Canada · PIPEDA · PHIPA · HIA · PHIA · Québecs Law 25 og Law 5 · provinsielle profesjonsråd

Canada har ingen HIPAA. Landet har én føderal lov, en provinsiell helselov der du praktiserer, og et profesjonsråd oppå begge.

Ingen i kanadisk helsetjeneste er regulert av én enkelt lov. En psykoterapipraksis i Toronto svarer til PHIPA og informasjons- og personvernkommissæren i Ontario. Den samme praksisen i Calgary svarer til Albertas HIA. I Vancouver er det PIPA og OIPC. I Montréal er det Law 25 og Law 5, på fransk. Og på hvert av de stedene legger profesjonsrådet til journalregler som personvernloven aldri nevner.

Denne siden går gjennom hva som gjelder, i vanlige ord, og sier for hver plikt hvilken del programvaren alt gjør, hvilken del er et tall du setter, og hvilken del som mangler og hvorfor. Avsnittet om hva vi ikke kan gjøre står ikke i liten skrift nederst — det er avsnitt 09, og i Canada avgjør det de fleste avtalene før personvern i det hele tatt kommer opp.

Klinikkeiere og praksisansvarlige Klinikkledere Personvernansvarlige og kontaktpersoner Gruppepraksiser, digital helse og EAP-drivere

10+3provinser og territorier 4helselover som er erklært vesentlig like 30 dagerpå å svare på en innsynsforespørsel 24 månedermed avviksregistreringer etter PIPEDA 0provinskrav vi kan levere

Hvilken regelbok binder deg Kartet, provins for provins PIPEDAs ti prinsipper Ontario i detalj Låseskapet Hvor lenge journaler bevares To avviksklokker Hvor dataene bor Hva vi ikke kan gjøre Québec Språk og tilgjengelighet CASL og markedsføringssiden Der vi er sterkere Hva som blir hos deg

01 — Orientering

Fire regelbøker, og hvilken som binder deg, avhenger av postnummeret ditt

Den aller vanligste feilen i en kanadisk programvaresamtale er å spørre «er dere HIPAA-etterlevende?» HIPAA er amerikansk rett og gjelder ikke for en kanadisk klinikk i det hele tatt. Det som gjelder, er en stabel, og toppen av stabelen skifter når du krysser en provinsgrense.

Føderalt · PIPEDA

Utgangspunktet, og gulvet

Personal Information Protection and Electronic Documents Act styrer personopplysninger samlet inn i kommersiell virksomhet, og den bærer ti prinsipper for rettferdig informasjonsbehandling i Schedule 1 — ansvarlighet, formål, samtykke, begrenset innsamling, begrenset bruk og lagring, riktighet, sikring, åpenhet, individets innsyn, og å kunne bestride etterlevelsen.

Delen folk tar feil om: PIPEDA gjelder med mindre en provinsiell lov er erklært vesentlig lik for den virksomheten. Det er en reserveløsning, ikke et unntak — i en provins uten egen helselov er PIPEDA hele regelboken. Avsnitt 03.

Provinsielle helselover

Regelboken som vanligvis faktisk styrer deg

Ontarios PHIPA, Albertas HIA, Saskatchewans HIPA, Manitobas PHIA, New Brunswicks PHIPAA, Nova Scotias og Newfoundland og Labradors PHIA, Prince Edward Islands HIA. Dette er ikke personvernlover med et helsekapittel — de er helseinformasjonslover, skrevet rundt en definert custodian.

Derfor betyr det noe: de bærer plikter PIPEDA ikke har i det hele tatt — behandlingskretsen, låseskapet, plikten til å logge hvert oppslag i en elektronisk journal, og en melding til provinskommissæren. Avsnitt 04.

Profesjonsrådene

Journalføring, og den står ikke i loven

Hvor lenge du bevarer en journal, hva som må stå i den, og hva som skjer når du legger ned en praksis, settes av profesjonsrådet — CPSO, CPSA, CPSBC, CRPO, provinsrådet for psykologer, for sosionomer, for sykepleiere. De er ulike fra provins til provins og fra yrke til yrke.

Derfor betyr det noe: oppbevaringstiden i kontrakten din er nesten aldri et tall fra personvernloven. BC ligger på 16 år fra siste oppføring; Alberta på 10. Begge er beregnede datoer, ikke innskrevne. Avsnitt 06.

Den provinsielle oppgjørsskinnen

OHIP, MSP, AHCIP, og resten

Forsikringsdekkede tjenester avregnes mot en provinsordning — OHIP i Ontario, MSP gjennom Teleplan i British Columbia, AHCIP i Alberta — hver med sitt eget innsendingsformat, sin egen leverandørgodkjenning og sin egen avstemmingssyklus.

Derfor betyr det noe: vi er ikke på noen av dem. Det er en grense, ikke et etterslep, og avsnitt 09 sier nøyaktig hvor det svir og hvor det ikke gjør det.

Kortversjonen, for deg som vurderer om du skal lese videre

Om du driver en praksis med egenbetaling, tilleggsforsikring, EAP, arbeidsgiverfinansiering eller digital behandling — psykoterapi, rådgivning, psykologi, mesteparten av annen helsehjelp — er hver plikt på denne siden en vi kan møte eller overgå, og personvernargumentet er uvanlig sterkt her fordi programvaren kjører på din egen infrastruktur, så spørsmålet om grensekryssing aldri kommer opp. Hvis det å avregne en dekket tjeneste mot en provinsordning er inntektsmodellen din, les avsnitt 09 først: vi kan ikke levere det kravet, og ingen mengde personvernarkitektur endrer det.

02 — Kartet

Hvilken lov, og hvilken kommissær, etter hvor du praktiserer

Les din egen rad og se bort fra resten. Kolonnen til høyre er kontoret som ville tatt imot en klage om deg, og — i de fleste av disse provinsene — en avviksmelding.

To ting denne tabellen bevisst ikke gjør. Den sier ikke om din bestemte praksis er en «custodian» eller «trustee» etter din lov; det avhenger av yrket ditt og hvordan du er organisert, og det er et spørsmål for advokat. Og den lister ikke ditt profesjonsråd, fordi rådet avhenger av yrket ditt heller enn av provinsen.

Der du praktiserer	Helseinformasjonsloven	Hvem som fører tilsyn
Ontario	Personal Health Information Protection Act, 2004 (PHIPA), med O. Reg. 329/04	Information and Privacy Commissioner of Ontario
Alberta	Health Information Act (HIA); Alberta PIPA for resten av privat sektor	Office of the Information and Privacy Commissioner of Alberta
British Columbia	Ingen egen helselov for privat sektor — Personal Information Protection Act (PIPA)	Office of the Information and Privacy Commissioner for BC
Saskatchewan	Health Information Protection Act (HIPA)	Saskatchewan Information and Privacy Commissioner
Manitoba	Personal Health Information Act (PHIA)	Manitoba Ombudsman
Québec	Law 25 (privat sektor), og Law 5 — loven om helse- og sosialtjenesteinformasjon	Commission d'accès à l'information
New Brunswick	Personal Health Information Privacy and Access Act (PHIPAA)	NB Ombud / Access to Information and Privacy Commissioner
Nova Scotia	Personal Health Information Act (PHIA)	Office of the Information and Privacy Commissioner for Nova Scotia
Newfoundland og Labrador	Personal Health Information Act (PHIA)	Office of the Information and Privacy Commissioner
Prince Edward Island	Health Information Act (HIA)	PEI Information and Privacy Commissioner
Yukon, NWT, Nunavut	Territoriell helseinformasjonslovgivning der den er vedtatt; ellers PIPEDA for kommersiell virksomhet	Territoriell kommissær og/eller OPC
Overalt, for data som krysser en grense	PIPEDA styrer personopplysninger som flytter mellom provinser eller ut av Canada i kommersiell virksomhet	Office of the Privacy Commissioner of Canada

«Vesentlig lik» er et smalere ord enn det høres ut som

Den føderale regjeringen har erklært en håndfull provinsielle helselover vesentlig like PIPEDA for helseopplysninger holdt av custodians — Ontario, New Brunswick, Nova Scotia og Newfoundland og Labrador — og Québecs, British Columbias og Albertas generelle lover for privat sektor for kommersiell virksomhet generelt. Albertas HIA står ikke på den listen, og det gjør den ikke svakere; det gjør samspillet mellom HIA og PIPEDA et spørsmål verdt å legge fram for advokat heller enn å anta.

Hva det betyr i praksis: PIPEDA slutter aldri å betyde noe. Selv i Ontario er den føderale loven i spill ved siden av den provinsielle i det øyeblikket opplysninger flytter over en provinsgrense eller ut av landet i kommersiell virksomhet.

03 — PIPEDA

De ti prinsippene, og hva programvaren gjør med hvert av dem

Schedule 1 i PIPEDA er modellkoden fra Canadian Standards Association, skrevet som ti prinsipper. De er plikter for virksomheten din, ikke for programvaren din — men åtte av de ti er plikter et system enten støtter eller stille gjør umulige.

Les statuskolonnen, ikke bare merket. Ett av disse er en ærlig delvis, og fire er «mekanismen er vår, ordlyden er din». De er merket slik.

✓ByggetI plattformen nå, og til å vise fram på et levende system. ⚙Bygget — du velger verdienMekanismen finnes; tallet, ordlyden eller regelen er din. Ingen mangel. ◐Delvis byggetNoe mangler faktisk. Kolonnen til høyre sier nøyaktig hva. §Prinsippet ber om mindreIngenting mangler. Plikten er organisatorisk, eller loven når det samme stedet på en annen måte. ✗Ikke byggetBorte, og ikke en innstilling unna. Avsnitt 09 er der disse er.

Prinsipp	Status	Hva det ber om, og hva som skjer her
1 · Ansvarlighet	⚙	En virksomhet er ansvarlig for opplysninger under sin kontroll og må peke ut noen som er ansvarlig for etterlevelsen. Utpekingsregisteret er bygget — navngitte roller bærer navngitte personer og virkningsdatoer, og registreringen skifter ikke stille hender. Hvem du peker ut, er ditt. Registeret holder også avtalene med enhver som behandler opplysninger på din vegne, som er samme dokumentasjon en kommissær ber om etter en hendelse.
2 · Å identifisere formål	⚙	Formål må være identifisert ved eller før innsamlingen. Formål er et lagret felt på hver utlevering, ikke et fritekstnotat, så «hvorfor forlot dette praksisen» er til å svare på per dokument heller enn å rekonstruere. Ordene du bruker ved innsamlingen, er dine, og de hører i policyregisteret.
3 · Samtykke	◐	Kunnskap og samtykke kreves for innsamling, bruk og utlevering, unntatt der loven tillater noe annet. Samtykke som grunnlag for utlevering er bygget — en utlevering noterer grunnlaget sitt, og der grunnlaget er samtykke, bærer den referansen til fullmakten. Det som mangler, er tilbakekallingssiden som et eget objekt: en pasientinstruks som begrenser en bestemt journal fra en bestemt bruk, som står på journalen selv og håndheves ved lesing. Det er låseskapet, og det er avsnitt 05.
4 · Begrenset innsamling	§	Samle bare det som er nødvendig. Ingen programvare kan begrense hva en kliniker velger å spørre om, og et system som hevdet det, ville oversolgt seg. Hva plattformen faktisk gjør, er å gjøre skjemaene dine å definere, så den korteste utgaven av et skjema er en innstilling heller enn en kodeendring.
5 · Begrenset bruk, utlevering og lagring	✓	Dette er prinsippet arkitekturen ble bygget rundt. Tilgang følger behandlingsforholdet: et klinisk dokument kan leses av noen med et gjeldende behandlingsforhold til den pasienten, og forholdet bærer en startdato, en sluttdato og en nådetid, så tilgangen slutter av seg selv heller enn når noen husker å fjerne den. Hver utlevering er en registrering med en mottaker, et formål og et grunnlag. Oppbevaring er en motor, ikke en mappekonvensjon — avsnitt 06.
6 · Riktighet	✓	Opplysninger må være så riktige, fullstendige og oppdaterte som nødvendig. Retting er en førsteklasses forespørsel med en eier og en klokke, og et rettet dokument beholder sin tidligere versjon istedenfor å overskrive den — og det er det som lar deg vise hva som ble rettet og når, ikke bare at det er riktig nå.
7 · Sikring	✓	Sikkerhet som passer opplysningenes følsomhet. Kliniske dokumenter er kryptert med en datanøkkel per versjon, pakket under en nøkkel som ikke ligger i databasen; hvert oppslag loggføres i et spor som bare legges til, og som er hashlenket så en slettet eller redigert loggpost bryter lenken og blir synlig; nødstilgang er en bevisst knus-glasset-handling som skriver sin egen registrering. Risikoanalysen, opplæringen og sanksjonsregistrene en kommissær spør om etter en hendelse, er del av samme system heller enn en perm.
8 · Åpenhet	⚙	Regler og praksis må være lett tilgjengelige. Policyregisteret er bygget: regler er versjonerte, hver versjon beholder sine egne virkningsdatoer, og erstattede versjoner overskrives ikke — så du kan svare på «hva var vår praksis i mars i fjor», som er den formen spørsmålet faktisk tar. Teksten er din.
9 · Individets innsyn	✓	På forespørsel skal en person få vite om opplysningene sine finnes, hvordan de er brukt og utlevert, og få innsyn, i hovedsak innen 30 dager. Innsynsforespørsler er førsteklasses registreringer med en lovbestemt frist beregnet fra forespørselen, en utsettelse som noteres for seg så mappen viser hvor mye tid utsettelsen faktisk ga, og et felt for form og format. Oversikten over utleveringer genereres fra utleveringsregisteret heller enn satt sammen for hånd.
10 · Å bestride etterlevelsen	✓	En person må kunne bestride etterlevelsen overfor den ansvarlige. Personvernklager er en førsteklasses registrering med en eier, en klokke og et notert utfall — ikke en innboks — og de bevares lenge nok til å svare på et mønsterspørsmål heller enn en enkelt hendelse.

04 — Ontario, i detalj

PHIPA, fordi det er det største markedet og den strengeste malen

Ontario er verdt å lese selv om du ikke praktiserer der. PHIPA er den mest krevende av de provinsielle helselovene på de to punktene programvaren avgjør — å logge hvert oppslag i en elektronisk journal, og låseskapet — så et system bygget for å tilfredsstille Ontario tilfredsstiller stort sett de andre. Vokabularet under er Ontarios; Alberta sier affiliate der Ontario sier agent, Saskatchewan sier trustee der Ontario sier custodian, og formen er den samme.

Én definisjon avgjør hele pliktsettet ditt. A health information custodian er praksisen. En agent handler for custodian. En electronic service provider leverer systemet uten å se på opplysningene — og der den leverandøren lar to eller flere custodians dele opplysninger elektronisk, blir den en health information network provider, med en bestemt liste plikter i section 6(3) i O. Reg. 329/04.

Hva PHIPA ber om	Status	Hva som skjer her
Custodians, agenter og fullmakt	⚙	En agent får bare håndtere opplysninger slik custodian tillater. Tilgangsfullmakt er en uttrykkelig, datert registrering som navngir hvem som får gjøre hva — så «hvem fikk lov å se dette i februar» har et svar som ikke avhenger av systemets nåværende tilstand. Hvem du utpeker, er ditt.
Behandlingskretsen — forutsatt samtykke for å gi helsehjelp	✓	PHIPA lar custodians gå ut fra forutsatt samtykke til å dele for å gi helsehjelp til den pasienten. Dette er nøyaktig formen på modellen for behandlingsforhold: behandlende, veiledende og administrative forhold er egne typer, hver med en startdato, en sluttdato og en nådetid, og leseretten utledes av dem heller enn å bli gitt som en rolle. Medlemskap i kretsen er derfor et faktum med datoer på, som er det en kommissær ber om å få se.
Låseskapet — uttrykkelig instruks, s. 20(2) og s. 37(1)(a)	◐	Mangler faktisk, og det er det største hullet på denne siden. En pasient kan gi en custodian instruks om ikke å dele deler av journalen sin innenfor behandlingskretsen. I dag kan den instruksen noteres og etterleves av mennesker; den er ikke et objekt på journalen som lesestien håndhever. Avsnitt 05 sier hva det vil si å bygge den.
Å si til mottakeren at noe ble holdt tilbake	◐	Der et låseskap stopper en utlevering, må custodian si til den mottakende custodian at den er hindret fra å utlevere alt som rimelig er nødvendig — så mottakeren vet at bildet er ufullstendig. Det varselet er del av samme manglende brikke, og det er den halvdelen folk glemmer.
s. 10(1) — informasjonspraksis på plass	⚙	En custodian må ha informasjonspraksis som følger loven, og en skriftlig, offentlig beskrivelse av den. Det versjonerte policyregisteret holder den; ordene er dine.
s. 12(1) — rimelige skritt for å beskytte	✓	Kryptering i ro med nøkler holdt utenfor databasen, tilgang lukket som standard og utledet av behandlingsforhold, en tilgangslogg som bare legges til, knus-glasset som en notert handling heller enn et delt passord, og en dokumentert risikoanalyse. Avsnitt 03, prinsipp 7.
s. 12(2) — varsle personen ved første rimelige anledning	✓	Avviksregistreringen bærer de berørte personene, hva som var involvert, om dataene var kryptert, om nøkler ble kompromittert, og varselet selv som et steg med en dato — så mappen svarer på «når sa vi det til dem» heller enn «vi tror vi gjorde det».
s. 12(3) — melde avviket til kommissæren	◐	Visse avvik må meldes til IPC. Avviksregistreringen finnes og holder alt meldingen trenger; det som mangler, er Ontarios utløserliste vurdert på registreringen, og meldingen selv som et produsert dokument. I dag er det et menneske som leser registreringen og fyller ut IPCs skjema. Avsnitt 07.
Årlig avviksstatistikk til kommissæren	◐	Custodians fører avviksstatistikk per kalenderår og melder fjorårets tall til IPC hver mars — medregnet avvik som aldri nådde meldingsterskelen. De underliggende registreringene finnes og er kategorisert; årstallet produseres ikke for deg. Det er et lite stykke arbeid, og det er den typen som blir glemt i februar — som er argumentet for å bygge det heller enn å huske det.
s. 52–55 — innsyn og retting	✓	Innsyn innen 30 dager, med mulighet for utsettelse; retting med rett til å legge ved en uenighetserklæring der custodian nekter. Begge er førsteklasses forespørsler med beregnede lovbestemte datoer, og et avslag må notere grunnen sin heller enn bare å lukke.
O. Reg. 329/04 s. 6(3) — logging, på en elektronisk journal	✓	Journaler som holdes elektronisk, må holde en elektronisk oversikt over hvem som fikk tilgang til hva og når. Dette er den hashlenkede tilgangsloggen, og den er det enkeltvis mest nyttige dokumentet i en PHIPA-undersøkelse: den svarer på snoke-spørsmålet — så en ansatt på en pasient de ikke hadde noe forhold til — som et søk heller enn en slutning.
Plikter for en health information network provider	◐	Hvis du setter opp plattformen slik at to eller flere custodians deler opplysninger gjennom den, legger section 6(3) til plikter: skriftlige avtaler, en trussel- og risikovurdering og en personvernkonsekvensvurdering gjort tilgjengelig for custodians, en beskrivelse av tjenesten i klarspråk, en årlig skriftlig rapport om oppslag, og raskt varsel om avvik. Den underliggende dokumentasjonen — risikoanalysen, loggene, avviksregistreringene — finnes. HINP-erklæringen om praksis og årsrapporten finnes ikke, som dokumenter. Et oppsett med én praksis reiser dette i det hele tatt ikke.
Oppbevaring, overføring og sletting	⚙	Journaler må bevares, overføres og slettes sikkert. Oppbevaringsmotoren beregner slettedatoer, og sletting ødelegger nøkkelen heller enn å håpe at hver kopi ble funnet; periodene selv er dine å sette, fordi de i Canada kommer fra profesjonsrådet ditt. Avsnitt 06.

05 — Låseskapet

Det ene kanadiske begrepet arkitekturen ennå ikke har

Hver annen landside på dette nettstedet har et avsnitt som dette. Her er Canadas, og det er verdt å være presis om, fordi det er det en godt forberedt kjøper i Ontario vil spørre om.

Hva loven krever

En pasient kan gjerde inn deler av sin egen journal

Etter PHIPA kan en pasient gi en uttrykkelig instruks om at noen av opplysningene deres ikke skal brukes eller utleveres for å gi helsehjelp — også inne i behandlingskretsen, også til en kliniker som ellers ville hatt rett til dem. Albertas HIA når et liknende sted gjennom et uttrykt ønske. Det er ikke en fravelging av journalen; det er et gjerde rundt en del av den.

Og det er en plikt til: når gjerdet stopper en utlevering, må mottakeren få vite at noe er holdt tilbake — ikke hva, men at bildet er ufullstendig.

Hva som finnes i dag

Alt gjerdet ville henge på

Dokumenter kan adresseres og krypteres hver for seg. Tilgangen utledes alt ved lesing av behandlingsforholdet heller enn å bli gitt som en statisk rolle. Hvert oppslag loggføres alt. Utleveringer bærer alt et grunnlag og et formål.

Og det er poenget: låseskapet er ikke en ombygging. Det er et begrensningsobjekt på journalen pluss en sjekk i en lestesti som alt finnes og alt er den eneste veien inn.

Hva det vil si å bygge det

Fire brikker, ingen av dem store

En pasientinstruks med et omfang, en dato og en notert kanal; håndheving i dokumentets lestesti, så den binder uansett hvem som spør; varselet om at noe er holdt tilbake, som et generert dokument; og overstyringen — fordi et låseskap viker for et lovlig krav, og en overstyring må skrive sin egen registrering slik knus-glasset alt gjør.

Det hører i en kanadisk pakke, ved siden av oppbevaringsplanen og de to avviksflytene, på samme måte som GDPR-, UK- og US-pakkene ligger på den delte kjernen.

Hva vi ikke vil hevde

At et notat i et felt er et låseskap

I dag kan en praksis notere instruksen og etterleve den med disiplin, og mange kanadiske praksiser kjører nøyaktig slik på systemet de har i dag. Det er et virkelig svar, og det er det vi ville si i en anbudsrunde.

Det er ikke det vi vil kalle det. En kontroll håndhevet av mennesker er ikke en kontroll håndhevet av programvare, og en kjøper som får høre noe annet, finner det ut under en IPC-gjennomgang.

06 — Oppbevaring

Motoren er bygget; de kanadiske tallene er dine, og her er hvorfor

I Tyskland kommer oppbevaringstiden fra loven. I Storbritannia kommer den fra en nasjonal praksiskode. I Canada kommer den fra profesjonsrådet ditt, som betyr at den endrer seg med yrket ditt så vel som provinsen din — en psykolog, en lege og en registrert psykoterapeut i samme bygg kan gå på tre ulike klokker.

Så plattformen leverer mekanismen og ikke tallene, og det er et bevisst valg heller enn en utelatelse.

Regelformen	Status	Hva den betyr, og hvor Canada bruker den
Et fast antall år etter arkivering	✓	Det enkle tilfellet — regnskapsbilag, samtykkeskjemaer, administrative dokumenter.
År etter siste kontakt	✓	Den vanlige kanadiske kliniske formen. British Columbias råd for leger og kirurger ligger på 16 år fra siste oppføring; Albertas på 10 år fra den siste datoen pasienten ble sett. «Siste kontakt» beregnes av behandlingsforholdene og aktiviteten på journalen, ikke skrevet inn av et menneske ved avslutningen.
Til pasienten blir myndig, pluss år	✓	Barneregelen, og den som håndkjørte planer tar feil om. Kanadiske profesjonsråd forlenger vanligvis en mindreåriges journal langt forbi voksenperioden — BC til 35 års alder, Alberta til to år etter 18, andre til 21. Myndighetsalderen settes per regel, ikke per system, fordi den er ulik mellom provinsene (18 eller 19), og en gruppepraksis kan holde journaler under mer enn én.
År etter død	✓	Løper fra den registrerte dødsdatoen, og går foran der profesjonsrådets regel sier at den korteste av de to gjelder.
En kanadisk plan, levert som data	◐	Ikke levert. UK-pakken leverer NHS-planen som rader fordi det finnes én nasjonal plan å levere. Canada har ingen enkelt plan å levere — så i dag legger et kanadisk oppsett inn sine egne regler, og vi vil heller si det enn å late som om en matrise over provins og yrke vedlikeholdt av oss er tryggere enn en din personvernansvarlige har godkjent.
Rettslig hold	✓	En journal under hold kommer ikke til sletting, uansett hva regelen sier, og holdet er selv en datert registrering med en grunn. Dette betyr mer i Canada enn andre steder fordi en profesjonsrådsundersøkelse kan vare lenger enn en oppbevaringsperiode.
Sletting som faktisk sletter	✓	Sletting ødelegger nøkkelen heller enn å slette rader og håpe at hver sikkerhetskopi ble nådd. Dokumentets revisjonsspor lever videre etter dokumentet — som er den rette veien rundt, fordi beviset for at du slettet en journal riktig, må leve lenger enn journalen.

Hva du skal gjøre ved innføringen

Ta med profesjonsrådets standard for journaloppbevaring til oppsettsmøtet — ikke personvernloven. Hver periode på denne siden kom fra et profesjonsråd eller et fagorgan, og holder du journaler for mer enn ett yrke, ender du med mer enn én regel. Det er normalt, det er støttet, og det er langt bedre enn ett forsiktig tall som beholder alt i 30 år og gjør journalarkivet ditt til et ansvar.

07 — Når noe kommer ut

To klokker, og de er ikke den samme klokken

En kanadisk klinikk kan være under både en føderal og en provinsiell meldeplikt for samme hendelse, med ulike terskler, ulike mottakere og ulik dokumentasjon. Det er her kanadisk avvikshåndtering er virkelig vanskeligere enn den amerikanske eller britiske, og det er verdt å gå gjennom med en kjøper bevisst.

Føderalt · PIPEDA

Reell risiko for betydelig skade

Et brudd på sikkerhetstiltakene må meldes til Office of the Privacy Commissioner of Canada, og de berørte personene varsles, så snart det er mulig etter at du har fastslått at det skaper en reell risiko for betydelig skade. Testen avhenger av opplysningenes følsomhet og sannsynligheten for misbruk — og helseopplysninger er omtrent så følsomme som vurderingen blir.

Og for seg: du må føre en registrering av hvert brudd på sikkerhetstiltakene i 24 måneder, enten det var meldepliktig eller ikke, og legge fram de registreringene for OPC på forespørsel.

Provinsielt · PHIPA, Ontario

Varsle pasienten, meld til IPC, tell året

Tre egne plikter. Varsle den berørte personen ved første rimelige anledning. Meld til Information and Privacy Commissioner of Ontario der avviket faller inn under en av de forskrevne omstendighetene. Og før statistikk for kalenderåret og meld fjorårets tall hver mars — medregnet avvik som aldri krysset meldingsterskelen.

Andre provinser er ulike. Albertas HIA bærer sin egen varslingsplikt til kommissæren og ministeren; flere andre provinser har sine egne. Raden din i avsnitt 02 er startpunktet.

Hva plattformen gjør

Én registrering, og de ubehagelige spørsmålene stilt med en gang

Et avvik er en registrering fra det øyeblikket det oppdages, og bærer når det skjedde, når du ble kjent med det, hvem som fant det, hvilke dokumenter og hvilke personer som var involvert, og — de to feltene som avgjør de fleste kanadiske vurderingene — om dataene var kryptert og om nøklene ble kompromittert. Tiltak og varsler henger av samme registrering med sine egne datoer.

Fordi tilgangsloggen bare legges til og er hashlenket, er omfangsspørsmålet — hva som faktisk ble åpnet — besvart av bevis heller enn anslått.

Hva som mangler

De kanadiske skjemaene, og årstallet

Registreringen holder alt begge tilsyn ber om. Hva den ikke gjør, er å vurdere de kanadiske tersklene for deg — RROSH-vurderingen føderalt, de forskrevne omstendighetene i Ontario — eller å produsere noen av meldingene som et dokument, eller å telle kalenderåret til marsmeldingen.

I dag er det et menneske som leser en fullstendig registrering og fyller ut et skjema. Det er brukbart, og det er vesentlig bedre enn å sette sammen fakta fra e-post. Det er fortsatt arbeid vi burde gjøre for deg, og det hører i en kanadisk pakke ved siden av låseskapet og oppbevaringsplanen.

08 — Hvor dataene bor

Spørsmålet hver kanadisk kjøper stiller, og grunnen til at vi svarer på det lett

Kanadiske helsekjøpere spør om datalagring i eget land tidligere og hardere enn kjøpere noe annet sted på dette nettstedet, vanligvis i første møte. Den ærlige juridiske stillingen er mer nyansert enn folkloren — og arkitekturen gjør nyansen uvesentlig.

Troen	Hva som faktisk er tilfellet
«Kanadiske helsedata må bli i Canada.»	Generelt ikke sant som en absolutt regel for en privat klinikk. PIPEDA forbyr ikke overføringer; den holder deg ansvarlig for opplysninger du overfører til en databehandler og krever sammenliknbar beskyttelse ved avtale. De fleste provinsielle helselovene tar en liknende tilnærming for private custodians.
«British Columbia krever det.»	Det gjorde de, og det er endret. FIPPA-kravet om at offentlige organer bare skal lagre og nå personopplysninger i Canada, ble opphevet i november 2021, erstattet av en vurderingsplikt. FIPPA styrer uansett offentlige organer heller enn private klinikker.
«Nova Scotia krever det.»	For offentlige organer og deres tjenesteleverandører, i hovedsak ja — PIIDPA begrenser lagring og tilgang utenfor Canada, med en modernisert erstatning som ikke trer i kraft før 2027. Inngår du avtale med et offentlig organ i Nova Scotia, er dette en levende skranke for leverandørene dine, ikke bare for deg.
«Québec krever det.»	Ikke som et forbud — men Law 25 krever en vurdering før opplysninger forlater Québec, og overføringen kan bare skje hvis vurderingen viser tilstrekkelig beskyttelse. I praksis er det et dokument du må kunne legge fram.
«Så et skyprodukt er greit.»	Juridisk, ofte. Kommersielt er det fortsatt innvendingen du kommer til å bruke møtet på — og med en kjøper i offentlig sektor eller tilknyttet et sykehus kan det være avgjørende uansett hva loven sier.

Derfor er dette avsnittet kort for oss

Plattformen er satt opp på infrastruktur du velger, med en egen database per virksomhet. Legg den på en kanadisk vert, eller i ditt eget bygg, og spørsmålet om overføring over grensen kommer ikke opp: det finnes ingen overføring å vurdere, ingen databehandler å avtale med, og ingen leverandør som holder pasientenes journaler. Det er et sterkere svar enn noen driftet konkurrent i dette markedet kan gi, og i Canada er det verdt å lede med.

Følgen er ærlig også: sikkerheten i det oppsettet er da virkelig din. Avsnitt 14 sier hva det betyr i praksis.

09 — Grensen

Hva vi ikke kan gjøre i Canada, sagt klart og tidlig

Dette er avsnittet som avgjør de fleste kanadiske avtalene, og det hører her heller enn i en fotnote. Ingenting av det er et etterslep som kommer neste kvartal. Hvert punkt er en nasjonal eller provinsiell skinne med sin egen godkjenningsprosess, og å være utenfor dem er et faktum om produktet i dag.

Skinnen	Status	Hva den er, og hvem den svir for
Provinsiell forsikringsavregning — OHIP, MSP/Teleplan, AHCIP og resten	✗	Vi kan ikke levere et krav for en dekket tjeneste til en provinsordning. Hver provins har sitt eget innsendingsformat, sin egen leverandørprosess og sin egen oppgjørs- og avstemmingssyklus. Blir inntekten din avregnet mot en provinsordning, er dette diskvalifiserende, og vi vil heller at du vet det i første møte. Er arbeidet ditt egenbetalt, dekket av tilleggsforsikring, arbeidsgiverfinansiert, EAP eller tredjepart — som beskriver mesteparten av psykoterapi, rådgivning og mye annen helsehjelp i Canada — koster det deg ingenting, fordi det er fakturaer, og plattformen gjør fakturaer godt.
Provinsielle EHR-visninger og arkiver	✗	connectingOntario og OLIS i Ontario, Netcare i Alberta, CareConnect i British Columbia, de provinsielle systemene ellers. Dette er integrasjoner som krever provinsiell påmelding, identitetsføderasjon og godkjenningstesting. Vi er ikke koblet til noen av dem, så laboratoriesvar, utlevert medisinhistorikk og sykehusrapporter flyter ikke inn.
Sertifiseringsordninger for EMR	✗	Ontarios EMR-spesifikasjon og de provinsielle sertifiseringsordningene som følger med, finnes for å kvalifisere et produkt som EMR for primærhelsetjenesten, noen ganger med finansiering knyttet til. Vi er ikke sertifisert, og vi er ikke en EMR for primærhelsetjenesten. For en legepraksis er det avgjørende; for en psykoterapi- eller annen helsepraksis er det vanligvis ikke engang relevant.
E-resept	✗	PrescribeIT og de provinsielle legemiddelinformasjonssystemene. Ingen resept, ingen sending til et apotek, ingen kontroll av legemiddelinteraksjoner. En praksis som skriver resepter, trenger et annet system for den delen av arbeidet sitt.
Pan-kanadisk samhandling — CA Core+ / FHIR	◐	Den nasjonale retningen er FHIR-basert, med et kanadisk sett grunnprofiler. Plattformen har et API og strukturerte journaler; den gjennomfører ikke de kanadiske FHIR-profilene, og har ikke vært gjennom noen godkjenningstesting. Merket delvis heller enn borte fordi hullet er profilarbeid på et grensesnitt som finnes, ikke et manglende grensesnitt — men ingen bør lese det som «støttet».
Den kanadiske jurisdiksjonspakken selv	◐	Den delte kjernen bærer det hver jurisdiksjon trenger, og GDPR-, UK- og US-pakkene ligger oppå den. Det finnes ingen kanadisk pakke ennå — så låseskapet (avsnitt 05), oppbevaringsplanen (avsnitt 06), de to avviksmeldingene og det årlige tallet (avsnitt 07) og Québec-registrene (avsnitt 10) er innstillinger og disiplin i dag heller enn programvare. Alt de ville henge på, finnes alt.

Hvordan du bruker dette avsnittet

To spørsmål avgjør om resten av denne siden betyr noe. Avregner du en provinsordning for dekkede tjenester? Og trenger du at laboratoriesvar og sykehusrapporter kommer elektronisk? Er begge svarene nei — og for svært mange kanadiske praksiser innen psykisk helse, rådgivning og annen helsehjelp er begge svarene nei — koster ingenting på denne listen deg noe, og personvernstillingen i avsnitt 08 er den sterkeste som finnes i markedet.

10 — Québec

En egen jurisdiksjon i hver forstand som betyr noe her

Québec er ikke «Canada pluss fransk». Provinsen har sin egen personvernlov, sin egen helseinformasjonslov, sitt eget tilsyn og sin egen språklov, og en kanadisk innføringsplan som behandler den som én provins til, vil feile ved første revisjon.

Law 25

Loven for privat sektor, og det nærmeste Canada har til GDPR

Innfaset fra 2022 og fullstendig siden september 2024. En utpekt person ansvarlig for personvern. Et register over fortrolighetshendelser. Personvernkonsekvensvurderinger før et informasjonssystemprosjekt. Fintmasket samtykke, formål for formål, med uttrykkelig samtykke for følsomme opplysninger — og helseopplysninger er følsomme per definisjon. Retten til innsyn, retting, dataportabilitet og avindeksering. Sanksjoner som er størrelsesordener over resten av Canada.

Law 5

Helseinformasjonsloven, i kraft siden 2024

Loven om helse- og sosialtjenesteinformasjon trådte i kraft i faser fra juli 2024 og gjelder for klinikker — også private lege- og tannlegeklinikker — med plikter som ikke bare speiler Law 25. Den er laget for å beskytte helsedata og for å få dem til å flyte trygt inne i helsesystemet samtidig, som betyr plikter i begge retninger.

Dette er avsnittet du skal legge fram for advokat i Québec før du gir pris til en Québec-klinikk. Den er ny, forskriftene setter seg ennå, og vi kommer ikke til å oppsummere den som om den var avklart.

Hva plattformen alt gir deg

Mer av det enn du ville vente

Hendelsesregisteret er avviksregistreringen. Den utpekte personen er utpekingsregisteret. Innsyn, retting og klageveien er førsteklasses forespørsler. Dataportabilitet har et virkelig svar — eksportmaskineriet bygget for GDPR er jurisdiksjonsnøytralt — og det har sletting også, fordi sletting ødelegger nøkkelen heller enn å slette en rad.

Brikkene som virkelig er Québec-formede, er personvernkonsekvensvurderingen som en registrering og overføringsvurderingen før opplysninger forlater provinsen. Ingen av dem finnes som objekt i dag.

Språkplikten

Fransk er ingen ekstrafinesse i Québec

Charte de la langue française, som endret, krever fransk i forbruker- og arbeidsforhold og en fransk utgave av en virksomhets digitale tilstedeværelse. For programvare rekker dette til grensesnittet de ansatte og pasientene dine faktisk bruker.

Der vi står: plattformen kjører på fransk, og guidene på dette nettstedet har en fransk utgave. Det som ikke er gjort, er en gjennomgang av klinisk vokabular for Québec — forskjellen mellom korrekt fransk og den franske en Québec-kliniker venter å lese. Avsnitt 11.

11 — Språk og tilgjengelighet

To plikter som ikke er personvernplikter, og som blir glemt

Plikt	Status	Hva den betyr her
Fransk, i Québec	⚙	Grensesnittet, pasientportalen og dokumentene du sender, trenger en fransk utgave. Plattformen er fullt oversettbar og leveres med fransk; malene og den kliniske ordbruken er dine, og et Québec-oppsett bør sette av en vokabulargjennomgang heller enn å anta at den leverte franske leses som Québec-fransk.
Tospråklig tjeneste, utenfor Québec	⚙	New Brunswick er offisielt tospråklig, og arbeid finansiert eller kontrahert føderalt bærer sine egne språkplikter. Samme oversettelsesmaskineri dekker det; hvilke språk du slår på, er en innstilling.
AODA — tilgjengelige nettsteder, Ontario	◐	Virksomheter i Ontario over terskelen for små arbeidsgivere har måttet møte WCAG 2.0 nivå AA på offentlige nettsteder og nettinnhold siden januar 2021. Dette rekker til pasientportalen og bestillingssidene dine, som er offentlig nettinnhold. Plattformens portal er bygget på standard, semantiske nettkomponenter og er i rimelig stand; den er ikke formelt revidert mot WCAG 2.0 AA, og vi kommer ikke til å hevde samsvar vi ikke har testet.
Accessible Canada Act	§	Gjelder virksomheter regulert føderalt. En privat klinikk er regulert provinsielt og i hovedsak utenfor — men en klinikk som leverer tjenester under føderal kontrakt bør sjekke heller enn å anta.

12 — CASL

Antispamloven, fordi timepåminnelser bor rett ved siden av markedsføring

Canadas antispamlovgivning styrer kommersielle elektroniske meldinger, og den er strengere enn de fleste klinikker venter: samtykke må være uttrykkelig eller falle inn i en definert forutsatt kategori, hver melding må identifisere avsenderen og bære en avmelding som virker, og sanksjonene er betydelige.

Hva CASL ber om	Status	Hva som skjer her
Skill en tjenestemelding fra en markedsføringsmelding	✓	Kommunikasjonsvalg holdes per person og per kanal, og den transaksjonelle stien — timebekreftelser, påminnelser, varsler om sikre dokumenter — er en annen sti enn markedsføringsstien. En pasient som melder seg av et nyhetsbrev, får fortsatt vite at timen ble flyttet.
Noter hvordan samtykket ble innhentet	⚙	Samtykke lagres på kontakten med kanal og dato. Å bevise samtykket er hele CASL-forsvaret, så disiplinen med å fange det ved innsamlingen er verdt mer enn noen funksjon.
Identifikasjon og avmelding i hver melding	⚙	Malene bærer dem; avsenderopplysningene og ordlyden er dine, og de hører i samme gjennomgang som personvernerklæringen din.

13 — Der vi er sterkere

Fire ting en kanadisk kjøper bør veie på den andre siden

Avsnitt 09 er bevisst lite flatterende. Dette er den andre halvdelen av samme ærlighet.

Datalagring, besvart av arkitekturen

Ingenting forlater, fordi det ikke er noe sted å forlate til

Oppsettet er ditt. Det finnes ingen leverandørtenant som holder kanadiske pasientjournaler, ingen overføring over grensen å vurdere etter Law 25, og ingen databehandleravtale å forhandle. I et marked der dette er det første spørsmålet som stilles, er det det sterkeste svaret som finnes — og det er arkitektonisk heller enn kontraktsfestet.

Snoke-spørsmålet

En tilgangslogg som svarer på det som et søk

Den typiske kanadiske personvernhendelsen i helse er ikke en hacker; det er en ansatt som ser på en journal de ikke hadde noe å gjøre i. Fordi tilgangen utledes av daterte behandlingsforhold og hvert oppslag skrives til et spor som bare legges til og er hashlenket, er «hvem så på denne pasienten uten et forhold til dem» et søk heller enn en undersøkelse. De fleste systemene i dette markedet kan ikke svare på det i det hele tatt.

Sletting du kan dokumentere

Å ødelegge nøkkelen, ikke å slette raden

Sikker sletting er en plikt fra profesjonsrådet like mye som en personvernplikt, og den vanlige svikten er en sikkerhetskopi ingen nådde. Her ødelegges journalens nøkkel, og revisjonssporet for slettingen lever lenger enn journalen — som er det beviset et profesjonsråd faktisk ber om.

Ett system, ikke fem

Bestilling, notater, dokumenter, fakturering, portal og utbetalinger

En kanadisk gruppepraksis kjører typisk et bestillingsverktøy, et notatverktøy, en fildeling, en regnskapspakke og en betalingsformidler, og avstemmer dem for hånd. Personvernrisikoen i det boet er større enn noen enkelt del av det, og å slå det sammen er et personvernargument like mye som et effektivitetsargument.

14 — Hva som blir hos deg

Pliktene ingen programvare bærer, i Canada eller noe annet sted

Hver side på dette nettstedet slutter her, og listen er bevisst kort og bevisst likefram.

Ditt	Hvorfor det ikke kan være vårt
Å være custodian, trustee eller ansvarlig person	Loven navngir praksisen, og i de fleste provinsene en navngitt person i den. En leverandør kan ikke holde den rollen for deg, og ingen kontrakt overfører den.
Ordene i personvernerklæringen og samtykkeskjemaene dine	De beskriver hva du gjør. Vi holder dem, versjonerer dem og beholder de erstattede; vi skriver dem ikke, og en mal som ikke er lest av personvernansvarlig, er verre enn ingen.
Oppbevaringstidene	De kommer fra profesjonsrådet ditt. Avsnitt 06.
Å avgjøre om et avvik er meldepliktig	Vurderingen av reell risiko for betydelig skade føderalt, og de forskrevne omstendighetene provinsielt, er vurderinger om pasientene dine og din sammenheng. Vi gir deg en fullstendig registrering å bygge vurderingen på; vurderingen er din.
Å sikre oppsettet	Følgen av å kjøre det selv. Oppdateringer, sikkerhetskopier, testing av gjenoppretting, nettverkssikkerhet og fysisk tilgang til maskinen er dine — og vil du at det skal bæres av andre, er det en driftsavtale, sagt som det, ikke en fotnote i en lisens.
Juridisk rådgivning	Ingenting på denne siden er juridisk rådgivning, og den erstatter ikke kanadisk advokat. Den er et kart over hva som gjelder og et ærlig oppgjør med hva programvaren gjør med hvert punkt. Lovene beveger seg — Law 5 er ny, Québecs forskrifter setter seg ennå, og føderal personvernreform har vært inn og ut av parlamentet i årevis.

Hvordan denne siden ble skrevet

Pliktene er oppsummert fra lovene, tilsynsveiledningen og profesjonsstandardene som er navngitt gjennom hele siden, og statuskolonnen er skrevet mot koden i dette kodelageret heller enn mot et veikart — og det er derfor fire rader sier ◐ og seks sier ✗. Les dem først. Blir en kanadisk pakke bygget, endrer denne siden seg med den og merkene flytter seg; til da sier de hva som er sant i dag.

Primærkildene var ikke å nå fra maskinen dette ble skrevet på. Flere føderale og provinsielle lovnettsteder er sperret av nettverket her, så pliktene under er satt sammen av stoff fra tilsyn og fagorganer heller enn lest av loven. Det holder for et kart og holder ikke for en melding: få kanadisk advokat til å bekrefte alt du har tenkt å bygge på, særlig Québec, der Law 5 er ny og forskriftene ennå setter seg.