HIPAA-konforme Diktier-Apps: worauf Sie achten sollten
Wenn Sie Patientennotizen, Briefe oder Sitzungszusammenfassungen diktieren, verarbeitet Ihre Diktier-App geschützte Gesundheitsinformationen. Viele Apps nennen sich „HIPAA-konform“, doch HIPAA zertifiziert keine Produkte, und das Etikett kann sehr Unterschiedliches bedeuten. Hier erfahren Sie, worauf es bei der Wahl einer HIPAA-konformen Diktier-App wirklich ankommt, mit einer Checkliste für die Zeit, bevor Sie die erste Notiz diktieren.
Es gibt kein offizielles „HIPAA-konform“-Siegel
Das US-Gesundheitsministerium (HHS) zertifiziert oder empfiehlt keine Produkte als HIPAA-konform. Das HHS hat zudem erklärt, dass es „Zertifizierungen“ privater Organisationen nicht anerkennt und dass diese Leistungserbringer nicht von ihren eigenen Pflichten befreien. Wenn ein Anbieter also „HIPAA-konform“ sagt, behandeln Sie das als Behauptung, die zu prüfen ist, nicht als Garantie. Konformität hängt davon ab, wie das Werkzeug mit Daten umgeht, welche Vereinbarungen bestehen und wie Sie es einsetzen.
Die Schlüsselfrage: Erhält der Anbieter jemals Patientendaten?
Nach HIPAA ist ein Unternehmen, das im Auftrag eines Leistungserbringers geschützte Gesundheitsinformationen erstellt, empfängt, vorhält oder überträgt, ein Business Associate. Bevor Sie Patientendaten mit ihm teilen, brauchen Sie ein Business Associate Agreement (BAA): einen Vertrag, in dem sich der Anbieter verpflichtet, die Daten zu schützen.
Deshalb ist es so wichtig, wohin Ihre Aufnahme geht:
- Diktat in der Cloud. Ihre Aufnahme wird hochgeladen und auf den Servern des Anbieters transkribiert. Der Anbieter erhält Patientendaten, Sie brauchen also ein BAA und verlassen sich auf seine Sicherheit, seine Aufbewahrungsregeln und seine Mitarbeiter.
- Verschlüsselter Cloud-Speicher. Auch wenn ein Anbieter Ihre Dateien nicht lesen kann: Laut HHS-Leitlinien ist ein Cloud-Anbieter, der verschlüsselte Patientendaten ohne den Schlüssel speichert, dennoch ein Business Associate. Sie brauchen weiterhin ein BAA.
- Diktat auf dem Gerät. Finden Aufnahme, Transkription und Speicherung vollständig auf Ihrem eigenen Telefon statt und erhält der Entwickler die Daten nie, verarbeitet der Entwickler keine Patientendaten in Ihrem Auftrag. Ihre eigenen HIPAA-Pflichten gelten weiterhin, angefangen bei der Sicherung des Geräts.
Verschlüsselung: Ihr Sicherheitsnetz, wenn ein Telefon verloren geht
Telefone gehen verloren und werden gestohlen. Nach der Breach Notification Rule von HIPAA gelten geschützte Gesundheitsinformationen, die gemäß den HHS-Leitlinien verschlüsselt sind, als „gesichert“. Der Verlust eines verschlüsselten Geräts ist daher in der Regel keine meldepflichtige Datenpanne, solange nicht auch der Entschlüsselungsschlüssel kompromittiert wurde. Achten Sie bei einer Diktier-App auf:
- Auf dem Gerät verschlüsselte Aufnahmen und Transkripte, idealerweise mit eigener App-Sperre, damit ein entsperrtes Telefon sie nicht preisgibt.
- Einen Schlüssel, den die Sicherheitshardware des Telefons schützt, etwa Face ID und die Secure Enclave des iPhone, statt eines Passworts, das anderswo gespeichert ist.
- Verschlüsselung bei der Übertragung für alles, was das Telefon doch verlässt, etwa Exporte in Ihr Praxisverwaltungssystem.
Eine Checkliste für die Wahl einer Diktier-App
- Wo wird die Aufnahme transkribiert? Auf Ihrem Gerät oder auf den Servern des Anbieters? Testen Sie es im Flugmodus.
- Unterschreibt der Anbieter ein BAA? Erreichen Patientendaten seine Server, brauchen Sie eines, und womöglich gibt es das nur in bestimmten Tarifen.
- Werden Daten bei der Speicherung und Übertragung verschlüsselt? Fragen Sie, welcher Standard verwendet wird und wer die Schlüssel hält.
- Werden Ihre Daten zum Training von KI verwendet? Achten Sie auf ein klares „Nein“, nicht auf „de-identifizierte Daten können verwendet werden“.
- Wer hat Zugriff auf Aufnahmen? Mitarbeiter, Auftragnehmer, Schreibkräfte, KI-Anbieter?
- Wie lange werden Daten aufbewahrt, und können Sie sie vollständig löschen?
- Haben Sie die Exporte unter Kontrolle? Ob eine Notiz in Ihr Praxisverwaltungssystem geht, sollten jedes Mal Sie entscheiden.
Der Rest von HIPAA gilt weiterhin
Keine App macht Sie allein konform. Halten Sie die Software Ihres Telefons aktuell, nutzen Sie einen starken Code und Face ID, teilen Sie das Gerät nicht und befolgen Sie die Richtlinien Ihrer Organisation zu mobilen Geräten. Therapeuten sollten außerdem daran denken, dass Psychotherapienotizen nach HIPAA zusätzlich geschützt sind. Wenn Sie in einer Praxis oder einem Krankenhaus arbeiten, sprechen Sie mit Ihrem Compliance- oder Datenschutzbeauftragten, bevor Sie ein neues Werkzeug einführen.
Sie wissen nicht genau, was bei der integrierten Diktierfunktion des iPhone mit Ihrer Stimme geschieht? Lesen Sie Ist die iPhone-Diktierfunktion privat?
Häufige Fragen
Gibt es eine offizielle Liste HIPAA-konformer Diktier-Apps?
Nein. Das HHS zertifiziert oder empfiehlt keine Produkte, ein „HIPAA-konform“-Etikett ist also eine Behauptung des Anbieters. Prüfen Sie, wie die App mit Daten umgeht und ob der Anbieter ein Business Associate Agreement unterschreibt, wenn er Patientendaten erhält.
Brauche ich für eine Diktier-App ein Business Associate Agreement?
Sie brauchen eines, wenn der Anbieter in Ihrem Auftrag Patientendaten erstellt, empfängt, vorhält oder überträgt, etwa indem er Ihre Aufnahmen auf seinen Servern transkribiert oder Ihre Notizen in seiner Cloud speichert. Bleibt alles auf Ihrem eigenen Gerät und erhält der Anbieter nichts davon, befinden sich keine Patientendaten in seinen Händen. Sprechen Sie trotzdem mit Ihrem Compliance-Beauftragten.
Ist die integrierte Diktierfunktion des iPhone HIPAA-konform?
Sie ist nicht als klinisches Werkzeug konzipiert. Je nach Sprache und iPhone wird das Diktat auf dem Telefon verarbeitet oder an die Server von Apple gesendet, und der Text landet in der App, in der Sie gerade tippen. Unser Ratgeber zum Datenschutz der iPhone-Diktierfunktion erklärt, welche Einstellungen Sie prüfen sollten.
Macht Verschlüsselung eine App HIPAA-konform?
Nicht allein, aber sie ist sehr wichtig. Verschlüsselung gemäß den HHS-Leitlinien bedeutet, dass ein verlorenes oder gestohlenes Gerät in der Regel keine meldepflichtige Datenpanne ist. Sie brauchen trotzdem Zugriffskontrollen, sinnvolle Richtlinien und, wenn ein Anbieter Daten erhält, ein Business Associate Agreement.
Dieser Ratgeber bietet allgemeine Informationen zu HIPAA und ist keine Rechtsberatung. Das letzte Wort haben die Richtlinien Ihrer Organisation und Ihr Compliance-Beauftragter.