PHIPA versus HIPAA: belangrijkste verschillen voor compliance in de gezondheidszorg

Waar staat PHIPA voor?

PHIPA staat voor de Personal Health Information Protection Act, 2004 en is de wet die gezondheidsgegevens van patiënten regelt in Ontario, Canada. De wet is in 2004 in werking getreden en staat onder toezicht van de Information and Privacy Commissioner of Ontario, een onafhankelijke toezichthouder die klachten en datalekken onderzoekt.

PHIPA bepaalt hoe zorgorganisaties wat de wet persoonlijke gezondheidsinformatie (PHI) noemt, mogen verzamelen, gebruiken, opslaan en delen: alles wat een patiënt identificeert en betrekking heeft op diens gezondheid, zoals medische dossiers, testresultaten en recepten.

Waar staat HIPAA voor?

HIPAA staat voor de Health Insurance Portability and Accountability Act, de federale wet van de Verenigde Staten die gezondheidsgegevens van patiënten beschermt. De wet werd in 1996 aangenomen en in de VS heet dezelfde soort gegevens beschermde gezondheidsinformatie (protected health information), wat eveneens wordt afgekort tot PHI.

HIPAA is gebaseerd op een aantal kernregels: een Privacy Rule die beperkt hoe gezondheidsgegevens worden gebruikt en gedeeld, een Security Rule die beveiligingsmaatregelen voor elektronische dossiers voorschrijft, en een Breach Notification Rule die regelt wat er gebeurt wanneer gegevens worden blootgesteld. Voor het volledige beeld verwijzen wij u naar onze uitleg over wat HIPAA is en onze toelichting op de drie regels van HIPAA.

Is HIPAA van toepassing in Canada?

Nee, HIPAA is niet van toepassing in Canada. HIPAA is een Amerikaanse federale wet en heeft ten noorden van de grens geen rechtskracht. Dit zorgt voortdurend voor verwarring: een Canadese kliniek vraagt om een „HIPAA-compliant” faxdienst, terwijl zij eigenlijk een dienst nodig heeft die voldoet aan de Canadese privacywetgeving. Voor de gezondheidszorg in Ontario is dat PHIPA.

Wat is het Canadese equivalent van HIPAA?

Er bestaat geen enkel Canadees equivalent van HIPAA. Privacy in de gezondheidszorg wordt in Canada per provincie geregeld, dus Ontario heeft PHIPA, terwijl een afzonderlijke nationale wet, PIPEDA, persoonsgegevens in de particuliere sector in bredere zin dekt. Voor een zorgverlener in Ontario is PHIPA de wet die van toepassing is op patiëntdossiers.

Dat is ook het korte antwoord op een verwante vraag, PHIPA versus PIPEDA: PHIPA is de specifieke privacywet voor gezondheidsgegevens in Ontario, en PIPEDA is de algemene federale privacywet. PHI onder PHIPA is bovendien beperkter en specifieker dan persoonsgegevens onder PIPEDA, omdat het rechtstreeks verband houdt met de gezondheid en de zorg van een persoon. Wanneer er in Ontario gezondheidsgegevens in het spel zijn, is PHIPA leidend.

Wat zijn de belangrijkste verschillen tussen PHIPA en HIPAA?

De grootste verschillen tussen PHIPA en HIPAA draaien om rechtsgebied en om de namen die elke wet aan dezelfde rollen geeft. Beide wetten willen patiëntgegevens privé houden en vereisen sterke beveiliging, toestemming en meldingen van datalekken, maar de details lopen uiteen op manieren die voor een leverancier van belang zijn.

‍

De structuren komen bijna rol voor rol overeen. PHIPA noemt de zorgorganisatie een beheerder van gezondheidsinformatie; HIPAA noemt haar een gedekte entiteit. PHIPA noemt een leverancier die namens de zorgverlener gegevens verwerkt een agent; HIPAA noemt die een zakelijke partner. In beide stelsels draagt de zorgverlener de kern van de wettelijke verantwoordelijkheid en verwerkt de leverancier gegevens uitsluitend op basis van een schriftelijke overeenkomst.

Hoe verschillen PHIPA en HIPAA wat betreft de melding van inbreuken?

De termijn is het grootste praktische verschil. Onder HIPAA heeft een gedekte entiteit doorgaans maximaal 60 dagen om te melden, en inbreuken op 500 of meer dossiers worden gemeld aan de federale toezichthouder. PHIPA is sneller en breder: een beheerder moet de betrokken patiënt en de Information and Privacy Commissioner van Ontario onmiddellijk informeren zodra een meldplichtige aanleiding zich voordoet, en er geldt geen minimumaantal dossiers. PHIPA voegt ook een stap toe die HIPAA niet kent: beheerders dienen jaarlijks vóór 1 maart een rapport in bij de IPC met het aantal meldplichtige inbreuken van het voorgaande kalenderjaar.

Voor een faxprovider bepaalt dit hoe incidentafhandeling moet werken. Een dienst die alleen is opgezet rond de HIPAA-termijn van 60 dagen, zou voor Ontario te traag zijn. De provider moet een kwalificerend incident signaleren en de details direct aan de beheerder doorgeven, zodat die de snellere PHIPA-termijn kan halen.

Hoe gaan PHIPA en HIPAA om met toestemming van patiënten?

Met PHIPA en HIPAA kan gezondheidsinformatie voor behandeling stromen zonder dat telkens een apart ondertekend formulier nodig is. Onder PHIPA kan een zorgverlener in Ontario binnen de zorgkring (circle of care), dat wil zeggen de zorgverleners die rechtstreeks betrokken zijn bij de behandeling van een patiënt, vertrouwen op impliciete toestemming, zolang aan een aantal voorwaarden wordt voldaan. HIPAA werkt volgens een vergelijkbaar principe: informatie mag worden gedeeld voor behandeling, betaling en zorgactiviteiten zonder aparte machtiging. Beide wetten vereisen uitdrukkelijke toestemming zodra u verder gaat dan die kerndoelen, zoals bij marketing.

Voor een faxprovider is het praktische punt onder beide wetten hetzelfde: het beheren van toestemming is de taak van de zorgverlener, niet van de leverancier. Een faxdienst verplaatst het document; deze bepaalt nooit of er toestemming is.

Wat vereisen PHIPA en HIPAA voor het faxen van patiëntdossiers?

Om patiëntdossiers te faxen onder PHIPA of HIPAA moet de dienst meer doen dan alleen een document verzenden. Fax blijft gangbaar in de zorg omdat het een duidelijke punt-tot-punt-registratie tussen twee bekende partijen oplevert, maar een gewoon faxprogramma voldoet aan geen van beide wetten. Een conforme dienst heeft nodig: versleuteling van gegevens tijdens verzending en opslag, toegangscontroles zoals unieke inloggegevens en tweefactorauthenticatie, auditlogboeken die vastleggen wie elk document heeft verzonden of geopend, veilige verwijdering die herstel voorkomt, en een schriftelijke overeenkomst waarin de verplichtingen van de leverancier zijn vastgelegd.

Dezelfde logica geldt wanneer patiëntformulieren elektronisch ondertekend moeten worden. Als een kliniek intakeformulieren, toestemmingsformulieren, verwijsdocumenten of andere patiëntgerelateerde documenten verzamelt via een e-handtekeningplatform, moet ook die dienst over de juiste beveiligingsmaatregelen en een schriftelijke overeenkomst beschikken. Niet elke handtekening op een gefaxt formulier is zo'n e-handtekening: veel intake- en toestemmingsformulieren die nog per fax binnenkomen, dragen een facsimile-handtekening, een gestempelde of vooraf gedrukte weergave van een handgeschreven handtekening in plaats van een elektronisch vastgelegde, en dat onderscheid beïnvloedt het controlespoor waarop een compliance-team daadwerkelijk kan vertrouwen. Voor zorgverleners in Ontario betekent dit dat u een PHIPA-conforme opzet met een dienstverlener gebruikt; voor zorgverleners in de VS betekent het dat u een HIPAA-conforme leverancier met een ondertekende BAA gebruikt.

Die schriftelijke overeenkomst vormt de scheidslijn. Zonder een PHIPA Service Provider Agreement of een HIPAA BAA mag een faxtool niet worden gebruikt voor patiëntgegevens, hoe sterk de technologie ook is. Pas de ondertekende overeenkomst maakt de leverancier formeel verantwoordelijk.

Bestaat er een PHIPA-certificering of -register?

Nee, PHIPA kent geen centraal certificerings- of registratieprogramma. Naleving is iets wat een organisatie aantoont, geen keurmerk dat u uit een register haalt. De beheerder en zijn leveranciers houden hun beleid, beveiligingsmaatregelen, toestemmingsprocedures en inbreukregistraties bij, en leggen die over als een klant of de Commissioner daarom vraagt. Daarom zal een zorgvuldige leverancier zeggen dat hij voldoet aan PHIPA en zijn maatregelen kunnen aantonen, in plaats van te verwijzen naar een officieel PHIPA-keurmerk dat niet bestaat.

Kan één faxdienst zowel aan PHIPA als aan HIPAA voldoen?

Ja, één platform voor zorgdocumenten kan werkprocessen onder zowel PHIPA als HIPAA ondersteunen, en Fax.Plus en Sign.Plus doen dat. Fax.Plus ondersteunt conform de regels online faxen van patiëntdossiers, terwijl Sign.Plus veilige elektronische handtekeningen ondersteunt voor zorgformulieren, toestemmingsdocumenten, verwijzingen en administratieve documenten.

Beide diensten voldoen aan PHIPA voor zorgverleners in Ontario en aan HIPAA voor Amerikaanse zorgorganisaties, en beide leveren de schriftelijke overeenkomst die elke wet vereist: een PHIPA Service Provider Agreement voor zorgverleners in Ontario en een ondertekende Business Associate Agreement voor Amerikaanse organisaties. Beheerders in Ontario kunnen daarnaast kiezen voor een Canadese verwerkingsregio voor hun tenant, afgedwongen via technische vastlegging van de regio en de PHIPA Service Provider Agreement.

Onder de motorkap beschermen beide diensten documenten met versleuteling tijdens verzending en opslag, unieke gebruikerstoegang, rolgebaseerde machtigingen, tweefactorauthenticatie en auditlogboeken voor documentactiviteit. Ze draaien onder onafhankelijk geauditeerde programma's voor ISO 27001 en SOC 2 Type II, met Zwitserse gegevenslocatie en meer dan 20 beschikbare gegevenslocaties. Die certificeringen zijn onafhankelijke controles van hoe de diensten gegevens beschermen, en precies dat verwachten zowel PHIPA als HIPAA achter de juridische tekst.

U kunt meer lezen over of Fax.Plus veilig is, de faxoplossing voor de zorg verkennen, zien hoe HIPAA-conform faxen werkt, of de HIPAA-conforme fax-API bekijken als u faxen in een bestaand systeem bouwt.