Приложения за диктуване, съвместими с HIPAA: какво да проверите
Ако диктувате бележки за пациенти, писма или обобщения на сесии, приложението ви за диктуване работи със защитена здравна информация. Много приложения се представят като „съвместими с HIPAA“, но HIPAA не сертифицира продукти и този етикет може да означава много различни неща. Ето какво наистина е важно, когато избирате приложение за диктуване, съвместимо с HIPAA, и контролен списък, който да използвате, преди да продиктувате и една бележка.
Няма официален етикет „съвместимо с HIPAA“
Министерството на здравеопазването и социалните услуги на САЩ (HHS) не сертифицира и не одобрява продукти като съвместими с HIPAA. HHS е заявило също, че не признава „сертификати“ на частни организации и че те не освобождават доставчиците на здравни услуги от собствените им задължения. Затова, когато доставчик казва „съвместимо с HIPAA“, приемайте го като твърдение, което трябва да се провери, а не като гаранция. Съответствието зависи от това как инструментът борави с данните, какви договори са сключени и как го използвате.
Ключовият въпрос: получава ли някога доставчикът данни за пациенти?
Според HIPAA компания, която от името на доставчик на здравни услуги създава, получава, поддържа или предава защитена здравна информация, е business associate. Преди да споделите с нея информация за пациенти, ви е нужен business associate agreement (BAA): договор, с който доставчикът се задължава да защитава данните.
Затова е толкова важно къде отива аудиото ви:
- Диктуване в облака. Записът ви се качва и транскрибира на сървърите на доставчика. Доставчикът получава данни за пациенти, затова ви трябва BAA и разчитате на неговата сигурност, правила за съхранение и служители.
- Криптирано облачно хранилище. Дори когато доставчикът не може да прочете файловете ви, според указанията на HHS облачен доставчик, който съхранява криптирани данни за пациенти без ключа, все пак е business associate. Пак ви трябва BAA.
- Диктуване на устройството. Ако записът, транскрипцията и съхранението се извършват изцяло на собствения ви телефон и разработчикът никога не получава данните, разработчикът не работи с информация за пациенти от ваше име. Собствените ви задължения по HIPAA продължават да важат, като се започне от защитата на устройството.
Криптиране: предпазната ви мрежа, ако телефонът се изгуби
Телефоните се губят и крадат. Според правилото на HIPAA за уведомяване при нарушения защитената здравна информация, криптирана в съответствие с указанията на HHS, се смята за „защитена“, така че загубата на криптирано устройство обикновено не е нарушение, за което трябва да се съобщи, стига ключът за декриптиране да не е компрометиран. В приложение за диктуване търсете:
- Записи и транскрипции, криптирани на устройството, в идеалния случай с отделно заключване на приложението, за да не ги разкрие отключен телефон.
- Ключ, защитен от хардуера за сигурност на телефона, като Face ID и Secure Enclave на iPhone, вместо парола, съхранявана другаде.
- Криптиране при пренос за всичко, което все пак напуска телефона, например експорт към електронното ви здравно досие.
Контролен списък за избор на приложение за диктуване
- Къде се транскрибира аудиото? На вашето устройство или на сървърите на доставчика? Проверете в самолетен режим.
- Ще подпише ли доставчикът BAA? Ако каквито и да е данни за пациенти стигнат до сървърите му, ви трябва, а той може да е наличен само в някои планове.
- Криптират ли се данните при съхранение и при пренос? Попитайте какъв стандарт се използва и у кого са ключовете.
- Използват ли се данните ви за обучение на ИИ? Търсете ясно „не“, а не „може да се използват деидентифицирани данни“.
- Кой има достъп до записите? Служители, подизпълнители, хора, които транскрибират, доставчици на ИИ?
- Колко дълго се пазят данните и можете ли да ги изтриете напълно?
- Контролирате ли експорта? Изпращането на бележка към здравното досие или софтуера на практиката трябва всеки път да е ваше решение.
Останалата част от HIPAA продължава да важи
Нито едно приложение само по себе си не ви прави съвместими. Поддържайте софтуера на телефона актуален, използвайте силен код и Face ID, не споделяйте устройството и спазвайте правилата на организацията си за мобилни устройства. Терапевтите трябва да помнят и че бележките от психотерапия имат допълнителна защита по HIPAA. Ако работите в практика или болница, консултирайте се с отговорника по съответствието или защитата на данните, преди да въведете нов инструмент.
Не знаете какво се случва с гласа ви при вградената диктовка на iPhone? Прочетете Поверителна ли е диктовката на iPhone?
Често задавани въпроси
Има ли официален списък на приложенията за диктуване, съвместими с HIPAA?
Не. HHS не сертифицира и не одобрява продукти, така че етикетът „съвместимо с HIPAA“ е твърдение на самия доставчик. Проверете как приложението борави с данните и дали доставчикът ще подпише business associate agreement, ако получава информация за пациенти.
Нужен ли е business associate agreement за приложение за диктуване?
Нужен е, ако доставчикът от ваше име създава, получава, поддържа или предава информация за пациенти, например като транскрибира аудиото ви на сървърите си или съхранява бележките ви в своя облак. Ако всичко остава на вашето устройство и доставчикът никога не получава нищо, у него няма данни за пациенти, но проверете с отговорника по съответствието.
Съвместима ли е вградената диктовка на iPhone с HIPAA?
Тя не е създадена като клиничен инструмент. В зависимост от езика и iPhone диктовката може да се обработва на телефона или да се изпраща до сървърите на Apple, а текстът отива в приложението, в което пишете. Нашето ръководство за поверителността на диктовката на iPhone обяснява кои настройки да проверите.
Прави ли криптирането едно приложение съвместимо с HIPAA?
Не само по себе си, но е много важно. Криптиране според указанията на HHS означава, че изгубено или откраднато устройство обикновено не е нарушение, за което трябва да се съобщи. Пак ви трябват контрол на достъпа, разумни правила и, когато доставчик получава данни, business associate agreement.
Това ръководство съдържа обща информация за HIPAA, а не правен съвет. Последната дума имат правилата на организацията ви и отговорникът по съответствието.