Canada · PIPEDA · PHIPA · HIA · PHIA · Québec Law 25 en Law 5 · provinciale colleges

Canada heeft geen HIPAA. Het heeft één federale wet, een provinciale zorgwet waar u praktiseert, en een college boven op allebei.

Niemand in de Canadese gezondheidszorg wordt door één enkele wet gereguleerd. Een psychotherapiepraktijk in Toronto valt onder PHIPA en onder de Information and Privacy Commissioner of Ontario. Dezelfde praktijk in Calgary valt onder Alberta's HIA. In Vancouver is het PIPA en de OIPC. In Montréal is het Law 25 en Law 5, in het Frans. En op elk van die plekken legt het beroepscollege er dossierregels bovenop die de privacywet nergens noemt.

Deze pagina loopt in gewone woorden na wat er geldt, en zegt bij elke verplichting welk deel de software al doet, welk deel een getal is dat u instelt, en welk deel ontbreekt en waarom. Het hoofdstuk over wat wij niet kunnen staat niet in kleine letters onderaan — het is hoofdstuk 09, en in Canada beslist het de meeste deals voordat er ooit over privacy gesproken wordt.

Praktijkeigenaren en praktijkleiders Praktijkmanagers Privacyfunctionarissen en contactpersonen Exploitanten van groepen, virtuele zorg en EAP's

10+3provincies en territoria 4zorgwetten die als substantially similar zijn aangemerkt 30 dagenom een inzageverzoek te beantwoorden 24 maandenaan inbreukvastleggingen onder PIPEDA 0provinciale declaraties die wij kunnen indienen

Welk regelboek u bindt De kaart, provincie voor provincie De tien beginselen van PIPEDA Ontario in detail De lockbox Hoe lang dossiers bewaard worden Twee klokken bij een inbreuk Waar de gegevens wonen Wat wij niet kunnen Québec Taal en toegankelijkheid CASL en de marketingkant Waar wij sterker zijn Wat bij u blijft

01 — Oriëntatie

Vier regelboeken, en welk boek u bindt hangt af van uw postcode

De veruit meest gemaakte fout in een Canadees softwaregesprek is vragen « bent u HIPAA-conform? » HIPAA is Amerikaans recht en geldt voor een Canadese praktijk helemaal niet. Wat er wél geldt is een stapel, en de bovenkant van die stapel verandert zodra u een provinciegrens oversteekt.

Federaal · PIPEDA

De standaard, en de ondergrens

De Personal Information Protection and Electronic Documents Act gaat over persoonsgegevens die in de loop van commerciële activiteit verzameld worden, en zij draagt tien fair information principles in haar Schedule 1 — verantwoording, doeleinden, toestemming, beperking van de verzameling, beperking van gebruik en bewaring, juistheid, waarborgen, openheid, inzage voor het individu, en het aanvechten van de naleving.

Het deel dat mensen fout doen: PIPEDA geldt tenzij een provinciale wet voor die activiteit als substantially similar is aangemerkt. Het is een terugval, geen vrijstelling — in een provincie zonder eigen zorgwet is PIPEDA het hele regelboek. Hoofdstuk 03.

Provinciale zorgwetten

Het regelboek dat u meestal werkelijk bestuurt

Ontario's PHIPA, Alberta's HIA, Saskatchewans HIPA, Manitoba's PHIA, New Brunswicks PHIPAA, die van Nova Scotia en van Newfoundland & Labrador PHIA, die van Prince Edward Island HIA. Dit zijn geen privacywetten met een hoofdstuk over de zorg — het zijn zorginformatiewetten, geschreven rond een gedefinieerde custodian.

Waarom het uitmaakt: zij dragen plichten die PIPEDA helemaal niet kent — de circle of care, de lockbox, de plicht om elke toegang tot een elektronisch dossier te loggen, en een melding aan de provinciale commissaris. Hoofdstuk 04.

Beroepscolleges

Dossiervoering, en het staat niet in de wet

Hoe lang u een dossier bewaart, wat erin moet staan, en wat er gebeurt wanneer u een praktijk sluit, wordt bepaald door uw college — het CPSO, het CPSA, het CPSBC, het CRPO, het provinciale college van psychologen, van maatschappelijk werkers, van verpleegkundigen. Ze verschillen per provincie én per beroep.

Waarom het uitmaakt: de bewaartermijn in uw contract is vrijwel nooit een getal uit de privacywet. BC zit op 16 jaar na de laatste aantekening; Alberta op 10. Beide zijn berekende datums, geen ingetikte. Hoofdstuk 06.

Het provinciale declaratiespoor

OHIP, MSP, AHCIP, en de rest

Verzekerde zorg wordt bij een provinciaal plan gedeclareerd — OHIP in Ontario, MSP via Teleplan in British Columbia, AHCIP in Alberta — elk met een eigen indieningsformaat, een eigen leveranciersconformiteitstraject en een eigen afstemmingscyclus.

Waarom het uitmaakt: wij rijden op geen enkel daarvan. Dat is een grens, geen achterstand, en hoofdstuk 09 zegt precies waar het pijn doet en waar niet.

De korte versie, voor wie beslist of hij verder leest

Runt u een praktijk op basis van zelfbetaling, aanvullende verzekering, EAP, werkgeversfinanciering of virtuele zorg — psychotherapie, counseling, psychologie, de meeste paramedische zorg — dan is elke verplichting op deze pagina er een die wij kunnen halen of overtreffen, en het privacyargument is hier ongewoon sterk omdat de software op uw eigen infrastructuur draait, zodat de vraag over grensoverschrijding zich nooit voordoet. Is het declareren van verzekerde zorg bij een provinciaal plan uw verdienmodel, lees dan eerst hoofdstuk 09: wij kunnen die declaratie niet indienen, en geen enkele privacyarchitectuur verandert dat.

02 — De kaart

Welke wet, en welke commissaris, naar waar u praktiseert

Lees uw eigen rij en negeer de rest. De rechterkolom is het bureau dat een klacht over u zou ontvangen, en — in de meeste van deze provincies — ook een melding van een inbreuk.

Twee dingen doet deze tabel bewust niet. Zij vertelt u niet of uw eigen praktijk onder uw wet een « custodian » of een « trustee » is; dat hangt af van uw beroep en van hoe u georganiseerd bent, en het is een vraag voor een jurist. En zij noemt uw college niet, want het college hangt af van uw beroep en niet van uw provincie.

Waar u praktiseert	De zorginformatiewet	Wie erop toeziet
Ontario	Personal Health Information Protection Act, 2004 (PHIPA), met O. Reg. 329/04	Information and Privacy Commissioner of Ontario
Alberta	Health Information Act (HIA); Alberta PIPA voor de rest van de private sector	Office of the Information and Privacy Commissioner of Alberta
British Columbia	Geen aparte zorgwet voor de private sector — Personal Information Protection Act (PIPA)	Office of the Information and Privacy Commissioner for BC
Saskatchewan	Health Information Protection Act (HIPA)	Saskatchewan Information and Privacy Commissioner
Manitoba	Personal Health Information Act (PHIA)	Manitoba Ombudsman
Québec	Law 25 (private sector), én Law 5 — de Act respecting health and social services information	Commission d'accès à l'information
New Brunswick	Personal Health Information Privacy and Access Act (PHIPAA)	NB Ombud / Access to Information and Privacy Commissioner
Nova Scotia	Personal Health Information Act (PHIA)	Office of the Information and Privacy Commissioner for Nova Scotia
Newfoundland and Labrador	Personal Health Information Act (PHIA)	Office of the Information and Privacy Commissioner
Prince Edward Island	Health Information Act (HIA)	PEI Information and Privacy Commissioner
Yukon, NWT, Nunavut	Territoriale zorginformatiewetgeving waar die is ingevoerd; anders PIPEDA voor commerciële activiteit	De territoriale commissaris en/of de OPC
Overal, voor gegevens die een grens oversteken	PIPEDA bestuurt persoonsgegevens die in de loop van commerciële activiteit tussen provincies of het land uit bewegen	Office of the Privacy Commissioner of Canada

« Substantially similar » is een nauwer woord dan het klinkt

De federale overheid heeft een handvol provinciale zorgwetten als substantially similar aan PIPEDA aangemerkt voor zorginformatie die door custodians wordt gehouden — Ontario, New Brunswick, Nova Scotia en Newfoundland and Labrador — en Québec, British Columbia en Alberta's algemene wetten voor de private sector voor commerciële activiteit in het algemeen. Alberta's HIA staat niet op die lijst, en dat maakt haar niet zwakker; het maakt de wisselwerking tussen HIA en PIPEDA een vraag die het waard is aan een jurist voor te leggen in plaats van aan te nemen.

Wat het in de praktijk betekent: PIPEDA houdt nooit op ertoe te doen. Zelfs in Ontario is de federale wet naast de provinciale in het spel zodra informatie in de loop van commerciële activiteit een provinciegrens oversteekt of het land uit gaat.

03 — PIPEDA

De tien beginselen, en wat de software met elk ervan doet

Schedule 1 van PIPEDA is de modelcode van de Canadian Standards Association, geschreven als tien beginselen. Het zijn verplichtingen voor uw organisatie, niet voor uw software — maar acht van de tien zijn verplichtingen die een systeem óf ondersteunt óf stilletjes onmogelijk maakt.

Lees de statuskolom, niet alleen het merkteken. Eén ervan is een eerlijk gedeeltelijk, en vier zijn « het mechanisme is van ons, de woorden zijn van u ». Ze staan als zodanig gemarkeerd.

✓GebouwdZit nu in het platform, en is op een draaiend systeem aantoonbaar. ⚙Gebouwd — u stelt de waarde inHet mechanisme bestaat; het getal, de woorden of het beleid zijn van u. Geen tekortkoming. ◐Deels gebouwdEr ontbreekt werkelijk iets. De rechterkolom zegt precies wat. §Het beginsel vraagt minderEr ontbreekt niets. De verplichting is organisatorisch, of de wet komt langs een andere weg op dezelfde plek uit. ✗Niet gebouwdAfwezig, en niet met een instelling te regelen. Hoofdstuk 09 is waar deze staan.

Beginsel	Status	Wat het vraagt, en wat er hier gebeurt
1 · Verantwoording	⚙	Een organisatie is verantwoordelijk voor informatie onder haar zeggenschap en moet iemand aanwijzen die verantwoording aflegt over de naleving. Het aanwijzingsregister is gebouwd — rollen met een naam dragen mensen met een naam en ingangsdatums, en de vastlegging wisselt niet stilletjes van eigenaar. Wie u aanwijst is aan u. Het register bevat ook de overeenkomsten met iedereen die namens u informatie verwerkt, en dat is hetzelfde bewijs waar een commissaris na een incident om vraagt.
2 · Doeleinden benoemen	⚙	Doeleinden moeten bij of vóór de verzameling benoemd worden. Het doel is een opgeslagen veld op elke verstrekking, geen vrij tekstveld, zodat « waarom heeft dit de praktijk verlaten » per document te beantwoorden is in plaats van achteraf gereconstrueerd. De woorden die u bij de verzameling gebruikt zijn van u, en die horen in het beleidsregister.
3 · Toestemming	◐	Voor verzameling, gebruik en verstrekking zijn wetenschap en toestemming vereist, behalve waar de wet anders toestaat. Toestemming als grondslag voor verstrekking is gebouwd — een verstrekking legt haar grondslag vast, en waar die grondslag toestemming is, draagt zij de verwijzing naar de machtiging. Wat ontbreekt is de intrekkingskant als volwaardig object: een instructie van een patiënt die een bepaald dossier voor een bepaald gebruik beperkt, staande op het dossier zelf en afgedwongen bij het lezen. Dat is de lockbox, en dat is hoofdstuk 05.
4 · De verzameling beperken	§	Verzamel alleen wat nodig is. Geen enkele software kan beperken wat een behandelaar besluit te vragen, en een systeem dat beweerde dat wel te doen zou meer beloven dan het waar kan maken. Wat het platform wél doet is de formulieren aan u laten om te bepalen, zodat de kortste versie van een formulier een instelling is in plaats van een codewijziging.
5 · Gebruik, verstrekking en bewaring beperken	✓	Dit is het beginsel waar de architectuur omheen gebouwd is. Toegang volgt de behandelrelatie: een klinisch document is leesbaar voor iemand met een lopende behandelrelatie met die patiënt, en de relatie draagt een begindatum, een einddatum en een coulanceperiode, zodat de toegang vanzelf eindigt in plaats van wanneer iemand eraan denkt haar weg te halen. Elke verstrekking is een vastlegging met een ontvanger, een doel en een grondslag. Bewaren is een motor, geen mappenafspraak — hoofdstuk 06.
6 · Juistheid	✓	Informatie moet zo juist, volledig en actueel zijn als nodig is. Correctie is een volwaardig verzoek met een eigenaar en een klok, en een gecorrigeerd document houdt zijn eerdere versie in plaats van die te overschrijven — en dat is wat u in staat stelt te laten zien wat er gecorrigeerd is en wanneer, en niet alleen dat het nu klopt.
7 · Waarborgen	✓	Beveiliging die past bij de gevoeligheid van de informatie. Klinische documenten worden versleuteld met een gegevenssleutel per versie, ingepakt onder een sleutel die niet in de database zit; elke leesactie wordt in een alleen aangroeiend, hash-geketend spoor gelogd zodat een verwijderde of gewijzigde logregel de keten breekt en zichtbaar wordt; noodtoegang is een bewuste break-glass-handeling die haar eigen vastlegging indient. De registers van risicoanalyse, personeelsopleiding en sancties waar een commissaris na een incident naar vraagt, zijn onderdeel van hetzelfde systeem in plaats van een ordner.
8 · Openheid	⚙	Beleid en werkwijzen moeten gemakkelijk beschikbaar zijn. Het beleidsregister is gebouwd: beleid heeft versies, elke versie houdt haar eigen ingangsdatums, en vervangen versies worden niet overschreven — zodat u « wat was onze werkwijze in maart vorig jaar » kunt beantwoorden, en dat is de vorm waarin de vraag werkelijk gesteld wordt. De tekst is van u.
9 · Inzage voor het individu	✓	Op verzoek moet een individu verteld worden dat zijn informatie bestaat, hoe zij gebruikt en verstrekt is, en moet hem inzage gegeven worden, doorgaans binnen 30 dagen. Inzageverzoeken zijn volwaardige vastleggingen met een wettelijke vervaldatum die uit het verzoek berekend wordt, een verlenging die apart vastgelegd wordt zodat het dossier laat zien hoeveel tijd die verlenging werkelijk opleverde, en een veld voor vorm en formaat. De opgave van verstrekkingen wordt voortgebracht uit het verstrekkingsregister in plaats van met de hand samengesteld.
10 · De naleving aanvechten	✓	Een individu moet de naleving kunnen aanvechten bij degene die verantwoording aflegt. Privacyklachten zijn een volwaardige vastlegging met een eigenaar, een klok en een vastgelegde uitkomst — geen postvak — en ze worden lang genoeg bewaard om een vraag over een patroon te beantwoorden in plaats van over één incident.

04 — Ontario, in detail

PHIPA, want het is de grootste markt en het strengste sjabloon

Ontario is het lezen waard, ook als u er niet praktiseert. PHIPA is van de provinciale zorgwetten de veeleisendste op de twee punten waarover software beslist — elke toegang tot een elektronisch dossier loggen, en de lockbox — dus een systeem dat gebouwd is om Ontario tevreden te stellen, stelt de andere doorgaans ook tevreden. Het vocabulaire hieronder is dat van Ontario; Alberta zegt affiliate waar Ontario agentzegt, Saskatchewan zegt trustee waar Ontario custodianzegt, en de vorm is dezelfde.

Eén definitie bepaalt uw hele verplichtingenpakket. A health information custodian is de praktijk. Een agent handelt voor de custodian. Een electronic service provider levert het systeem zonder naar de informatie te kijken — en waar die aanbieder twee of meer custodians in staat stelt elektronisch informatie te delen, wordt hij een health information network provider, met een eigen lijst plichten in artikel 6(3) van O. Reg. 329/04.

Wat PHIPA vraagt	Status	Wat er hier gebeurt
Custodians, agents en bevoegdheid	⚙	Een agent mag informatie alleen behandelen zoals de custodian toestaat. De toegangsmachtiging is een uitdrukkelijke, gedateerde vastlegging die noemt wie wat mag — zodat « wie mocht dit in februari zien » een antwoord heeft dat niet afhangt van de huidige toestand van het systeem. Wie u aanstelt is aan u.
De circle of care — veronderstelde toestemming voor het verlenen van zorg	✓	PHIPA staat custodians toe uit te gaan van veronderstelde toestemming om te delen met als doel het verlenen van zorg aan die patiënt. Dit is precies de vorm van het model met behandelrelaties: behandelende, superviserende en administratieve relaties zijn aparte soorten, elk met een begindatum, een einddatum en een coulanceperiode, en leestoegang wordt daaruit afgeleid in plaats van als rol verleend. Lid zijn van de circle is daarmee een feit met datums erop, en dat is wat een commissaris wil zien.
De lockbox — uitdrukkelijke instructie, s. 20(2) en s. 37(1)(a)	◐	Werkelijk afwezig, en het grootste gat op deze pagina. Een patiënt kan een custodian opdragen een deel van zijn dossier niet binnen de circle of care te delen. Vandaag kan die instructie als aantekening vastgelegd en door mensen nageleefd worden; zij is geen object op het dossier dat het leespad afdwingt. Hoofdstuk 05 zet uiteen wat haar bouwen inhoudt.
De ontvanger vertellen dat er iets is achtergehouden	◐	Waar een lockbox een verstrekking tegenhoudt, moet de custodian de ontvangende custodian vertellen dat hij belet is alles te verstrekken wat redelijkerwijs nodig is — zodat de ontvanger weet dat het beeld onvolledig is. Die mededeling hoort bij hetzelfde ontbrekende stuk, en het is de helft die mensen vergeten.
s. 10(1) — informatiewerkwijzen aanwezig	⚙	Een custodian moet informatiewerkwijzen hebben die aan de wet voldoen, en een schriftelijke openbare verklaring die ze beschrijft. Het beleidsregister met versies bevat ze; de woorden zijn van u.
s. 12(1) — redelijke stappen om te beschermen	✓	Versleuteling in rust met sleutels buiten de database, standaard gesloten toegang afgeleid uit behandelrelaties, een alleen aangroeiend toegangslogboek, break-glass als vastgelegde handeling in plaats van een gedeeld wachtwoord, en een gedocumenteerde risicoanalyse. Hoofdstuk 03, beginsel 7.
s. 12(2) — het individu bij de eerste redelijke gelegenheid inlichten	✓	Het inbreukdossier draagt de getroffen individuen, wat erbij betrokken was, of de gegevens versleuteld waren, of de sleutels gecompromitteerd zijn, en de melding zelf als stap met een datum — zodat het dossier « wanneer hebben wij het hun verteld » beantwoordt in plaats van « wij denken van wel ».
s. 12(3) — de inbreuk aan de commissaris melden	◐	Bepaalde inbreuken moeten aan de IPC gemeld worden. Het inbreukdossier bestaat en bevat alles wat de melding nodig heeft; wat ontbreekt is de Ontario-lijst met drempels, getoetst op het dossier, en de melding zelf als voortgebracht stuk. Vandaag is het een mens die het dossier leest en het formulier van de IPC invult. Hoofdstuk 07.
Jaarlijkse inbreukstatistiek aan de commissaris	◐	Custodians houden inbreukstatistieken per kalenderjaar bij en melden de cijfers van het vorige jaar elk jaar in maart aan de IPC — inclusief inbreuken die de meldingsdrempel nooit haalden. De onderliggende vastleggingen bestaan en zijn ingedeeld; het jaarlijkse aantal wordt niet voor u opgemaakt. Het is een klein stuk werk, en het is het soort dat in februari vergeten wordt — wat juist het argument is om het te bouwen in plaats van het te onthouden.
s. 52–55 — inzage en correctie	✓	Inzage binnen 30 dagen, te verlengen; correctie met het recht een verklaring van onenigheid bij te voegen waar de custodian weigert. Beide zijn volwaardige verzoeken met berekende wettelijke datums, en een weigering moet haar reden vastleggen in plaats van eenvoudigweg te sluiten.
O. Reg. 329/04 s. 6(3) — loggen, op een elektronisch dossier	✓	Dossiers die elektronisch bewaard worden moeten een elektronische vastlegging houden van wie wat wanneer benaderde. Dit is het hash-geketende toegangslogboek, en het is veruit het nuttigste stuk in een PHIPA-onderzoek: het beantwoordt de snuffelvraag — heeft een medewerker gekeken naar een patiënt waarmee hij geen relatie had — als een zoekopdracht in plaats van als een gevolgtrekking.
Plichten van een health information network provider	◐	Rolt u het platform zo uit dat twee of meer custodians er informatie via delen, dan legt artikel 6(3) er plichten bovenop: schriftelijke overeenkomsten, een dreigings- en risicobeoordeling en een privacyeffectbeoordeling die aan de custodians beschikbaar gesteld worden, een beschrijving van de dienst in gewone taal, een jaarlijks schriftelijk verslag over de toegangen, en onverwijld bericht bij inbreuken. Het onderliggende bewijs — de risicoanalyse, de logboeken, de inbreukdossiers — bestaat. De HINP-verklaring van werkwijzen en het jaarverslag bestaan niet, als document. Bij een implementatie voor één praktijk speelt dit helemaal niet.
Bewaren, overdragen en vernietigen	⚙	Dossiers moeten veilig bewaard, overgedragen en vernietigd worden. De bewaarmotor berekent vernietigingsdatums en vernietiging vernietigt de sleutel in plaats van te hopen dat elke kopie gevonden is; de termijnen zelf zijn aan u om in te stellen, want in Canada komen ze van uw college. Hoofdstuk 06.

05 — De lockbox

Het ene Canadese begrip dat de architectuur nog niet heeft

Elke andere landenpagina op deze site heeft een hoofdstuk als dit. Hier is dat van Canada, en het is het waard om er precies over te zijn, want het is waar een goed voorbereide koper uit Ontario naar zal vragen.

Wat de wet vraagt

Een patiënt kan een deel van zijn eigen dossier afschermen

Onder PHIPA mag een patiënt een uitdrukkelijke instructie geven dat een deel van zijn informatie niet gebruikt of verstrekt wordt voor het verlenen van zorg — zelfs binnen de circle of care, zelfs aan een behandelaar die er anders recht op zou hebben. Alberta's HIA komt via een uitgesproken wens op een vergelijkbare plek uit. Het is geen afmelding van het dossier; het is een hek om een deel ervan.

En er is een tweede plicht: wanneer het hek een verstrekking tegenhoudt, moet de ontvanger verteld worden dat er iets is achtergehouden — niet wat, maar dat het beeld onvolledig is.

Wat er vandaag bestaat

Alles waar het hek aan vast zou komen te zitten

Documenten zijn ieder afzonderlijk aanspreekbaar en ieder afzonderlijk versleuteld. Toegang wordt al bij het lezen afgeleid uit de behandelrelatie in plaats van als vaste rol verleend. Elke leesactie wordt al gelogd. Verstrekkingen dragen al een grondslag en een doel.

En dat is nu juist het punt: de lockbox is geen herbouw. Het is een beperkingsobject op het dossier plus een controle in een leespad dat al bestaat en dat al de enige weg naar binnen is.

Wat het bouwen ervan inhoudt

Vier stukken, en geen ervan groot

Een patiëntinstructie met een reikwijdte, een datum en een vastgelegd kanaal; afdwinging in het leespad van het document, zodat zij bindt ongeacht wie het vraagt; de mededeling « er is iets achtergehouden » als voortgebracht stuk; en de doorbreking — want een lockbox wijkt voor een wettelijke eis, en een doorbreking moet haar eigen vastlegging indienen zoals break-glass dat al doet.

Het hoort thuis in een Canadees pakket, naast het bewaarschema en de twee inbreukstromen, op dezelfde manier waarop de pakketten voor de AVG, het VK en de VS op de gedeelde kern zitten.

Wat wij niet zullen beweren

Dat een aantekening in een veld een lockbox is

Vandaag kan een praktijk de instructie vastleggen en haar uit discipline naleven, en veel Canadese praktijken werken op hun huidige systeem precies zo. Dat is een echt antwoord, en het is wat wij in een aanbesteding zouden zeggen.

Het is niet hoe wij het zullen noemen. Een beheersmaatregel die door mensen wordt afgedwongen is geen beheersmaatregel die door software wordt afgedwongen, en een koper aan wie iets anders verteld wordt, komt daarachter tijdens een onderzoek van de IPC.

06 — Bewaren

De motor is gebouwd; de Canadese getallen zijn van u, en hier is waarom

In Duitsland komt de bewaartermijn uit de wet. In het Verenigd Koninkrijk komt zij uit een landelijke code of practice. In Canada komt zij van uw beroepscollege, en dat betekent dat zij met uw beroep meeverandert en niet alleen met uw provincie — een psycholoog, een arts en een geregistreerd psychotherapeut in hetzelfde pand kunnen op drie verschillende klokken lopen.

Het platform levert dus het mechanisme mee en niet de getallen, en dat is een bewuste keuze en geen weglating.

De vorm van de regel	Status	Wat zij betekent, en waar Canada haar gebruikt
Een vast aantal jaren na het indienen	✓	Het eenvoudige geval — financiële stukken, toestemmingsformulieren, administratieve documenten.
Jaren na het laatste contact	✓	De gewone Canadese klinische vorm. Het college van artsen en chirurgen in British Columbia zit op 16 jaar na de laatste aantekening; dat van Alberta op 10 jaar na de laatste datum waarop de patiënt gezien is. « Laatste contact » wordt berekend uit de behandelrelaties en de activiteit op het dossier, niet bij het afsluiten door een mens ingetikt.
Tot de patiënt meerderjarig is, plus jaren	✓	De kinderregel, en degene die met de hand gevoerde schema's fout doen. Canadese colleges rekken het dossier van een minderjarige doorgaans ver voorbij de termijn voor volwassenen op — BC tot 35 jaar, Alberta tot twee jaar na 18, andere tot 21. De meerderjarigheidsleeftijd wordt per regel ingesteld, niet per systeem, want zij verschilt tussen provincies (18 of 19) en een groepspraktijk kan dossiers onder meer dan één houden.
Jaren na overlijden	✓	Loopt vanaf de vastgelegde overlijdensdatum, en gaat voor waar de collegeregel zegt dat de kortste van de twee geldt.
Een Canadees schema, meegeleverd als data	◐	Niet meegeleverd. Het pakket voor het VK levert het NHS-schema als rijen mee omdat er één landelijk schema is om mee te leveren. Canada heeft geen enkel schema om mee te leveren — dus vandaag voert een Canadese implementatie haar eigen regels in, en wij zeggen dat liever dan te doen alsof een matrix van provincies en beroepen die door ons wordt bijgehouden veiliger is dan een matrix die uw privacyfunctionaris heeft goedgekeurd.
Juridische blokkade	✓	Een dossier onder blokkade bereikt de vernietiging niet, wat zijn regel ook zegt, en de blokkade is zelf een gedateerde vastlegging met een reden. Dit doet er in Canada meer toe dan elders, want een onderzoek van een college kan een bewaartermijn overleven.
Vernietiging die werkelijk vernietigt	✓	Vernietiging vernietigt de sleutel in plaats van regels te verwijderen en te hopen dat elke back-up bereikt is. Het auditspoor van het document overleeft het document — en dat is de goede volgorde, want het bewijs dat u een dossier correct vernietigd hebt, moet het dossier overleven.

Wat u bij de implementatie doet

Neem de dossierbewaarnorm van uw college mee naar de inrichtingssessie — niet de privacywet. Elke termijn op deze pagina komt van een college of een beroepsorganisatie, en houdt u dossiers voor meer dan één beroep, dan eindigt u met meer dan één regel. Dat is normaal, het wordt ondersteund, en het is veel beter dan één behoudend getal dat alles 30 jaar bewaart en van uw dossieropslag een aansprakelijkheid maakt.

07 — Wanneer er iets naar buiten komt

Twee klokken, en het zijn niet dezelfde klokken

Een Canadese praktijk kan voor hetzelfde incident zowel onder een federale als onder een provinciale meldplicht vallen, met andere drempels, andere ontvangers en andere vastleggingsplichten. Dit is waar het Canadese omgaan met inbreuken werkelijk lastiger is dan het Amerikaanse of Britse equivalent, en het is de moeite waard een koper daar bewust doorheen te lopen.

Federaal · PIPEDA

Reëel risico op aanzienlijke schade

Een inbreuk op de beveiligingswaarborgen moet gemeld worden aan het Office of the Privacy Commissioner of Canada, en de getroffen individuen moeten ingelicht worden, zo snel als uitvoerbaar nadat u vaststelt dat er een reëel risico op aanzienlijke schade ontstaat. De toets draait om de gevoeligheid van de informatie en de waarschijnlijkheid van misbruik — en zorginformatie is ongeveer zo gevoelig als de beoordeling maar kan worden.

En daarnaast: u moet een vastlegging bewaren van elke inbreuk op de beveiligingswaarborgen gedurende 24 maanden, of zij nu meldingsplichtig was of niet, en die vastleggingen op verzoek aan de OPC overleggen.

Provinciaal · PHIPA, Ontario

Licht de patiënt in, meld aan de IPC, tel het jaar

Drie aparte plichten. Licht het getroffen individu bij de eerste redelijke gelegenheid in. Meld aan de Information and Privacy Commissioner of Ontario waar de inbreuk in een van de voorgeschreven omstandigheden valt. En houd statistieken bij voor het kalenderjaar en meld de cijfers van het vorige jaar elk jaar in maart — inclusief inbreuken die de meldingsdrempel nooit haalden.

Andere provincies wijken af. Alberta's HIA draagt een eigen meldplicht aan de commissaris en aan de minister; verschillende andere provincies hebben hun eigen plichten. Uw rij in hoofdstuk 02 is het vertrekpunt.

Wat het platform doet

Eén vastlegging, en de ongemakkelijke vragen meteen gesteld

Een inbreuk is een vastlegging vanaf het moment dat zij ontdekt wordt, met daarin wanneer zij plaatsvond, wanneer u ervan op de hoogte raakte, wie haar vond, welke documenten en welke individuen erbij betrokken waren, en — de twee velden die de meeste Canadese beoordelingen beslissen — of de gegevens versleuteld waren en of de sleutels gecompromitteerd zijn. Beperkende maatregelen en meldingen hangen met hun eigen datums aan dezelfde vastlegging.

Omdat het toegangslogboek alleen aangroeit en hash-geketend is, wordt de vraag naar de omvang — wat er werkelijk geopend is — uit bewijs beantwoord in plaats van geschat.

Wat ontbreekt

De Canadese formulieren, en het jaarlijkse aantal

De vastlegging bevat alles waar beide toezichthouders om vragen. Wat zij niet doet is de Canadese drempels voor u beoordelen — de RROSH-toets federaal, de voorgeschreven omstandigheden in Ontario — of een van beide meldingen als stuk voortbrengen, of het kalenderjaar tellen voor de maartrapportage.

Vandaag is dat een mens die een volledige vastlegging leest en een formulier invult. Dat is werkbaar, en het is wezenlijk beter dan de feiten uit e-mail bij elkaar zoeken. Het is nog steeds werk dat wij voor u zouden moeten doen, en het hoort in een Canadees pakket thuis, naast de lockbox en het bewaarschema.

08 — Waar de gegevens wonen

De vraag die elke Canadese koper stelt, en de reden dat wij haar makkelijk beantwoorden

Canadese zorgkopers vragen eerder en harder naar gegevenslokatie dan kopers waar dan ook op deze site, meestal al in het eerste gesprek. De eerlijke juridische stand van zaken is genuanceerder dan de volksoverlevering — en de architectuur maakt de nuance irrelevant.

Het geloof	Wat er werkelijk aan de hand is
« Canadese zorggegevens moeten in Canada blijven. »	In het algemeen niet waar als algemene regel voor een particuliere praktijk. PIPEDA verbiedt doorgiften niet; zij houdt u verantwoordelijk voor informatie die u aan een verwerker doorgeeft en verlangt vergelijkbare bescherming bij overeenkomst. De meeste provinciale zorgwetten kiezen voor particuliere custodians een vergelijkbare aanpak.
« British Columbia verplicht het. »	Dat deed het, en het is veranderd. De eis in de FIPPA dat openbare lichamen persoonsgegevens alleen in Canada opslaan en benaderen is in november 2021 ingetrokken en vervangen door een beoordelingsplicht. De FIPPA gaat hoe dan ook over openbare lichamen en niet over particuliere praktijken.
« Nova Scotia verplicht het. »	Voor openbare lichamen en hun dienstverleners, in grote lijnen ja — de PIIDPA beperkt opslag en toegang buiten Canada, en een gemoderniseerde vervanger treedt pas in 2027 in werking. Sluit u een contract met een openbaar lichaam in Nova Scotia, dan is dit een levende beperking voor uw leveranciers, niet alleen voor uzelf.
« Québec verplicht het. »	Niet als verbod — maar Law 25 verlangt een beoordeling voordat informatie Québec verlaat, en de doorgifte mag alleen doorgaan als die beoordeling voldoende bescherming aantoont. In de praktijk is dat een document dat u moet kunnen overleggen.
« Dan is een cloudproduct prima. »	Juridisch vaak wel. Commercieel is het nog steeds het bezwaar waar u de vergadering aan kwijt bent — en bij een koper uit de publieke sector of met een ziekenhuisband kan het doorslaggevend zijn, wat de wet ook zegt.

Waarom dit hoofdstuk voor ons kort is

Het platform wordt uitgerold op infrastructuur die u kiest, met een aparte database per organisatie. Zet het bij een Canadese host, of in uw eigen gebouw, en de vraag over grensoverschrijdende doorgifte doet zich niet voor: er is geen doorgifte om te beoordelen, geen verwerker om een contract mee te sluiten, en geen leverancier die de dossiers van uw patiënten onder zich heeft. Dat is een sterker antwoord dan welke gehoste concurrent in deze markt ook kan geven, en in Canada is het het waard daarmee te openen.

Het gevolg is ook eerlijk: de beveiliging van die implementatie is dan werkelijk van u. Hoofdstuk 14 zegt wat dat in de praktijk betekent.

09 — De grens

Wat wij in Canada niet kunnen, onomwonden en vroeg gezegd

Dit is het hoofdstuk dat de meeste Canadese deals beslist, en het hoort hier thuis en niet in een voetnoot. Niets ervan is een achterstandspost die volgend kwartaal binnenkomt. Elk punt is een landelijk of provinciaal spoor met een eigen conformiteitstraject, en erbuiten staan is een feit over het product van vandaag.

Het spoor	Status	Wat het is, en wie het pijn doet
Provinciale verzekeringsdeclaraties — OHIP, MSP/Teleplan, AHCIP en de rest	✗	Wij kunnen geen declaratie voor verzekerde zorg bij een provinciaal plan indienen. Elke provincie heeft een eigen indieningsformaat, een eigen leverancierstraject en een eigen cyclus van uitbetaling en afstemming. Wordt uw omzet bij een provinciaal plan gedeclareerd, dan is dit diskwalificerend en wij vertellen het u liever in het eerste gesprek. Is uw werk zelfbetaald, aanvullend verzekerd, werkgeversgefinancierd, EAP of via een derde — en dat beschrijft de meeste psychotherapie, counseling en veel paramedische zorg in Canada — dan kost het u niets, want dat zijn facturen en het platform doet facturen goed.
Provinciale EPD-viewers en -repositories	✗	connectingOntario en OLIS in Ontario, Netcare in Alberta, CareConnect in British Columbia, en de provinciale systemen elders. Dit zijn koppelingen achter een poort van provinciale aansluiting, identiteitsfederatie en conformiteitstests. Wij zijn op geen daarvan aangesloten, dus laboratoriumuitslagen, verstrekte medicatie en ziekenhuisverslagen stromen niet binnen.
Certificeringsprogramma's voor EMR's	✗	De EMR-specificatie van Ontario en de provinciale certificeringsprogramma's die daarbij horen, bestaan om een product als eerstelijns-EMR te kwalificeren, soms met financiering eraan vast. Wij zijn niet gecertificeerd, en wij zijn geen eerstelijns-EMR. Voor een artsenpraktijk is dat doorslaggevend; voor een psychotherapie- of paramedische praktijk is het meestal niet eens van belang.
Elektronisch voorschrijven	✗	PrescribeIT en de provinciale geneesmiddeleninformatiesystemen. Geen voorschrijven, geen verzending naar een apotheek, geen controle op geneesmiddelinteracties. Een voorschrijvende praktijk heeft voor dat deel van haar werk een ander systeem nodig.
Pan-Canadese interoperabiliteit — CA Core+ / FHIR	◐	De landelijke richting is op FHIR gebaseerd, met een Canadese set basisprofielen. Het platform heeft een API en gestructureerde vastleggingen; het implementeert de Canadese FHIR-profielen niet, en heeft geen enkele conformiteitstest doorlopen. Gemarkeerd als deels in plaats van afwezig, want het gat is profielwerk op een interface die bestaat, niet een ontbrekende interface — maar niemand moet dat lezen als « ondersteund ».
Het Canadese rechtsgebiedpakket zelf	◐	De gedeelde kern draagt wat elk rechtsgebied nodig heeft, en de pakketten voor de AVG, het VK en de VS zitten daar bovenop. Er is nog geen Canadees pakket — dus de lockbox (hoofdstuk 05), het bewaarschema (hoofdstuk 06), de twee inbreukmeldingen en het jaarlijkse aantal (hoofdstuk 07) en de registers van Québec (hoofdstuk 10) zijn vandaag inrichting en discipline in plaats van software. Alles waar ze aan vast zouden komen te zitten bestaat al.

Hoe u dit hoofdstuk gebruikt

Twee vragen beslissen of de rest van deze pagina ertoe doet. Declareert u verzekerde zorg bij een provinciaal plan? En hebt u nodig dat laboratoriumuitslagen en ziekenhuisverslagen elektronisch binnenkomen? Zijn beide antwoorden nee — en voor heel veel Canadese praktijken in de geestelijke gezondheidszorg, counseling en de paramedische zorg zijn beide antwoorden nee — dan kost niets op deze lijst u iets, en is de privacypositie uit hoofdstuk 08 de sterkste die er in de markt is.

10 — Québec

Een apart rechtsgebied in elk opzicht dat hier telt

Québec is niet « Canada plus Frans ». Het heeft een eigen privacywet, een eigen zorginformatiewet, een eigen toezichthouder en een eigen taalwet, en een Canadees implementatieplan dat het als zomaar een provincie behandelt, sneuvelt bij de eerste audit.

Law 25

De wet voor de private sector, en het dichtst wat Canada bij de AVG komt

Gefaseerd ingevoerd vanaf 2022 en compleet sinds september 2024. Een aangewezen persoon die verantwoordelijk is voor privacy. Een register van vertrouwelijkheidsincidenten. Privacyeffectbeoordelingen vóór een project rond een informatiesysteem. Fijnmazige toestemming, doel voor doel, met uitdrukkelijke toestemming voor gevoelige informatie — en zorginformatie is per definitie gevoelig. Rechten op inzage, rectificatie, overdraagbaarheid en de-indexering. Boetes die ordes van grootte boven de rest van Canada liggen.

Law 5

De zorginformatiewet, van kracht sinds 2024

De Act respecting health and social services information is vanaf juli 2024 in fasen in werking getreden en geldt voor praktijken — ook voor particuliere medische en tandheelkundige praktijken — met verplichtingen die niet eenvoudigweg Law 25 spiegelen. Zij is ontworpen om zorggegevens te beschermen en ze tegelijk veilig binnen het zorgstelsel te laten stromen, en dat betekent plichten in beide richtingen.

Dit is het hoofdstuk om aan een Québecse jurist voor te leggen voordat u een Québecse praktijk een offerte stuurt. Zij is nieuw, haar uitvoeringsregels zijn nog aan het bezinken, en wij gaan haar niet samenvatten alsof zij al uitgekristalliseerd was.

Wat het platform u al geeft

Meer ervan dan u zou verwachten

Het incidentenregister is het inbreukdossier. De aangewezen persoon is het aanwijzingsregister. Inzage, rectificatie en de klachtroute zijn volwaardige verzoeken. Overdraagbaarheid heeft een echt antwoord — de exportmachinerie die voor de AVG gebouwd is, is onafhankelijk van rechtsgebied — en wissen ook, want vernietiging vernietigt de sleutel in plaats van een regel te verwijderen.

De stukken die werkelijk Québecs van vorm zijn, zijn de privacyeffectbeoordeling als vastlegging en de doorgiftebeoordeling voordat informatie de provincie verlaat. Geen van beide bestaat vandaag als object.

De taalverplichting

Frans is in Québec geen leuke extra

Het Handvest van de Franse taal verlangt, zoals gewijzigd, Frans in het verkeer met consumenten en op de werkvloer, en een Franse versie van de digitale aanwezigheid van een bedrijf. Voor software reikt dat tot de interface die uw medewerkers en uw patiënten werkelijk gebruiken.

Waar wij staan: het platform draait in het Frans, en de handleidingen op deze site hebben een Franse editie. Wat niet gedaan is, is een Québecse klinische woordenschatcontrole — het verschil tussen correct Frans en het Frans dat een Québecse behandelaar verwacht te lezen. Hoofdstuk 11.

11 — Taal en toegankelijkheid

Twee verplichtingen die geen privacyverplichtingen zijn, en die vergeten worden

Verplichting	Status	Wat het hier betekent
Frans, in Québec	⚙	De interface, het portaal voor de patiënt en de documenten die u verstuurt hebben een Franse versie nodig. Het platform is volledig vertaalbaar en levert Frans mee; de sjablonen en de klinische formuleringen zijn van u, en een Québecse implementatie hoort budget te ramen voor een woordenschatcontrole in plaats van aan te nemen dat het meegeleverde Frans als Québecs Frans leest.
Tweetalige dienstverlening, buiten Québec	⚙	New Brunswick is officieel tweetalig, en werk dat federaal gefinancierd of federaal aanbesteed is draagt eigen taalverplichtingen. Dezelfde vertaalmachinerie dekt het; welke talen u aanzet is een instelling.
AODA — toegankelijke websites, Ontario	◐	Organisaties in Ontario boven de drempel voor kleine werkgevers moeten sinds januari 2021 op openbare websites en webinhoud voldoen aan WCAG 2.0 Level AA . Dat reikt tot uw patiëntportaal en boekingspagina's, en dat is openbare webinhoud. Het portaal van het platform is gebouwd op standaard, semantische webcomponenten en verkeert in redelijke staat; het is niet formeel tegen WCAG 2.0 AA geauditeerd, en wij beweren geen conformiteit die wij niet getest hebben.
Accessible Canada Act	§	Geldt voor federaal gereguleerde organisaties. Een particuliere praktijk is provinciaal gereguleerd en valt er doorgaans buiten — maar een praktijk die diensten onder een federaal contract levert, zou dat moeten nakijken in plaats van het aan te nemen.

12 — CASL

De antispamwet, want afspraakherinneringen wonen naast marketing

Canada's Anti-Spam Legislation gaat over commerciële elektronische berichten, en zij is strenger dan de meeste praktijken verwachten: toestemming moet uitdrukkelijk zijn of binnen een omschreven categorie van veronderstelde toestemming vallen, elk bericht moet de afzender kenbaar maken en een werkende afmeldlink dragen, en de boetes zijn stevig.

Wat CASL vraagt	Status	Wat er hier gebeurt
Scheid een dienstbericht van een marketingbericht	✓	Communicatievoorkeuren worden per persoon en per kanaal bewaard, en het transactionele pad — afspraakbevestigingen, herinneringen, berichten over beveiligde documenten — is een ander pad dan het marketingpad. Een patiënt die zich afmeldt voor een nieuwsbrief hoort nog steeds dat zijn afspraak verzet is.
Leg vast hoe de toestemming verkregen is	⚙	Toestemming wordt bij het contact bewaard, met kanaal en datum. Toestemming kunnen bewijzen is de hele verdediging onder CASL, dus de discipline om haar bij de verzameling vast te leggen is meer waard dan welke functie ook.
Identificatie en afmelding in elk bericht	⚙	Sjablonen dragen ze; de gegevens van de afzender en de formulering zijn van u, en ze horen in dezelfde controle als uw privacybeleid.

13 — Waar wij sterker zijn

Vier dingen die een Canadese koper aan de andere kant moet wegen

Hoofdstuk 09 is bewust weinig vleiend. Dit is de andere helft van dezelfde eerlijkheid.

Gegevenslokatie, structureel beantwoord

Er gaat niets weg, want er is nergens heen te gaan

De implementatie is van u. Er is geen leveranciersomgeving die Canadese patiëntdossiers onder zich houdt, geen grensoverschrijdende doorgifte om onder Law 25 te beoordelen, en geen verwerkersovereenkomst om te onderhandelen. In een markt waar dit de eerste vraag is, is het het sterkste antwoord dat er is — en het is architectonisch in plaats van contractueel.

De snuffelvraag

Een toegangslogboek dat haar als zoekopdracht beantwoordt

Het kenmerkende Canadese privacyincident in de zorg is geen hacker; het is een medewerker die kijkt naar een dossier waar hij niets te zoeken had. Omdat toegang wordt afgeleid uit gedateerde behandelrelaties en elke leesactie naar een alleen aangroeiend, hash-geketend spoor wordt geschreven, is « wie heeft naar deze patiënt gekeken zonder relatie met hem » een zoekopdracht in plaats van een onderzoek. De meeste systemen in deze markt kunnen haar helemaal niet beantwoorden.

Vernietiging die u kunt aantonen

De sleutel vernietigen, niet de regel verwijderen

Veilig vernietigen is net zo goed een collegeverplichting als een privacyverplichting, en de gewone misser is een back-up die niemand bereikt heeft. Hier wordt de sleutel van het dossier vernietigd en overleeft het auditspoor van de vernietiging het dossier — en dat is het bewijs waar een college werkelijk om vraagt.

Eén systeem, geen vijf

Boeken, aantekeningen, documenten, facturatie, portaal en uitbetalingen

Een Canadese groepspraktijk draait doorgaans een boekingsgereedschap, een aantekeninggereedschap, een gedeelde bestandsmap, een boekhoudpakket en een betaalverwerker, en stemt ze met de hand op elkaar af. De privacyblootstelling van dat geheel is groter dan die van elk afzonderlijk onderdeel, en het samenvoegen ervan is net zo goed een privacyargument als een efficiëntieargument.

14 — Wat bij u blijft

De verplichtingen die geen software draagt, in Canada of waar dan ook

Elke pagina op deze site eindigt hier, en de lijst is bewust kort en bewust bot.

Van u	Waarom het niet van ons kan zijn
De custodian, trustee of verantwoordelijke persoon zijn	De wet noemt de praktijk, en in de meeste provincies een met naam genoemd individu daarbinnen. Een leverancier kan die rol niet voor u vervullen en geen contract draagt haar over.
De woorden in uw privacybeleid en uw toestemmingsformulieren	Die beschrijven wat u doet. Wij bewaren ze, geven ze versies en houden de vervangen versies; wij schrijven ze niet, en een sjabloon dat uw privacyfunctionaris niet gelezen heeft is erger dan geen sjabloon.
De bewaartermijnen	Die komen van uw college. Hoofdstuk 06.
Beslissen of een inbreuk meldingsplichtig is	Het oordeel over een reëel risico op aanzienlijke schade op federaal niveau, en de voorgeschreven omstandigheden op provinciaal niveau, zijn beoordelingen over uw patiënten en uw context. Wij geven u een volledige vastlegging om het oordeel op te baseren; het oordeel is van u.
De implementatie beveiligen	Het gevolg van het zelf draaien. Patchen, back-ups, het testen van terugzettingen, netwerkbeveiliging en fysieke toegang tot de machine zijn van u — en wilt u dat gedragen hebben, dan is dat een operationeel contract, als zodanig benoemd, en geen voetnoot in een licentie.
Juridisch advies	Niets op deze pagina is juridisch advies, en het is geen vervanging voor een Canadese jurist. Het is een kaart van wat er geldt en een eerlijk verslag van wat de software met elk punt doet. De wetten bewegen — Law 5 is nieuw, de uitvoeringsregels van Québec zijn nog aan het bezinken, en de federale privacyhervorming is al jaren in en uit het parlement.

Hoe deze pagina geschreven is

De verplichtingen zijn samengevat uit de wetten, de leidraden van toezichthouders en de collegestandaarden die hier overal genoemd worden, en de statuskolom is geschreven tegen de code in deze repository en niet tegen een routekaart — en daarom zeggen vier rijen ◐ en zes ✗. Lees die eerst. Komt er een Canadees pakket, dan verandert deze pagina mee en verschuiven de merktekens; tot dan zeggen ze wat er vandaag waar is.

De primaire bronnen waren niet bereikbaar vanaf de machine waarop dit geschreven is. Verschillende federale en provinciale wetgevingssites worden hier door het netwerk geblokkeerd, dus de onderstaande verplichtingen zijn samengesteld uit materiaal van toezichthouders en beroepsorganisaties in plaats van van de wet zelf gelezen. Dat is prima voor een kaart en niet prima voor een indiening: laat een Canadese jurist bevestigen waar u ook maar op wilt steunen, in het bijzonder voor Québec, waar Law 5 nieuw is en de uitvoeringsregels nog aan het bezinken zijn.