Kanada'da Veri Egemenliği

Kanada'da veri egemenliği nedir?

Veri egemenliği, verinin toplandığı, depolandığı veya işlendiği yerin yasalarına ve denetimine tabi olduğu fikridir. Uygulamada Kanadalı kuruluşlar bu terimi, verilerini tutan herhangi bir hizmet hakkında iki soruyu sormak için kullanır:

• Veri nerede? Dosyaların ve yedeklerin tutulduğu ülke ve veri merkezi.
• Veriyi kim denetliyor? Hizmeti işleten şirket ve bu şirketin uymak zorunda olduğu kurallar.

Veri yerleşimi ilk soruyu yanıtlar. Sözleşmede adını koyabileceğiniz kısım budur: bir şehir, bir veri merkezi bölgesi, bir yedekleme konumu. Veri egemenliği ise her iki soruyu da kapsar; bu nedenle güvenlik anketlerinde yerleşim, şifreleme ve erişim denetimlerinin yanında yer alır.

Sağlık hizmetleri için bu konu soyut değildir. Sağlık bilgileri, bir kuruluşun elinde bulundurduğu en hassas veriler arasındadır ve Ontario'da PHIPA, bu bilgilerin toplanması, kullanılması, ifşa edilmesi ve korunması için, harici bir sağlayıcı tarafından işlendiği durumlar da dâhil olmak üzere, belirli kurallar koyar.

Veri yerleşimi ve veri egemenliği: Aradaki fark neden önemli?

İki terim çoğu zaman aynı anlama geliyormuş gibi kullanılır. Birbiriyle örtüşürler, ancak farklı soruları yanıtlarlar ve bir sağlayıcı birinde güçlüyken diğeri hakkında çok az şey söyleyebilir.

Veri yerleşimi konumla ilgilidir. Dosyalarınızın depolandığı ülkeyi, şehri veya veri merkezi bölgesini ve ideal olarak yedeklerin tutulduğu yeri de söyler. Somuttur ve doğrulaması kolaydır: iyi bir sağlayıcı bölgeyi seçmenize izin verir, hesap ayarlarınızda gösterir ve sözleşmeye yazar.

Veri egemenliği denetimle ilgilidir. Veri yerleşimini kapsar, ancak aynı zamanda hizmeti kimin işlettiğini, sözleşmenizi hangi şirketin imzaladığını ve bu şirketin verilerinizin nasıl işleneceği konusunda yazılı olarak neleri taahhüt ettiğini de sorgular.

Kanadalı bir sağlık ekibi için bu, pratik bir kurala götürür: doğrulayabileceğiniz kısım olduğu için veri yerleşimiyle başlayın, ardından onu çevreleyen ayrıntılara bakın. Dört ayrıntı kolayca gözden kaçar:

• Yedekler. Veri yerleşimi yalnızca canlı dosyaları değil, yedek kopyaları da kapsamalıdır. Yedeklerin aynı bölgede kalıp kalmadığını veya ikinci bir Kanada konumuna yerleştirilip yerleştirilemeyeceğini sorun.
• Verileri sonradan taşıma. Gereksinimleriniz değişirse depolanan verileri kendiniz başka bir bölgeye taşıyabilir misiniz, yoksa bu bir destek talebi ve bir geçiş projesi mi gerektirir?
• Aktarım sırasındaki dosyalar. Veri yerleşimi, saklanan dosyaların ve yedeklerin nerede bulunduğunu ifade eder. Dönüştürülen veya iletilen fakslar, saklanmadan önce geçici olarak işlenir. Bu nedenle her sağlayıcıya aktarım sırasındaki dosyaları nasıl ele aldığını ve geçici kopyaların ne kadar hızlı silindiğini sorun.
• Saklama. Saklanmayan veri ifşa olamaz. Faksların ne kadar süre saklanacağını belirleyip belirleyemeyeceğinizi veya saklamayı kapatıp fakslarınızı yalnızca kendi sistemlerinizde tutup tutamayacağınızı sorun.

Bunların hiçbiri hukuki danışmanlığın yerini tutmaz. Ancak gizlilik sorumlunuza ve BT ekibinize sağlayıcıları karşılaştırmak için ortak bir söz dağarcığı ve yazılı olarak sorulacak kısa bir soru listesi sunar.

Sağlık bilgilerini faksla gönderdiğinizde PHIPA nasıl uygulanır?

Ontario'nun Kişisel Sağlık Bilgilerini Koruma Yasası (PHIPA), eyalette kişisel sağlık bilgilerine ilişkin kuralları belirler. Yasa, sağlık bilgisi sorumlusu etrafında kurgulanmıştır: bilgiden sorumlu olan hastane, klinik, eczane, laboratuvar veya hekim. PHIPA, sorumluların gözetimlerindeki veya kontrollerindeki kişisel sağlık bilgilerini hırsızlığa, kayba ve yetkisiz kullanıma ya da ifşaya karşı korumak için makul adımlar atmasını ve kayıtları yetkisiz kopyalamaya, değiştirmeye veya imhaya karşı korumasını zorunlu kılar.

Sorumlular her şeyi nadiren kendileri yapar. PHIPA ayrıca bir temsilci tanımı da yapar: sorumlunun yetkilendirmesiyle, kişisel sağlık bilgileri konusunda sorumlu adına veya sorumlu için hareket eden, bunu kendi amaçları için değil sorumlunun amaçları için yapan kişi ya da kuruluş. PHIPA ayrıca, sorumluların sağlık bilgilerini işlemek için kullandığı teknolojiyi sağlayan elektronik hizmet sağlayıcılar için de kurallar koyar. Bir sorumlu adına fakslarıı işleyen bir cloud sağlayıcısı bu çerçevenin içinde çalışır; bu nedenle sağlayıcıyla imzaladığınız sözleşme, teknoloji kadar önemlidir.

Faks, belgeler EHR sisteminizin dışından geldiği için birkaç özel risk getirir:

• Fakslar ayrı bir gelen kutusunda bekler. Sevkler ve sonuçlar, biri bunları dosyalayana kadar bir faks hesabında bekler. Bu nedenle bu hesabın, diğer sağlık kayıtlarınız kadar sıkı erişim denetimlerine ihtiyacı vardır.
• Kopyalar çoğalır. E-posta bildirimleri, indirmeler ve çıktılar aynı kaydın fazladan kopyalarını oluşturabilir; ayrı bir araç üzerinden yürüyen imza süreci de öyle. Ekleri e-postanın dışında tutan, kimlerin indirebileceğini sınırlayan ve imzalamayı aynı platform içinde tutan ayarlar, kopyaları kontrol altında tutmaya yardımcı olur.
• Saklama kolayca unutulur. Bir sağlayıcının hesabında süresiz tutulan fakslar, hâlâ sorumlu olduğunuz kayıtlardır. Tanımlı bir saklama süresi veya hiç saklama yapmamak, bu izi küçük tutar.

PHIPA, kişisel sağlık bilgilerinin Kanada'da saklanmasını zorunlu kılmaz. Odak noktası güvenlik önlemleri ve hesap verebilirliktir. Pek çok kuruluş buna kendi gereksinimlerini ekler; örneğin sağlık kayıtlarını ve yedekleri Kanada'daki veri merkezlerinde tutmak gibi. Bunları politikalarına ve tedarikçi sözleşmelerine yazar. ABD kurallarıyla tam karşılaştırmaya ihtiyacınız varsa PHIPA ve HIPAA sayfasına bakın. Kendi yükümlülüklerinizle ilgili sorularınız için Ontario Bilgi ve Gizlilik Komiseri, sorumlulara yönelik rehberlik yayımlamaktadır.

Bir faks sağlayıcısı seçmeden önce nelere bakmalısınız?

Tedarikçi değerlendirmenizde bu sekiz soruyu kullanın. Yanıtları yazılı olarak isteyin ve sözleşmeyle birlikte saklayın.

1. Faks dosyaları nerede, yedekler nerede saklanıyor? Her ikisi için de bölgeyi öğrenin. “Kanada” bir başlangıçtır; adı belirtilmiş bir şehir veya veri merkezi bölgesi daha iyidir.
2. Bölgeyi kendiniz seçebilir ve daha sonra değiştirebilir misiniz? Yöneticilerinizin kontrol ettiği bir ayar ve gereksinimleriniz değişirse saklanan verileri taşımak için belgelenmiş bir yöntem arayın.
3. Sağlayıcıya kim sahip ve onu kim işletiyor? Hizmeti hangi şirketin yürüttüğünü, merkezinin nerede olduğunu ve sözleşmenizi hangi tüzel kişiliğin imzaladığını sorun.
4. Sağlık bilgileri için hangi sözleşmeyi imzalıyorsunuz? Ontario'daki sorumlular için PHIPA'yı ve sağlayıcının sizin temsilciniz olarak rolünü kapsayan bir sözleşme isteyin, bunun hangi planda yer aldığını kontrol edin ve faksla aldığınız belgeleri imzalamak için kullandığınız aracı da kapsadığını doğrulayın.
5. Fakslar ne kadar süre saklanıyor ve saklamayı kapatabilir misiniz? Yapılandırılabilir bir saklama süresi veya fakslarıı hiç saklamama seçeneği, sağlayıcının sizin adınıza tuttuğu verileri sınırlar.
6. Erişim nasıl denetleniyor ve kaydediliyor? Rol tabanlı erişim, iki faktörlü kimlik doğrulama, çoklu oturum açma ve bir faksı kimin görüntülediğini veya indirdiğini gösteren bir denetim izi arayın.
7. Dosyalar nasıl şifreleniyor? Bekleme ve aktarım sırasındaki şifrelemeyi ve sağlık bilgilerinin ek olarak dolaşmaması için e-posta bildirimlerinin nasıl ele alındığını sorun.
8. Güvenlik iddialarını hangi bağımsız denetimler destekliyor? ISO 27001 gibi sertifikalar ve SOC 2 Type II raporu, kontrollerin harici bir denetçi tarafından incelendiğini gösterir.

Sekiz soruyu da net biçimde yanıtlayan ve yanıtları sözleşmesine yazan bir sağlayıcı, gizlilik sorumlunuza onay vermesi için gereken her şeyi sunar.

Fax.Plus, Kanada'da veri yerleşimini nasıl destekler?

Fax.Plus Enterprise, kontrol listesindeki her soruyu yanıtlar ve yanıtları yazılı hale getirir. Yıllık faturalandırmada aylık 79,99 $ (aylık faturalandırmada 99,99 $) fiyatla başlar; ayda 4.000 sayfa ve sınırsız üye içerir ve tüm fiyatlar yayımlanmıştır.

• Kanada'da faks dosyaları ve yedekler. Hesap sahipleri ve yöneticiler, gönderilen ve alınan faks dosyalarını Toronto veya Montreal'de saklayabilir ve yedek konumunu ayrıca seçebilir; böylece canlı veriler ve yedekler Kanada'daki iki farklı veri merkezinde bulunabilir.
• Seçim sizin, istediğiniz zaman değiştirebilirsiniz. Bölge, hesap ayarlarından belirlenir. Gereksinimleriniz değişirse, saklanan faksları aynı yerden başka bir bölgeye taşıyabilirsiniz; sağlayıcı değiştirmeniz gerekmez.
• Bağımsız bir İsviçre şirketi. Fax.Plus, Cenevre'de kurulmuş, dışarıdan sermaye almayan bir şirket olan Alohi tarafından geliştirilmiştir ve ABD'de herhangi bir tüzel kişiliği yoktur.
• İmzalı bir PHIPA Hizmet Sağlayıcı Sözleşmesi. Enterprise planı, Advanced Security Controls ve imzalı bir PHIPA Hizmet Sağlayıcı Sözleşmesi ile PHIPA kapsamını içerir; ayrıca ABD'li ortaklarla da çalışan ekipler için imzalı bir BAA ile HIPAA kapsamını da sunar.
• Aynı kurallar altında imzalar. Faksla gelen birçok formun geri gönderilmeden önce imzalanması gerekir. Herhangi bir faksı, Alohi'nin kendi e-imza ürünü olan Sign.Plus'a iletebilir, belgeyi kendiniz imzalayabilir veya aynı hesap altında başkalarından imza isteyebilirsiniz. Sign.Plus Enterprise, aynı Kanada veri yerleşimi seçeneklerini ve PHIPA kapsamını sunar; böylece imzalanan belgeler, fakslarınızla aynı koşullar altında saklanabilir.
• Kontrolü elinizde tutan saklama süresi. Yöneticiler, faksların kalıcı olarak silinmeden önce kaç gün saklanacağını, sıfır gün dahil, belirleyebilir. Ekipler ayrıca faks depolamayı kapatabilir ve faksları Fax.Plus API aracılığıyla kendi sistemlerinde arşivleyebilir.
• Erişim denetimleri ve denetim izi. Rol tabanlı erişim, iki faktörlü kimlik doğrulama, çoklu oturum açma ve hesap etkinliklerinin denetim izi.
• Şifreleme ve daha güvenli bildirimler. Fax.Plus, depolanan fax dosyalarını AES-256 ile şifreler. Advanced Security Controls ile e-posta bildirimleri varsayılan olarak yalnızca bildirim içerir. Uygun HIPAA/PHIPA hesapları, hesap sahibinin/yöneticisinin onayının ve bireysel etkinleştirmenin ardından ek dosyaları tercih edebilir; bu durumda alıcı posta sunucusunda TLS 1.2 veya üzeri sürüm gereklidir. Teslim edilen kopyaların e-posta ortamında korunmasından müşteri sorumludur. Giden Email-to-Fax işlemi, TLS zorunlu ayrı bir adres kullanır.
• Bağımsız olarak denetlenir. Alohi, her ikisi de EY CertifyPoint tarafından verilen ISO 27001 sertifikasına ve SOC 2 Type II raporuna sahiptir.

Ekibiniz Ontario'da sağlık bilgilerini işliyorsa ve bu bilgilerin Kanada'da saklanması gerekiyorsa, Fax.Plus ve Sign.Plus için Kanada veri yerleşimi sunan bir Enterprise planı hakkında Fax.Plus ekibiyle görüşün.