Datasoevereiniteit in Canada

Wat is datasoevereiniteit in Canada?

Datasoevereiniteit is het principe dat gegevens onderworpen zijn aan de wetten en de zeggenschap van de plaats waar ze worden verzameld, opgeslagen of verwerkt. In de praktijk gebruiken Canadese organisaties de term om bij elke dienst die hun gegevens bewaart twee vragen te stellen:

• Waar bevinden de gegevens zich? Het land en het datacenter waar bestanden en back-ups worden bewaard.
• Wie heeft er zeggenschap over? Het bedrijf dat de dienst exploiteert en de regels waaraan dat bedrijf zich moet houden.

Gegevenslocatie beantwoordt de eerste vraag. Dit is het deel dat u in een contract kunt vastleggen: een stad, een regio van het datacenter, een back-uplocatie. Datasoevereiniteit omvat beide vragen, en daarom komt het in beveiligingsvragenlijsten voor naast gegevenslocatie, versleuteling en toegangsbeheer.

Voor de gezondheidszorg is het onderwerp niet abstract. Gezondheidsinformatie behoort tot de gevoeligste gegevens waarover een organisatie beschikt, en in Ontario stelt PHIPA specifieke regels voor het verzamelen, gebruiken, verstrekken en beschermen ervan, ook wanneer een externe aanbieder ze verwerkt.

Gegevenslocatie versus datasoevereiniteit: waarom het verschil ertoe doet

De twee termen worden vaak gebruikt alsof ze hetzelfde betekenen. Ze overlappen elkaar, maar beantwoorden verschillende vragen, en een aanbieder kan op het ene punt sterk zijn terwijl hij over het andere weinig zegt.

Gegevenslocatie gaat over de plek. Het geeft aan in welk land, in welke stad of in welke regio van het datacenter uw bestanden worden opgeslagen, en idealiter ook waar de back-ups worden bewaard. Het is concreet en gemakkelijk te controleren: een goede aanbieder laat u de regio kiezen, toont die in uw accountinstellingen en legt die vast in het contract.

Datasoevereiniteit gaat over zeggenschap. Het omvat de gegevenslocatie, maar vraagt ook wie de dienst exploiteert, welk bedrijf uw overeenkomst ondertekent en waartoe dat bedrijf zich schriftelijk verplicht over de omgang met uw gegevens.

Voor een Canadees zorgteam leidt dit tot een praktische vuistregel: begin met de gegevenslocatie, omdat u die kunt controleren, en kijk daarna naar wat daaromheen zit. Vier details worden gemakkelijk over het hoofd gezien:

• Back-ups. De gegevenslocatie moet ook gelden voor back-ups, niet alleen voor de actieve bestanden. Vraag of back-ups in dezelfde regio blijven of op een tweede Canadese locatie kunnen worden geplaatst.
• Gegevens later verplaatsen. Als uw eisen veranderen, kunt u opgeslagen gegevens dan zelf naar een andere regio verplaatsen, of vergt dat een supportticket en een migratieproject?
• Bestanden tijdens verzending. Gegevenslocatie beschrijft waar opgeslagen bestanden en back-ups zich bevinden. Faxen die worden geconverteerd of verzonden, worden tijdelijk verwerkt voordat ze worden opgeslagen. Vraag daarom aan elke aanbieder hoe deze omgaat met bestanden tijdens verzending en hoe snel tijdelijke kopieën worden verwijderd.
• Bewaartermijn. Gegevens die niet worden bewaard, kunnen niet worden blootgesteld. Vraag of u kunt instellen hoe lang faxen worden opgeslagen, of dat u de opslag kunt uitschakelen en faxen alleen in uw eigen systemen bewaart.

Niets hiervan vervangt juridisch advies. Het geeft uw privacyfunctionaris en IT-team wel een gemeenschappelijk vocabulaire om aanbieders te vergelijken, en een korte lijst met vragen die u schriftelijk kunt stellen.

Hoe PHIPA van toepassing is wanneer u gezondheidsgegevens faxt

De Personal Health Information Protection Act (PHIPA) van Ontario stelt de regels voor persoonlijke gezondheidsgegevens in de provincie vast. De wet draait om de beheerder van gezondheidsgegevens (health information custodian): het ziekenhuis, de kliniek, de apotheek, het laboratorium of de behandelaar die verantwoordelijk is voor de gegevens. PHIPA verplicht beheerders om redelijke maatregelen te nemen om persoonlijke gezondheidsgegevens die onder hun beheer of controle vallen te beschermen tegen diefstal, verlies en ongeoorloofd gebruik of ongeoorloofde openbaarmaking, en om dossiers te beschermen tegen ongeoorloofd kopiëren, wijzigen of vernietigen.

Beheerders doen zelden alles zelf. PHIPA definieert ook een agent: een persoon of organisatie die met toestemming van de beheerder namens de beheerder handelt ten aanzien van persoonlijke gezondheidsgegevens, voor de doeleinden van de beheerder en niet voor eigen doeleinden. PHIPA stelt ook regels voor aanbieders van elektronische diensten die de technologie leveren waarmee beheerders gezondheidsgegevens verwerken. Een cloud-aanbieder die faxen namens een beheerder verwerkt, werkt binnen dit kader. Daarom is de overeenkomst die u met de aanbieder sluit net zo belangrijk als de technologie.

Een fax brengt enkele specifieke risico's met zich mee, omdat documenten buiten uw EPD binnenkomen:

• Faxen staan in een afzonderlijk postvak. Verwijzingen en uitslagen wachten in een faxaccount tot iemand ze archiveert. Dat account heeft dus hetzelfde toegangsbeheer nodig als de rest van uw gezondheidsdossiers.
• Kopieën vermenigvuldigen zich. E-mailmeldingen, downloads en afdrukken kunnen extra kopieën van hetzelfde dossier opleveren, net als een ondertekeningsronde via een afzonderlijke tool. Instellingen die bijlagen uit e-mail houden, beperken wie mag downloaden en het ondertekenen binnen hetzelfde platform houden, helpen om kopieën onder controle te houden.
• De bewaartermijn is gemakkelijk te vergeten. Faxen die onbeperkt in het account van een aanbieder blijven staan, zijn dossiers waarvoor u verantwoordelijk blijft. Een vastgestelde bewaartermijn, of helemaal geen opslag, houdt die voetafdruk klein.

PHIPA vereist niet dat persoonlijke gezondheidsgegevens in Canada worden opgeslagen. De wet richt zich op beveiligingsmaatregelen en verantwoording. Veel organisaties voegen hun eigen eisen toe, zoals het bewaren van gezondheidsdossiers en back-ups in Canadese datacenters, en leggen die vast in hun beleid en leveranciersovereenkomsten. Voor de volledige vergelijking met de Amerikaanse regels, zie PHIPA vs HIPAA. Voor vragen over uw eigen verplichtingen publiceert de Information and Privacy Commissioner of Ontario richtlijnen voor beheerders.

Waar u op moet letten voordat u een faxaanbieder kiest

Gebruik deze acht vragen bij uw leveranciersbeoordeling. Vraag om de antwoorden schriftelijk en bewaar ze bij het contract.

1. Waar worden faxbestanden opgeslagen, en waar staan de back-ups? Vraag de regio voor beide op. „Canada” is een begin; een met name genoemde stad of datacenterregio is beter.
2. Kunt u de regio zelf kiezen en later wijzigen? Zoek naar een instelling die uw beheerders zelf bepalen, en naar een gedocumenteerde manier om opgeslagen gegevens te verplaatsen als uw eisen veranderen.
3. Wie is eigenaar van de aanbieder en wie beheert deze? Vraag welk bedrijf de dienst exploiteert, waar het zijn hoofdkantoor heeft en welke rechtspersoon uw overeenkomst ondertekent.
4. Welke overeenkomst sluit u voor gezondheidsgegevens? Vraag als beheerder in Ontario om een overeenkomst die PHIPA en de rol van de aanbieder als uw agent dekt, controleer welk abonnement die bevat en bevestig dat de overeenkomst ook geldt voor de tool waarmee u de per fax ontvangen documenten ondertekent.
5. Hoe lang worden faxen bewaard, en kunt u de opslag uitschakelen? Een instelbare bewaartermijn, of de mogelijkheid om faxen helemaal niet op te slaan, beperkt wat de aanbieder namens u in bezit heeft.
6. Hoe wordt de toegang gecontroleerd en vastgelegd? Zoek naar rolgebaseerde toegang, tweefactorauthenticatie, single sign-on en een auditlogboek van wie een fax heeft bekeken of gedownload.
7. Hoe worden bestanden versleuteld? Vraag naar versleuteling in rust en tijdens verzending, en hoe e-mailmeldingen worden afgehandeld, zodat gezondheidsgegevens niet als bijlage worden verstuurd.
8. Welke onafhankelijke audits onderbouwen de beveiligingsclaims? Certificeringen zoals ISO 27001 en een SOC 2 Type II-rapport tonen aan dat een externe auditor de maatregelen heeft gecontroleerd.

Een aanbieder die alle acht vragen duidelijk beantwoordt en de antwoorden in de overeenkomst vastlegt, geeft uw privacyfunctionaris wat nodig is om akkoord te geven.

Hoe Fax.Plus Canadese gegevenslocatie ondersteunt

Fax.Plus Enterprise beantwoordt elke vraag op de checklist en legt de antwoorden schriftelijk vast. Het begint bij $79,99 per maand bij jaarlijkse facturering ($99,99 bij maandelijkse facturering), met 4.000 pagina's per maand en onbeperkt veel leden, en alle prijzen zijn openbaar.

• Faxbestanden en back-ups in Canada. Accounteigenaren en beheerders kunnen verzonden en ontvangen faxbestanden opslaan in Toronto of Montreal, en de back-uplocatie afzonderlijk kiezen, zodat actieve gegevens en back-ups zich in twee verschillende Canadese datacenters kunnen bevinden.
• Uw keuze, en u kunt die wijzigen. De regio wordt ingesteld via de accountinstellingen. Als uw vereisten veranderen, kunnen opgeslagen faxen vanaf dezelfde plek naar een andere regio worden verplaatst, zonder van aanbieder te wisselen.
• Een onafhankelijk Zwitsers bedrijf. Fax.Plus is gebouwd door Alohi, een zelf gefinancierd bedrijf dat in Genève is opgericht, zonder Amerikaanse juridische entiteit.
• Een ondertekende PHIPA Service Provider Agreement. Enterprise omvat PHIPA-dekking met Advanced Security Controls en een ondertekende PHIPA Service Provider Agreement, naast HIPAA met een ondertekende BAA voor teams die ook met Amerikaanse partners werken.
• Handtekeningen onder dezelfde regels. Voor veel gefaxte formulieren is een handtekening nodig voordat ze worden teruggestuurd. Elke fax kan worden doorgestuurd naar Sign.Plus, het eigen e-handtekeningproduct van Alohi, om zelf te ondertekenen of handtekeningen aan te vragen onder hetzelfde account. Sign.Plus Enterprise biedt dezelfde opties voor Canadese gegevenslocatie en PHIPA-dekking, zodat ondertekende documenten onder dezelfde voorwaarden kunnen worden bewaard als uw faxen.
• Bewaartermijn onder uw controle. Beheerders kunnen instellen hoeveel dagen faxen worden bewaard voordat ze definitief worden verwijderd, ook nul dagen. Teams kunnen de opslag van faxen ook uitschakelen en faxen in hun eigen systemen archiveren via de Fax.Plus API.
• Toegangsbeheer en een auditlogboek. Rolgebaseerde toegang, tweefactorauthenticatie, single sign-on en een auditlogboek van accountactiviteit.
• Versleuteling en veiligere meldingen. Fax.Plus versleutelt opgeslagen faxbestanden met AES-256. Met Advanced Security Controls zijn e-mailmeldingen standaard alleen een melding, zonder bijlagen. Geschikte HIPAA/PHIPA-accounts kunnen na toestemming van de eigenaar/beheerder en individuele activering kiezen voor bijlagen, waarbij TLS 1.2 of hoger vereist is op de ontvangende mailserver. De klant is verantwoordelijk voor de bescherming van afgeleverde kopieën in de eigen e-mailomgeving. Uitgaande Email-to-Fax maakt gebruik van een apart adres waarvoor TLS verplicht is.
• Onafhankelijk geaudit. Alohi beschikt over een ISO 27001-certificering en een SOC 2 Type II-rapport, beide afgegeven door EY CertifyPoint.

Als uw team in Ontario gezondheidsgegevens verwerkt en deze in Canada moet opslaan, neem dan contact op met het Fax.Plus-team over een Enterprise-abonnement met Canadese gegevenslocatie voor Fax.Plus en Sign.Plus.