PHIPA и HIPAA: ключевые различия для соблюдения требований в сфере здравоохранения

Что означает PHIPA?

PHIPA расшифровывается как Personal Health Information Protection Act, 2004 (Закон о защите данных о состоянии здоровья, 2004 г.). Это закон, который регулирует обработку данных пациентов в провинции Онтарио, Канада. Он вступил в силу в 2004 году. Надзор осуществляет Уполномоченный по информации и конфиденциальности провинции Онтарио — независимый регулятор, который расследует жалобы и утечки данных.

PHIPA устанавливает правила, по которым медицинские организации собирают, используют, хранят и передают так называемые данные о состоянии здоровья (PHI). К ним относится любая информация, которая идентифицирует пациента и связана с его здоровьем: медицинские карты, результаты анализов, рецепты.

Что означает HIPAA?

HIPAA расшифровывается как Health Insurance Portability and Accountability Act (Закон о переносимости и подотчётности медицинского страхования). Это федеральный закон Соединённых Штатов, защищающий данные пациентов. Он принят в 1996 году. В США такие данные называют защищёнными данными о состоянии здоровья (protected health information), и это название тоже сокращается до PHI.

HIPAA опирается на несколько основных правил: Privacy Rule ограничивает использование и передачу данных о здоровье, Security Rule требует мер защиты электронных записей, а Breach Notification Rule определяет порядок действий при раскрытии данных. Подробнее читайте в нашем материале о том, что такое HIPAA, и в обзоре трёх правил HIPAA.

Действует ли HIPAA в Канаде?

Нет, HIPAA в Канаде не действует. Это федеральный закон США, и севернее границы он не имеет юридической силы. Это частое заблуждение: канадская клиника просит сервис fax, «соответствующий HIPAA», хотя ей нужен сервис, который отвечает требованиям канадского законодательства о конфиденциальности. Для здравоохранения Онтарио таким законом является PHIPA.

Что в Канаде соответствует HIPAA?

Единого канадского аналога HIPAA нет. Конфиденциальность данных о здоровье в Канаде регулируется на уровне провинций: в Онтарио действует PHIPA, а отдельный федеральный закон PIPEDA шире охватывает персональные данные в частном секторе. Для медицинской организации в Онтарио к картам пациентов применяется PHIPA.

Это же служит кратким ответом на смежный вопрос — PHIPA или PIPEDA. PHIPA — специальный закон о конфиденциальности данных о состоянии здоровья в Онтарио, а PIPEDA — общий федеральный закон о защите персональных данных. Понятие PHI в PHIPA уже и конкретнее, чем понятие персональных данных в PIPEDA, поскольку относится непосредственно к здоровью человека и оказываемой ему помощи. Если в Онтарио речь идёт о данных о состоянии здоровья, применяется прежде всего PHIPA.

Основные различия между PHIPA и HIPAA

Главные различия между PHIPA и HIPAA связаны с юрисдикцией и с тем, как каждый закон называет одни и те же роли. Оба закона направлены на защиту конфиденциальности данных пациентов и требуют надёжной защиты информации, получения согласия и уведомления о нарушениях. Однако в деталях они расходятся, и для поставщика услуг это имеет значение.

‍

Структуры двух законов почти полностью совпадают по ролям. PHIPA называет медицинскую организацию оператором персональных данных, а HIPAA — регулируемой организацией (covered entity). Поставщика услуг, который обрабатывает данные от имени медицинской организации, PHIPA называет агентом, а HIPAA — деловым партнёром (business associate). В обеих системах основная юридическая ответственность лежит на медицинской организации, а поставщик услуг обрабатывает данные только на основании письменного соглашения.

Чем PHIPA и HIPAA отличаются в части уведомления о нарушениях?

Главное практическое отличие — сроки. По HIPAA регулируемая организация, как правило, может уведомить в течение 60 дней, а о нарушениях, затронувших 500 и более записей, сообщается федеральному регулятору. PHIPA предъявляет более строгие и широкие требования: оператор обязан немедленно уведомить пациента и Уполномоченного по информации и конфиденциальности Онтарио, как только наступает обстоятельство, требующее уведомления о нарушении. Минимального количества записей при этом нет. PHIPA добавляет и этап, которого нет в HIPAA: операторы ежегодно представляют Уполномоченному (IPC) отчёт с числом нарушений, о которых требовалось уведомить, за предыдущий календарный год. Срок — до 1 марта.

Для поставщика услуг fax это определяет порядок реагирования на инциденты. Сервис, рассчитанный только на 60-дневный срок HIPAA, не подойдёт для Онтарио: он слишком медленный. Поставщик должен сразу выявить инцидент, подпадающий под требование об уведомлении, и немедленно передать сведения оператору, чтобы тот уложился в более короткий срок PHIPA.

Как PHIPA и HIPAA регулируют согласие пациента?

И PHIPA, и HIPAA допускают передачу данных о состоянии здоровья для лечения без отдельной подписанной формы каждый раз. По PHIPA медицинская организация в Онтарио при соблюдении ряда условий может опираться на подразумеваемое согласие в пределах круга лиц, осуществляющих лечение (circle of care), то есть специалистов, непосредственно участвующих в лечении пациента. HIPAA действует по сходному принципу: информацию можно передавать для лечения, оплаты и обеспечения деятельности медицинских организаций без отдельного разрешения. Если данные используются для иных целей, например для маркетинга, оба закона требуют явного согласия.

Для поставщика услуг fax практический вывод по обоим законам одинаков: управлять согласием должна медицинская организация, а не поставщик. Сервис fax передаёт документ, но не решает, получено ли согласие.

Что PHIPA и HIPAA требуют при отправке медицинских записей пациентов по fax?

Чтобы отправлять медицинские записи пациентов по fax в соответствии с PHIPA или HIPAA, сервису недостаточно просто передавать документ. Fax остаётся распространённым в здравоохранении, поскольку обеспечивает чёткую связь между двумя известными сторонами. Однако обычный сервис fax не соответствует требованиям ни одного из законов. Сервис, отвечающий требованиям, должен обеспечивать: шифрование данных при передаче и при хранении; контроль доступа, например уникальные учётные записи и двухфакторную аутентификацию; журналы аудита, фиксирующие, кто отправил или открыл каждый документ; безопасное удаление, исключающее восстановление данных; письменное соглашение, закрепляющее обязательства поставщика услуг.

Та же логика действует, когда формы пациентов нужно подписывать в электронном виде. Если клиника собирает анкеты при поступлении, формы согласия, документы о направлении или другие документы пациентов через платформу электронной подписи, такому сервису тоже нужны надлежащие меры защиты и письменное соглашение. Не каждая подпись на fax является электронной подписью такого рода. Многие анкеты и формы согласия, которые по-прежнему поступают по fax, содержат факсимильную подпись — печатный или заранее нанесённый оттиск рукописной подписи, а не подпись, зафиксированную в электронном виде. От этого различия зависит, на какой журнал аудита может реально опираться служба комплаенса. Для медицинских организаций в Онтарио это означает необходимость использовать решение поставщика услуг, соответствующее PHIPA. Для медицинских организаций в США — использовать поставщика, соответствующего HIPAA, с подписанным BAA.

Граница проходит по письменному соглашению. Без Соглашения с поставщиком услуг по PHIPA или BAA по HIPAA сервис fax нельзя использовать для данных пациентов, какой бы надёжной ни была технология. Именно подписанное соглашение делает поставщика формально ответственным.

Существует ли сертификация или реестр PHIPA?

Нет, PHIPA не предусматривает единой программы сертификации или регистрации. Организация подтверждает соответствие требованиям на практике, а не получает знак соответствия из реестра. Оператор персональных данных и его поставщики хранят свои политики, меры защиты, процедуры получения согласия и журналы нарушений и предъявляют их по запросу клиента или Уполномоченного. Поэтому добросовестный поставщик заявляет о соответствии PHIPA и может подтвердить свои меры защиты, а не ссылается на официальный знак PHIPA, которого не существует.

Может ли один сервис fax соответствовать и PHIPA, и HIPAA?

Да, одна платформа для медицинских документов может поддерживать рабочие процессы и по PHIPA, и по HIPAA. Так работают Fax.Plus и Sign.Plus. Fax.Plus обеспечивает отправку fax онлайн в соответствии с требованиями для медицинских записей, а Sign.Plus поддерживает защищённые электронные подписи для медицинских форм, документов о согласии, направлений и административных документов.

Оба сервиса соответствуют PHIPA для медицинских организаций Онтарио и HIPAA для медицинских организаций США. Оба предоставляют письменное соглашение, которого требует каждый закон: Соглашение с поставщиком услуг по PHIPA для организаций Онтарио и подписанное Business Associate Agreement для организаций США. Операторы персональных данных из Онтарио также могут выбрать канадский регион обработки данных для своей рабочей среды. Это обеспечивается технической привязкой к региону и Соглашением с поставщиком услуг по PHIPA.

Технически оба сервиса защищают документы шифрованием при передаче и хранении, уникальным доступом пользователей, разграничением прав по ролям, двухфакторной аутентификацией и журналами аудита действий с документами. Они работают в рамках программ ISO 27001 и SOC 2 Type II, которые проходят независимый аудит. Доступны размещение данных в Швейцарии и более 20 других регионов размещения. Эти сертификаты подтверждают результаты независимой проверки мер защиты данных. Именно такой проверки и PHIPA, и HIPAA ожидают за юридическими формулировками.

Узнайте подробнее, безопасен ли Fax.Plus, изучите решение для отправки медицинских fax, посмотрите, как работает отправка fax с соблюдением HIPAA, или ознакомьтесь с API fax с соблюдением HIPAA, если хотите встроить отправку fax в существующую систему.