Sovranità dei dati in Canada

Che cos'è la sovranità dei dati in Canada?

La sovranità dei dati è il principio secondo cui i dati sono soggetti alle leggi e al controllo del luogo in cui vengono raccolti, archiviati o elaborati. Nella pratica, le organizzazioni canadesi usano il termine per porsi due domande su qualsiasi servizio che conservi i loro dati:

• Dove si trovano i dati? Il paese e il data center in cui sono conservati file e backup.
• Chi li controlla? L'azienda che gestisce il servizio e le regole che questa deve rispettare.

La residenza dei dati risponde alla prima domanda. È la parte che si può indicare in un contratto: una città, una regione del data center, una sede di backup. La sovranità dei dati comprende entrambe le domande, ed è per questo che compare nei questionari sulla sicurezza accanto a residenza, crittografia e controlli di accesso.

Per il settore sanitario, il tema non è astratto. Le informazioni sanitarie sono tra i dati più sensibili che un'organizzazione possa detenere e, in Ontario, la PHIPA stabilisce regole specifiche su come vengono raccolte, utilizzate, comunicate e protette, anche quando a gestirle è un fornitore esterno.

Residenza dei dati e sovranità dei dati: perché la differenza conta

I due termini vengono spesso usati come se fossero sinonimi. Si sovrappongono, ma rispondono a domande diverse, e un fornitore può essere solido su uno dei due aspetti e dire poco sull'altro.

La residenza dei dati riguarda la posizione. Indica il paese, la città o la regione del data center in cui sono archiviati i file e, idealmente, anche dove sono conservati i backup. È un aspetto concreto e facile da verificare: un buon fornitore consente di scegliere la regione, la mostra nelle impostazioni dell'account e la riporta nel contratto.

La sovranità dei dati riguarda il controllo. Comprende la residenza, ma chiede anche chi gestisce il servizio, quale azienda firma l'accordo e a cosa si impegna per iscritto questa azienda riguardo al trattamento dei dati.

Per un team sanitario canadese ne deriva una regola pratica: partire dalla residenza, perché è la parte che si può confermare, e poi valutare ciò che la circonda. Ci sono quattro dettagli facili da trascurare:

• Backup. La residenza dovrebbe riguardare anche le copie di backup, non solo i file attivi. Chiedete se i backup restano nella stessa regione o se possono essere collocati in una seconda sede canadese.
• Spostare i dati in seguito. Se i requisiti cambiano, potete spostare autonomamente i dati archiviati in un'altra regione oppure servono una richiesta al supporto e un progetto di migrazione?
• File in transito. La residenza dei dati indica dove si trovano i file archiviati e i backup. I fax in fase di conversione o trasmissione vengono gestiti temporaneamente prima di essere archiviati: chiedete quindi a ogni fornitore come tratta i file in transito e con quale rapidità elimina le copie temporanee.
• Conservazione. I dati che non vengono conservati non possono essere esposti. Verificate se è possibile impostare per quanto tempo i fax vengono archiviati, oppure disattivare l'archiviazione e conservare i fax solo nei propri sistemi.

Nulla di tutto questo sostituisce una consulenza legale. Offre però al responsabile della privacy e al team IT un vocabolario condiviso per confrontare i fornitori e un breve elenco di domande da porre per iscritto.

Come si applica la PHIPA quando si inviano informazioni sanitarie via fax

Il Personal Health Information Protection Act (PHIPA) dell'Ontario stabilisce le regole per le informazioni sanitarie personali nella provincia. Ruota attorno al depositario di informazioni sanitarie (health information custodian): l'ospedale, la clinica, la farmacia, il laboratorio o il professionista responsabile delle informazioni. La PHIPA impone ai depositari di adottare misure ragionevoli per proteggere le informazioni sanitarie personali in loro custodia o sotto il loro controllo da furto, perdita e uso o divulgazione non autorizzati, e per proteggere i documenti da copia, modifica o eliminazione non autorizzate.

I depositari raramente fanno tutto da soli. La PHIPA definisce anche l'agente: una persona o un'organizzazione che, con l'autorizzazione del depositario, agisce per conto del depositario in relazione alle informazioni sanitarie personali, per le finalità del depositario e non per le proprie. La PHIPA stabilisce inoltre regole per i fornitori di servizi elettronici che mettono a disposizione la tecnologia usata dai depositari per gestire le informazioni sanitarie. Un fornitore di servizi cloud che gestisce i fax per conto di un depositario opera all'interno di questo quadro, ed è per questo che l'accordo sottoscritto con il fornitore conta quanto la tecnologia.

Il fax comporta alcuni rischi specifici, perché i documenti arrivano al di fuori della vostra cartella clinica elettronica (EHR):

• I fax si trovano in una casella separata. Impegnative e referti restano in un account fax finché qualcuno non li archivia, quindi quell'account richiede gli stessi controlli di accesso del resto delle cartelle sanitarie.
• Le copie si moltiplicano. Notifiche email, download e stampe possono creare copie aggiuntive dello stesso documento, così come un ciclo di firma gestito con uno strumento separato. Impostazioni che escludono gli allegati dalle email, limitano chi può scaricare e mantengono la firma all'interno della stessa piattaforma aiutano a tenere sotto controllo le copie.
• La conservazione si dimentica facilmente. I fax conservati a tempo indeterminato nell'account di un fornitore sono documenti di cui siete ancora responsabili. Un periodo di conservazione definito, o nessuna archiviazione, mantiene ridotta questa impronta.

La PHIPA non richiede che le informazioni sanitarie personali siano archiviate in Canada. Si concentra su misure di salvaguardia e responsabilità. Molte organizzazioni aggiungono requisiti propri, come conservare cartelle sanitarie e backup in data center canadesi, e li inseriscono nelle proprie policy e nei contratti con i fornitori. Per il confronto completo con le norme statunitensi, consultate PHIPA vs HIPAA. Per domande sui vostri obblighi, l'Information and Privacy Commissioner of Ontario pubblica linee guida per i depositari.

Cosa verificare prima di scegliere un fornitore di fax

Usate queste otto domande nella valutazione dei fornitori. Richiedete le risposte per iscritto e conservatele insieme al contratto.

1. Dove sono archiviati i file dei fax e dove si trovano i backup? Ottenete la regione per entrambi. «Canada» è un punto di partenza; una città o una regione di data center indicata con precisione è meglio.
2. È possibile scegliere autonomamente la regione e modificarla in seguito? Cercate un'impostazione controllata dai vostri amministratori e un metodo documentato per spostare i dati archiviati se i vostri requisiti cambiano.
3. Chi è proprietario del fornitore e chi lo gestisce? Chiedete quale azienda gestisce il servizio, dove ha sede e quale entità giuridica sottoscrive il vostro accordo.
4. Quale accordo si sottoscrive per le informazioni sanitarie? Per i depositari dell'Ontario, richiedete un accordo che copra la PHIPA e il ruolo del fornitore come vostro agente, verificate quale piano lo include e accertatevi che copra anche lo strumento usato per firmare i documenti ricevuti via fax.
5. Per quanto tempo vengono conservati i fax ed è possibile disattivare l'archiviazione? Un periodo di conservazione configurabile, o la possibilità di non archiviare affatto i fax, limita ciò che il fornitore detiene per vostro conto.
6. Come vengono controllati e registrati gli accessi? Cercate accesso basato sui ruoli, autenticazione a due fattori, single sign-on e un registro di audit che indichi chi ha visualizzato o scaricato un fax.
7. Come vengono crittografati i file? Informatevi sulla crittografia dei dati inattivi e in transito e su come vengono gestite le notifiche email, in modo che le informazioni sanitarie non viaggino come allegato.
8. Quali audit indipendenti supportano le dichiarazioni sulla sicurezza? Certificazioni come ISO 27001 e un report SOC 2 Type II dimostrano che un revisore esterno ha verificato i controlli.

Un fornitore che risponde in modo chiaro a tutte e otto le domande e inserisce le risposte nel proprio accordo offre al responsabile della privacy ciò che gli serve per dare la propria approvazione.

Come Fax.Plus supporta la residenza dei dati in Canada

Fax.Plus Enterprise risponde a ogni domanda della checklist e mette le risposte per iscritto. Parte da 79,99 $ al mese con fatturazione annuale (99,99 $ con fatturazione mensile), con 4.000 pagine al mese e membri illimitati, e ogni prezzo è pubblicato.

• File e backup dei fax in Canada. Proprietari e amministratori dell'account possono archiviare i file dei fax inviati e ricevuti a Toronto o Montréal e scegliere separatamente la posizione dei backup, così i dati attivi e i backup possono trovarsi in due data center canadesi diversi.
• La scelta è vostra e può essere modificata. La regione si imposta dalle impostazioni dell'account. Se i requisiti cambiano, i fax archiviati possono essere spostati in un'altra regione dallo stesso punto, senza cambiare fornitore.
• Un'azienda svizzera indipendente. Fax.Plus è sviluppato da Alohi, un'azienda autofinanziata fondata a Ginevra, senza alcuna entità giuridica negli Stati Uniti.
• Un PHIPA Service Provider Agreement firmato. Enterprise include la copertura PHIPA con Advanced Security Controls e un PHIPA Service Provider Agreement firmato, oltre a HIPAA con un BAA firmato per i team che lavorano anche con partner statunitensi.
• Firme con le stesse regole. Molti moduli ricevuti via fax richiedono una firma prima di essere restituiti. Qualsiasi fax può essere inoltrato a Sign.Plus, il prodotto di firma elettronica di Alohi, per firmarlo direttamente o richiedere firme dallo stesso account. Sign.Plus Enterprise offre le stesse opzioni di residenza dei dati in Canada e la stessa copertura PHIPA, così i documenti firmati possono essere conservati alle stesse condizioni dei fax.
• Una conservazione sotto controllo. Gli amministratori possono stabilire per quanti giorni i fax vengono conservati prima di essere eliminati definitivamente, anche zero giorni. I team possono anche disattivare l'archiviazione dei fax e archiviarli nei propri sistemi tramite l'API di Fax.Plus.
• Controlli di accesso e registro di audit. Accesso basato sui ruoli, autenticazione a due fattori, single sign-on e un registro di audit delle attività dell'account.
• Crittografia e notifiche più sicure. Fax.Plus crittografa i file dei fax archiviati con AES-256. Con Advanced Security Controls, le notifiche via email contengono per impostazione predefinita solo l'avviso. Gli account HIPAA/PHIPA idonei possono attivare l'invio degli allegati dopo il consenso del proprietario o dell'amministratore e l'attivazione individuale, con TLS 1.2 o superiore richiesto sul server di posta di ricezione. Il cliente è responsabile della protezione delle copie consegnate nel proprio ambiente email. L'Email-to-Fax in uscita utilizza un indirizzo separato con TLS obbligatorio.
• Verifiche indipendenti. Alohi possiede la certificazione ISO 27001 e un report SOC 2 Type II, entrambi rilasciati da EY CertifyPoint.

Se il vostro team gestisce informazioni sanitarie in Ontario e ha bisogno di archiviarle in Canada, contattate il team di Fax.Plus per un piano Enterprise con residenza dei dati in Canada per Fax.Plus e Sign.Plus.