加拿大的数据主权

什么是加拿大的数据主权？

数据主权是指数据受其被收集、存储或处理所在地的法律和控制约束。在实践中，加拿大的组织用这个术语来针对任何存放其数据的服务提出两个问题：

• 数据在哪里？即文件和备份所存放的国家和数据中心。
• 由谁控制？即运营该服务的公司，以及该公司必须遵守的规则。

数据驻留回答的是第一个问题。它是可以在合同中明确写出的部分：某个城市、某个数据中心区域、某个备份位置。数据主权则涵盖这两个问题，因此它会与驻留、加密和访问控制一起出现在安全问卷中。

对医疗行业而言，这个话题并不抽象。健康信息是组织所持有的最敏感的数据之一，在安大略省，PHIPA 对其收集、使用、披露和保护作出了具体规定，包括由外部服务提供商处理这些信息时的情形。

数据驻留与数据主权：为什么二者的区别很重要

这两个术语常被当作同一回事来使用。它们有重叠，但回答的是不同的问题，服务提供商可能在其中一方面表现出色，而对另一方面却几乎只字不提。

数据驻留关乎位置。它告诉您文件存储所在的国家、城市或数据中心区域，最好还包括备份的存放位置。它具体且易于验证：优秀的服务提供商会让您选择区域，在账户设置中显示该区域，并将其写入合同。

数据主权关乎控制。它包含数据驻留，但同时还会问：由谁运营该服务、哪家公司与您签署协议，以及该公司以书面形式承诺如何处理您的数据。

对加拿大的医疗团队来说，这引出一条实用规则：先从数据驻留入手，因为这是您可以确认的部分，然后再看其周边的内容。有四个细节很容易被忽略：

• 备份。数据驻留应当涵盖备份副本，而不仅仅是正在使用的文件。请询问备份是否保留在同一区域，或是否可以放置在加拿大的第二个位置。
• 日后迁移数据。如果您的要求发生变化，您能否自行将已存储的数据迁移到其他区域，还是需要提交支持工单并开展一个迁移项目？
• 传输中的文件。数据驻留描述的是已存储的文件和备份所在的位置。正在转换或传输的 fax 在存储之前会被临时处理，因此请向每家服务提供商询问其如何处理传输中的文件，以及临时副本的删除速度有多快。
• 保留期限。未被保留的数据不会被泄露。请询问是否可以设置 fax 的存储时长，或者关闭存储，仅将 fax 保存在您自己的系统中。

以上内容不能取代法律意见。但它能让您的隐私官和 IT 团队在比较服务提供商时拥有共同的语言，并列出一份可书面提出的简短问题清单。

通过 fax 传送健康信息时 PHIPA 如何适用

安大略省的《个人健康信息保护法》（PHIPA）规定了该省个人健康信息的相关规则。它以健康信息保管者为核心，即对这些信息负责的医院、诊所、药房、实验室或执业人员。PHIPA 要求保管者采取合理措施，保护其保管或控制下的个人健康信息免遭盗窃、丢失以及未经授权的使用或披露，并保护记录免遭未经授权的复制、修改或处置。

保管者很少事事亲力亲为。PHIPA 还定义了代理人：经保管者授权，就个人健康信息代表保管者行事的个人或组织，其行事是为了保管者的目的，而非自身目的。PHIPA 还对为保管者处理健康信息提供技术的电子服务提供商制定了规则。代表保管者处理 fax 的 cloud 服务提供商正是在这一框架内运作，因此您与服务提供商签署的协议与技术本身同样重要。

fax 带来了一些特定的风险，因为文件是在您的电子健康档案（EHR）之外送达的：

• fax 位于单独的收件箱中。转诊单和检查结果会在 fax 账户中等待，直到有人将其归档，因此该账户需要与您其他健康记录相同的访问控制。
• 副本会不断增多。电子邮件通知、下载和打印件都可能产生同一记录的额外副本，通过单独工具进行的签署流程也是如此。不在电子邮件中附带附件、限制可下载人员、并将签署保持在同一平台内的设置，有助于控制副本数量。
• 保留问题很容易被忽视。无限期保存在服务提供商账户中的 fax 仍是您需要负责的记录。明确的保留期限，或完全不存储，可以让这一数据足迹保持在较小范围。

PHIPA 并不要求个人健康信息必须存储在加拿大。它侧重于保障措施和问责。许多组织会在此基础上增加自己的要求，例如将健康记录和备份保存在加拿大的数据中心，并将这些要求写入其政策和供应商合同。如需与美国法规的完整对比，请参阅 PHIPA 与 HIPAA 对比。如对自身义务有疑问，安大略省信息与隐私专员为保管者发布了指南。

选择 fax 服务提供商之前需要核查什么

在供应商评估中使用以下八个问题。请要求对方以书面形式给出答复，并将其与合同一并保存。

1. fax 文件存储在哪里？备份又在哪里？请获取两者所在的区域。“加拿大”只是一个开始；明确的城市或数据中心区域会更好。
2. 您能自行选择区域，并在之后更改吗？请查看是否有由管理员控制的设置，以及在您的要求发生变化时是否有文档化的迁移已存储数据的方法。
3. 服务提供商由谁拥有和运营？请询问由哪家公司运营该服务、总部设在哪里，以及由哪个法律实体签署您的协议。
4. 针对健康信息，您需要签署哪种协议？对于安大略省的保管者，请要求提供涵盖 PHIPA 以及服务提供商作为您的代理人角色的协议，核实哪个套餐包含该协议，并确认它同样涵盖您用来签署通过 fax 收到的文件的工具。
5. fax 保留多长时间？能否关闭存储？可配置的保留期限，或者完全不存储 fax 的选项，可以限制服务提供商代您持有的内容。
6. 访问如何控制和记录？请查看是否具备基于角色的访问、双重身份验证、单点登录，以及记录谁查看或下载过 fax 的审计追踪。
7. 文件如何加密？请询问静态加密和传输中加密的情况，以及电子邮件通知如何处理，以确保健康信息不会以附件形式传送。
8. 哪些独立审计支持其安全声明？ISO 27001 等认证以及 SOC 2 Type II 报告表明外部审计机构已对相关控制措施进行了检查。

如果服务提供商能清楚回答全部八个问题，并将答案写入协议，您的隐私官就拥有了批准所需的依据。

Fax.Plus 如何支持加拿大数据驻留

Fax.Plus Enterprise 回答了清单上的每一个问题，并以书面形式给出答复。年付每月 $79.99（月付 $99.99），每月 4,000 页，成员数量不限，所有价格均已公开。

• fax 文件和备份位于加拿大。账户所有者和管理员可以将已发送和已接收的 fax 文件存储在多伦多或蒙特利尔，并单独选择备份位置，因此实时数据和备份可以分别位于加拿大两个不同的数据中心。
• 由您选择，并且可随时更改。区域在账户设置中设定。如果您的要求发生变化，可在同一位置将已存储的 fax 迁移到其他区域，无需更换服务提供商。
• 一家独立的瑞士公司。Fax.Plus 由 Alohi 打造，这是一家在日内瓦创立的自力更生型公司，没有美国法律实体。
• 已签署的 PHIPA 服务提供商协议。Enterprise 套餐包含 PHIPA 合规支持，配备 Advanced Security Controls 以及已签署的 PHIPA 服务提供商协议，同时包含 HIPAA 及已签署的 BAA，适用于同时与美国合作伙伴合作的团队。
• 签名遵循同样的规则。许多 fax 表单在回传之前需要签名。任何 fax 都可以转发到 Sign.Plus（Alohi 自有的电子签名产品），在同一账户下自行签署或请求他人签署。Sign.Plus Enterprise 提供相同的加拿大数据驻留选项和 PHIPA 合规支持，因此已签署的文档可以与您的 fax 遵循相同的条款保存。
• 保留期限由您掌控。管理员可以设置 fax 在被永久删除之前保留的天数，包括零天。团队还可以关闭 fax 存储，并通过 Fax.Plus API 将 fax 归档到自己的系统中。
• 访问控制与审计追踪。基于角色的访问控制、双重身份验证、单点登录，以及账户活动的审计追踪。
• 加密与更安全的通知。Fax.Plus 使用 AES-256 对已存储的 fax 文件进行加密。启用 Advanced Security Controls 后，电子邮件通知默认仅发送通知。符合条件的 HIPAA/PHIPA 账户在获得所有者/管理员同意并由个人用户自行启用后，可选择接收附件，且接收邮件服务器须采用 TLS 1.2 或更高版本。客户须负责在其电子邮件环境中保护已送达的副本。发出的 Email-to-Fax 使用单独的、强制启用 TLS 的地址。
• 经独立审计。Alohi 持有 ISO 27001 认证和 SOC 2 Type II 报告，均由 EY CertifyPoint 颁发。

如果您的团队在安大略省处理健康信息，并需要将其存储在加拿大，请联系 Fax.Plus 团队，了解适用于 Fax.Plus 和 Sign.Plus 的、具备加拿大数据驻留功能的 Enterprise 套餐。