אפליקציות הכתבה תואמות HIPAA: מה לבדוק
אם אתם מכתיבים רשומות של מטופלים, מכתבים או סיכומי פגישות, אפליקציית ההכתבה שלכם מטפלת במידע רפואי מוגן. אפליקציות רבות מציגות את עצמן כ„תואמות HIPAA”, אבל HIPAA לא מאשרת מוצרים, והתווית יכולה לומר דברים שונים מאוד. הנה מה שחשוב באמת כשבוחרים אפליקציית הכתבה תואמת HIPAA, ורשימת בדיקה לשימוש לפני שמכתיבים ולו רשומה אחת.
אין תווית רשמית של „תואם HIPAA”
משרד הבריאות והשירותים האנושיים של ארצות הברית (HHS) לא מאשר ולא ממליץ על מוצרים כתואמי HIPAA. ה-HHS גם הבהיר שהוא לא מכיר ב„אישורים” של ארגונים פרטיים, ושאלה לא פוטרים את נותני השירות מהחובות שלהם. לכן כשספק אומר „תואם HIPAA”, התייחסו לזה כטענה שצריך לבדוק, לא כהבטחה. העמידה בדרישות תלויה באופן שבו הכלי מטפל בנתונים, בהסכמים שקיימים ובאופן שבו אתם משתמשים בו.
השאלה המרכזית: האם הספק מקבל אי פעם נתוני מטופלים?
לפי HIPAA, חברה שיוצרת, מקבלת, מחזיקה או מעבירה מידע רפואי מוגן בשם נותן שירותי בריאות היא business associate. לפני שאתם משתפים איתה מידע על מטופלים, אתם צריכים business associate agreement (BAA): חוזה שבו הספק מתחייב לשמור על הנתונים.
לכן כל כך חשוב לאן הולכת ההקלטה שלכם:
- הכתבה בענן. ההקלטה מועלית ומתומללת בשרתים של הספק. הספק מקבל נתוני מטופלים, ולכן אתם צריכים BAA, ואתם תלויים באבטחה, בכללי השמירה ובעובדים שלו.
- אחסון ענן מוצפן. גם כשהספק לא יכול לקרוא את הקבצים שלכם, לפי הנחיות HHS ספק ענן ששומר נתוני מטופלים מוצפנים בלי המפתח הוא עדיין business associate. אתם עדיין צריכים BAA.
- הכתבה במכשיר. אם ההקלטה, התמלול והאחסון מתבצעים כולם בטלפון שלכם והמפתח אף פעם לא מקבל את הנתונים, המפתח לא מטפל במידע על מטופלים בשמכם. חובות ה-HIPAA שלכם עדיין חלות, החל מאבטחת המכשיר.
הצפנה: רשת הביטחון שלכם אם הטלפון אובד
טלפונים הולכים לאיבוד ונגנבים. לפי כלל ההודעה על פריצות של HIPAA, מידע רפואי מוגן שמוצפן בהתאם להנחיות HHS נחשב „מאובטח”, ולכן אובדן של מכשיר מוצפן בדרך כלל אינו פריצה שחובה לדווח עליה, כל עוד מפתח הפענוח לא נחשף גם הוא. באפליקציית הכתבה, חפשו:
- הקלטות ותמלולים שמוצפנים במכשיר, רצוי עם נעילה נפרדת לאפליקציה, כדי שטלפון פתוח לא יחשוף אותם.
- מפתח שמוגן בחומרת האבטחה של הטלפון, כמו Face ID וה-Secure Enclave של ה-iPhone, ולא סיסמה שנשמרת במקום אחר.
- הצפנה במעבר לכל מה שבכל זאת יוצא מהטלפון, כמו ייצוא לרשומה הרפואית האלקטרונית שלכם.
רשימת בדיקה לבחירת אפליקציית הכתבה
- איפה מתומלל השמע? במכשיר שלכם או בשרתים של הספק? בדקו במצב טיסה.
- האם הספק יחתום על BAA? אם נתוני מטופלים כלשהם מגיעים לשרתים שלו, אתם צריכים הסכם כזה, וייתכן שהוא זמין רק בתוכניות מסוימות.
- האם הנתונים מוצפנים באחסון ובמעבר? שאלו באיזה תקן משתמשים ולמי יש את המפתחות.
- האם הנתונים שלכם משמשים לאימון בינה מלאכותית? חפשו „לא” ברור, ולא „ייתכן שייעשה שימוש בנתונים שעברו התממה”.
- למי יש גישה להקלטות? לעובדים, לקבלני משנה, למתמללים, לספקי בינה מלאכותית?
- כמה זמן נשמרים הנתונים, והאם אפשר למחוק אותם לגמרי?
- האם הייצוא בשליטתכם? שליחת רשומה לרשומה הרפואית האלקטרונית או לתוכנת המרפאה צריכה להיות ההחלטה שלכם, בכל פעם.
שאר הוראות HIPAA עדיין חלות
שום אפליקציה לא הופכת אתכם לתואמים בעצמה. עדכנו את התוכנה בטלפון, השתמשו בקוד גישה חזק וב-Face ID, אל תשתפו את המכשיר ופעלו לפי המדיניות של הארגון שלכם לגבי מכשירים ניידים. מטפלים צריכים לזכור גם שרשומות פסיכותרפיה זוכות להגנות נוספות לפי HIPAA. אם אתם עובדים במרפאה או בבית חולים, התייעצו עם האחראי על הציות או על הפרטיות לפני שאתם מאמצים כלי חדש.
לא בטוחים מה קורה לקול שלכם בהכתבה המובנית של ה-iPhone? קראו את האם ההכתבה ב-iPhone פרטית?
שאלות נפוצות
האם יש רשימה רשמית של אפליקציות הכתבה תואמות HIPAA?
לא. ה-HHS לא מאשר ולא ממליץ על מוצרים, ולכן תווית „תואם HIPAA” היא טענה של הספק עצמו. בדקו איך האפליקציה מטפלת בנתונים, והאם הספק יחתום על business associate agreement אם הוא מקבל מידע על מטופלים.
האם נדרש business associate agreement לאפליקציית הכתבה?
צריך, אם הספק יוצר, מקבל, מחזיק או מעביר מידע על מטופלים בשמכם, למשל כשהוא מתמלל את השמע שלכם בשרתים שלו או שומר את הרשומות שלכם בענן שלו. אם הכול נשאר במכשיר שלכם והספק אף פעם לא מקבל דבר, אין נתוני מטופלים בידי הספק, אבל ודאו זאת מול האחראי על הציות.
האם ההכתבה המובנית של ה-iPhone תואמת HIPAA?
היא לא תוכננה ככלי קליני. בהתאם לשפה ול-iPhone שלכם, ההכתבה עשויה להיות מעובדת בטלפון או להישלח לשרתים של Apple, והטקסט נכנס לאפליקציה שבה אתם מקלידים. המדריך שלנו על הפרטיות של ההכתבה ב-iPhone מסביר אילו הגדרות לבדוק.
האם הצפנה הופכת אפליקציה לתואמת HIPAA?
לא לבדה, אבל היא חשובה מאוד. הצפנה שעומדת בהנחיות HHS פירושה שמכשיר שאבד או נגנב בדרך כלל אינו פריצה שחובה לדווח עליה. אתם עדיין צריכים בקרות גישה, מדיניות סבירה, וכשספק מקבל נתונים, גם business associate agreement.
המדריך הזה הוא מידע כללי על HIPAA, לא ייעוץ משפטי. המילה האחרונה שמורה למדיניות של הארגון שלכם ולאחראי על הציות.