PHIPA a HIPAA: kluczowe różnice dla zgodności z przepisami w ochronie zdrowia

Co oznacza skrót PHIPA?

PHIPA to skrót od Personal Health Information Protection Act, 2004 (ustawa o ochronie osobistych informacji zdrowotnych z 2004 r.), czyli prawa regulującego ochronę informacji o zdrowiu pacjentów w Ontario w Kanadzie. Weszła w życie w 2004 roku, a nadzoruje ją Komisarz ds. Informacji i Prywatności Ontario, niezależny organ regulacyjny, który bada skargi i naruszenia.

PHIPA określa zasady, według których placówki medyczne gromadzą, wykorzystują, przechowują i udostępniają tzw. osobiste informacje zdrowotne (PHI): wszelkie dane, które identyfikują pacjenta i dotyczą jego zdrowia, takie jak dokumentacja medyczna, wyniki badań i recepty.

Co oznacza skrót HIPAA?

HIPAA to skrót od Health Insurance Portability and Accountability Act, federalnego prawa Stanów Zjednoczonych chroniącego informacje o zdrowiu pacjentów. Uchwalono je w 1996 roku, a w USA ten sam rodzaj danych nazywa się chronionymi informacjami zdrowotnymi, co również skraca się do PHI.

HIPAA opiera się na kilku podstawowych zasadach: Privacy Rule ogranicza sposób wykorzystywania i udostępniania danych zdrowotnych, Security Rule wymaga zabezpieczeń dla dokumentacji elektronicznej, a Breach Notification Rule określa, co dzieje się w razie ujawnienia danych. Pełny obraz znajdziesz w naszym artykule czym jest HIPAA oraz w omówieniu trzech zasad HIPAA.

Czy HIPAA obowiązuje w Kanadzie?

Nie, HIPAA nie obowiązuje w Kanadzie. HIPAA to prawo federalne USA i nie ma mocy prawnej na północ od granicy. To częsta pomyłka: kanadyjska klinika szuka usługi fax „zgodnej z HIPAA”, a w rzeczywistości potrzebuje takiej, która spełnia wymogi kanadyjskiego prawa o prywatności. W przypadku ochrony zdrowia w Ontario tym prawem jest PHIPA.

Jaki jest kanadyjski odpowiednik HIPAA?

Nie istnieje jeden kanadyjski odpowiednik HIPAA. Prywatność danych zdrowotnych w Kanadzie jest regulowana osobno w każdej prowincji, dlatego Ontario ma PHIPA, a odrębna ustawa krajowa, PIPEDA, obejmuje szerzej dane osobowe w sektorze prywatnym. Dla placówki medycznej w Ontario do dokumentacji pacjentów ma zastosowanie PHIPA.

To także krótka odpowiedź na powiązane pytanie, PHIPA a PIPEDA: PHIPA to szczegółowa ustawa o prywatności danych zdrowotnych w Ontario, a PIPEDA to ogólna federalna ustawa o ochronie prywatności. PHI w rozumieniu PHIPA jest też pojęciem węższym i bardziej szczegółowym niż informacje osobowe w rozumieniu PIPEDA, ponieważ dotyczy bezpośrednio zdrowia i opieki nad daną osobą. Gdy w Ontario w grę wchodzą informacje zdrowotne, nadrzędna jest ustawa PHIPA.

Jakie są najważniejsze różnice między PHIPA a HIPAA?

Największe różnice między PHIPA a HIPAA dotyczą jurysdykcji oraz nazw, jakie każda z ustaw nadaje tym samym rolom. Obie mają na celu ochronę prywatności danych pacjentów i obie wymagają silnych zabezpieczeń, zgody oraz zgłaszania naruszeń, ale szczegóły różnią się w sposób istotny dla dostawcy usług.

‍

Struktury te odzwierciedlają się niemal rola w rolę. PHIPA nazywa organizację opieki zdrowotnej powiernikiem informacji zdrowotnych, a HIPAA – podmiotem objętym regulacją. PHIPA nazywa dostawcę, który przetwarza dane w imieniu placówki, agentem, a HIPAA – partnerem biznesowym. W obu systemach główny obowiązek prawny spoczywa na placówce opieki zdrowotnej, a dostawca przetwarza dane wyłącznie na podstawie pisemnej umowy.

Czym PHIPA i HIPAA różnią się w kwestii powiadamiania o naruszeniach?

Największa praktyczna różnica dotyczy terminów. Zgodnie z HIPAA podmiot objęty regulacją ma zazwyczaj do 60 dni na powiadomienie, a naruszenia obejmujące 500 lub więcej rekordów są zgłaszane federalnemu organowi nadzorczemu. PHIPA jest szybsza i szersza: powiernik musi powiadomić poszkodowanego pacjenta oraz Komisarza ds. Informacji i Prywatności Ontario (Information and Privacy Commissioner of Ontario) natychmiast, gdy zachodzi przesłanka zgłoszenia naruszenia, a minimalna liczba rekordów nie obowiązuje. PHIPA dodaje też krok, którego nie ma w HIPAA: powiernicy składają do IPC roczny raport z liczbą zgłaszalnych naruszeń z poprzedniego roku kalendarzowego, do 1 marca.

Dla dostawcy usług fax oznacza to konieczność odpowiedniego zorganizowania reagowania na incydenty. Usługa oparta wyłącznie na 60-dniowym terminie HIPAA byłaby zbyt wolna dla Ontario. Dostawca musi oznaczyć kwalifikujący się incydent i natychmiast przekazać szczegóły powiernikowi, aby ten mógł dotrzymać krótszego terminu PHIPA.

Jak PHIPA i HIPAA podchodzą do zgody pacjenta?

Zarówno PHIPA, jak i HIPAA pozwalają na przepływ informacji zdrowotnych w celu leczenia bez osobnego podpisanego formularza za każdym razem. Zgodnie z PHIPA dostawca opieki zdrowotnej z Ontario może polegać na zgodzie dorozumianej w ramach kręgu opieki, czyli praktyków bezpośrednio zaangażowanych w leczenie pacjenta, o ile spełniony jest określony zestaw warunków. HIPAA opiera się na podobnej zasadzie i pozwala przekazywać informacje w celu leczenia, rozliczeń i bieżącej działalności placówek opieki zdrowotnej bez osobnego upoważnienia. Oba akty prawne wymagają wyraźnej zgody, gdy wykracza się poza te podstawowe cele, na przykład w przypadku marketingu.

Dla dostawcy usług fax praktyczny wniosek jest taki sam w obu przepisach: zarządzanie zgodami należy do placówki opieki zdrowotnej, a nie do dostawcy. Usługa fax przesyła dokument, ale nigdy nie rozstrzyga, czy zgoda istnieje.

Czego PHIPA lub HIPAA wymagają przy przesyłaniu dokumentacji pacjentów przez fax?

Aby przesyłać dokumentację pacjentów przez fax zgodnie z PHIPA lub HIPAA, usługa musi robić więcej niż tylko wysyłać dokument. Fax pozostaje w opiece zdrowotnej powszechny, ponieważ tworzy czytelny zapis połączenia między dwiema znanymi stronami, ale zwykłe narzędzie fax nie spełni wymogów żadnego z tych przepisów. Zgodna z przepisami usługa potrzebuje szyfrowania danych podczas przesyłania i w spoczynku, kontroli dostępu, takiej jak unikalne loginy i uwierzytelnianie dwuskładnikowe, dzienników audytu rejestrujących, kto wysłał lub otworzył każdy dokument, bezpiecznego usuwania uniemożliwiającego odzyskanie danych oraz pisemnej umowy, która zapisuje zobowiązania dostawcy na papierze.

Ta sama logika dotyczy sytuacji, gdy formularze pacjentów muszą być podpisywane elektronicznie. Jeśli klinika zbiera formularze przyjęcia, formularze zgody, dokumenty skierowań lub inne dokumenty związane z pacjentem za pośrednictwem platformy e-podpisu, ta usługa również musi mieć odpowiednie zabezpieczenia i pisemną umowę. Nie każdy podpis na formularzu przesłanym przez fax jest takim e-podpisem: wiele formularzy przyjęcia i zgody, które nadal docierają przez fax, zawiera podpis faksymilowy, czyli pieczątkę lub wcześniej wydrukowane odwzorowanie odręcznego podpisu, a nie podpis złożony elektronicznie, a to rozróżnienie wpływa na ścieżkę audytu, na której zespół ds. zgodności może faktycznie polegać. W przypadku dostawców opieki zdrowotnej z Ontario oznacza to korzystanie z usługi dostawcy gotowej na PHIPA, a w przypadku dostawców z USA – korzystanie z dostawcy gotowego na HIPAA z podpisaną umową BAA.

Ta pisemna umowa wyznacza granicę. Bez umowy o świadczenie usług zgodnej z PHIPA (Service Provider Agreement) lub umowy BAA zgodnej z HIPAA narzędzia fax nie można używać do danych pacjentów, niezależnie od tego, jak zaawansowana jest technologia. To podpisana umowa sprawia, że dostawca ponosi formalną odpowiedzialność.

Czy istnieje certyfikat PHIPA lub rejestr PHIPA?

Nie, PHIPA nie prowadzi centralnego programu certyfikacji ani rejestracji. Zgodność to coś, co organizacja wykazuje, a nie odznaka odbierana z rejestru. Powiernik i jego dostawcy przechowują swoje polityki, zabezpieczenia, procedury uzyskiwania zgody oraz rejestry naruszeń i okazują je na żądanie klienta lub Komisarza. Dlatego rzetelny dostawca powie, że jest zgodny z PHIPA i potrafi wykazać swoje mechanizmy kontrolne, zamiast wskazywać oficjalną pieczęć PHIPA, która nie istnieje.

Czy jedna usługa fax może być zgodna zarówno z PHIPA, jak i z HIPAA?

Tak, jedna platforma do dokumentów medycznych może obsługiwać procesy zgodne zarówno z PHIPA , jak i z HIPAA , i tak właśnie działają Fax.Plus oraz Sign.Plus . Fax.Plus umożliwia zgodne z przepisami wysyłanie fax online dokumentacji pacjentów, a Sign.Plus zapewnia bezpieczne podpisy elektroniczne dla formularzy medycznych, dokumentów zgody, skierowań i dokumentów administracyjnych.

Obie usługi są zgodne z PHIPA dla placówek medycznych w Ontario oraz zgodne z HIPAA dla amerykańskich organizacji ochrony zdrowia. Obie zapewniają też pisemną umowę wymaganą przez każdą z tych ustaw: umowę o świadczenie usług (Service Provider Agreement) zgodną z PHIPA dla placówek w Ontario oraz podpisaną umowę Business Associate Agreement dla organizacji z USA. Powiernicy z Ontario mogą ponadto wybrać dla swojego tenanta kanadyjski region przetwarzania, egzekwowany za pomocą technicznego przypisania do regionu oraz umowy o świadczenie usług zgodnej z PHIPA.

Pod względem technicznym obie usługi chronią dokumenty szyfrowaniem w trakcie przesyłania i w spoczynku, unikalnym dostępem użytkowników, uprawnieniami opartymi na rolach, uwierzytelnianiem dwuskładnikowym oraz dziennikami audytu aktywności dokumentów. Działają w ramach niezależnie audytowanych programów ISO 27001 i SOC 2 Type II , z rezydencją danych w Szwajcarii oraz ponad 20 dostępnymi lokalizacjami przechowywania danych. Te certyfikaty to niezależne kontrole tego, jak usługi chronią dane, a właśnie tego zarówno PHIPA, jak i HIPAA oczekują za zapisami prawnymi.

Możesz przeczytać więcej o tym, czy Fax.Plus jest bezpieczny, poznać rozwiązanie fax dla ochrony zdrowia, zobaczyć, jak działa wysyłanie fax zgodne z HIPAA, albo sprawdzić API fax zgodne z HIPAA, jeśli wbudowujesz obsługę fax w istniejący system.