HIPAA nõudeid täitvad dikteerimisrakendused: mida kontrollida
Kui dikteerite patsiendimärkmeid, kirju või seansside kokkuvõtteid, töötleb teie dikteerimisrakendus kaitstud terviseteavet. Paljud rakendused nimetavad end „HIPAA nõuetele vastavaks“, kuid HIPAA ei sertifitseeri tooteid ja see silt võib tähendada väga erinevaid asju. Siin on, mis on HIPAA nõuetele vastava dikteerimisrakenduse valimisel tegelikult oluline, ja kontrollnimekiri, mida kasutada enne esimese märkme dikteerimist.
Ametlikku silti „vastab HIPAA nõuetele“ ei ole
USA tervishoiu- ja sotsiaalministeerium (HHS) ei sertifitseeri ega kinnita tooteid HIPAA nõuetele vastavana. HHS on ka öelnud, et ei tunnusta eraorganisatsioonide „sertifikaate“ ja et need ei vabasta tervishoiuteenuse osutajaid nende enda kohustustest. Seega, kui teenusepakkuja ütleb „vastab HIPAA nõuetele“, käsitlege seda kontrollimist vajava väitena, mitte garantiina. Vastavus sõltub sellest, kuidas tööriist andmeid käsitleb, millised lepingud on sõlmitud ja kuidas te seda kasutate.
Põhiküsimus: kas teenusepakkuja saab kunagi patsientide andmeid?
HIPAA järgi on ettevõte, mis tervishoiuteenuse osutaja nimel loob, saab, hoiab või edastab kaitstud terviseteavet, business associate. Enne kui jagate temaga patsientide teavet, vajate business associate agreementi (BAA): lepingut, millega teenusepakkuja kohustub andmeid kaitsma.
Seepärast on nii oluline, kuhu teie heli läheb:
- Dikteerimine pilves. Teie salvestis laaditakse üles ja transkribeeritakse teenusepakkuja serverites. Teenusepakkuja saab patsientide andmeid, seega vajate BAA-d ja toetute tema turvalisusele, säilitamisreeglitele ja töötajatele.
- Krüpteeritud pilvesalvestus. Isegi kui teenusepakkuja ei saa teie faile lugeda, on HHS-i juhiste järgi pilveteenuse pakkuja, kes hoiab krüpteeritud patsiendiandmeid ilma võtmeta, endiselt business associate. Teil on endiselt vaja BAA-d.
- Dikteerimine seadmes. Kui salvestamine, transkribeerimine ja hoidmine toimuvad täielikult teie enda telefonis ja arendaja ei saa kunagi andmeid, ei töötle arendaja teie nimel patsientide teavet. Teie enda HIPAA kohustused kehtivad edasi, alustades seadme kaitsmisest.
Krüpteerimine: teie turvavõrk, kui telefon kaob
Telefonid kaovad ja neid varastatakse. HIPAA rikkumistest teatamise reegli järgi loetakse HHS-i juhiste kohaselt krüpteeritud kaitstud terviseteavet „kaitstuks“, seega ei ole krüpteeritud seadme kaotamine tavaliselt rikkumine, millest tuleb teatada, kui ka dekrüpteerimisvõti pole ohustatud. Otsige dikteerimisrakenduses:
- Seadmes krüpteeritud salvestisi ja transkriptsioone, ideaalis rakenduse eraldi lukuga, et lukustamata telefon neid ei paljastaks.
- Võtit, mida kaitseb telefoni turvariistvara, näiteks Face ID ja iPhone’i Secure Enclave, mitte mujal hoitavat parooli.
- Krüpteerimist edastamisel kõige jaoks, mis siiski telefonist lahkub, näiteks eksport teie elektroonilisse terviselukku.
Kontrollnimekiri dikteerimisrakenduse valimiseks
- Kus heli transkribeeritakse? Teie seadmes või teenusepakkuja serverites? Proovige lennukirežiimis.
- Kas teenusepakkuja allkirjastab BAA? Kui mingeid patsiendiandmeid jõuab tema serveritesse, vajate seda, ja see võib olla saadaval ainult teatud pakettides.
- Kas andmed on krüpteeritud nii hoidmisel kui ka edastamisel? Küsige, millist standardit kasutatakse ja kelle käes on võtmed.
- Kas teie andmeid kasutatakse TI treenimiseks? Otsige selget „ei“, mitte „anonüümitud andmeid võidakse kasutada“.
- Kellel on juurdepääs salvestistele? Töötajatel, alltöövõtjatel, transkribeerijatel, TI-teenuste pakkujatel?
- Kui kaua andmeid hoitakse ja kas saate need täielikult kustutada?
- Kas eksport on teie kontrolli all? Märkme saatmine terviselukku või praksise tarkvarasse peaks iga kord olema teie otsus.
Ülejäänud HIPAA kehtib endiselt
Ükski rakendus ei taga üksi vastavust. Hoidke telefoni tarkvara ajakohasena, kasutage tugevat pääsukoodi ja Face ID-d, ärge jagage seadet ja järgige oma organisatsiooni mobiilseadmete reegleid. Terapeudid peaksid meeles pidama ka seda, et psühhoteraapia märkmetel on HIPAA järgi täiendav kaitse. Kui töötate praksises või haiglas, pidage enne uue tööriista kasutuselevõttu nõu vastavus- või andmekaitsespetsialistiga.
Pole kindel, mis teie häälega iPhone’i sisseehitatud dikteerimise puhul juhtub? Lugege Kas iPhone’i dikteerimine on privaatne?
Korduma kippuvad küsimused
Kas on olemas ametlik HIPAA nõuetele vastavate dikteerimisrakenduste nimekiri?
Ei. HHS ei sertifitseeri ega kinnita tooteid, seega on silt „vastab HIPAA nõuetele“ teenusepakkuja enda väide. Kontrollige, kuidas rakendus andmeid käsitleb ja kas teenusepakkuja allkirjastab business associate agreementi, kui ta saab patsientide teavet.
Kas dikteerimisrakenduse jaoks on vaja business associate agreementi?
On vaja, kui teenusepakkuja teie nimel loob, saab, hoiab või edastab patsientide teavet, näiteks transkribeerib teie heli oma serverites või hoiab teie märkmeid oma pilves. Kui kõik jääb teie seadmesse ja teenusepakkuja ei saa kunagi midagi, ei ole tema käes patsientide andmeid, kuid kontrollige seda oma vastavusspetsialistiga.
Kas iPhone’i sisseehitatud dikteerimine vastab HIPAA nõuetele?
See ei ole loodud kliiniliseks tööriistaks. Sõltuvalt keelest ja iPhone’ist võidakse dikteerimist töödelda telefonis või saata Apple’i serveritesse ning tekst jõuab rakendusse, kus parasjagu kirjutate. Meie juhend iPhone’i dikteerimise privaatsuse kohta selgitab, milliseid seadeid kontrollida.
Kas krüpteerimine muudab rakenduse HIPAA nõuetele vastavaks?
Üksi mitte, kuid see on väga oluline. HHS-i juhistele vastav krüpteerimine tähendab, et kaotatud või varastatud seade ei ole tavaliselt rikkumine, millest tuleb teatada. Teil on endiselt vaja juurdepääsukontrolli, mõistlikke reegleid ja, kui teenusepakkuja saab andmeid, business associate agreementi.
See juhend sisaldab üldist teavet HIPAA kohta, mitte õigusnõu. Viimane sõna kuulub teie organisatsiooni reeglitele ja vastavusspetsialistile.