Canadá · PIPEDA · PHIPA · HIA · PHIA · Law 25 y Law 5 de Québec · colegios profesionales

Canadá no tiene una HIPAA. Tiene una ley federal, una ley sanitaria provincial donde usted ejerce y un colegio encima de las dos.

A nadie en la sanidad canadiense lo regula una sola ley. Una consulta de psicoterapia en Toronto responde ante la PHIPA y ante el Information and Privacy Commissioner of Ontario. La misma consulta en Calgary responde ante la HIAde Alberta. En Vancouver es la PIPA y la OIPC. En Montreal es la Law 25 y la Law 5, en francés. Y en cada uno de esos sitios, el colegio profesional añade reglas de llevanza de historias que la ley de privacidad no menciona nunca.

Esta página recorre lo que se aplica, en palabras corrientes, y dice para cada obligación qué parte hace ya el software, qué parte es un número que usted fija y qué parte falta y por qué. La sección sobre lo que no podemos hacer no está en letra pequeña al final: es la sección 09, y en Canadá decide la mayoría de las operaciones antes de que se hable siquiera de privacidad.

Propietarios y responsables de consultas Gerentes de consulta Responsables de privacidad y personas de contacto Operadores de grupos, de atención virtual y de EAP

10+3provincias y territorios 4leyes sanitarias declaradas sustancialmente similares 30 díaspara responder a una solicitud de acceso 24 mesesde registros de vulneraciones según PIPEDA 0reclamaciones provinciales que podemos presentar

Qué reglamento le vincula El mapa, provincia por provincia Los diez principios de PIPEDA Ontario en detalle El lockbox Cuánto se conservan las historias Dos relojes de notificación Dónde viven los datos Qué no podemos hacer Québec Idioma y accesibilidad La CASL y el lado del marketing Dónde somos más fuertes Lo que queda de su lado

01 — Orientación

Cuatro reglamentos, y el que le vincula depende de su código postal

El error más común en una conversación canadiense sobre software es preguntar «¿cumplen ustedes con HIPAA?». HIPAA es derecho estadounidense y no se aplica en absoluto a una clínica canadiense. Lo que se aplica es una pila, y la parte de arriba de la pila cambia al cruzar una frontera provincial.

Federal · PIPEDA

El valor por defecto, y el suelo

La Personal Information Protection and Electronic Documents Act gobierna la información personal recogida en el curso de una actividad comercial, y lleva diez principios de información leal en su Schedule 1: responsabilidad, finalidades, consentimiento, limitación de la recogida, limitación del uso y la conservación, exactitud, salvaguardas, transparencia, acceso individual e impugnación del cumplimiento.

La parte que la gente falla: PIPEDA se aplica salvo que una ley provincial haya sido declarada sustancialmente similar para esa actividad. Es un valor de reserva, no una exención: en una provincia sin ley sanitaria propia, PIPEDA es todo el reglamento. Sección 03.

Leyes sanitarias provinciales

El reglamento que normalmente le gobierna de verdad

La PHIPAde Ontario, la HIAde Alberta, la HIPAde Saskatchewan, la PHIAde Manitoba, la PHIPAAde New Brunswick, las de Nova Scotia y Newfoundland & Labrador PHIA, la de Prince Edward Island HIA. Estas no son leyes de privacidad con un capítulo sanitario: son leyes de información sanitaria, escritas en torno a un custodian.

Por qué importa: llevan deberes que PIPEDA no tiene en absoluto: el círculo asistencial, el lockbox, el deber de registrar cada acceso a una historia electrónica y un informe al comisionado provincial. Sección 04.

Colegios profesionales

La llevanza de historias, y no está en la ley

Cuánto tiempo conserva una historia, qué tiene que contener y qué pasa cuando cierra una consulta los fija su colegio : el CPSO, el CPSA, el CPSBC, el CRPO, el colegio provincial de psicólogos, de trabajadores sociales, de enfermería. Difieren por provincia y por profesión.

Por qué importa: el plazo de conservación de su contrato casi nunca es un número de la ley de privacidad. Columbia Británica está en 16 años desde la última anotación; Alberta en 10. Las dos son fechas calculadas, no tecleadas. Sección 06.

El carril de facturación provincial

OHIP, MSP, AHCIP y los demás

Los servicios asegurados se facturan a un plan provincial —OHIP en Ontario, MSP a través de Teleplan en Columbia Británica, AHCIP en Alberta—, cada uno con su propio formato de envío, su propio proceso de conformidad de proveedores y su propio ciclo de conciliación.

Por qué importa: no estamos en ninguno de ellos. Eso es una frontera, no un pendiente, y la sección 09 dice exactamente dónde duele y dónde no.

La versión corta, para quien decide si seguir leyendo

Si lleva una consulta de pago privado, de seguro complementario, de EAP, financiada por el empleador o de atención virtual —psicoterapia, counselling, psicología, la mayor parte de las profesiones sanitarias afines—, todas las obligaciones de esta página son obligaciones que podemos cumplir o superar, y el argumento de privacidad es aquí inusualmente fuerte porque el software corre en su propia infraestructura, así que la cuestión transfronteriza no llega a plantearse. Si su modelo de ingresos es facturar un servicio asegurado a un plan provincial, lea primero la sección 09: no podemos presentar esa reclamación, y ninguna cantidad de arquitectura de privacidad lo cambia.

02 — El mapa

Qué ley y qué comisionado, según dónde ejerza

Lea su propia fila y no haga caso del resto. La columna de la derecha es la oficina que recibiría una queja sobre usted y, en casi todas estas provincias, un informe de vulneración.

Dos cosas que esta tabla deliberadamente no hace. No le dice si su consulta concreta es un «custodian» o un «trustee» según su ley; eso depende de su profesión y de cómo esté organizado, y es una pregunta para un abogado. Y no lista su colegio, porque el colegio depende de su profesión y no de su provincia.

Dónde ejerce	La ley de información sanitaria	Quién la supervisa
Ontario	Personal Health Information Protection Act, 2004 (PHIPA), con la O. Reg. 329/04	Information and Privacy Commissioner of Ontario
Alberta	Health Information Act (HIA); Alberta PIPA para el resto del sector privado	Office of the Information and Privacy Commissioner of Alberta
Columbia Británica	Sin ley sanitaria separada para el sector privado: Personal Information Protection Act (PIPA)	Office of the Information and Privacy Commissioner for BC
Saskatchewan	Health Information Protection Act (HIPA)	Saskatchewan Information and Privacy Commissioner
Manitoba	Personal Health Information Act (PHIA)	Manitoba Ombudsman
Québec	Law 25 (sector privado), y Law 5 — la ley sobre la información de salud y de servicios sociales	Commission d'accès à l'information
New Brunswick	Personal Health Information Privacy and Access Act (PHIPAA)	NB Ombud / Access to Information and Privacy Commissioner
Nova Scotia	Personal Health Information Act (PHIA)	Office of the Information and Privacy Commissioner for Nova Scotia
Newfoundland and Labrador	Personal Health Information Act (PHIA)	Office of the Information and Privacy Commissioner
Prince Edward Island	Health Information Act (HIA)	PEI Information and Privacy Commissioner
Yukón, NWT, Nunavut	Legislación territorial de información sanitaria donde esté aprobada; PIPEDA para la actividad comercial en los demás casos	Comisionado territorial y/o la OPC
En cualquier sitio, para datos que cruzan una frontera	PIPEDA gobierna la información personal que se mueve entre provincias o fuera de Canadá en el curso de una actividad comercial	Office of the Privacy Commissioner of Canada

«Sustancialmente similar» es una expresión más estrecha de lo que parece

El gobierno federal ha declarado un puñado de leyes sanitarias provinciales sustancialmente similares a PIPEDA para la información sanitaria en manos de custodians — Ontario, New Brunswick, Nova Scotia y Newfoundland and Labrador — y las leyes generales de sector privado de Québec, Columbia Británica y Alberta para la actividad comercial en general. La HIA de Alberta no está en esa lista, lo que no la hace más débil; hace que la interacción entre la HIA y PIPEDA sea una pregunta que conviene poner a un abogado en lugar de darla por supuesta.

Qué significa en la práctica: PIPEDA nunca deja de importar. Incluso en Ontario, en cuanto la información cruza una frontera provincial o sale del país en el curso de una actividad comercial, la ley federal entra en juego junto a la provincial.

03 — PIPEDA

Los diez principios, y qué hace el software con cada uno

El Schedule 1 de PIPEDA es el código modelo de la Canadian Standards Association, escrito como diez principios. Son obligaciones de su organización, no de su software, pero ocho de los diez son obligaciones que un sistema o bien sostiene o bien hace imposibles en silencio.

Lea la columna de estado, no solo la marca. Uno de ellos es un parcial honesto y cuatro son «el mecanismo es nuestro, el texto es suyo». Están marcados como tales.

✓ConstruidoEstá ya en la plataforma y se puede demostrar sobre un sistema vivo. ⚙Construido: usted fija el valorEl mecanismo existe; el número, el texto o la política son suyos. No es una carencia. ◐Construido en parteFalta algo de verdad. La columna de la derecha dice exactamente qué. §El principio pide menosNo falta nada. La obligación es organizativa, o la ley llega al mismo sitio por otro camino. ✗No construidoAusente, y no a un ajuste de distancia. La sección 09 es donde están.

Principio	Estado	Qué pide, y qué ocurre aquí
1 · Responsabilidad	⚙	Una organización responde de la información bajo su control y debe designar a alguien responsable del cumplimiento. El registro de designaciones está construido : los papeles con nombre llevan personas con nombre y fechas de efecto, y el registro no cambia de manos en silencio. A quién designe es cosa suya. El registro guarda también los acuerdos con quien trate información por cuenta de usted, que son las mismas pruebas que pide un comisionado tras un incidente.
2 · Identificación de las finalidades	⚙	Las finalidades deben identificarse en el momento de la recogida o antes. La finalidad es un campo almacenado en cada comunicación de datos, no una nota libre, así que «por qué salió esto de la consulta» se puede responder por documento en lugar de reconstruirse. Las palabras que use al recoger son suyas, y su sitio es el registro de políticas.
3 · Consentimiento	◐	Hacen falta conocimiento y consentimiento para la recogida, el uso y la comunicación, salvo donde la ley permita otra cosa. El consentimiento como base de una comunicación está construido : una comunicación registra su base, y donde la base es el consentimiento lleva la referencia a la autorización. Lo que falta es el lado de la retirada como objeto de primera clase: una instrucción del paciente que restrinja una historia concreta para un uso concreto, viviendo en la propia historia y aplicada en el momento de la lectura. Eso es el lockbox, y es la sección 05.
4 · Limitación de la recogida	§	Recoja solo lo necesario. Ningún software puede limitar lo que un clínico decide preguntar, y un sistema que dijera lo contrario estaría vendiendo de más. Lo que sí hace la plataforma es que los formularios sean suyos de definir, así que la versión más corta de un formulario es una configuración y no un cambio de código.
5 · Limitación del uso, la comunicación y la conservación	✓	Este es el principio en torno al cual se construyó la arquitectura. El acceso sigue a la relación de tratamiento: un documento clínico lo puede leer alguien con una relación asistencial vigente con ese paciente, y la relación lleva una fecha de inicio, una fecha de fin y un periodo de gracia, así que el acceso termina solo en lugar de cuando alguien se acuerda de quitarlo. Cada comunicación es un registro con un destinatario, una finalidad y una base. La conservación es un motor, no una convención de carpetas: sección 06.
6 · Exactitud	✓	La información debe ser tan exacta, completa y actualizada como sea necesario. La corrección es una solicitud de primera clase con dueño y reloj, y un documento corregido conserva su versión anterior en lugar de sobrescribirla, que es lo que le permite mostrar qué se corrigió y cuándo, no meramente que ahora está bien.
7 · Salvaguardas	✓	Seguridad adecuada a la sensibilidad de la información. Los documentos clínicos se cifran con una clave de datos por versión envuelta bajo una clave que no está en la base de datos; cada lectura se registra en un rastro de solo anexado y encadenado por hash , así que una entrada borrada o editada rompe la cadena y se ve; el acceso de emergencia es una acción deliberada de rotura de cristal que archiva su propio registro. El análisis de riesgos, la formación del personal y los registros de sanciones que pregunta un comisionado tras un incidente son parte del mismo sistema y no de una carpeta.
8 · Transparencia	⚙	Las políticas y prácticas deben estar fácilmente disponibles. El registro de políticas está construido: las políticas están versionadas, cada versión conserva sus propias fechas de efecto y las versiones sustituidas no se sobrescriben, así que puede responder a «cuál era nuestra práctica en marzo del año pasado», que es la forma que toma la pregunta de verdad. El texto es suyo.
9 · Acceso individual	✓	A petición, hay que informar a la persona de la existencia, el uso y la comunicación de su información y darle acceso, en general en 30 días. Las solicitudes de acceso son registros de primera clase con una fecha legal calculada desde la solicitud, una prórroga registrada por separado para que el expediente muestre cuánto tiempo compró realmente, y un campo de forma y formato. La relación de comunicaciones se genera a partir del registro de comunicaciones en lugar de montarse a mano.
10 · Impugnación del cumplimiento	✓	Una persona debe poder impugnar el cumplimiento ante el responsable. Las quejas de privacidad son un registro de primera clase con dueño, reloj y resultado registrado —no una bandeja de entrada— y se conservan lo bastante como para responder a una pregunta de patrón y no a un incidente suelto.

04 — Ontario, en detalle

PHIPA, porque es el mercado mayor y la plantilla más estricta

Ontario merece leerse aunque usted no ejerza allí. La PHIPA es la más exigente de las leyes sanitarias provinciales en los dos puntos que decide el software — registrar cada acceso a una historia electrónica, y el lockbox —, así que un sistema construido para satisfacer a Ontario satisface en general a los demás. El vocabulario de abajo es el de Ontario; Alberta dice affiliate donde Ontario dice agent; Saskatchewan dice trustee donde Ontario dice custodian, y la forma es la misma.

Una sola definición decide todo su conjunto de obligaciones. A health information custodian es la consulta. Un agent actúa por cuenta del custodian. Un electronic service provider suministra el sistema sin mirar la información, y cuando ese proveedor permite que dos o más custodians compartan información electrónicamente se convierte en un health information network provider, con una lista concreta de deberes en el artículo 6(3) de la O. Reg. 329/04.

Qué pide la PHIPA	Estado	Qué ocurre aquí
Custodians, agents y autoridad	⚙	Un agent solo puede manejar información según lo permitido por el custodian. La autorización de acceso es un registro explícito y con fecha que nombra quién puede hacer qué, así que «quién estaba autorizado a ver esto en febrero» tiene una respuesta que no depende del estado actual del sistema. A quién nombre es cosa suya.
El círculo asistencial: consentimiento implícito para prestar asistencia sanitaria	✓	La PHIPA permite a los custodians presumir consentimiento implícito para compartir con el fin de prestar asistencia sanitaria a ese paciente. Esta es la forma exacta del modelo de relación asistencial: las relaciones de tratamiento, de supervisión y administrativas son clases distintas, cada una con fecha de inicio, fecha de fin y periodo de gracia, y el acceso de lectura se deriva de ellas en lugar de concederse como rol. La pertenencia al círculo es, por tanto, un hecho con fechas, que es lo que un comisionado pide ver.
El lockbox: instrucción expresa, s. 20(2) y s. 37(1)(a)	◐	Genuinamente ausente, y la mayor carencia de esta página. Un paciente puede instruir a un custodian para que no comparta parte de su historia dentro del círculo asistencial. Hoy esa instrucción se puede anotar y las personas pueden respetarla; no es un objeto en la historia que aplique el camino de lectura. La sección 05 expone qué significa construirlo.
Decirle al destinatario que se retuvo algo	◐	Cuando un lockbox detiene una comunicación, el custodian debe decirle al custodian receptor que se le ha impedido comunicar todo lo razonablemente necesario, para que el destinatario sepa que el cuadro está incompleto. Ese aviso es parte de la misma pieza que falta, y es la mitad que la gente olvida.
s. 10(1) — prácticas de información establecidas	⚙	Un custodian debe tener prácticas de información que cumplan la ley, y una declaración pública escrita que las describa. El registro versionado de políticas las guarda; las palabras son suyas.
s. 12(1) — medidas razonables de protección	✓	Cifrado en reposo con claves fuera de la base de datos, acceso cerrado por defecto derivado de las relaciones asistenciales, un registro de accesos de solo anexado, la rotura de cristal como acción registrada y no como una contraseña compartida, y un análisis de riesgos documentado. Sección 03, principio 7.
s. 12(2) — avisar a la persona en la primera ocasión razonable	✓	El registro de la vulneración lleva a las personas afectadas, qué estuvo implicado, si los datos estaban cifrados, si las claves quedaron comprometidas y la propia notificación como un paso con fecha, de modo que el expediente responde a «cuándo se lo dijimos» y no a «creemos que se lo dijimos».
s. 12(3) — informar de la vulneración al comisionado	◐	Ciertas vulneraciones deben informarse a la IPC. El registro de la vulneración existe y guarda todo lo que necesita el informe; lo que falta es la lista de disparadores de Ontario evaluada sobre el registro, y el informe en sí como artefacto producido. Hoy es una persona leyendo el registro y rellenando el formulario de la IPC. Sección 07.
Estadísticas anuales de vulneraciones al comisionado	◐	Los custodians siguen estadísticas de vulneraciones por año natural e informan a la IPC de las cifras del año anterior cada marzo, incluidas las vulneraciones que nunca alcanzaron el umbral de notificación. Los registros subyacentes existen y están categorizados; el recuento anual no se produce por usted. Es un trabajo pequeño, y del tipo que se olvida en febrero, que es el argumento para construirlo en lugar de acordarse de él.
s. 52–55 — acceso y corrección	✓	Acceso en 30 días, prorrogable; corrección con derecho a adjuntar una declaración de desacuerdo cuando el custodian la deniegue. Las dos son solicitudes de primera clase con fechas legales calculadas, y una denegación tiene que registrar su motivo en lugar de simplemente cerrarse.
O. Reg. 329/04 s. 6(3) — registro de accesos, en una historia electrónica	✓	Las historias guardadas electrónicamente deben conservar un registro electrónico de quién accedió a qué y cuándo. Este es el registro de accesos encadenado por hash, y es el artefacto más útil en una investigación PHIPA: responde a la pregunta del fisgoneo — ¿miró un empleado a un paciente con el que no tenía relación? — como una consulta y no como una inferencia.
Deberes del health information network provider	◐	Si despliega la plataforma de modo que dos o más custodians compartan información a través de ella, el artículo 6(3) añade deberes: acuerdos escritos, una evaluación de amenazas y riesgos y una evaluación de impacto en la privacidad puestas a disposición de los custodians, una descripción del servicio en lenguaje claro, un informe anual escrito sobre los accesos y aviso rápido de las vulneraciones. Las pruebas subyacentes —el análisis de riesgos, los registros, los registros de vulneraciones— existen. La declaración de prácticas del HINP y el informe anual no existen como documentos. Una instalación de una sola consulta no plantea esto en absoluto.
Conservación, transferencia y eliminación	⚙	Las historias deben conservarse, transferirse y eliminarse de forma segura. El motor de conservación calcula las fechas de eliminación y la eliminación destruye la clave en lugar de esperar que se encontraran todas las copias; los plazos en sí son suyos de fijar, porque en Canadá vienen de su colegio. Sección 06.

05 — El lockbox

El único concepto canadiense que la arquitectura todavía no tiene

Todas las demás páginas de jurisdicción de este sitio tienen una sección como esta. Esta es la de Canadá, y merece la pena ser preciso, porque es lo que va a preguntar un comprador de Ontario bien preparado.

Qué pide la ley

Un paciente puede vallar parte de su propia historia

Bajo la PHIPA un paciente puede dar una instrucción expresa de que parte de su información no se use ni se comunique para prestar asistencia sanitaria, incluso dentro del círculo asistencial, incluso a un clínico que de otro modo tendría derecho a ella. La HIA de Alberta llega a un sitio parecido a través de un deseo expresado. No es una baja de la historia; es una valla alrededor de una parte de ella.

Y hay un segundo deber: cuando la valla detiene una comunicación, hay que decirle al destinatario que se ha retenido algo; no qué, sino que el cuadro está incompleto.

Qué existe hoy

Todo aquello a lo que se engancharía la valla

Los documentos son individualmente direccionables e individualmente cifrados. El acceso ya se deriva en el momento de la lectura de la relación asistencial en lugar de concederse como rol estático. Cada lectura ya queda registrada. Las comunicaciones ya llevan una base y una finalidad.

Que es de lo que se trata: el lockbox no es una reconstrucción. Es un objeto de restricción sobre la historia más una comprobación en un camino de lectura que ya existe y que ya es la única entrada.

Qué significa construirlo

Cuatro piezas, ninguna grande

Una instrucción del paciente con un alcance, una fecha y un canal registrado; su aplicación en el camino de lectura del documento, para que vincule sea quien sea el que pregunte; el aviso de retención como artefacto generado; y la anulación, porque un lockbox cede ante una exigencia legal, y una anulación debe archivar su propio registro igual que ya hace la rotura de cristal.

Su sitio es un paquete canadiense, junto al calendario de conservación y los dos flujos de vulneración, del mismo modo que los paquetes del RGPD, del Reino Unido y de Estados Unidos se apoyan en el núcleo compartido.

Lo que no vamos a afirmar

Que una nota en un campo sea un lockbox

Hoy una consulta puede registrar la instrucción y respetarla por disciplina, y muchas consultas canadienses funcionan exactamente así con su sistema actual. Esa es una respuesta real, y es lo que diríamos en un concurso.

No es lo que vamos a llamarlo. Un control que aplican las personas no es un control que aplica el software, y un comprador al que le dicen lo contrario se entera durante una revisión de la IPC.

06 — Conservación

El motor está construido; los números canadienses son suyos, y aquí está el porqué

En Alemania el plazo de conservación viene de la ley. En el Reino Unido viene de un código nacional de práctica. En Canadá viene de su colegio profesional, lo que significa que cambia con la profesión además de con la provincia: un psicólogo, un médico y un psicoterapeuta registrado en el mismo edificio pueden estar en tres relojes distintos.

Así que la plataforma entrega el mecanismo y no los números, y esa es una elección deliberada y no una omisión.

La forma de la regla	Estado	Qué significa, y dónde la usa Canadá
Un número fijo de años desde el archivado	✓	El caso simple: registros financieros, formularios de consentimiento, documentos administrativos.
Años desde el último contacto	✓	La forma clínica canadiense común. El colegio de médicos y cirujanos de Columbia Británica está en 16 años desde la última anotación; el de Alberta en 10 años desde la última fecha en que se vio al paciente. El «último contacto» se calcula a partir de las relaciones asistenciales y de la actividad sobre la historia, no lo teclea una persona al cerrar.
Hasta que el paciente alcanza la mayoría de edad, más años	✓	La regla de los menores, y la que fallan los calendarios llevados a mano. Los colegios canadienses suelen extender la historia de un menor bastante más allá del periodo adulto: Columbia Británica hasta los 35, Alberta hasta dos años después de los 18, otros hasta los 21. La mayoría de edad se fija por regla, no por sistema, porque difiere entre provincias (18 o 19) y una consulta de grupo puede guardar historias bajo más de una.
Años tras el fallecimiento	✓	Corre desde la fecha de defunción registrada, y prevalece cuando la regla del colegio dice que se aplica el menor de los dos.
Un calendario canadiense, entregado como datos	◐	No se entrega. El paquete británico entrega el calendario del NHS como filas porque hay un único calendario nacional que entregar. Canadá no tiene un calendario único que entregar, así que hoy una instalación canadiense introduce sus propias reglas, y preferimos decirlo a fingir que una matriz de provincia y profesión mantenida por nosotros es más segura que una que haya firmado su responsable de privacidad.
Retención legal	✓	Una historia bajo retención no llega a la eliminación, diga lo que diga su regla, y la retención es a su vez un registro con fecha y motivo. Esto importa más en Canadá que en otros sitios, porque una investigación de un colegio puede durar más que un plazo de conservación.
Una eliminación que elimina de verdad	✓	La eliminación destruye la clave en lugar de borrar filas y esperar que se llegara a todas las copias. El rastro de auditoría del documento sobrevive al documento, que es el orden correcto, porque la prueba de que usted eliminó una historia correctamente debe durar más que la historia.

Qué hacer en la implantación

Traiga a la sesión de configuración el estándar de conservación de historias de su colegio, no la ley de privacidad. Todos los plazos de esta página vinieron de un colegio o de un organismo profesional, y si guarda historias de más de una profesión acabará con más de una regla. Es normal, está soportado y es mucho mejor que un único número conservador que lo guarda todo 30 años y convierte su almacén de historias en un pasivo.

07 — Cuando algo se escapa

Dos relojes, y no son el mismo reloj

Una clínica canadiense puede estar bajo un deber de notificación federal y otro provincial por el mismo incidente, con umbrales distintos, destinatarios distintos y llevanza de registros distinta. Aquí es donde el tratamiento canadiense de las vulneraciones es realmente más difícil que el americano o el británico, y merece la pena recorrerlo con un comprador a propósito.

Federal · PIPEDA

Riesgo real de daño significativo

Una vulneración de las salvaguardas de seguridad debe informarse a la Office of the Privacy Commissioner of Canada, y hay que notificar a las personas afectadas tan pronto como sea factible después de que usted determine que crea un riesgo real de daño significativo. El criterio depende de la sensibilidad de la información y de la probabilidad de un mal uso, y la información sanitaria es casi lo más sensible que puede valorarse.

Y, por separado: debe conservar un registro de toda vulneración de las salvaguardas de seguridad durante 24 meses, fuera notificable o no, y producir esos registros ante la OPC cuando lo pida.

Provincial · PHIPA, Ontario

Avisar al paciente, informar a la IPC, contar el año

Tres deberes separados. Avise a la persona afectada en la primera ocasión razonable. Informe a la Information and Privacy Commissioner of Ontario cuando la vulneración caiga en una de las circunstancias previstas. Y siga las estadísticas del año natural e informe de las cifras del año anterior cada marzo , incluidas las vulneraciones que nunca cruzaron el umbral de notificación.

Otras provincias difieren. La HIA de Alberta lleva su propio deber de notificación al comisionado y al ministro; varias otras provincias tienen los suyos. Su fila de la sección 02 es el punto de partida.

Qué hace la plataforma

Un registro, y las preguntas incómodas hechas por adelantado

Una vulneración es un registro desde el momento en que se descubre, y lleva cuándo ocurrió, cuándo se tuvo conocimiento, quién la encontró, qué documentos y qué personas estuvieron implicados y —los dos campos que deciden la mayoría de las valoraciones canadienses— si los datos estaban cifrados y si las claves quedaron comprometidas. Las medidas de mitigación y las notificaciones cuelgan del mismo registro con sus propias fechas.

Como el registro de accesos es de solo anexado y está encadenado por hash, la pregunta del alcance — qué se abrió realmente — se responde desde pruebas en lugar de estimarse.

Qué falta

Los formularios canadienses, y el recuento anual

El registro guarda todo lo que piden los dos reguladores. Lo que no hace es evaluar por usted los umbrales canadienses —la valoración de riesgo real de daño significativo a nivel federal, las circunstancias previstas en Ontario— ni producir ninguno de los dos escritos como artefacto, ni contar el año natural para el informe de marzo.

Hoy eso es una persona leyendo un registro completo y rellenando un formulario. Es viable, y es materialmente mejor que montar los hechos desde el correo. Sigue siendo trabajo que deberíamos estar haciendo por usted, y su sitio es un paquete canadiense junto al lockbox y el calendario de conservación.

08 — Dónde viven los datos

La pregunta que hace todo comprador canadiense, y la razón de que la respondamos con facilidad

Los compradores sanitarios canadienses preguntan por la residencia de los datos antes y con más insistencia que los compradores de cualquier otro sitio de este sitio web, normalmente en la primera reunión. La posición jurídica honesta tiene más matices que el folclore, y la arquitectura hace irrelevante el matiz.

La creencia	Qué ocurre en realidad
«Los datos sanitarios canadienses tienen que quedarse en Canadá.»	En general no es cierto como regla general para una clínica privada. PIPEDA no prohíbe las transferencias; le hace responsable de la información que transfiere a un encargado y exige una protección comparable por contrato. Casi todas las leyes sanitarias provinciales adoptan un enfoque parecido para los custodians privados.
«Columbia Británica lo exige.»	Lo exigía, y cambió. El requisito de la FIPPA de que los organismos públicos almacenen y accedan a la información personal solo en Canadá fue derogado en noviembre de 2021 y sustituido por una obligación de evaluación. Además, la FIPPA gobierna organismos públicos y no clínicas privadas.
«Nova Scotia lo exige.»	Para los organismos públicos y sus proveedores de servicios, en términos generales sí : la PIIDPA restringe el almacenamiento y el acceso fuera de Canadá, con un reemplazo modernizado que no entra en vigor hasta 2027. Si contrata con un organismo público de Nova Scotia, esta es una restricción viva para sus proveedores, no solo para usted.
«Québec lo exige.»	No como prohibición, pero la Law 25 exige una evaluación antes de que la información salga de Québec, y la transferencia solo puede seguir adelante si esa evaluación muestra una protección adecuada. En la práctica es un documento que usted tiene que poder producir.
«Entonces un producto en la nube vale.»	Jurídicamente, a menudo sí. Comercialmente, sigue siendo la objeción en la que gastará la reunión , y con un comprador del sector público o vinculado a un hospital puede ser decisiva al margen de lo que diga la ley.

Por qué esta sección es corta para nosotros

La plataforma se despliega en la infraestructura que usted elija, con una base de datos separada por organización. Póngala en un servidor canadiense, o en su propio edificio, y la cuestión de la transferencia transfronteriza no se plantea: no hay transferencia que evaluar, ni encargado con el que contratar, ni proveedor guardando las historias de sus pacientes. Esa es una respuesta más fuerte que la que puede dar cualquier competidor alojado de este mercado, y en Canadá merece la pena empezar por ella.

El corolario también es honesto: la seguridad de esa instalación es entonces realmente suya. La sección 14 dice qué significa eso en la práctica.

09 — La frontera

Qué no podemos hacer en Canadá, dicho con claridad y pronto

Esta es la sección que decide la mayoría de las operaciones canadienses, y su sitio es este y no una nota al pie. Nada de esto es un pendiente que llega el trimestre que viene. Cada punto es un carril nacional o provincial con su propio proceso de conformidad, y estar fuera de ellos es un hecho sobre el producto hoy.

El carril	Estado	Qué es, y a quién le duele
Facturación al seguro provincial: OHIP, MSP/Teleplan, AHCIP y los demás	✗	No podemos presentar una reclamación de servicio asegurado a un plan provincial. Cada provincia tiene su propio formato de envío, su propio proceso de proveedores y su propio ciclo de remesas y conciliación. Si sus ingresos se facturan a un plan provincial, esto es descalificante y preferimos que lo sepa en la primera reunión. Si su trabajo es de pago privado, de seguro complementario, financiado por el empleador, de EAP o de terceros —que describe a la mayor parte de la psicoterapia, el counselling y buena parte de las profesiones sanitarias afines en Canadá—, no le cuesta nada, porque eso son facturas y la plataforma hace bien las facturas.
Visores y repositorios provinciales de historia electrónica	✗	connectingOntario y OLIS en Ontario, Netcare en Alberta, CareConnect en Columbia Británica, los sistemas provinciales en otros sitios. Son integraciones condicionadas por la incorporación provincial, la federación de identidad y las pruebas de conformidad. No estamos conectados a ninguna de ellas, así que los resultados de laboratorio, el historial de dispensación de medicamentos y los informes hospitalarios no entran.
Programas de certificación de EMR	✗	La especificación de EMR de Ontario y los programas provinciales de certificación que la acompañan existen para calificar un producto como EMR de atención primaria, a veces con financiación adjunta. No estamos certificados, y no somos un EMR de atención primaria. Para una consulta médica eso es decisivo; para una consulta de psicoterapia o de profesiones afines normalmente no es ni siquiera relevante.
Receta electrónica	✗	PrescribeIT y los sistemas provinciales de información de medicamentos. Ni prescripción, ni transmisión a una farmacia, ni comprobación de interacciones. Una consulta que prescribe necesita otro sistema para esa parte de su trabajo.
Interoperabilidad pancanadiense: CA Core+ / FHIR	◐	La dirección nacional es basada en FHIR, con un conjunto de perfiles de referencia canadiense. La plataforma tiene una API y registros estructurados; no implementa los perfiles FHIR canadienses y no ha pasado por ninguna prueba de conformidad. Marcado como parcial y no como ausente porque la carencia es trabajo de perfiles sobre una interfaz que existe, no una interfaz que falta, pero nadie debería leer eso como «soportado».
El propio paquete de jurisdicción canadiense	◐	El núcleo compartido lleva lo que necesita toda jurisdicción, y los paquetes del RGPD, del Reino Unido y de Estados Unidos se apoyan en él. Todavía no hay un paquete canadiense , así que el lockbox (sección 05), el calendario de conservación (sección 06), los dos escritos de vulneración y el recuento anual (sección 07) y los registros de Québec (sección 10) son hoy configuración y disciplina en lugar de software. Todo aquello a lo que se engancharían ya existe.

Cómo usar esta sección

Dos preguntas deciden si el resto de la página importa. ¿Factura usted a un plan provincial por servicios asegurados? Y ¿necesita que los resultados de laboratorio y los informes hospitalarios lleguen electrónicamente? Si las dos respuestas son no —y para muchísimas consultas canadienses de salud mental, counselling y profesiones afines las dos respuestas son no—, nada de esta lista le cuesta nada, y la posición de privacidad de la sección 08 es la más fuerte disponible en el mercado.

10 — Québec

Una jurisdicción aparte en todos los sentidos que importan aquí

Québec no es «Canadá más francés». Tiene su propia ley de privacidad, su propia ley de información sanitaria, su propio regulador y su propia ley lingüística, y un plan de implantación canadiense que lo trate como una provincia más fallará en la primera auditoría.

Law 25

La ley del sector privado, y lo más parecido a un RGPD que tiene Canadá

Escalonada desde 2022 y completa desde septiembre de 2024. Una persona designada responsable de la privacidad. Un registro de incidentes de confidencialidad. Evaluaciones de impacto en la privacidad antes de un proyecto de sistema de información. Consentimiento granular, finalidad por finalidad, con consentimiento expreso para la información sensible, y la información sanitaria es sensible por definición. Derechos de acceso, rectificación, portabilidad y desindexación. Sanciones que están órdenes de magnitud por encima del resto de Canadá.

Law 5

La ley de información sanitaria, en vigor desde 2024

La ley sobre la información de salud y de servicios sociales entró en vigor por fases desde julio de 2024 y se aplica a las clínicas —incluidas las clínicas médicas y dentales privadas— con obligaciones que no se limitan a reflejar la Law 25. Está diseñada para proteger los datos de salud y a la vez hacer que circulen con seguridad dentro del sistema sanitario, lo que significa deberes en las dos direcciones.

Esta es la sección que hay que poner a un abogado de Québec antes de presupuestar a una clínica quebequesa. Es nueva, sus reglamentos todavía se están asentando, y no vamos a resumirla como si estuviera asentada.

Qué le da ya la plataforma

Más de lo que cabría esperar

El registro de incidentes es el registro de vulneraciones. La persona designada es el registro de designaciones. El acceso, la rectificación y la vía de queja son solicitudes de primera clase. La portabilidad tiene una respuesta real —la maquinaria de exportación construida para el RGPD es neutral respecto a la jurisdicción— y también la supresión, porque la eliminación destruye la clave en lugar de borrar una fila.

Las piezas realmente con forma quebequesa son la evaluación de impacto en la privacidad como registro y la evaluación de transferencia antes de que la información salga de la provincia. Hoy no existe ninguna de las dos como objeto.

La obligación lingüística

El francés no es un extra agradable en Québec

La Carta de la Lengua Francesa, en su redacción modificada, exige el francés en las relaciones con consumidores y en el trabajo, y una versión francesa de la presencia digital de una empresa. Para el software eso alcanza a la interfaz que su personal y sus pacientes usan de verdad.

Dónde estamos: la plataforma funciona en francés, y las guías de este sitio tienen edición francesa. Lo que no se ha hecho es una revisión del vocabulario clínico quebequés : la diferencia entre un francés correcto y el francés que un clínico de Québec espera leer. Sección 11.

11 — Idioma y accesibilidad

Dos obligaciones que no son de privacidad, y que se olvidan

Obligación	Estado	Qué significa aquí
Francés, en Québec	⚙	La interfaz, el portal de cara al paciente y los documentos que envíe necesitan versión francesa. La plataforma es totalmente traducible y viene con francés; las plantillas y el lenguaje clínico son suyos, y una instalación en Québec debería presupuestar una revisión de vocabulario en lugar de dar por supuesto que el francés entregado se lee como francés de Québec.
Servicio bilingüe, fuera de Québec	⚙	New Brunswick es oficialmente bilingüe, y el trabajo financiado o contratado por el gobierno federal lleva sus propias obligaciones lingüísticas. La misma maquinaria de traducción lo cubre; qué idiomas active es una configuración.
AODA — sitios web accesibles, Ontario	◐	Las organizaciones de Ontario por encima del umbral de pequeño empleador tienen que cumplir el WCAG 2.0 nivel AA en los sitios y contenidos web públicos desde enero de 2021. Esto alcanza a su portal de pacientes y a sus páginas de reserva, que son contenido web público. El portal de la plataforma está construido con componentes web estándar y semánticos y está en un estado razonable; no ha sido auditado formalmente contra WCAG 2.0 AA, y no vamos a afirmar una conformidad que no hemos probado.
Accessible Canada Act	§	Se aplica a organizaciones reguladas federalmente. Una clínica privada está regulada provincialmente y en general queda fuera, pero una clínica que preste servicios bajo contrato federal debería comprobarlo en vez de suponerlo.

12 — CASL

La ley antispam, porque los recordatorios de cita viven al lado del marketing

La Canada's Anti-Spam Legislation gobierna los mensajes electrónicos comerciales, y es más estricta de lo que esperan casi todas las clínicas: el consentimiento debe ser expreso o caer dentro de una categoría implícita definida, todo mensaje debe identificar al remitente y llevar una baja que funcione, y las sanciones son sustanciales.

Qué pide la CASL	Estado	Qué ocurre aquí
Separar un mensaje de servicio de un mensaje de marketing	✓	Las preferencias de comunicación se guardan por persona y por canal, y la vía transaccional —confirmaciones de cita, recordatorios, avisos de documentos seguros— es una vía distinta de la de marketing. Un paciente que se da de baja de un boletín sigue recibiendo el aviso de que su cita ha cambiado.
Registrar cómo se obtuvo el consentimiento	⚙	El consentimiento se guarda contra el contacto con su canal y su fecha. Probar el consentimiento es toda la defensa en la CASL, así que la disciplina de capturarlo en el momento de la recogida vale más que cualquier función.
Identificación y baja en cada mensaje	⚙	Las plantillas las llevan; los datos del remitente y el texto son suyos, y les corresponde estar en la misma revisión que su política de privacidad.

13 — Dónde somos más fuertes

Cuatro cosas que un comprador canadiense debería poner en el otro platillo

La sección 09 es deliberadamente poco halagüeña. Esta es la otra mitad de la misma honestidad.

La residencia, resuelta estructuralmente

No sale nada, porque no hay adónde

La instalación es suya. No hay un espacio del proveedor guardando historias de pacientes canadienses, ni transferencia transfronteriza que evaluar bajo la Law 25, ni acuerdo de encargo que negociar. En un mercado donde esta es la primera pregunta, es la respuesta más fuerte disponible, y es arquitectónica en lugar de contractual.

La pregunta del fisgoneo

Un registro de accesos que la responde como una consulta

El incidente característico de privacidad sanitaria en Canadá no es un pirata informático; es un empleado mirando una historia en la que no tenía nada que hacer. Como el acceso se deriva de relaciones asistenciales con fecha y cada lectura se escribe en un rastro de solo anexado y encadenado por hash, «quién miró a este paciente sin tener relación con él» es una consulta y no una investigación. Casi ningún sistema de este mercado puede responderla siquiera.

Una eliminación que puede probar

Destruir la clave, no borrar la fila

La eliminación segura es una obligación del colegio tanto como de privacidad, y el fallo habitual es una copia de seguridad a la que nadie llegó. Aquí se destruye la clave de la historia y el rastro de auditoría de la eliminación sobrevive a la historia, que es la prueba que un colegio pide de verdad.

Un sistema, no cinco

Reservas, notas, documentos, facturación, portal y pagos

Una consulta de grupo canadiense típica usa una herramienta de reservas, una de notas, un almacén de ficheros compartido, un paquete contable y un procesador de pagos, y los concilia a mano. La exposición de privacidad de ese conjunto es mayor que la de cualquiera de sus partes, y consolidarlo es un argumento de privacidad tanto como de eficiencia.

14 — Lo que queda de su lado

Las obligaciones que ningún software lleva, en Canadá ni en ningún sitio

Todas las páginas de este sitio terminan aquí, y la lista es deliberadamente corta y deliberadamente directa.

Suyo	Por qué no puede ser nuestro
Ser el custodian, el trustee o la persona responsable	La ley nombra a la consulta y, en casi todas las provincias, a una persona concreta dentro de ella. Un proveedor no puede ocupar ese papel por usted y ningún contrato lo transfiere.
Las palabras de su política de privacidad y de sus formularios de consentimiento	Describen lo que hace usted . Nosotros los guardamos, los versionamos y conservamos los sustituidos; no los escribimos, y una plantilla que su responsable de privacidad no ha leído es peor que ninguna.
Los plazos de conservación	Vienen de su colegio. Sección 06.
Decidir si una vulneración es notificable	El juicio de riesgo real de daño significativo a nivel federal, y las circunstancias previstas a nivel provincial, son valoraciones sobre sus pacientes y su contexto. Le damos un registro completo desde el que hacer el juicio; el juicio es suyo.
Asegurar la instalación	El corolario de llevarla usted mismo. Los parches, las copias de seguridad, las pruebas de restauración, la seguridad de red y el acceso físico a la máquina son suyos, y donde quiera que eso lo lleve otro, es un contrato de operaciones, declarado como tal y no como una nota al pie en una licencia.
Asesoramiento jurídico	Nada de esta página es asesoramiento jurídico, y no sustituye a un abogado canadiense. Es un mapa de lo que se aplica y una cuenta honesta de lo que hace el software con cada punto. Las leyes se mueven: la Law 5 es nueva, los reglamentos de Québec todavía se están asentando, y la reforma federal de privacidad lleva años entrando y saliendo del Parlamento.

Cómo se escribió esta página

Las obligaciones están resumidas de las leyes, las guías de los reguladores y los estándares de los colegios nombrados a lo largo de la página, y la columna de estado está escrita contra el código de este repositorio y no contra una hoja de ruta, que es la razón de que cuatro filas digan ◐ y seis digan ✗. Lea esas primero. Si se construye un paquete canadiense, esta página cambia con él y las marcas se mueven; hasta entonces dicen lo que es cierto hoy.

Las fuentes primarias no eran alcanzables desde la máquina en la que se escribió esto. Varios sitios de legislación federal y provincial están bloqueados por la red de aquí, así que las obligaciones de abajo se montaron a partir de material de reguladores y de organismos profesionales en lugar de leerse en la propia ley. Eso vale para un mapa y no vale para un escrito: haga que un abogado canadiense confirme cualquier cosa en la que piense apoyarse, especialmente en Québec, donde la Law 5 es nueva y sus reglamentos todavía se están asentando.