Aplikasi dikte yang sesuai HIPAA: apa yang perlu diperiksa
Jika Anda mendiktekan catatan pasien, surat, atau ringkasan sesi, aplikasi dikte Anda menangani informasi kesehatan yang dilindungi. Banyak aplikasi menyebut dirinya “sesuai HIPAA”, tetapi HIPAA tidak mensertifikasi produk, dan label itu bisa berarti hal yang sangat berbeda. Berikut hal yang benar-benar penting saat memilih aplikasi dikte yang sesuai HIPAA, beserta daftar periksa sebelum Anda mendiktekan satu catatan pun.
Tidak ada label resmi “sesuai HIPAA”
Departemen Kesehatan dan Layanan Kemanusiaan AS (HHS) tidak mensertifikasi atau mendukung produk sebagai sesuai HIPAA. HHS juga menyatakan tidak mengakui “sertifikasi” dari organisasi swasta, dan bahwa sertifikasi itu tidak membebaskan penyedia layanan kesehatan dari kewajiban mereka sendiri. Jadi saat vendor mengatakan “sesuai HIPAA”, anggap itu sebagai klaim yang perlu diperiksa, bukan jaminan. Kepatuhan bergantung pada cara alat menangani data, perjanjian yang berlaku, dan cara Anda menggunakannya.
Pertanyaan kuncinya: apakah vendor pernah menerima data pasien?
Menurut HIPAA, perusahaan yang membuat, menerima, memelihara, atau mengirimkan informasi kesehatan yang dilindungi atas nama penyedia layanan kesehatan adalah business associate. Sebelum membagikan informasi pasien kepadanya, Anda memerlukan business associate agreement (BAA): kontrak tempat vendor berkomitmen menjaga data.
Itulah sebabnya tujuan audio Anda sangat penting:
- Dikte cloud. Rekaman Anda diunggah dan ditranskripsi di server vendor. Vendor menerima data pasien, jadi Anda memerlukan BAA, dan Anda bergantung pada keamanan, aturan penyimpanan, serta staf mereka.
- Penyimpanan cloud terenkripsi. Bahkan saat vendor tidak dapat membaca file Anda, panduan HHS menyatakan bahwa penyedia cloud yang menyimpan data pasien terenkripsi tanpa kuncinya tetap merupakan business associate. Anda tetap memerlukan BAA.
- Dikte di perangkat. Jika perekaman, transkripsi, dan penyimpanan semuanya terjadi di ponsel Anda sendiri, dan pengembang tidak pernah menerima datanya, pengembang tidak menangani informasi pasien atas nama Anda. Kewajiban HIPAA Anda sendiri tetap berlaku, dimulai dengan mengamankan perangkat.
Enkripsi: jaring pengaman jika ponsel hilang
Ponsel bisa hilang dan dicuri. Berdasarkan aturan pemberitahuan pelanggaran HIPAA, informasi kesehatan yang dilindungi yang dienkripsi sesuai panduan HHS dianggap “aman”, sehingga kehilangan perangkat terenkripsi umumnya bukan pelanggaran yang wajib dilaporkan, selama kunci dekripsinya tidak ikut bocor. Pada aplikasi dikte, carilah:
- Rekaman dan transkrip yang dienkripsi di perangkat, idealnya dengan kunci app terpisah, agar ponsel yang tidak terkunci tidak mengeksposnya.
- Kunci yang dilindungi perangkat keras keamanan ponsel, seperti Face ID dan Secure Enclave pada iPhone, bukan kata sandi yang disimpan di tempat lain.
- Enkripsi saat transit untuk apa pun yang memang keluar dari ponsel, seperti ekspor ke rekam medis elektronik Anda.
Daftar periksa untuk memilih aplikasi dikte
- Di mana audio ditranskripsi? Di perangkat Anda, atau di server vendor? Uji dalam mode pesawat.
- Apakah vendor akan menandatangani BAA? Jika ada data pasien yang sampai ke servernya, Anda memerlukannya, dan mungkin hanya tersedia pada paket tertentu.
- Apakah data dienkripsi saat disimpan dan saat transit? Tanyakan standar apa yang digunakan, dan siapa yang memegang kuncinya.
- Apakah data Anda dipakai untuk melatih AI? Cari jawaban “tidak” yang jelas, bukan “data yang dianonimkan dapat digunakan”.
- Siapa yang bisa mengakses rekaman? Staf, kontraktor, juru transkripsi, penyedia AI?
- Berapa lama data disimpan, dan bisakah Anda menghapusnya sepenuhnya?
- Bisakah Anda mengendalikan ekspor? Mengirim catatan ke rekam medis elektronik atau perangkat lunak praktik harus selalu menjadi keputusan Anda.
Bagian lain HIPAA tetap berlaku
Tidak ada aplikasi yang membuat Anda patuh dengan sendirinya. Selalu perbarui perangkat lunak ponsel, gunakan kode sandi yang kuat dan Face ID, jangan berbagi perangkat, dan ikuti kebijakan organisasi Anda tentang perangkat seluler. Terapis juga perlu ingat bahwa catatan psikoterapi memiliki perlindungan tambahan berdasarkan HIPAA. Jika Anda bekerja di praktik atau rumah sakit, konsultasikan dengan petugas kepatuhan atau privasi sebelum menggunakan alat baru.
Tidak yakin apa yang terjadi pada suara Anda dengan dikte bawaan iPhone? Lihat Apakah dikte iPhone privat?
Pertanyaan umum
Apakah ada daftar resmi aplikasi dikte yang sesuai HIPAA?
Tidak. HHS tidak mensertifikasi atau mendukung produk, jadi label “sesuai HIPAA” adalah klaim vendor itu sendiri. Periksa cara aplikasi menangani data, dan apakah vendor akan menandatangani business associate agreement jika menerima informasi pasien.
Apakah saya memerlukan business associate agreement untuk aplikasi dikte?
Anda memerlukannya jika vendor membuat, menerima, memelihara, atau mengirimkan informasi pasien atas nama Anda, misalnya dengan mentranskripsi audio Anda di servernya atau menyimpan catatan Anda di cloud-nya. Jika semuanya tetap di perangkat Anda sendiri dan vendor tidak pernah menerimanya, tidak ada data pasien di tangan vendor, tetapi tetap konfirmasikan dengan petugas kepatuhan Anda.
Apakah dikte bawaan iPhone sesuai HIPAA?
Fitur ini tidak dirancang sebagai alat klinis. Bergantung pada bahasa dan iPhone Anda, dikte dapat diproses di ponsel atau dikirim ke server Apple, dan teksnya masuk ke app yang sedang Anda gunakan untuk mengetik. Panduan kami tentang privasi dikte iPhone menjelaskan pengaturan yang perlu diperiksa.
Apakah enkripsi membuat aplikasi sesuai HIPAA?
Tidak dengan sendirinya, tetapi sangat penting. Enkripsi yang memenuhi panduan HHS berarti perangkat yang hilang atau dicuri umumnya bukan pelanggaran yang wajib dilaporkan. Anda tetap memerlukan kontrol akses, kebijakan yang masuk akal, dan, jika vendor menerima data, business associate agreement.
Panduan ini berisi informasi umum tentang HIPAA, bukan nasihat hukum. Kebijakan organisasi Anda dan petugas kepatuhan Anda yang memegang keputusan akhir.