HIPAA-kompatible dikteringsapper: hva du bør sjekke
Hvis du dikterer pasientnotater, brev eller sammendrag av timer, håndterer dikteringsappen din beskyttet helseinformasjon. Mange apper kaller seg «HIPAA-kompatible», men HIPAA sertifiserer ikke produkter, og merkelappen kan bety svært forskjellige ting. Her er hva som virkelig betyr noe når du velger en HIPAA-kompatibel dikteringsapp, og en sjekkliste du kan bruke før du dikterer et eneste notat.
Det finnes ingen offisiell «HIPAA-kompatibel»-merking
Det amerikanske helsedepartementet (HHS) sertifiserer eller godkjenner ikke produkter som HIPAA-kompatible. HHS har også sagt at departementet ikke anerkjenner private organisasjoners «sertifiseringer», og at de ikke fritar behandlere fra deres egne forpliktelser. Så når en leverandør sier «HIPAA-kompatibel», behandle det som en påstand som må sjekkes, ikke som en garanti. Samsvaret avhenger av hvordan verktøyet håndterer data, hvilke avtaler som er på plass, og hvordan du bruker det.
Hovedspørsmålet: Mottar leverandøren noen gang pasientdata?
Etter HIPAA er et selskap som oppretter, mottar, oppbevarer eller overfører beskyttet helseinformasjon på vegne av en behandler, en business associate. Før du deler pasientinformasjon med det, trenger du en business associate agreement (BAA): en kontrakt der leverandøren forplikter seg til å beskytte dataene.
Derfor betyr det så mye hvor lyden din havner:
- Diktering i skyen. Opptaket ditt lastes opp og transkriberes på leverandørens servere. Leverandøren mottar pasientdata, så du trenger en BAA, og du er avhengig av leverandørens sikkerhet, lagringsregler og ansatte.
- Kryptert skylagring. Selv når en leverandør ikke kan lese filene dine, sier HHS’ veiledning at en skyleverandør som lagrer krypterte pasientdata uten nøkkelen, fortsatt er en business associate. Du trenger fortsatt en BAA.
- Diktering på enheten. Hvis opptak, transkripsjon og lagring skjer på din egen telefon og utvikleren aldri mottar dataene, håndterer ikke utvikleren pasientinformasjon på dine vegne. Dine egne HIPAA-plikter gjelder fortsatt, og det begynner med å sikre enheten.
Kryptering: sikkerhetsnettet ditt hvis telefonen blir borte
Telefoner blir borte og blir stjålet. Etter HIPAAs regel om varsling ved brudd regnes beskyttet helseinformasjon som er kryptert i tråd med HHS’ veiledning, som «sikret», så tap av en kryptert enhet er som regel ikke et brudd som må meldes, så lenge dekrypteringsnøkkelen ikke også er kompromittert. Se etter dette i en dikteringsapp:
- Opptak og transkripsjoner som krypteres på enheten, helst med en egen applås, så en ulåst telefon ikke avslører dem.
- En nøkkel som beskyttes av telefonens sikkerhetsmaskinvare, som Face ID og iPhonens Secure Enclave, i stedet for et passord som er lagret et annet sted.
- Kryptering under overføring for alt som likevel forlater telefonen, for eksempel eksport til journalsystemet ditt.
En sjekkliste for å velge dikteringsapp
- Hvor transkriberes lyden? På enheten din eller på leverandørens servere? Test det i flymodus.
- Vil leverandøren signere en BAA? Hvis pasientdata når serverne deres, trenger du en, og den følger kanskje bare med enkelte abonnementer.
- Krypteres data både ved lagring og under overføring? Spør hvilken standard som brukes, og hvem som har nøklene.
- Brukes dataene dine til å trene KI? Se etter et tydelig «nei», ikke «avidentifiserte data kan brukes».
- Hvem har tilgang til opptakene? Ansatte, underleverandører, transkribenter, KI-leverandører?
- Hvor lenge oppbevares data, og kan du slette dem helt?
- Har du kontroll over eksporten? Å sende et notat til journalsystemet eller praksissystemet skal være din beslutning, hver gang.
Resten av HIPAA gjelder fortsatt
Ingen app gjør deg kompatibel alene. Hold telefonens programvare oppdatert, bruk en sterk kode og Face ID, ikke del enheten, og følg organisasjonens regler for mobile enheter. Terapeuter bør også huske at psykoterapinotater har ekstra beskyttelse etter HIPAA. Hvis du jobber i en praksis eller på et sykehus, snakk med den som har ansvar for regeletterlevelse eller personvern, før du tar i bruk et nytt verktøy.
Usikker på hva som skjer med stemmen din med iPhonens innebygde diktering? Les Er diktering på iPhone privat?
Vanlige spørsmål
Finnes det en offisiell liste over HIPAA-kompatible dikteringsapper?
Nei. HHS sertifiserer eller godkjenner ikke produkter, så en «HIPAA-kompatibel»-merkelapp er leverandørens egen påstand. Sjekk hvordan appen håndterer data, og om leverandøren vil signere en business associate agreement hvis den mottar pasientinformasjon.
Trenger jeg en business associate agreement for en dikteringsapp?
Du trenger en hvis leverandøren oppretter, mottar, oppbevarer eller overfører pasientinformasjon på dine vegne, for eksempel ved å transkribere lyden din på serverne sine eller lagre notatene dine i skyen sin. Hvis alt blir på din egen enhet og leverandøren aldri mottar noe, har ikke leverandøren pasientdata, men sjekk med den som har ansvar for regeletterlevelse.
Er iPhonens innebygde diktering HIPAA-kompatibel?
Den er ikke laget som et klinisk verktøy. Avhengig av språket ditt og iPhonen din kan diktering behandles på telefonen eller sendes til Apples servere, og teksten havner i appen du skriver i. Veiledningen vår om personvern ved diktering på iPhone forklarer hvilke innstillinger du bør sjekke.
Gjør kryptering en app HIPAA-kompatibel?
Ikke alene, men det betyr mye. Kryptering som oppfyller HHS’ veiledning, betyr at en mistet eller stjålet enhet som regel ikke er et brudd som må meldes. Du trenger fortsatt tilgangskontroll, fornuftige regler og, når en leverandør mottar data, en business associate agreement.
Denne veiledningen er generell informasjon om HIPAA, ikke juridisk rådgivning. Organisasjonens regler og den som har ansvar for regeletterlevelse, har siste ord.