Información general

La Ley de Privacidad y Acceso a Información de Salud Personal (PHIPAA) y los requisitos generales son una legislación sobre privacidad de Nuevo Brunswick que se aplica a la recopilación, el uso, la divulgación, la retención, la disposición y la protección de información de salud personal cuya gestión o control se encuentra a cargo de un administrador.

Los clientes siempre conservan el control acerca de la manera en la que administran y obtienen acceso al contenido almacenado en AWS. Los clientes son responsables de garantizar su propio cumplimiento de la NB PHIPAA, dado que AWS no puede ver ni saber lo que estos suben a su red, ni tampoco si dichos datos están sujetos o no a las regulaciones de la ley. Los clientes de AWS pueden diseñar e implementar un entorno de AWS, y utilizar los servicios de AWS de una manera tal que permita cumplir las obligaciones establecidas por la NB PHIPAA.

Actualmente, la región Canadá (Central) de AWS está disponible para múltiples servicios, incluidos Amazon Elastic Compute Cloud (Amazon EC2), Amazon Simple Storage Service (Amazon S3) y Amazon Relational Database Service (Amazon RDS). Si desea obtener una lista completa de las regiones y los servicios de AWS, consulte la página de infraestructura global. Los precios para la región de Canadá están disponibles en las páginas de detalles de cada servicio, a las que puede acceder a través de nuestra página de productos y servicios.

• ¿Qué es la PIPEDA y qué es la NB PHIPAA? ¿Cuál es la relación entre estas leyes?

  La Ley de Protección de Datos Personales y Documentos Electrónicos (PIPEDA) es una ley federal canadiense aplicable a la recopilación, el uso y la divulgación de información personal durante la realización de actividades comerciales en todas las provincias canadienses. Determinadas provincias canadienses también adoptaron leyes de privacidad generales propias tanto para el sector público como para el privado, además de leyes sobre privacidad específicas para la información de salud personal. Ley de Privacidad y Acceso a Información de Salud Personal, S.N.B. 2009, c. P-7.05 (“NB PHIPAA”) es la ley de privacidad en Nuevo Brunswick ("NB"), que se aplica a la recopilación, uso, divulgación y protección de información de salud personal por parte de organizaciones e individuos particulares (referidos como "administradores" bajo NB PHIPAA) dentro de Nuevo Brunswick, y a las medidas a tomar para salvaguardar dicha información. La NB PHIPAA se aplica a la información de salud personal que se define en NB PHIPAA como "información de identificación de un individuo en forma oral o grabada si la información: (a) se relaciona con la salud física o mental, el historial familiar o el historial de atención médica del individuo, incluida la información genética sobre el individuo; (b) es la información de registro del individuo, incluido el número de Medicare del individuo; (c) se relaciona con la provisión de atención médica al individuo; (d) se relaciona con información sobre pagos o elegibilidad para atención médica con respecto al individuo, o elegibilidad para cobertura para atención médica con respecto al individuo; (e) se refiere a la donación por parte del individuo de cualquier parte del cuerpo o sustancia corporal del individuo o se deriva de la prueba o examen de cualquier parte del cuerpo o sustancia corporal; (f) identifica al tomador de decisiones sustituto del individuo, o; (g) identifica al proveedor de atención médica de un individuo". Un "administrador" significa: "un individuo u organización que recopila, mantiene o utiliza información personal de salud con el fin de proporcionar o ayudar en la prestación de atención o tratamiento de salud o la planificación y gestión del sistema de atención de salud o la entrega de un programa gubernamental o servicio”; e incluye organismos públicos y proveedores de atención médica que no son agentes o empleados de un administrador, entre otros, según se define en la NB PHIPAA.

  La obligación de un cliente de AWS de cumplir con la PIPEDA, la NB PHIPAA o cualquier requisito de privacidad provincial canadiense, o el alcance del cumplimiento, variará en función del negocio del cliente.

  Es posible que otras organizaciones también estén sujetas al cumplimiento de la PIPEDA o de otras leyes provinciales sobre privacidad. Si desea obtener más información sobre esta ley, visite el sitio web de AWS aquí.

  Los clientes deben consultar a sus asesores legales para averiguar qué leyes de privacidad deben cumplir.
  

• ¿Cómo pueden los clientes cumplir con la NB PHIPAA en AWS?

  Los clientes de AWS pueden diseñar e implementar un entorno de AWS, y utilizar los servicios de AWS de una manera tal que permita cumplir las obligaciones establecidas por la NB PHIPAA.

  Los clientes que están sujetos a NB PHIPAA quizás han cumplido con los requisitos relacionados con la recopilación, el uso, la divulgación y la protección de la información sobre salud. AWS le da a los clientes el control acerca de cómo almacenar y procesar su contenido cuando usan los servicios de AWS, incluido el control sobre cómo se protege y quiénes pueden obtener acceso a él. AWS ofrece servicios que los clientes pueden configurar y utilizar para aumentar la seguridad de la información de salud personal almacenada en AWS. Es responsabilidad del cliente diseñar una solución que cumpla los requisitos de privacidad correspondientes.

  Tenga en cuenta que no existe ninguna "certificación" con reconocimiento oficial para el cumplimiento de la NB PHIPAA, como las certificaciones o autorizaciones que una entidad puede obtener en relación con SOC, PCI o FedRAMP. En su lugar, AWS ofrece a sus clientes información considerable sobre las políticas, los procesos y los controles definidos y utilizados por AWS. AWS provee manuales, documentos técnicos y guías de prácticas recomendadas en la página de recursos de conformidad de AWS y los clientes tienen acceso bajo demanda a los informes de auditoría externos de AWS en AWS Artifact.
  

• ¿AWS tiene acceso a la información sobre salud que los clientes ingresan en AWS?

  Los clientes siempre conservan el control acerca de la manera en la que administran y obtienen acceso al contenido almacenado en AWS. AWS ofrece un conjunto de características avanzadas de acceso, cifrado y generación de registros para ayudar a los clientes a gestionar su acceso y contenido. AWS no accede al contenido de los clientes ni lo divulga a menos que este se lo solicite o si resulta necesario para cumplir con la ley o una solicitud legalmente válida y vinculante de un organismo gubernamental o regulador competente. A menos que se le prohíba a AWS legalmente o que haya una clara indicación de conducta ilegal relativa al uso de los servicios de AWS, AWS envía una notificación a los clientes antes de divulgar su contenido para que puedan protegerse. Si desea obtener más información, consulte las preguntas frecuentes sobre privacidad de datos.
  

• ¿La NB PHIPAA prohíbe a un cliente de AWS poseer datos en tránsito o en reposo fuera de Nuevo Brunswick o de Canadá?

  Los clientes deben consultar a sus asesores legales en relación con el cumplimiento de leyes de privacidad. La legislación Nuevo Brunswick quizás exija custodios que determinen las medidas de protección de la información sobre salud en su custodia o control como la protección administrativa, técnica y física. La información de salud personal que se almacenará, accederá, usará o divulgará fuera de Nuevo Brunswick puede estar sujeta a ciertas obligaciones bajo NB PHIPAA antes de dicho almacenamiento, uso o divulgación fuera de Nuevo Brunswick. Es responsabilidad de cada cliente determinar si la transferencia o el almacenamiento de datos fuera de Nuevo Brunswick o de Canadá cumple sus obligaciones relacionadas con la seguridad y la privacidad bajo NB PHIPAA.

  Los clientes de AWS deben considerar si se aplica PIPEDA o las leyes de otras provincias canadienses y verificar si estas especifican límites en relación con la residencia de los datos. Los clientes de AWS eligen las regiones en las que se almacenará el contenido. AWS no migrará ni replicará contenido del cliente fuera de las regiones seleccionadas por él sin su consentimiento.
  

• ¿La NB PHIPAA exige que se cifre la información sobre salud?

  La NB PHIPAA no incluye ningún requisito específico en relación con el cifrado de la información sobre salud. Sin embargo, a las entidades que deban cumplir con la NB PHIPAA se les requiere tomar las medidas necesarias para proteger la información sobre la salud y es responsabilidad de cada cliente determinar si el cifrado es apropiado para cumplir las obligaciones de seguridad. Como práctica recomendada, AWS recomienda que la información sobre seguridad se cifre siempre en reposo y en tránsito.
  

• ¿De qué manera los clientes pueden obtener información para completar una evaluación de impacto en la privacidad en relación con el uso de AWS?

  AWS pone a disposición una amplia gama de materiales para ayudar a los clientes a comprender el funcionamiento de los controles de seguridad y el entorno de AWS. AWS suministra a los clientes acceso bajo demanda a informes de auditoría externos (como nuestros informes SOC 1 y SOC 2) en AWS Artifact. AWS también provee manuales, documentos técnicos y prácticas recomendadas en la página de recursos de conformidad de AWS acerca de cómo ejecutar cargas de trabajo en AWS de manera segura.
  

• ¿De qué manera los clientes pueden implementar tareas de auditoría y generación en sus entornos de AWS?

  Como parte del modelo de responsabilidad compartida, los clientes deben considerar la implementación de auditorías y la generación de registros en todo el entorno de AWS de una manera tal que resulte suficiente para cumplir sus requisitos de conformidad. AWS ofrece servicios que simplifican la implementación de arquitecturas de análisis de registros y la generación de registros de escala ajustable. AWS también cuenta con una variedad de socios en AWS Marketplace que ofrecen soluciones de generación de registros de seguridad. Consulte la página sobre capacidades de generación de registros de seguridad de AWS para obtener más información acerca de cómo implementar la generación de registros en AWS.
  

• ¿Podrían darme ejemplos de otras organizaciones del sector de la salud de Canadá que utilicen los servicios de AWS?

  Puede leer la publicación de blog más reciente sobre las tendencias en el sector de la salud de Canadá. Haga clic aquí para obtener información adicional sobre conformidad en el área de salud en la nube de AWS.