HIPAA-kompatible dikteringsapps: hvad du skal tjekke
Hvis du dikterer patientnotater, breve eller sessionsresuméer, håndterer din dikteringsapp beskyttede helbredsoplysninger. Mange apps kalder sig ”HIPAA-kompatible”, men HIPAA certificerer ikke produkter, og mærkatet kan betyde vidt forskellige ting. Her er, hvad der virkelig betyder noget, når du vælger en HIPAA-kompatibel dikteringsapp, og en tjekliste, du kan bruge, før du dikterer en eneste note.
Der findes ingen officiel ”HIPAA-kompatibel”-mærkning
Det amerikanske sundhedsministerium (HHS) certificerer eller godkender ikke produkter som HIPAA-kompatible. HHS har også sagt, at ministeriet ikke anerkender private organisationers ”certificeringer”, og at de ikke fritager behandlere for deres egne forpligtelser. Så når en leverandør siger ”HIPAA-kompatibel”, så betragt det som en påstand, der skal tjekkes, ikke som en garanti. Overholdelsen afhænger af, hvordan værktøjet håndterer data, hvilke aftaler der er indgået, og hvordan du bruger det.
Det afgørende spørgsmål: Modtager leverandøren nogensinde patientdata?
Efter HIPAA er en virksomhed, der opretter, modtager, opbevarer eller overfører beskyttede helbredsoplysninger på vegne af en behandler, en business associate. Før du deler patientoplysninger med den, skal du have en business associate agreement (BAA): en kontrakt, hvor leverandøren forpligter sig til at beskytte dataene.
Derfor betyder det så meget, hvor din lyd ender:
- Diktering i skyen. Din optagelse uploades og transskriberes på leverandørens servere. Leverandøren modtager patientdata, så du skal have en BAA, og du er afhængig af leverandørens sikkerhed, opbevaringsregler og personale.
- Krypteret cloudlagring. Selv når en leverandør ikke kan læse dine filer, siger HHS’ vejledning, at en cloududbyder, der lagrer krypterede patientdata uden nøglen, stadig er en business associate. Du skal stadig have en BAA.
- Diktering på enheden. Hvis optagelse, transskription og lagring alle foregår på din egen telefon, og udvikleren aldrig modtager dataene, håndterer udvikleren ikke patientoplysninger på dine vegne. Dine egne HIPAA-forpligtelser gælder stadig, begyndende med at sikre enheden.
Kryptering: dit sikkerhedsnet, hvis telefonen bliver væk
Telefoner bliver væk og bliver stjålet. Efter HIPAA’s regel om underretning ved brud anses beskyttede helbredsoplysninger, der er krypteret i overensstemmelse med HHS’ vejledning, for ”sikrede”, så tab af en krypteret enhed er som regel ikke et anmeldelsespligtigt brud, så længe dekrypteringsnøglen ikke også er kompromitteret. Kig efter dette i en dikteringsapp:
- Optagelser og transskriptioner, der krypteres på enheden, helst med en separat applås, så en oplåst telefon ikke afslører dem.
- En nøgle, der beskyttes af telefonens sikkerhedshardware, som Face ID og iPhonens Secure Enclave, i stedet for en adgangskode, der er gemt et andet sted.
- Kryptering under overførsel af alt, der alligevel forlader telefonen, fx eksport til dit journalsystem.
En tjekliste til valg af dikteringsapp
- Hvor transskriberes lyden? På din enhed eller på leverandørens servere? Test det i flytilstand.
- Vil leverandøren underskrive en BAA? Hvis patientdata når leverandørens servere, skal du have en, og den følger måske kun med visse abonnementer.
- Krypteres data både ved lagring og under overførsel? Spørg, hvilken standard der bruges, og hvem der har nøglerne.
- Bruges dine data til at træne AI? Kig efter et klart ”nej”, ikke ”afidentificerede data kan blive brugt”.
- Hvem har adgang til optagelserne? Personale, underleverandører, transskribenter, AI-udbydere?
- Hvor længe gemmes data, og kan du slette dem helt?
- Har du styr på eksporten? At sende en note til dit journalsystem eller praksissystem skal være din beslutning, hver gang.
Resten af HIPAA gælder stadig
Ingen app gør dig kompatibel alene. Hold telefonens software opdateret, brug en stærk adgangskode og Face ID, del ikke enheden, og følg din organisations regler for mobile enheder. Terapeuter bør også huske, at psykoterapinotater har ekstra beskyttelse efter HIPAA. Hvis du arbejder i en praksis eller på et hospital, så tal med din compliance- eller databeskyttelsesansvarlige, før du tager et nyt værktøj i brug.
Usikker på, hvad der sker med din stemme med iPhonens indbyggede diktering? Læs Er diktering på iPhone privat?
Ofte stillede spørgsmål
Findes der en officiel liste over HIPAA-kompatible dikteringsapps?
Nej. HHS certificerer eller godkender ikke produkter, så et ”HIPAA-kompatibel”-mærkat er leverandørens egen påstand. Tjek, hvordan appen håndterer data, og om leverandøren vil underskrive en business associate agreement, hvis den modtager patientoplysninger.
Skal jeg have en business associate agreement til en dikteringsapp?
Det skal du, hvis leverandøren opretter, modtager, opbevarer eller overfører patientoplysninger på dine vegne, fx ved at transskribere din lyd på sine servere eller gemme dine notater i sin sky. Hvis alt bliver på din egen enhed, og leverandøren aldrig modtager noget, har leverandøren ingen patientdata, men tjek det med din complianceansvarlige.
Er iPhonens indbyggede diktering HIPAA-kompatibel?
Den er ikke designet som et klinisk værktøj. Afhængigt af dit sprog og din iPhone kan diktering behandles på telefonen eller sendes til Apples servere, og teksten havner i den app, du skriver i. Vores guide om privatliv ved diktering på iPhone forklarer, hvilke indstillinger du skal tjekke.
Gør kryptering en app HIPAA-kompatibel?
Ikke alene, men det betyder meget. Kryptering, der opfylder HHS’ vejledning, betyder, at en mistet eller stjålet enhed som regel ikke er et anmeldelsespligtigt brud. Du skal stadig have adgangskontrol, fornuftige regler og, når en leverandør modtager data, en business associate agreement.
Denne guide er generel information om HIPAA, ikke juridisk rådgivning. Din organisations regler og din complianceansvarlige har det sidste ord.