de procesamiento canadiense para su instancia, garantizada mediante la fijación técnica de región (region-pinning) y el Acuerdo de proveedor de servicios de PHIPA.

Por dentro, ambos servicios protegen los documentos con cifrado en tránsito y en reposo, acceso único por usuario, permisos basados en roles, autenticación de dos factores y registros de auditoría de la actividad de los documentos. Funcionan bajo programas ISO 27001 y SOC 2 Type II auditados de forma independiente, con residencia de datos en Suiza y más de 20 ubicaciones de residencia disponibles. Esas certificaciones son inspecciones independientes de cómo los servicios protegen los datos, que es justo lo que tanto PHIPA como HIPAA esperan detrás de su redacción legal.

Puede obtener más información sobre si Fax.Plus es seguro, explorar la solución de fax para el sector sanitario, ver cómo funciona el envío de fax conforme a HIPAA o consultar la API de fax conforme a HIPAA si está integrando el envío de fax en un sistema existente.