Soberania de dados no Canadá

O que é a soberania de dados no Canadá?

A soberania de dados é a ideia de que os dados estão sujeitos às leis e ao controlo do local onde são recolhidos, armazenados ou tratados. Na prática, as organizações canadianas utilizam o termo para colocar duas questões sobre qualquer serviço que detenha os seus dados:

• Onde estão os dados? O país e o centro de dados onde os ficheiros e as cópias de segurança são mantidos.
• Quem os controla? A empresa que opera o serviço e as regras que essa empresa tem de cumprir.

A residência de dados responde à primeira questão. É a parte que pode ser indicada num contrato: uma cidade, uma região de centro de dados, um local de cópia de segurança. A soberania de dados abrange ambas as questões, motivo pelo qual surge nos questionários de segurança a par da residência, da encriptação e dos controlos de acesso.

No setor da saúde, o tema não é abstrato. A informação de saúde está entre os dados mais sensíveis que uma organização detém e, em Ontário, a PHIPA define regras específicas sobre a forma como é recolhida, utilizada, divulgada e protegida, inclusive quando é tratada por um prestador externo.

Residência de dados e soberania de dados: porque é que a diferença importa

Os dois termos são muitas vezes usados como se significassem o mesmo. Sobrepõem-se, mas respondem a questões diferentes, e um fornecedor pode ser sólido num deles e dizer pouco sobre o outro.

A residência de dados diz respeito à localização. Indica o país, a cidade ou a região do centro de dados onde os seus ficheiros são armazenados e, idealmente, onde são mantidas também as cópias de segurança. É concreta e fácil de verificar: um bom fornecedor permite-lhe escolher a região, mostra-a nas definições da sua conta e inscreve-a no contrato.

A soberania de dados diz respeito ao controlo. Abrange a residência, mas questiona também quem opera o serviço, que empresa assina o seu acordo e a que se compromete essa empresa, por escrito, quanto à forma como os seus dados são tratados.

Para uma equipa de saúde canadiana, isto leva a uma regra prática: comece pela residência, porque é a parte que pode confirmar, e depois analise o que a rodeia. Há quatro pormenores que passam facilmente despercebidos:

• Cópias de segurança. A residência deve abranger as cópias de segurança, e não apenas os ficheiros ativos. Pergunte se as cópias de segurança permanecem na mesma região ou se podem ser colocadas num segundo local no Canadá.
• Mover os dados mais tarde. Se os seus requisitos mudarem, pode mover os dados armazenados para outra região por si próprio, ou é necessário um pedido de apoio e um projeto de migração?
• Ficheiros em trânsito. A residência dos dados descreve onde ficam armazenados os ficheiros e as cópias de segurança. Os faxes que estão a ser convertidos ou transmitidos são tratados temporariamente antes de serem armazenados, por isso pergunte a cada fornecedor como trata os ficheiros em trânsito e com que rapidez as cópias temporárias são eliminadas.
• Retenção. Os dados que não são conservados não podem ser expostos. Pergunte se pode definir durante quanto tempo os faxes são armazenados, ou desativar o armazenamento e manter os faxes apenas nos seus próprios sistemas.

Nada disto substitui aconselhamento jurídico. No entanto, dá ao seu responsável pela privacidade e à sua equipa de TI um vocabulário comum para comparar fornecedores, bem como uma lista curta de perguntas a colocar por escrito.

Como a PHIPA se aplica quando envia informações de saúde por fax

A Personal Health Information Protection Act (PHIPA) de Ontário define as regras para as informações de saúde pessoais na província. Baseia-se no depositário de informações de saúde: o hospital, a clínica, a farmácia, o laboratório ou o profissional responsável pelas informações. A PHIPA exige que os depositários tomem medidas razoáveis para proteger as informações de saúde pessoais à sua guarda ou sob o seu controlo contra roubo, perda e utilização ou divulgação não autorizadas, e para proteger os registos contra cópia, modificação ou eliminação não autorizadas.

Os depositários raramente fazem tudo sozinhos. A PHIPA define também o agente: uma pessoa ou organização que, com a autorização do depositário, atua em nome ou por conta do depositário relativamente às informações de saúde pessoais, para os fins do depositário e não para os seus próprios. A PHIPA estabelece ainda regras para os prestadores de serviços eletrónicos que fornecem a tecnologia que os depositários utilizam para tratar informações de saúde. Um fornecedor de cloud que trata faxes em nome de um depositário trabalha dentro deste enquadramento, e é por isso que o acordo que assina com o fornecedor é tão importante como a tecnologia.

O fax acrescenta alguns riscos específicos, porque os documentos chegam fora do seu registo de saúde eletrónico (EHR):

• Os faxes ficam numa caixa de entrada separada. Os pedidos de consulta e os resultados aguardam numa conta de fax até alguém os arquivar, pelo que essa conta precisa dos mesmos controlos de acesso que o resto dos seus registos de saúde.
• As cópias multiplicam-se. As notificações por email, as transferências e as impressões podem criar cópias adicionais do mesmo registo, tal como uma ronda de assinaturas feita através de uma ferramenta separada. As definições que mantêm os anexos fora do email, limitam quem pode transferir e mantêm a assinatura dentro da mesma plataforma ajudam a manter as cópias sob controlo.
• A retenção é fácil de esquecer. Os faxes conservados indefinidamente na conta de um fornecedor são registos pelos quais continua a ser responsável. Um período de retenção definido, ou nenhum armazenamento, mantém essa pegada reduzida.

A PHIPA não exige que as informações de saúde pessoais sejam armazenadas no Canadá. Centra-se nas salvaguardas e na responsabilização. Muitas organizações acrescentam os seus próprios requisitos, como manter os registos de saúde e as cópias de segurança em centros de dados canadianos, e incluem-nos nas suas políticas e nos contratos com fornecedores. Se precisar da comparação completa com as regras dos EUA, consulte PHIPA vs HIPAA. Para questões sobre as suas próprias obrigações, o Comissário de Informação e Privacidade de Ontário publica orientações para depositários.

O que verificar antes de escolher um fornecedor de fax

Utilize estas oito perguntas na sua avaliação de fornecedores. Peça as respostas por escrito e guarde-as junto com o contrato.

1. Onde são armazenados os ficheiros de fax e onde estão as cópias de segurança? Obtenha a região para ambos. „Canadá“ é um começo; uma cidade ou uma região de centro de dados indicada pelo nome é melhor.
2. Pode escolher a região por si e alterá-la mais tarde? Procure uma definição controlada pelos seus administradores e uma forma documentada de mover os dados armazenados se os seus requisitos mudarem.
3. Quem é o proprietário e quem opera o fornecedor? Pergunte qual é a empresa que gere o serviço, onde tem sede e que entidade jurídica assina o seu acordo.
4. Que acordo assina para as informações de saúde? Para os depositários de Ontário, peça um acordo que abranja a PHIPA e o papel do fornecedor como seu agente, verifique que plano o inclui e confirme que abrange também a ferramenta que utiliza para assinar os documentos que recebe por fax.
5. Durante quanto tempo os faxes são conservados e pode desativar o armazenamento? Um período de retenção configurável, ou a opção de não armazenar faxes de todo, limita o que o fornecedor guarda em seu nome.
6. Como é controlado e registado o acesso? Procure acesso baseado em funções, autenticação de dois fatores, início de sessão único e um registo de auditoria de quem visualizou ou transferiu um fax.
7. Como são encriptados os ficheiros? Pergunte sobre a encriptação em repouso e em trânsito, e como são tratadas as notificações por email para que as informações de saúde não viajem como anexo.
8. Que auditorias independentes sustentam as alegações de segurança? Certificações como a ISO 27001 e um relatório SOC 2 Tipo II mostram que um auditor externo verificou os controlos.

Um fornecedor que responda claramente às oito perguntas e inclua as respostas no seu acordo dá ao seu responsável pela privacidade o que precisa para dar a aprovação.

Como Fax.Plus suporta a residência de dados no Canadá

Fax.Plus Enterprise responde a cada pergunta da lista de verificação e coloca as respostas por escrito. Começa em 79,99 $ por mês com faturação anual (99,99 $ com faturação mensal), com 4000 páginas por mês e membros ilimitados, e todos os preços estão publicados.

• Ficheiros de fax e cópias de segurança no Canadá. Os proprietários e os administradores da conta podem armazenar os ficheiros de fax enviados e recebidos em Toronto ou Montreal, e escolher separadamente a localização das cópias de segurança, para que os dados ativos e as cópias de segurança possam estar em dois centros de dados canadianos diferentes.
• A escolha é sua, e pode alterá-la. A região é definida nas definições da conta. Se os seus requisitos mudarem, os faxes armazenados podem ser movidos para outra região a partir do mesmo local, sem mudar de fornecedor.
• Uma empresa suíça independente. Fax.Plus é desenvolvido por Alohi, uma empresa autofinanciada fundada em Genebra, sem entidade jurídica nos EUA.
• Um Acordo de Prestador de Serviços PHIPA assinado. O plano Enterprise inclui cobertura PHIPA com Advanced Security Controls e um Acordo de Prestador de Serviços PHIPA assinado, a par de HIPAA com um BAA assinado para equipas que também trabalham com parceiros dos EUA.
• Assinaturas sob as mesmas regras. Muitos formulários enviados por fax precisam de assinatura antes de serem devolvidos. Qualquer fax pode ser reencaminhado para Sign.Plus, o produto de assinatura eletrónica próprio de Alohi, para o assinar ou pedir assinaturas na mesma conta. O plano Sign.Plus Enterprise oferece as mesmas opções de residência de dados no Canadá e cobertura PHIPA, para que os documentos assinados possam ser conservados nas mesmas condições que os seus faxes.
• Retenção sob o seu controlo. Os administradores podem definir durante quantos dias os faxes são conservados antes de serem eliminados permanentemente, incluindo zero dias. As equipas também podem desativar o armazenamento de faxes e arquivá-los nos seus próprios sistemas através da API de Fax.Plus.
• Controlos de acesso e registo de auditoria. Acesso baseado em funções, autenticação de dois fatores, início de sessão único e um registo de auditoria da atividade da conta.
• Encriptação e notificações mais seguras. Fax.Plus encripta os ficheiros de fax armazenados com AES-256. Com Advanced Security Controls, as notificações por email são, por predefinição, apenas de notificação. As contas HIPAA/PHIPA elegíveis podem optar por receber anexos após o consentimento do proprietário/administrador e a ativação individual, sendo exigido TLS 1.2 ou superior no servidor de correio de receção. O cliente é responsável por proteger as cópias entregues no seu ambiente de email. O Email-to-Fax de saída utiliza um endereço separado com TLS obrigatório.
• Auditado de forma independente. Alohi possui a certificação ISO 27001 e um relatório SOC 2 Tipo II, ambos emitidos por EY CertifyPoint.

Se a sua equipa trata informações de saúde em Ontário e precisa de as armazenar no Canadá, fale com a equipa de Fax.Plus sobre um plano Enterprise com residência de dados no Canadá para Fax.Plus e Sign.Plus.