Dictalock

Εφαρμογές υπαγόρευσης συμβατές με τον HIPAA: τι να ελέγξετε

· 7 λεπτά ανάγνωσης

Αν υπαγορεύετε σημειώσεις ασθενών, επιστολές ή συνόψεις συνεδριών, η εφαρμογή υπαγόρευσης χειρίζεται προστατευόμενες πληροφορίες υγείας. Πολλές εφαρμογές αυτοαποκαλούνται «συμβατές με τον HIPAA», αλλά ο HIPAA δεν πιστοποιεί προϊόντα, και η ετικέτα μπορεί να σημαίνει πολύ διαφορετικά πράγματα. Δείτε τι έχει πραγματικά σημασία όταν επιλέγετε εφαρμογή υπαγόρευσης συμβατή με τον HIPAA, και μια λίστα ελέγχου πριν υπαγορεύσετε έστω και μία σημείωση.

Δεν υπάρχει επίσημη ετικέτα «συμβατό με τον HIPAA»

Το Υπουργείο Υγείας και Ανθρωπίνων Υπηρεσιών των ΗΠΑ (HHS) δεν πιστοποιεί ούτε εγκρίνει προϊόντα ως συμβατά με τον HIPAA. Το HHS έχει επίσης δηλώσει ότι δεν αναγνωρίζει «πιστοποιήσεις» ιδιωτικών οργανισμών και ότι αυτές δεν απαλλάσσουν τους παρόχους υγείας από τις δικές τους υποχρεώσεις. Άρα, όταν ένας πάροχος λέει «συμβατό με τον HIPAA», αντιμετωπίστε το ως ισχυρισμό προς έλεγχο, όχι ως εγγύηση. Η συμμόρφωση εξαρτάται από το πώς χειρίζεται το εργαλείο τα δεδομένα, ποιες συμβάσεις υπάρχουν και πώς το χρησιμοποιείτε.

Το βασικό ερώτημα: λαμβάνει ποτέ ο πάροχος δεδομένα ασθενών;

Σύμφωνα με τον HIPAA, μια εταιρεία που δημιουργεί, λαμβάνει, διατηρεί ή διαβιβάζει προστατευόμενες πληροφορίες υγείας για λογαριασμό ενός παρόχου υγείας είναι business associate. Πριν μοιραστείτε μαζί της πληροφορίες ασθενών, χρειάζεστε ένα business associate agreement (BAA): μια σύμβαση με την οποία ο πάροχος δεσμεύεται να προστατεύει τα δεδομένα.

Γι’ αυτό έχει τόση σημασία πού πηγαίνει ο ήχος σας:

Κρυπτογράφηση: το δίχτυ ασφαλείας σας αν χαθεί το τηλέφωνο

Τα τηλέφωνα χάνονται και κλέβονται. Σύμφωνα με τον κανόνα του HIPAA για την ειδοποίηση παραβιάσεων, οι προστατευόμενες πληροφορίες υγείας που είναι κρυπτογραφημένες σύμφωνα με τις οδηγίες του HHS θεωρούνται «ασφαλισμένες», οπότε η απώλεια μιας κρυπτογραφημένης συσκευής συνήθως δεν αποτελεί παραβίαση που πρέπει να αναφερθεί, εφόσον δεν έχει διαρρεύσει και το κλειδί αποκρυπτογράφησης. Σε μια εφαρμογή υπαγόρευσης, αναζητήστε:

Λίστα ελέγχου για την επιλογή εφαρμογής υπαγόρευσης

  1. Πού απομαγνητοφωνείται ο ήχος; Στη συσκευή σας ή στους διακομιστές του παρόχου; Δοκιμάστε το σε λειτουργία πτήσης.
  2. Θα υπογράψει ο πάροχος BAA; Αν οποιαδήποτε δεδομένα ασθενών φτάνουν στους διακομιστές του, το χρειάζεστε, και μπορεί να διατίθεται μόνο σε ορισμένα προγράμματα.
  3. Κρυπτογραφούνται τα δεδομένα κατά την αποθήκευση και τη μετάδοση; Ρωτήστε ποιο πρότυπο χρησιμοποιείται και ποιος κρατά τα κλειδιά.
  4. Χρησιμοποιούνται τα δεδομένα σας για εκπαίδευση AI; Αναζητήστε ένα σαφές «όχι», όχι «ενδέχεται να χρησιμοποιηθούν ανωνυμοποιημένα δεδομένα».
  5. Ποιος έχει πρόσβαση στις ηχογραφήσεις; Προσωπικό, εξωτερικοί συνεργάτες, άνθρωποι που απομαγνητοφωνούν, πάροχοι AI;
  6. Για πόσο διατηρούνται τα δεδομένα, και μπορείτε να τα διαγράψετε πλήρως;
  7. Ελέγχετε εσείς τις εξαγωγές; Η αποστολή μιας σημείωσης στον ηλεκτρονικό φάκελο υγείας ή στο λογισμικό του ιατρείου πρέπει να είναι κάθε φορά δική σας απόφαση.

Ο υπόλοιπος HIPAA εξακολουθεί να ισχύει

Καμία εφαρμογή δεν σας κάνει συμβατούς από μόνη της. Κρατάτε ενημερωμένο το λογισμικό του τηλεφώνου, χρησιμοποιείτε ισχυρό κωδικό και Face ID, μη μοιράζεστε τη συσκευή και ακολουθείτε τις πολιτικές του οργανισμού σας για τις φορητές συσκευές. Οι θεραπευτές πρέπει επίσης να θυμούνται ότι οι σημειώσεις ψυχοθεραπείας έχουν πρόσθετη προστασία κατά τον HIPAA. Αν εργάζεστε σε ιατρείο ή νοσοκομείο, συμβουλευτείτε τον υπεύθυνο συμμόρφωσης ή προστασίας δεδομένων πριν υιοθετήσετε νέο εργαλείο.

Δεν ξέρετε τι συμβαίνει στη φωνή σας με την ενσωματωμένη υπαγόρευση του iPhone; Διαβάστε το Είναι ιδιωτική η υπαγόρευση στο iPhone;

Συχνές ερωτήσεις

Υπάρχει επίσημη λίστα εφαρμογών υπαγόρευσης συμβατών με τον HIPAA;

Όχι. Το HHS δεν πιστοποιεί ούτε εγκρίνει προϊόντα, οπότε μια ετικέτα «συμβατό με τον HIPAA» είναι ισχυρισμός του ίδιου του παρόχου. Ελέγξτε πώς χειρίζεται η εφαρμογή τα δεδομένα και αν ο πάροχος θα υπογράψει business associate agreement σε περίπτωση που λαμβάνει πληροφορίες ασθενών.

Χρειάζεται business associate agreement για μια εφαρμογή υπαγόρευσης;

Χρειάζεται αν ο πάροχος δημιουργεί, λαμβάνει, διατηρεί ή διαβιβάζει πληροφορίες ασθενών για λογαριασμό σας, για παράδειγμα απομαγνητοφωνώντας τον ήχο σας στους διακομιστές του ή αποθηκεύοντας τις σημειώσεις σας στο cloud του. Αν όλα μένουν στη δική σας συσκευή και ο πάροχος δεν λαμβάνει ποτέ τίποτα, δεν υπάρχουν δεδομένα ασθενών στα χέρια του, αλλά ελέγξτε το με τον υπεύθυνο συμμόρφωσης.

Είναι η ενσωματωμένη υπαγόρευση του iPhone συμβατή με τον HIPAA;

Δεν έχει σχεδιαστεί ως κλινικό εργαλείο. Ανάλογα με τη γλώσσα και το iPhone σας, η υπαγόρευση μπορεί να γίνεται στο τηλέφωνο ή να στέλνεται στους διακομιστές της Apple, και το κείμενο καταλήγει στην εφαρμογή όπου πληκτρολογείτε. Ο οδηγός μας για το απόρρητο της υπαγόρευσης στο iPhone εξηγεί ποιες ρυθμίσεις να ελέγξετε.

Κάνει η κρυπτογράφηση μια εφαρμογή συμβατή με τον HIPAA;

Όχι από μόνη της, αλλά μετράει πολύ. Κρυπτογράφηση σύμφωνη με τις οδηγίες του HHS σημαίνει ότι μια συσκευή που χάθηκε ή κλάπηκε συνήθως δεν αποτελεί παραβίαση που πρέπει να αναφερθεί. Χρειάζεστε ωστόσο ελέγχους πρόσβασης, λογικές πολιτικές και, όταν ένας πάροχος λαμβάνει δεδομένα, business associate agreement.

Ο οδηγός αυτός παρέχει γενικές πληροφορίες για τον HIPAA, όχι νομική συμβουλή. Τον τελευταίο λόγο έχουν οι πολιτικές του οργανισμού σας και ο υπεύθυνος συμμόρφωσης.

Πηγές