El Departamento de Salud y Servicios Humanos considera que un proveedor de servicios en la nube que almacena información médica protegida electrónica (ePHI) es un socio comercial, incluso cuando dicho proveedor solo almacena datos cifrados y no dispone de la clave. El cifrado limita lo que el proveedor puede leer, pero no lo excluye de la cadena de responsabilidad.
Esa misma división se extiende al ámbito jurisdiccional. Una parte puede encontrarse al mismo tiempo dentro de esa cadena y fuera de tu ordenamiento jurídico, con una documentación que parece estar en regla en ambos casos.
En una implementación de VDI, la cadena puede abarcar a varias partes: el proveedor de software, el socio de alojamiento, la nube subyacente y el subcontratista de soporte técnico. Cada uno de ellos que tenga acceso a información médica protegida (PHI) debe firmar un acuerdo, ya que la extensión de responsabilidad prevista en la Norma Ómnibus de 2013 se extiende también a los subcontratistas. Lo que ninguno de esos acuerdos recoge es el país en el que está constituida la parte firmante, la legislación que rige sus operaciones o si una autoridad ajena al acuerdo puede obligarla a facilitar la información que obra en su poder.
La jurisdicción se refiere al lugar donde se conservan los historiales de los pacientes. La soberanía se refiere a qué autoridades pueden ordenar su presentación. Lo que sigue aplica esta segunda cuestión a la información médica protegida (PHI).
El mecanismo
En virtud de la Ley CLOUD de EE. UU., un proveedor sujeto a la jurisdicción estadounidense puede verse obligado, mediante un procedimiento judicial de EE. UU., a facilitar los datos que obren en su poder, custodia o control, incluso cuando dichos datos se encuentren fuera de Estados Unidos. La obligación recae sobre el proveedor, no sobre la ubicación del servidor. Por eso, un centro de datos local determina la residencia, pero deja abierta la cuestión de la jurisdicción.
Para los compradores sujetos a la normativa europea, esto ya constituye un trámite formal. La evaluación de la transferencia que siguió a la Sentencia Schrems II pide al exportador que analice si la legislación del país de destino permite a las autoridades públicas exigir el acceso, y el alcance extraterritorial es uno de los aspectos que se tienen en cuenta. Los datos sanitarios se incluyen en una categoría especial en el marco del RGPD, lo que aumenta lo que está en juego.
Qué lugar ocupa esto en una evaluación de VDI
De ello se derivan tres consecuencias. La primera es específica del ámbito sanitario. Las otras dos siguen siendo válidas incluso tras decisiones que parecen zanjar la cuestión.
- Los acuerdos ya son obligatorios. El lugar donde debe registrarse la jurisdicción es el conjunto de documentos que ya exige la HIPAA. Se trata de un nuevo campo, no de un nuevo programa de trabajo.
- La custodia de las llaves es un tema aparte. Para cada parte de la cadena, hay que preguntarse quién tiene las claves. Se trata de una cuestión de competencia jurisdiccional, no solo de seguridad.
- El hecho de que una decisión se tome de forma local no implica que se cierre automáticamente. Las actualizaciones, las comprobaciones de licencias, los diagnósticos y la asistencia remota pueden, cada uno de ellos, hacer que la información salga del entorno. Indica por escrito el destinatario de cada canal, junto con la jurisdicción que lo regula.
Hemos establecido Cinco preguntas para evaluar la cadena de suministro de un proveedor, en las que se detallan las entidades jurídicas implicadas, lo que cada parte puede obtener y cómo gestiona un proveedor una solicitud de la Administración. Están redactadas para poder incorporarse directamente a una solicitud de propuestas.
Dónde encaja Inuvika
Esta es nuestra postura respecto a esas cuestiones.
Nuestras contratos se celebran desde Canadá o el Reino Unido y no estamos sujetos a la jurisdicción de EE. UU. Para los clientes con sede en la UE, la jurisdicción aplicable a nuestros términos y condiciones es Irlanda. Esto se refiere a nuestra propia entidad. El resto de la cadena depende de cómo se realice la implementación.
En las instalaciones, OVD Enterprise no recopila datos de los clientes (salvo la fecha de vencimiento de las suscripciones voluntarias y las cifras de uso total). Esto reduce considerablemente la información que se nos podría solicitar en cualquier caso. En los casos en que la implementación deba ir más allá, OVD Enterprise puede utilizarse en un entorno totalmente “aislado”. Si prefiere optar por el servicio gestionado, se lo proporcionamos a través de socios de alojamiento locales independientes, en su país, en lugar de un único operador global.
OVD Enterprise está basado en Linux, ofrece aplicaciones y entornos de escritorio de Windows y Linux en cualquier dispositivo, y es independiente del hipervisor y de la nube, por lo que funciona con cualquier directorio de Active Directory o LDAP. Esto es importante en este contexto por una razón: la cadena de distribución sigue siendo un conjunto de decisiones que tú tomas, en lugar de una carga legal que heredas.
Genomics England nos seleccionó para proporcionar el entorno seguro de aplicaciones y escritorios virtualizados para el Proyecto 100 000 Genomas. Canadian Health Systems ofrece aplicaciones como servicio a clínicas médicas. Droguería DelSud, el mayor distribuidor de productos sanitarios de Argentina, migró la red de sus socios del acceso VPN heredado a espacios de trabajo virtuales seguros.
Vale la pena plantear las preguntas anteriores a todos los candidatos preseleccionados, incluidos nosotros mismos. Descubre cómo ofrecemos escritorios virtuales en el sector sanitario.
Preguntas frecuentes
¿Resuelve un acuerdo de colaboración empresarial la cuestión de la soberanía?
No. Establece lo que un signatario puede hacer con la información médica protegida (PHI). El ordenamiento jurídico al que está sujeto dicho signatario es una cuestión aparte, y debe constar por escrito, en lugar de deducirse del contrato.
¿Nos obliga la HIPAA a tener en cuenta el lugar en el que tiene su sede un proveedor?
No directamente. La Oficina de Derechos Civiles del HHS ha señalado que las normas de la HIPAA no establecen requisitos específicos para la ePHI tratada o almacenada fuera de Estados Unidos, aunque ha indicado que los acuerdos en el extranjero pueden plantear consideraciones especiales sobre la aplicabilidad de las medidas de protección de la privacidad y la seguridad de dichos datos, y que esto debe incluirse en el análisis de riesgos que ya exige la Norma de Seguridad. La jurisdicción es la versión más concreta de la misma cuestión.
Ya realizamos una evaluación de la transferencia con arreglo al RGPD. ¿Se refiere a lo mismo?
Es lo más parecido a eso. La evaluación que siguió a Schrems II se centra en si la legislación del país de destino permite a las autoridades públicas exigir el acceso, lo que equivale a la cuestión de la jurisdicción expresada de otra forma. Se centra en las transferencias de datos personales fuera del EEE, por lo que es posible que no se aplique a una implementación en la que los datos se mantengan en el país, incluso cuando el proveedor, o parte de su cadena de soporte, tenga su sede en el extranjero. Vale la pena comprobar a cuáles de tus acuerdos afecta realmente.