PHIPA ve HIPAA Karşılaştırması: Sağlık Hizmetlerinde Uyumluluk İçin Temel Farklar

PHIPA ne anlama gelir?

PHIPA, Personal Health Information Protection Act, 2004 (Kişisel Sağlık Bilgilerini Koruma Yasası, 2004) anlamına gelir ve Ontario, Kanada’da hasta sağlık bilgilerini düzenleyen yasadır. 2004’te yürürlüğe girmiştir ve şikâyetleri ile ihlalleri inceleyen bağımsız bir düzenleyici kurum olan Ontario Bilgi ve Gizlilik Komiseri tarafından denetlenir.

PHIPA, sağlık kuruluşlarının kişisel sağlık bilgisi (PHI) olarak adlandırdığı verileri (bir hastayı tanımlayan ve sağlığıyla ilgili olan her şey; örneğin tıbbi kayıtlar, test sonuçları ve reçeteler) nasıl toplayacağını, kullanacağını, saklayacağını ve paylaşacağını belirler.

HIPAA ne anlama gelir?

HIPAA, hasta sağlık bilgilerini koruyan Amerika Birleşik Devletleri federal yasası olan Health Insurance Portability and Accountability Act (Sağlık Sigortası Taşınabilirliği ve Hesap Verebilirlik Yasası) anlamına gelir. 1996’da çıkarılmıştır ve ABD’de aynı tür veriye korunan sağlık bilgisi denir; bu da PHI olarak kısaltılır.

HIPAA birkaç temel kural üzerine kuruludur: sağlık verilerinin nasıl kullanılacağını ve paylaşılacağını sınırlayan bir Gizlilik Kuralı, elektronik kayıtlar için önlemler gerektiren bir Güvenlik Kuralı ve verilerin ifşa edilmesi durumunda neler olacağını kapsayan bir İhlal Bildirimi Kuralı. Tam resmi görmek için HIPAA’nın ne olduğunu anlatan açıklamamıza ve HIPAA’nın üç kuralını adım adım ele alan rehberimize göz atabilirsiniz.

HIPAA Kanada’da geçerli midir?

Hayır, HIPAA Kanada’da geçerli değildir. HIPAA bir ABD federal yasasıdır ve sınırın kuzeyinde hukuki bir bağlayıcılığı yoktur. Bu durum insanların sık sık kafasını karıştırır: Kanadalı bir klinik, aslında Kanada gizlilik yasasına uyan bir hizmete ihtiyaç duyarken “HIPAA uyumlu” bir faks hizmeti ister. Ontario’daki sağlık hizmetleri için bu yasa PHIPA’dır.

HIPAA’nın Kanada’daki karşılığı nedir?

HIPAA’nın Kanada’da tek bir karşılığı yoktur. Kanada’da sağlık gizliliği eyalet eyalet düzenlenir; bu nedenle Ontario’nun PHIPA’sı vardır, PIPEDA adlı ayrı bir ulusal yasa ise özel sektördeki kişisel verileri daha geniş ölçekte kapsar. Ontario’daki bir sağlık hizmeti sağlayıcısı için hasta kayıtlarına uygulanan yasa PHIPA’dır.

Bu, ilgili bir sorunun, yani PHIPA ile PIPEDA farkının da kısa yanıtıdır: PHIPA, Ontario'ya özgü sağlık gizliliği yasasıdır; PIPEDA ise genel federal gizlilik yasasıdır. PHIPA kapsamındaki PHI, bir kişinin sağlığı ve bakımıyla doğrudan ilgili olduğu için PIPEDA kapsamındaki kişisel bilgilerden de daha dar ve daha spesifiktir. Ontario'da sağlık bilgileri söz konusu olduğunda PHIPA esas alınır.

PHIPA ile HIPAA arasındaki temel farklar nelerdir?

PHIPA ile HIPAA arasındaki en büyük farklar, yetki alanı ile her iki yasanın aynı rollere verdiği adlardır. İkisi de hasta verilerinin gizli kalmasını hedefler; ikisi de güçlü güvenlik, onay ve ihlal bildirimi gerektirir. Ancak ayrıntılar, bir hizmet sağlayıcı açısından önem taşıyan noktalarda ayrışır.

‍

Yapılar, neredeyse rol rol birbirini yansıtır. PHIPA, sağlık kuruluşuna Sağlık Bilgisi Sorumlusu der; HIPAA ise kapsama giren kuruluş olarak adlandırır. PHIPA, sağlık hizmeti sağlayıcı adına veri işleyen bir hizmet sağlayıcıya temsilci der; HIPAA ise iş ortağı olarak adlandırır. Her iki sistemde de temel yasal yükümlülüğü sağlık hizmeti sağlayıcı taşır ve hizmet sağlayıcı verileri yalnızca yazılı bir sözleşme çerçevesinde işler.

PHIPA ve HIPAA ihlal bildirimi konusunda nasıl farklılaşır?

Uygulamadaki en büyük fark zamanlamadır. HIPAA kapsamında kapsama giren bir kuruluşun bildirim yapmak için genellikle 60 güne kadar süresi vardır ve 500 veya daha fazla kaydı etkileyen ihlaller federal düzenleyici kuruma bildirilir. PHIPA ise daha hızlı ve daha kapsamlıdır: Sorumlu, bildirime tabi bir ihlal tetikleyicisi ortaya çıkar çıkmaz etkilenen hastaya ve Ontario Bilgi ve Gizlilik Komiseri'ne derhal bildirimde bulunmalıdır ve asgari bir kayıt sayısı yoktur. PHIPA ayrıca HIPAA'da bulunmayan bir adım daha ekler: Sorumlular, önceki takvim yılında yaşanan bildirime tabi ihlallerin sayısını gösteren yıllık bir raporu 1 Mart'a kadar IPC'ye sunar.

Bir faks hizmeti sağlayıcısı için bu durum, olay müdahalesinin nasıl işlemesi gerektiğini belirler. Yalnızca HIPAA'nın 60 günlük süresine göre kurulmuş bir hizmet, Ontario için çok yavaş kalır. Sağlayıcının, bildirim gerektiren bir olayı işaretlemesi ve ayrıntıları sorumluya derhal iletmesi gerekir; böylece sorumlu daha kısa olan PHIPA süresine uyabilir.

PHIPA ve HIPAA hasta rızasını nasıl ele alır?

PHIPA ve HIPAA, sağlık bilgilerinin tedavi amacıyla her seferinde ayrı bir imzalı form olmadan akmasına izin verir. PHIPA kapsamında Ontario'daki bir sağlık hizmeti sağlayıcı, bir dizi koşul karşılandığı sürece, bir hastanın tedavisinde doğrudan yer alan uygulayıcılar anlamına gelen bakım çevresi içinde zımni rızaya dayanabilir. HIPAA da benzer bir ilkeyle çalışır; bilgilerin tedavi, ödeme ve sağlık hizmeti operasyonları için ayrı bir yetkilendirme olmadan aktarılmasına izin verir. Her iki yasa da bu temel amaçların ötesine geçildiğinde, örneğin pazarlama için, açık rıza ister.

Bir faks hizmeti sağlayıcısı için pratik nokta her iki yasada da aynıdır: Rızayı yönetmek hizmet sağlayıcının değil, sağlık hizmeti sağlayıcının işidir. Faks hizmeti belgeyi iletir; rızanın var olup olmadığına asla kendisi karar vermez.

PHIPA veya HIPAA, hasta kayıtlarının faksla gönderilmesi için neler gerektirir?

PHIPA veya HIPAA kapsamında hasta kayıtlarını faksla göndermek için hizmetin yalnızca bir belge göndermekten fazlasını yapması gerekir. Faks, iki bilinen taraf arasında net bir noktadan noktaya kayıt oluşturduğu için sağlık hizmetlerinde yaygın olmaya devam eder, ancak sıradan bir faks aracı iki yasayı da karşılamaz. Uyumlu bir hizmetin iletim sırasında ve beklemede veri şifrelemesine, benzersiz oturum açma bilgileri ve iki faktörlü kimlik doğrulama gibi erişim denetimlerine, her belgeyi kimin gönderdiğini veya açtığını kaydeden denetim günlüklerine, geri getirilmeyi önleyen güvenli silmeye ve hizmet sağlayıcının yükümlülüklerini yazılı hale getiren yazılı bir sözleşmeye ihtiyacı vardır.

Hasta formlarının elektronik olarak imzalanması gerektiğinde de aynı mantık geçerlidir. Bir klinik; kabul formlarını, rıza formlarını, sevk evraklarını veya hastayla ilgili diğer belgeleri bir e-imza platformu aracılığıyla topluyorsa, bu hizmetin de doğru güvenlik önlemlerine ve yazılı sözleşmeye sahip olması gerekir. Faksla gönderilen bir formdaki her imza bu tür bir e-imza değildir: Hâlâ faksla gelen birçok kabul ve rıza formu, elektronik olarak alınmış bir imza yerine, elle atılmış bir imzanın damgalı veya önceden basılmış bir kopyası olan faksimile imza taşır ve bu ayrım, bir uyum ekibinin gerçekten güvenebileceği denetim izini etkiler. Ontario'daki sağlık hizmeti sağlayıcıları için bu, PHIPA'ya hazır bir hizmet sağlayıcı yapısı kullanmak anlamına gelir; ABD'deki sağlık hizmeti sağlayıcıları için ise imzalı bir BAA ile HIPAA'ya hazır bir hizmet sağlayıcı kullanmak anlamına gelir.

Ayrım çizgisi yazılı sözleşmedir. PHIPA Hizmet Sağlayıcı Sözleşmesi ya da HIPAA BAA olmadan, teknoloji ne kadar güçlü olursa olsun, bir faks aracı hasta verileri için kullanılamaz. Hizmet sağlayıcıyı resmen sorumlu kılan şey imzalanmış sözleşmedir.

Bir PHIPA sertifikası veya kayıt sistemi var mı?

Hayır, PHIPA merkezi bir sertifikasyon veya kayıt programı işletmez. Uyumluluk, bir kuruluşun bir kayıt sisteminden aldığı bir rozet değil, kanıtlayarak gösterdiği bir şeydir. Sorumlu ve hizmet sağlayıcıları; politikalarını, güvenlik önlemlerini, rıza prosedürlerini ve ihlal kayıtlarını dosyada tutar ve bir müşteri ya da Komiser istediğinde bunları sunar. Bu nedenle özenli bir hizmet sağlayıcı, var olmayan resmî bir PHIPA mührüne işaret etmek yerine PHIPA'ya uyumlu olduğunu söyler ve kontrollerini gösterebilir.

Tek bir faks hizmeti hem PHIPA hem de HIPAA'ya uyumlu olabilir mi?

Evet, tek bir sağlık belgesi platformu hem PHIPA hem de HIPAA iş akışlarını destekleyebilir; Fax.Plus ve Sign.Plus da bunu yapar. Fax.Plus hasta kayıtları için uyumlu çevrimiçi faks göndermeyi desteklerken, Sign.Plus sağlık formları, rıza belgeleri, sevkler ve idari evraklar için güvenli elektronik imzaları destekler.

Her iki hizmet de Ontario'daki sağlık hizmeti sağlayıcıları için PHIPA'ya, ABD'deki sağlık kuruluşları için HIPAA'ya uyumludur ve her iki yasanın gerektirdiği yazılı sözleşmeyi sunar: Ontario'daki sağlayıcılar için PHIPA Hizmet Sağlayıcı Sözleşmesi, ABD'deki kuruluşlar için imzalı Business Associate Agreement. Ontario'daki sorumlular ayrıca kiracı ortamları için bir Kanada işleme bölgesi seçebilir; bu seçim teknik bölge sabitleme ve PHIPA Hizmet Sağlayıcı Sözleşmesi ile güvence altına alınır.

Arka planda her iki hizmet de belgeleri iletim sırasında ve beklemede şifreleme, benzersiz kullanıcı erişimi, role dayalı izinler, iki faktörlü kimlik doğrulama ve belge etkinliği için denetim günlükleriyle korur. Bağımsız olarak denetlenen ISO 27001 ve SOC 2 Type II programları kapsamında çalışır; İsviçre veri yerleşimi ve 20'den fazla veri yerleşim konumu sunulur. Bu sertifikalar, hizmetlerin verileri nasıl koruduğuna dair bağımsız incelemelerdir ve hem PHIPA'nın hem de HIPAA'nın yasal ifadelerin ardında tam olarak beklediği şey budur.

Fax.Plus'ın güvenli olup olmadığı hakkında daha fazla bilgi edinebilir, sağlık hizmetleri faks çözümünü inceleyebilir, HIPAA uyumlu faks göndermenin nasıl işlediğine göz atabilir veya mevcut bir sisteme faks göndermeyi entegre ediyorsanız HIPAA uyumlu faks API'sine bakabilirsiniz.