Suwerenność danych w Kanadzie

Czym jest suwerenność danych w Kanadzie?

Suwerenność danych to zasada, według której dane podlegają prawu i kontroli miejsca, w którym są gromadzone, przechowywane lub przetwarzane. W praktyce kanadyjskie organizacje używają tego pojęcia, by zadać dwa pytania o każdą usługę przechowującą ich dane:

• Gdzie są dane? Kraj i centrum danych, w którym przechowywane są pliki i kopie zapasowe.
• Kto je kontroluje? Firma prowadząca usługę oraz zasady, których ta firma musi przestrzegać.

Rezydencja danych odpowiada na pierwsze pytanie. To element, który można zapisać w umowie: miasto, region centrum danych, lokalizacja kopii zapasowych. Suwerenność danych obejmuje oba pytania, dlatego pojawia się w kwestionariuszach bezpieczeństwa obok rezydencji, szyfrowania i kontroli dostępu.

W ochronie zdrowia ten temat nie jest abstrakcyjny. Informacje o zdrowiu należą do najbardziej wrażliwych danych, jakie posiada organizacja, a w Ontario PHIPA określa szczegółowe zasady ich gromadzenia, wykorzystywania, ujawniania i ochrony, także gdy przetwarza je zewnętrzny dostawca.

Rezydencja danych a suwerenność danych: dlaczego ta różnica ma znaczenie

Te dwa pojęcia często są używane tak, jakby oznaczały to samo. Częściowo się pokrywają, ale odpowiadają na różne pytania, a dostawca może być mocny w jednym obszarze, niewiele mówiąc o drugim.

Rezydencja danych dotyczy lokalizacji. Wskazuje kraj, miasto lub region centrum danych, w którym przechowywane są pliki, a najlepiej także kopie zapasowe. Jest konkretna i łatwa do zweryfikowania: dobry dostawca pozwala wybrać region, pokazuje go w ustawieniach konta i zapisuje w umowie.

Suwerenność danych dotyczy kontroli. Obejmuje rezydencję, ale pyta też, kto prowadzi usługę, która firma podpisuje umowę i do czego ta firma zobowiązuje się na piśmie w zakresie postępowania z danymi.

Dla kanadyjskiego zespołu z sektora ochrony zdrowia oznacza to praktyczną zasadę: zacząć od rezydencji, bo można ją potwierdzić, a potem przyjrzeć się temu, co ją otacza. Cztery szczegóły łatwo przeoczyć:

• Kopie zapasowe. Rezydencja powinna obejmować kopie zapasowe, a nie tylko aktywne pliki. Zapytaj, czy kopie zostają w tym samym regionie, czy można umieścić je w drugiej lokalizacji w Kanadzie.
• Późniejsze przenoszenie danych. Jeśli wymagania się zmienią, czy można samodzielnie przenieść zapisane dane do innego regionu, czy wymaga to zgłoszenia do wsparcia i projektu migracji?
• Pliki w trakcie przesyłania. Rezydencja danych określa, gdzie znajdują się przechowywane pliki i kopie zapasowe. Wiadomości fax, które są konwertowane lub przesyłane, są tymczasowo przetwarzane, zanim trafią do magazynu, dlatego warto zapytać każdego dostawcę, jak postępuje z plikami w trakcie przesyłania i jak szybko usuwa kopie tymczasowe.
• Retencja. Dane, które nie są przechowywane, nie mogą zostać ujawnione. Zapytaj, czy można ustawić, jak długo wiadomości fax są przechowywane, albo wyłączyć przechowywanie i trzymać wiadomości fax wyłącznie we własnych systemach.

Nic z tego nie zastępuje porady prawnej. Daje jednak inspektorowi ochrony prywatności i zespołowi IT wspólne słownictwo do porównywania dostawców oraz krótką listę pytań, które warto zadać na piśmie.

Jak PHIPA ma zastosowanie przy przesyłaniu informacji zdrowotnych faksem

Ustawa Personal Health Information Protection Act (PHIPA) obowiązująca w Ontario określa zasady postępowania z osobistymi informacjami zdrowotnymi w tej prowincji. Opiera się na pojęciu depozytariusza informacji zdrowotnych: szpitala, kliniki, apteki, laboratorium lub praktyka odpowiedzialnego za te informacje. PHIPA wymaga od depozytariuszy podjęcia rozsądnych kroków w celu ochrony osobistych informacji zdrowotnych pozostających w ich posiadaniu lub pod ich kontrolą przed kradzieżą, utratą oraz nieuprawnionym użyciem lub ujawnieniem, a także w celu ochrony dokumentacji przed nieuprawnionym kopiowaniem, modyfikacją lub usunięciem.

Depozytariusze rzadko robią wszystko samodzielnie. PHIPA definiuje także agenta: osobę lub organizację, która za upoważnieniem depozytariusza działa na jego rzecz lub w jego imieniu w odniesieniu do osobistych informacji zdrowotnych, w celach depozytariusza, a nie we własnych. PHIPA ustanawia też zasady dla dostawców usług elektronicznych, którzy zapewniają technologię wykorzystywaną przez depozytariuszy do przetwarzania informacji zdrowotnych. Dostawca usług w cloud, który obsługuje wiadomości fax w imieniu depozytariusza, działa w ramach tych przepisów, dlatego umowa podpisywana z dostawcą jest równie ważna jak sama technologia.

Fax wiąże się z kilkoma szczególnymi zagrożeniami, ponieważ dokumenty trafiają poza system EHR:

• Wiadomości fax trafiają do osobnej skrzynki. Skierowania i wyniki czekają na koncie fax, aż ktoś je zarchiwizuje, dlatego to konto wymaga takich samych kontroli dostępu jak pozostała dokumentacja zdrowotna.
• Kopie się mnożą. Powiadomienia e-mail, pobrania i wydruki mogą tworzyć dodatkowe kopie tego samego dokumentu, podobnie jak podpisywanie w osobnym narzędziu. Ustawienia, które nie dopuszczają załączników w e-mailach, ograniczają krąg osób mogących pobierać pliki i pozwalają podpisywać dokumenty w tej samej platformie, pomagają zapanować nad kopiami.
• O retencji łatwo zapomnieć. Wiadomości fax przechowywane bezterminowo na koncie dostawcy to dokumenty, za które nadal odpowiadasz. Określony okres retencji lub brak przechowywania w ogóle pozwala ograniczyć ten ślad.

PHIPA nie wymaga przechowywania osobistych informacji zdrowotnych w Kanadzie. Skupia się na zabezpieczeniach i odpowiedzialności. Wiele organizacji dodaje własne wymagania, na przykład przechowywanie dokumentacji zdrowotnej i kopii zapasowych w kanadyjskich centrach danych, i zapisuje je w swoich politykach oraz umowach z dostawcami. Jeśli potrzebujesz pełnego porównania z przepisami USA, zobacz PHIPA a HIPAA. W kwestiach dotyczących własnych obowiązków wskazówki dla depozytariuszy publikuje Komisarz ds. Informacji i Prywatności Ontario.

Co sprawdzić przed wyborem dostawcy usług fax

Wykorzystaj te osiem pytań podczas oceny dostawcy. Poproś o odpowiedzi na piśmie i przechowuj je razem z umową.

1. Gdzie są przechowywane pliki fax i gdzie znajdują się kopie zapasowe? Uzyskaj informację o regionie w obu przypadkach. „Kanada” to początek, ale lepiej podać konkretne miasto lub region centrum danych.
2. Czy możesz samodzielnie wybrać region i później go zmienić? Szukaj ustawienia kontrolowanego przez administratorów oraz udokumentowanego sposobu przeniesienia przechowywanych danych, jeśli Twoje wymagania się zmienią.
3. Kto jest właścicielem i operatorem dostawcy? Zapytaj, która firma prowadzi usługę, gdzie ma siedzibę i który podmiot prawny podpisuje umowę.
4. Jaką umowę podpisuje się w zakresie informacji zdrowotnych? W przypadku depozytariuszy z Ontario poproś o umowę obejmującą PHIPA i rolę dostawcy jako Twojego agenta, sprawdź, który plan ją zawiera, i upewnij się, że obejmuje ona także narzędzie służące do podpisywania dokumentów otrzymywanych w wiadomościach fax.
5. Jak długo wiadomości fax są przechowywane i czy można wyłączyć przechowywanie? Konfigurowalny okres retencji lub możliwość niezapisywania wiadomości fax w ogóle ogranicza zakres danych, które dostawca przechowuje w Twoim imieniu.
6. Jak kontrolowany i rejestrowany jest dostęp? Szukaj dostępu opartego na rolach, uwierzytelniania dwuskładnikowego, jednokrotnego logowania (SSO) oraz dziennika audytu pokazującego, kto wyświetlił lub pobrał wiadomość fax.
7. Jak szyfrowane są pliki? Zapytaj o szyfrowanie danych przechowywanych i przesyłanych oraz o sposób obsługi powiadomień e-mail, aby informacje zdrowotne nie były przesyłane jako załącznik.
8. Jakie niezależne audyty potwierdzają deklaracje dotyczące bezpieczeństwa? Certyfikaty takie jak ISO 27001 i raport SOC 2 Type II pokazują, że zewnętrzny audytor sprawdził zabezpieczenia.

Dostawca, który jasno odpowie na wszystkie osiem pytań i zapisze te odpowiedzi w umowie, daje inspektorowi ochrony prywatności wszystko, czego potrzebuje do zatwierdzenia.

Jak Fax.Plus wspiera rezydencję danych w Kanadzie

Fax.Plus Enterprise odpowiada na każde pytanie z listy kontrolnej i zapisuje odpowiedzi na piśmie. Plan zaczyna się od 79,99 USD miesięcznie przy rozliczeniu rocznym (99,99 USD przy rozliczeniu miesięcznym) i obejmuje 4000 stron miesięcznie oraz nielimitowaną liczbę członków, a wszystkie ceny są publicznie dostępne.

• Pliki fax i kopie zapasowe w Kanadzie. Właściciele kont i administratorzy mogą przechowywać wysłane i odebrane pliki fax w Toronto lub Montrealu, a lokalizację kopii zapasowych wybierać osobno, dzięki czemu dane bieżące i kopie zapasowe mogą znajdować się w dwóch różnych kanadyjskich centrach danych.
• Twój wybór, który możesz zmienić. Region ustawia się w ustawieniach konta. Jeśli wymagania się zmienią, zapisane wiadomości fax można przenieść do innego regionu z tego samego miejsca, bez zmiany dostawcy.
• Niezależna szwajcarska firma. Fax.Plus tworzy Alohi, samofinansująca się firma założona w Genewie, bez amerykańskiego podmiotu prawnego.
• Podpisana umowa z dostawcą usług w rozumieniu PHIPA. Plan Enterprise obejmuje zgodność z PHIPA wraz z Advanced Security Controls i podpisaną umową z dostawcą usług w rozumieniu PHIPA, a także HIPAA z podpisanym BAA dla zespołów współpracujących również z partnerami z USA.
• Podpisy na tych samych zasadach. Wiele formularzy przesyłanych przez fax wymaga podpisu przed odesłaniem. Każdą wiadomość fax można przekazać do Sign.Plus, własnego produktu Alohi do podpisów elektronicznych, aby podpisać ją samodzielnie lub poprosić o podpisy w ramach tego samego konta. Sign.Plus Enterprise oferuje te same opcje rezydencji danych w Kanadzie i zgodność z PHIPA, dzięki czemu podpisane dokumenty można przechowywać na tych samych warunkach co wiadomości fax.
• Retencja pod Twoją kontrolą. Administratorzy mogą ustawić, przez ile dni wiadomości fax są przechowywane przed trwałym usunięciem, także zero dni. Zespoły mogą też wyłączyć przechowywanie wiadomości fax i archiwizować je we własnych systemach za pomocą API Fax.Plus.
• Kontrola dostępu i dziennik audytu. Dostęp oparty na rolach, uwierzytelnianie dwuskładnikowe, jednokrotne logowanie (SSO) oraz dziennik audytu aktywności na koncie.
• Szyfrowanie i bezpieczniejsze powiadomienia. Fax.Plus szyfruje przechowywane pliki fax za pomocą AES-256. Dzięki Advanced Security Controls powiadomienia e-mail domyślnie zawierają wyłącznie informację o nowej wiadomości fax. Uprawnione konta HIPAA/PHIPA mogą włączyć załączniki po wyrażeniu zgody przez właściciela lub administratora i aktywacji przez poszczególnych użytkowników, przy czym serwer pocztowy odbiorcy musi obsługiwać TLS w wersji 1.2 lub nowszej. Za ochronę dostarczonych kopii w swoim środowisku poczty e-mail odpowiada klient. Wychodzące wiadomości Email-to-Fax korzystają z osobnego adresu z wymuszonym TLS.
• Niezależnie audytowane. Alohi posiada certyfikat ISO 27001 oraz raport SOC 2 Type II, oba wydane przez EY CertifyPoint.

Jeśli Twój zespół przetwarza informacje zdrowotne w Ontario i potrzebuje ich przechowywania w Kanadzie, skontaktuj się z zespołem Fax.Plus w sprawie planu Enterprise z rezydencją danych w Kanadzie dla Fax.Plus i Sign.Plus.