PHIPA e HIPAA: le differenze principali per la conformità in ambito sanitario

Che cosa significa PHIPA?

PHIPA sta per Personal Health Information Protection Act, 2004 ed è la legge che disciplina le informazioni sanitarie dei pazienti in Ontario, Canada. È entrata in vigore nel 2004 ed è supervisionata dal Commissario per l'informazione e la privacy dell'Ontario, un'autorità di controllo indipendente che indaga su reclami e violazioni.

PHIPA stabilisce le regole con cui le organizzazioni sanitarie raccolgono, usano, conservano e condividono ciò che definisce informazioni sanitarie personali (PHI): qualsiasi dato che identifichi un paziente e riguardi la sua salute, come cartelle cliniche, risultati di esami e prescrizioni.

Che cosa significa HIPAA?

HIPAA sta per Health Insurance Portability and Accountability Act, la legge federale degli Stati Uniti che protegge le informazioni sanitarie dei pazienti. È stata approvata nel 1996 e negli Stati Uniti lo stesso tipo di dati è chiamato informazioni sanitarie protette, anch'esse abbreviate in PHI.

HIPAA si basa su poche regole fondamentali: una Privacy Rule che limita l'uso e la condivisione dei dati sanitari, una Security Rule che richiede misure di protezione per le cartelle elettroniche e una Breach Notification Rule che disciplina cosa accade quando i dati vengono esposti. Per un quadro completo, consulta la nostra guida su cos'è HIPAA e la nostra panoramica sulle tre regole di HIPAA.

HIPAA si applica in Canada?

No, HIPAA non si applica in Canada. HIPAA è una legge federale statunitense e non ha alcuna efficacia legale a nord del confine. È un equivoco molto frequente: una clinica canadese richiede un servizio di fax «conforme a HIPAA» quando in realtà le serve un servizio che rispetti la normativa canadese sulla privacy. Per la sanità dell'Ontario, quella normativa è PHIPA.

Qual è l'equivalente canadese di HIPAA?

Non esiste un unico equivalente canadese di HIPAA. In Canada la privacy sanitaria è disciplinata provincia per provincia: l'Ontario ha PHIPA, mentre una legge nazionale distinta, chiamata PIPEDA, regola più in generale i dati personali nel settore privato. Per un operatore sanitario dell'Ontario, la norma che si applica alle cartelle cliniche è PHIPA.

Questa è anche la risposta breve a una domanda correlata, PHIPA vs PIPEDA: PHIPA è la legge specifica sulla privacy sanitaria per l'Ontario, mentre PIPEDA è la legge federale generale sulla privacy. Anche le PHI ai sensi di PHIPA sono più circoscritte e specifiche rispetto alle informazioni personali ai sensi di PIPEDA, perché riguardano direttamente la salute e le cure di una persona. Quando in Ontario sono coinvolte informazioni sanitarie, prevale PHIPA.

Quali sono le principali differenze tra PHIPA e HIPAA?

Le differenze principali tra PHIPA e HIPAA riguardano la giurisdizione e i nomi che ciascuna legge attribuisce agli stessi ruoli. Entrambe mirano a proteggere la riservatezza dei dati dei pazienti ed entrambe richiedono sicurezza elevata, consenso e notifica delle violazioni, ma i dettagli divergono in modi rilevanti per un fornitore.

‍

Le strutture si rispecchiano quasi ruolo per ruolo. PHIPA definisce l'organizzazione sanitaria un custode di informazioni sanitarie; HIPAA la definisce covered entity. PHIPA definisce agente un fornitore che tratta i dati per conto del professionista sanitario; HIPAA lo definisce business associate. In entrambi i sistemi il professionista sanitario ha il dovere giuridico principale e il fornitore tratta i dati solo in base a un accordo scritto.

In che modo PHIPA e HIPAA differiscono per la notifica delle violazioni?

Le tempistiche sono la differenza pratica più rilevante. Secondo HIPAA, una covered entity ha in genere fino a 60 giorni per effettuare la notifica e le violazioni che coinvolgono 500 o più record vengono segnalate all'autorità federale. PHIPA è più rapida e più ampia: un custode deve notificare il paziente interessato e il Commissario per l'informazione e la privacy dell'Ontario immediatamente, non appena scatta una condizione di violazione soggetta a segnalazione, e non esiste alcun numero minimo di record. PHIPA aggiunge anche un passaggio che HIPAA non prevede: i custodi presentano all'IPC un rapporto annuale che conteggia le violazioni soggette a segnalazione dell'anno solare precedente, da inviare entro il 1° marzo.

Per un fornitore di fax, questo incide sul modo in cui deve funzionare la risposta agli incidenti. Un servizio costruito solo attorno al termine di 60 giorni di HIPAA sarebbe troppo lento per l'Ontario. Il fornitore deve segnalare tempestivamente un incidente rilevante e trasmetterne subito i dettagli al custode, in modo che questo possa rispettare la scadenza più rapida di PHIPA.

Come gestiscono PHIPA e HIPAA il consenso del paziente?

Sia PHIPA sia HIPAA consentono la circolazione delle informazioni sanitarie a fini di cura senza un modulo firmato separato ogni volta. Secondo PHIPA, un professionista sanitario dell'Ontario può fare affidamento sul consenso implicito all'interno del circolo di cura, ovvero i professionisti direttamente coinvolti nella cura di un paziente, purché siano soddisfatte una serie di condizioni. HIPAA si basa su un principio simile, consentendo la circolazione delle informazioni per cura, pagamento e attività sanitarie operative senza un'autorizzazione separata. Entrambe le leggi richiedono un consenso esplicito quando si va oltre queste finalità principali, ad esempio per il marketing.

Per un fornitore di fax, il punto pratico è lo stesso in base a entrambe le leggi: la gestione del consenso spetta al professionista sanitario, non al fornitore. Un servizio di fax trasferisce il documento; non decide mai se il consenso esista.

Cosa richiedono PHIPA o HIPAA per l'invio di cartelle dei pazienti via fax?

Per inviare via fax le cartelle dei pazienti in base a PHIPA o HIPAA, il servizio deve fare più che limitarsi a inviare un documento. Il fax resta diffuso in ambito sanitario perché crea una traccia chiara da punto a punto tra due parti note, ma un normale strumento di fax non soddisfa nessuna delle due leggi. Un servizio conforme richiede la crittografia dei dati in transito e a riposo, controlli di accesso come accessi univoci e autenticazione a due fattori, registri di controllo che indichino chi ha inviato o aperto ogni documento, un'eliminazione sicura che ne impedisca il recupero e un accordo scritto che metta nero su bianco gli obblighi del fornitore.

La stessa logica vale quando i moduli dei pazienti devono essere firmati elettronicamente. Se una clinica raccoglie moduli di accettazione, moduli di consenso, impegnative o altra documentazione relativa ai pazienti tramite una piattaforma di firma elettronica, anche quel servizio deve disporre delle misure di sicurezza e dell'accordo scritto adeguati. Non tutte le firme su un modulo inviato via fax sono firme elettroniche di questo tipo: molti moduli di accettazione e di consenso che arrivano ancora via fax riportano una firma in facsimile, ovvero una riproduzione timbrata o prestampata di una firma autografa anziché una acquisita elettronicamente, e tale distinzione incide sulla traccia di controllo su cui un team di conformità può effettivamente fare affidamento. Per i professionisti sanitari dell'Ontario ciò significa usare una configurazione di fornitore di servizi pronta per PHIPA; per i professionisti sanitari statunitensi significa usare un fornitore pronto per HIPAA con un BAA firmato.

L'accordo scritto è il vero spartiacque. Senza un Service Provider Agreement PHIPA o un BAA HIPAA, uno strumento per fax non può essere usato per i dati dei pazienti, per quanto valida sia la tecnologia. È l'accordo firmato a rendere il fornitore formalmente responsabile.

Esiste una certificazione o un registro PHIPA?

No, PHIPA non prevede un programma centrale di certificazione o registrazione. La conformità è qualcosa che un'organizzazione dimostra, non un badge che si ottiene da un registro. Il custode e i suoi fornitori conservano agli atti politiche, misure di sicurezza, procedure di consenso e registri delle violazioni, e li esibiscono se un cliente o il Commissario li richiede. Per questo un fornitore attento dichiara di essere conforme a PHIPA e può mostrare i propri controlli, invece di richiamare un sigillo PHIPA ufficiale che non esiste.

Un unico servizio fax può essere conforme sia a PHIPA sia a HIPAA?

Sì, un'unica piattaforma per documenti sanitari può supportare sia i flussi di lavoro PHIPA sia quelli HIPAA, e Fax.Plus e Sign.Plus lo fanno. Fax.Plus supporta l'invio di fax online conforme per le cartelle dei pazienti, mentre Sign.Plus supporta le firme elettroniche sicure per moduli sanitari, documenti di consenso, impegnative e pratiche amministrative.

Entrambi i servizi sono conformi a PHIPA per i fornitori sanitari dell'Ontario e conformi a HIPAA per le organizzazioni sanitarie statunitensi, e forniscono entrambi l'accordo scritto richiesto da ciascuna legge: un Service Provider Agreement PHIPA per i fornitori dell'Ontario e un Business Associate Agreement firmato per le organizzazioni statunitensi. I custodi dell'Ontario possono inoltre scegliere una regione di elaborazione canadese per il proprio tenant, garantita tramite un vincolo tecnico alla regione e dal Service Provider Agreement PHIPA.

Dal punto di vista tecnico, entrambi i servizi proteggono i documenti con crittografia in transito e a riposo, accesso utente univoco, autorizzazioni basate sui ruoli, autenticazione a due fattori e registri di controllo delle attività sui documenti. Operano nell'ambito di programmi ISO 27001 e SOC 2 Type II sottoposti ad audit indipendente, con residenza dei dati in Svizzera e oltre 20 sedi di residenza disponibili. Queste certificazioni sono verifiche indipendenti di come i servizi proteggono i dati, ed è esattamente ciò che sia PHIPA sia HIPAA si aspettano dietro la formulazione giuridica.

Puoi approfondire se Fax.Plus è sicuro, scoprire la soluzione fax per la sanità, vedere come funziona l'invio di fax conforme a HIPAA oppure consultare l'API fax conforme a HIPAA se stai integrando l'invio di fax in un sistema esistente.