HIPAA-conforme dicteerapps: waar je op let
Als je patiëntnotities, brieven of sessieverslagen dicteert, verwerkt je dicteerapp beschermde gezondheidsinformatie. Veel apps noemen zichzelf ‘HIPAA-conform’, maar HIPAA certificeert geen producten, en het label kan heel verschillende dingen betekenen. Dit is wat er echt toe doet als je een HIPAA-conforme dicteerapp kiest, met een checklist voor je ook maar één notitie dicteert.
Er bestaat geen officieel ‘HIPAA-conform’-label
Het Amerikaanse ministerie van Volksgezondheid (HHS) certificeert of onderschrijft geen producten als HIPAA-conform. HHS heeft ook gezegd dat het ‘certificeringen’ van particuliere organisaties niet erkent en dat die zorgverleners niet ontslaan van hun eigen verplichtingen. Als een leverancier dus ‘HIPAA-conform’ zegt, behandel dat dan als een bewering die je moet controleren, niet als een garantie. Naleving hangt af van hoe de tool met gegevens omgaat, welke overeenkomsten er zijn en hoe je de tool gebruikt.
De kernvraag: ontvangt de leverancier ooit patiëntgegevens?
Onder HIPAA is een bedrijf dat namens een zorgverlener beschermde gezondheidsinformatie aanmaakt, ontvangt, bewaart of verzendt een business associate. Voordat je patiëntinformatie met zo’n bedrijf deelt, heb je een business associate agreement (BAA) nodig: een contract waarin de leverancier zich verplicht de gegevens te beschermen.
Daarom is het zo belangrijk waar je audio naartoe gaat:
- Dicteren in de cloud. Je opname wordt geüpload en op de servers van de leverancier getranscribeerd. De leverancier ontvangt patiëntgegevens, dus je hebt een BAA nodig en je vertrouwt op de beveiliging, de bewaarregels en het personeel van de leverancier.
- Versleutelde cloudopslag. Ook als een leverancier je bestanden niet kan lezen: volgens de richtlijnen van HHS is een cloudprovider die versleutelde patiëntgegevens zonder de sleutel opslaat nog steeds een business associate. Je hebt nog steeds een BAA nodig.
- Dicteren op het apparaat. Als opnemen, transcriberen en opslaan allemaal op je eigen telefoon gebeuren en de ontwikkelaar de gegevens nooit ontvangt, verwerkt de ontwikkelaar geen patiëntinformatie namens jou. Je eigen HIPAA-plichten blijven gelden, te beginnen met het beveiligen van het apparaat.
Versleuteling: je vangnet als een telefoon zoekraakt
Telefoons raken zoek en worden gestolen. Volgens de meldplicht voor datalekken van HIPAA geldt beschermde gezondheidsinformatie die is versleuteld volgens de richtlijnen van HHS als ‘beveiligd’, dus het verlies van een versleuteld apparaat is meestal geen meldplichtig datalek, zolang de ontsleutelingssleutel niet ook is gecompromitteerd. Let bij een dicteerapp op:
- Opnames en transcripties die op het apparaat zijn versleuteld, bij voorkeur met een aparte app-vergrendeling, zodat een ontgrendelde telefoon ze niet prijsgeeft.
- Een sleutel die wordt beschermd door de beveiligingshardware van de telefoon, zoals Face ID en de Secure Enclave van de iPhone, in plaats van een wachtwoord dat ergens anders is opgeslagen.
- Versleuteling tijdens verzending voor alles wat de telefoon toch verlaat, zoals exports naar je elektronisch patiëntendossier.
Een checklist om een dicteerapp te kiezen
- Waar wordt de audio getranscribeerd? Op je apparaat of op de servers van de leverancier? Test het in vliegtuigmodus.
- Tekent de leverancier een BAA? Als er patiëntgegevens op de servers terechtkomen, heb je er een nodig, en die is misschien alleen bij bepaalde abonnementen beschikbaar.
- Worden gegevens versleuteld bij opslag en tijdens verzending? Vraag welke standaard wordt gebruikt en wie de sleutels heeft.
- Worden je gegevens gebruikt om AI te trainen? Zoek naar een duidelijk ‘nee’, niet naar ‘geanonimiseerde gegevens kunnen worden gebruikt’.
- Wie heeft toegang tot opnames? Personeel, ingehuurde krachten, transcribenten, AI-aanbieders?
- Hoelang worden gegevens bewaard, en kun je ze volledig verwijderen?
- Heb je de exports in de hand? Een notitie naar je patiëntendossier of praktijksoftware sturen moet elke keer jouw beslissing zijn.
De rest van HIPAA blijft gelden
Geen enkele app maakt je in z’n eentje conform. Houd de software van je telefoon up-to-date, gebruik een sterke toegangscode en Face ID, deel het apparaat niet en volg het beleid van je organisatie voor mobiele apparaten. Therapeuten moeten ook onthouden dat psychotherapieaantekeningen onder HIPAA extra bescherming genieten. Werk je in een praktijk of ziekenhuis, overleg dan met je compliance- of privacyfunctionaris voordat je een nieuwe tool in gebruik neemt.
Weet je niet precies wat er met je stem gebeurt bij het ingebouwde dicteren van de iPhone? Lees Is dicteren op de iPhone privé?
Veelgestelde vragen
Bestaat er een officiële lijst van HIPAA-conforme dicteerapps?
Nee. HHS certificeert of onderschrijft geen producten, dus een ‘HIPAA-conform’-label is een bewering van de leverancier zelf. Controleer hoe de app met gegevens omgaat en of de leverancier een business associate agreement tekent als die patiëntinformatie ontvangt.
Heb ik een business associate agreement nodig voor een dicteerapp?
Die heb je nodig als de leverancier namens jou patiëntinformatie aanmaakt, ontvangt, bewaart of verzendt, bijvoorbeeld door je audio op de eigen servers te transcriberen of je notities in de eigen cloud op te slaan. Blijft alles op je eigen apparaat en ontvangt de leverancier het nooit, dan zijn er geen patiëntgegevens in handen van de leverancier, maar overleg wel met je compliancefunctionaris.
Is het ingebouwde dicteren van de iPhone HIPAA-conform?
Het is niet ontworpen als klinisch hulpmiddel. Afhankelijk van je taal en je iPhone kan een dictaat op de telefoon worden verwerkt of naar de servers van Apple worden gestuurd, en de tekst komt terecht in de app waarin je aan het typen bent. Onze gids over privacy bij dicteren op de iPhone legt uit welke instellingen je controleert.
Maakt versleuteling een app HIPAA-conform?
Niet in z’n eentje, maar het telt wel zwaar. Versleuteling die voldoet aan de richtlijnen van HHS betekent dat een verloren of gestolen apparaat meestal geen meldplichtig datalek is. Je hebt nog steeds toegangscontroles nodig, verstandig beleid en, als een leverancier gegevens ontvangt, een business associate agreement.
Deze gids geeft algemene informatie over HIPAA, geen juridisch advies. Het beleid van je organisatie en je compliancefunctionaris hebben het laatste woord.