Souveraineté des données au Canada

Qu'est-ce que la souveraineté des données au Canada ?

La souveraineté des données est le principe selon lequel les données sont soumises aux lois et au contrôle du lieu où elles sont collectées, stockées ou traitées. En pratique, les organisations canadiennes emploient ce terme pour poser deux questions sur tout service qui détient leurs données :

• Où se trouvent les données ? Le pays et le centre de données où les fichiers et les sauvegardes sont conservés.
• Qui les contrôle ? L'entreprise qui exploite le service, et les règles qu'elle doit respecter.

La résidence des données répond à la première question. C'est l'élément que l'on peut nommer dans un contrat : une ville, une région de centre de données, un lieu de sauvegarde. La souveraineté des données englobe les deux questions, c'est pourquoi elle figure dans les questionnaires de sécurité aux côtés de la résidence, du chiffrement et des contrôles d'accès.

Dans le domaine de la santé, le sujet n'a rien d'abstrait. Les renseignements de santé comptent parmi les données les plus sensibles qu'une organisation détient, et en Ontario, la PHIPA fixe des règles précises pour leur collecte, leur utilisation, leur divulgation et leur protection, y compris lorsqu'un prestataire externe les traite.

Résidence des données et souveraineté des données : pourquoi la différence compte

Les deux termes sont souvent employés comme s'ils voulaient dire la même chose. Ils se recoupent, mais répondent à des questions différentes, et un fournisseur peut être solide sur l'un tout en restant discret sur l'autre.

La résidence des données concerne le lieu. Elle indique le pays, la ville ou la région du centre de données où vos fichiers sont stockés et, idéalement, où se trouvent aussi les sauvegardes. Elle est concrète et facile à vérifier : un bon fournisseur vous laisse choisir la région, l'affiche dans les paramètres de votre compte et l'inscrit dans le contrat.

La souveraineté des données concerne le contrôle. Elle inclut la résidence, mais demande aussi qui exploite le service, quelle entreprise signe votre contrat, et ce que cette entreprise s'engage par écrit à faire pour le traitement de vos données.

Pour une équipe de santé canadienne, cela mène à une règle pratique : commencez par la résidence, car c'est l'élément que vous pouvez confirmer, puis examinez ce qui l'entoure. Quatre points sont faciles à oublier :

• Les sauvegardes. La résidence doit couvrir les copies de sauvegarde, et pas seulement les fichiers actifs. Demandez si les sauvegardes restent dans la même région ou si elles peuvent être placées dans un second site canadien.
• Le déplacement ultérieur des données. Si vos exigences changent, pouvez-vous déplacer vous-même les données stockées vers une autre région, ou cela demande-t-il un ticket au support et un projet de migration ?
• Fichiers en transit. La résidence des données désigne l'emplacement des fichiers stockés et des sauvegardes. Les fax en cours de conversion ou de transmission sont traités temporairement avant leur stockage : demandez donc à chaque fournisseur comment il gère les fichiers en transit et dans quel délai les copies temporaires sont supprimées.
• Conservation. Des données qui ne sont pas conservées ne peuvent pas être exposées. Demandez si vous pouvez définir la durée de conservation des fax, ou désactiver le stockage et ne garder les fax que dans vos propres systèmes.

Rien de tout cela ne remplace un avis juridique. En revanche, cela donne à votre responsable de la protection de la vie privée et à votre équipe informatique un vocabulaire commun pour comparer les fournisseurs, ainsi qu'une courte liste de questions à poser par écrit.

Application de la PHIPA lors de l'envoi de renseignements de santé par fax

La Loi sur la protection des renseignements personnels sur la santé (PHIPA) de l'Ontario fixe les règles applicables aux renseignements personnels sur la santé dans la province. Elle repose sur le dépositaire de renseignements sur la santé : l'hôpital, la clinique, la pharmacie, le laboratoire ou le praticien responsable de ces renseignements. La PHIPA impose aux dépositaires de prendre des mesures raisonnables pour protéger les renseignements personnels sur la santé dont ils ont la garde ou le contrôle contre le vol, la perte ainsi que toute utilisation ou divulgation non autorisée, et pour protéger les dossiers contre la copie, la modification ou l'élimination non autorisées.

Les dépositaires ne font que rarement tout eux-mêmes. La PHIPA définit aussi la notion de mandataire : une personne ou une organisation qui, avec l'autorisation du dépositaire, agit pour son compte ou en son nom à l'égard de renseignements personnels sur la santé, pour les besoins du dépositaire et non pour les siens. La PHIPA fixe également des règles pour les fournisseurs de services électroniques qui fournissent aux dépositaires la technologie servant à traiter les renseignements de santé. Un fournisseur de cloud qui traite des fax pour le compte d'un dépositaire s'inscrit dans ce cadre, d'où l'importance de l'accord que vous signez avec lui, au même titre que la technologie.

Le fax présente quelques risques spécifiques, car les documents arrivent en dehors de votre dossier de santé électronique :

• Les fax arrivent dans une boîte de réception distincte. Les demandes de consultation et les résultats attendent dans un compte de fax jusqu'à ce que quelqu'un les classe ; ce compte doit donc bénéficier des mêmes contrôles d'accès que le reste de vos dossiers de santé.
• Les copies se multiplient. Les notifications par email, les téléchargements et les impressions peuvent créer des copies supplémentaires d'un même dossier, tout comme un circuit de signature passant par un outil distinct. Des paramètres qui évitent les pièces jointes dans les emails, limitent les personnes autorisées à télécharger et conservent la signature au sein de la même plateforme aident à garder les copies sous contrôle.
• La conservation est facile à oublier. Les fax conservés indéfiniment dans le compte d'un fournisseur sont des dossiers dont vous restez responsable. Une durée de conservation définie, ou l'absence totale de stockage, permet de réduire cette empreinte.

La PHIPA n'exige pas que les renseignements personnels sur la santé soient stockés au Canada. Elle met l'accent sur les mesures de protection et la responsabilité. De nombreuses organisations ajoutent leurs propres exigences, par exemple conserver les dossiers de santé et les sauvegardes dans des centres de données canadiens, et les inscrivent dans leurs politiques et leurs contrats avec les fournisseurs. Pour la comparaison complète avec la réglementation américaine, consultez PHIPA et HIPAA. Pour toute question sur vos propres obligations, le Commissaire à l'information et à la protection de la vie privée de l'Ontario publie des directives à l'intention des dépositaires.

Points à vérifier avant de choisir un fournisseur de fax

Utilisez ces huit questions lors de l'évaluation de vos fournisseurs. Demandez les réponses par écrit et conservez-les avec le contrat.

1. Où sont stockés les fichiers de fax, et où se trouvent les sauvegardes ? Obtenez la région pour les deux. « Canada » est un début ; une ville ou une région de centre de données précise est préférable.
2. Pouvez-vous choisir vous-même la région, et la modifier par la suite ? Recherchez un paramètre contrôlé par vos administrateurs, ainsi qu'une procédure documentée pour déplacer les données stockées si vos exigences évoluent.
3. Qui détient et exploite le fournisseur ? Demandez quelle entreprise gère le service, où se trouve son siège et quelle entité juridique signe votre accord.
4. Quel accord signez-vous pour les renseignements de santé ? Pour les dépositaires ontariens, demandez un accord couvrant la PHIPA et le rôle du fournisseur en tant que votre mandataire, vérifiez quel plan l'inclut et confirmez qu'il couvre aussi l'outil que vous utilisez pour signer les documents reçus par fax.
5. Pendant combien de temps les fax sont-ils conservés, et pouvez-vous désactiver le stockage ? Une durée de conservation configurable, ou la possibilité de ne pas stocker les fax du tout, limite ce que le fournisseur détient pour votre compte.
6. Comment l'accès est-il contrôlé et consigné ? Recherchez un accès basé sur les rôles, l'authentification à deux facteurs, l'authentification unique et un journal d'audit indiquant qui a consulté ou téléchargé un fax.
7. Comment les fichiers sont-ils chiffrés ? Renseignez-vous sur le chiffrement au repos et en transit, ainsi que sur la gestion des notifications par email afin que les renseignements de santé ne circulent pas en pièce jointe.
8. Quels audits indépendants appuient les déclarations de sécurité ? Des certifications comme ISO 27001 et un rapport SOC 2 Type II montrent qu'un auditeur externe a vérifié les contrôles.

Un fournisseur qui répond clairement aux huit questions, et qui inscrit ces réponses dans son accord, donne à votre responsable de la protection de la vie privée ce dont il a besoin pour valider le choix.

Comment Fax.Plus prend en charge la résidence des données au Canada

Fax.Plus Enterprise répond à chacune des questions de la liste et met les réponses par écrit. Le plan démarre à 79,99 $ par mois en facturation annuelle (99,99 $ en facturation mensuelle), avec 4 000 pages par mois et un nombre illimité de membres, et tous les tarifs sont publiés.

• Fichiers de fax et sauvegardes au Canada. Les propriétaires et les administrateurs du compte peuvent stocker les fichiers de fax envoyés et reçus à Toronto ou à Montréal, et choisir séparément l'emplacement des sauvegardes : les données actives et les sauvegardes peuvent ainsi se trouver dans deux centres de données canadiens différents.
• Votre choix, modifiable à tout moment. La région se définit dans les paramètres du compte. Si vos exigences évoluent, les fax stockés peuvent être déplacés vers une autre région depuis le même endroit, sans changer de fournisseur.
• Une entreprise suisse indépendante. Fax.Plus est développé par Alohi, une entreprise autofinancée fondée à Genève, sans entité juridique aux États-Unis.
• Un contrat de prestataire de services conforme à la PHIPA signé. Enterprise inclut la conformité PHIPA avec Advanced Security Controls et un contrat de prestataire de services conforme à la PHIPA signé, ainsi que la conformité HIPAA avec un BAA signé pour les équipes qui travaillent aussi avec des partenaires américains.
• Des signatures soumises aux mêmes règles. De nombreux formulaires reçus par fax doivent être signés avant d'être renvoyés. Tout fax peut être transféré vers Sign.Plus, le produit de signature électronique d'Alohi, pour le signer vous-même ou demander des signatures depuis le même compte. Sign.Plus Enterprise propose les mêmes options de résidence des données au Canada et la même conformité PHIPA : les documents signés peuvent ainsi être conservés dans les mêmes conditions que vos fax.
• Une conservation que vous maîtrisez. Les administrateurs peuvent définir pendant combien de jours les fax sont conservés avant leur suppression définitive, y compris zéro jour. Les équipes peuvent aussi désactiver le stockage des fax et les archiver dans leurs propres systèmes via l'API Fax.Plus.
• Contrôles d'accès et journal d'audit. Accès basé sur les rôles, authentification à deux facteurs, authentification unique et journal d'audit de l'activité du compte.
• Chiffrement et notifications plus sûres. Fax.Plus chiffre les fichiers de fax stockés avec AES-256. Avec Advanced Security Controls, les notifications par email se limitent par défaut à une simple notification. Les comptes HIPAA/PHIPA éligibles peuvent activer l'envoi des pièces jointes après le consentement du propriétaire ou de l'administrateur et une activation individuelle, avec TLS 1.2 ou supérieur exigé sur le serveur de messagerie destinataire. Le client est responsable de la protection des copies remises dans son environnement de messagerie. L'Email-to-Fax sortant utilise une adresse distincte, avec TLS obligatoire.
• Des audits indépendants. Alohi détient la certification ISO 27001 et un rapport SOC 2 Type II, tous deux délivrés par EY CertifyPoint.

Si votre équipe traite des renseignements de santé en Ontario et a besoin qu'ils soient stockés au Canada, contactez l'équipe Fax.Plus pour découvrir le plan Enterprise avec résidence des données au Canada pour Fax.Plus et Sign.Plus.