Apps de ditado conformes à HIPAA: o que verificar
Se ditas notas de doentes, cartas ou resumos de sessões, a tua app de ditado lida com informação de saúde protegida. Muitas apps dizem-se «conformes à HIPAA», mas a HIPAA não certifica produtos, e o rótulo pode significar coisas muito diferentes. Eis o que realmente importa quando escolhes uma app de ditado conforme à HIPAA, com uma lista de verificação para usares antes de ditar uma única nota.
Não existe um rótulo oficial «conforme à HIPAA»
O Departamento de Saúde e Serviços Humanos dos EUA (HHS) não certifica nem recomenda produtos como conformes à HIPAA. O HHS também disse que não reconhece «certificações» de organizações privadas e que estas não dispensam os prestadores das suas próprias obrigações. Por isso, quando um fornecedor diz «conforme à HIPAA», trata isso como uma afirmação a verificar, não como uma garantia. A conformidade depende da forma como a ferramenta trata os dados, dos acordos em vigor e da forma como a usas.
A pergunta-chave: o fornecedor alguma vez recebe dados de doentes?
Ao abrigo da HIPAA, uma empresa que cria, recebe, mantém ou transmite informação de saúde protegida em nome de um prestador de cuidados é um business associate. Antes de partilhares informação de doentes com ela, precisas de um business associate agreement (BAA): um contrato em que o fornecedor se compromete a proteger os dados.
É por isso que importa tanto para onde vai o teu áudio:
- Ditado na nuvem. A tua gravação é enviada e transcrita nos servidores do fornecedor. O fornecedor recebe dados de doentes, por isso precisas de um BAA, e dependes da sua segurança, das suas regras de conservação e do seu pessoal.
- Armazenamento encriptado na nuvem. Mesmo quando um fornecedor não consegue ler os teus ficheiros, as orientações do HHS dizem que um fornecedor de nuvem que guarda dados de doentes encriptados sem a chave continua a ser um business associate. Continuas a precisar de um BAA.
- Ditado no dispositivo. Se a gravação, a transcrição e o armazenamento acontecem todos no teu próprio telemóvel e o programador nunca recebe os dados, o programador não lida com informação de doentes em teu nome. As tuas próprias obrigações ao abrigo da HIPAA continuam a aplicar-se, a começar pela proteção do dispositivo.
Encriptação: a tua rede de segurança se perderes o telemóvel
Os telemóveis perdem-se e são roubados. Segundo a regra de notificação de violações da HIPAA, a informação de saúde protegida encriptada de acordo com as orientações do HHS é considerada «protegida», por isso perder um dispositivo encriptado normalmente não é uma violação de notificação obrigatória, desde que a chave de desencriptação não tenha sido também comprometida. Numa app de ditado, procura:
- Gravações e transcrições encriptadas no dispositivo, idealmente com um bloqueio próprio da app, para que um telemóvel desbloqueado não as exponha.
- Uma chave protegida pelo hardware de segurança do telemóvel, como o Face ID e o Secure Enclave do iPhone, em vez de uma palavra-passe guardada noutro sítio.
- Encriptação em trânsito para tudo o que acabe por sair do telemóvel, como as exportações para o teu processo clínico eletrónico.
Uma lista de verificação para escolher uma app de ditado
- Onde é transcrito o áudio? No teu dispositivo ou nos servidores do fornecedor? Testa em modo de voo.
- O fornecedor assina um BAA? Se algum dado de doentes chegar aos seus servidores, precisas de um, e pode só existir em certos planos.
- Os dados são encriptados em repouso e em trânsito? Pergunta que norma é usada e quem tem as chaves.
- Os teus dados são usados para treinar IA? Procura um «não» claro, e não um «podem ser usados dados anonimizados».
- Quem pode aceder às gravações? Pessoal, prestadores externos, transcritores, fornecedores de IA?
- Durante quanto tempo são guardados os dados, e consegues apagá-los por completo?
- Controlas as exportações? Enviar uma nota para o processo clínico ou para o software do consultório deve ser decisão tua, sempre.
O resto da HIPAA continua a aplicar-se
Nenhuma app te torna conforme sozinha. Mantém o software do telemóvel atualizado, usa um código forte e o Face ID, não partilhes o dispositivo e segue as políticas da tua organização sobre dispositivos móveis. Os terapeutas devem também lembrar-se de que as notas de psicoterapia têm proteções adicionais ao abrigo da HIPAA. Se trabalhas num consultório ou hospital, fala com o responsável pela conformidade ou pela privacidade antes de adotares uma ferramenta nova.
Não sabes bem o que acontece à tua voz com o ditado integrado do iPhone? Lê O ditado do iPhone é privado?
Perguntas frequentes
Existe uma lista oficial de apps de ditado conformes à HIPAA?
Não. O HHS não certifica nem recomenda produtos, por isso um rótulo «conforme à HIPAA» é uma afirmação do próprio fornecedor. Verifica como a app trata os dados e se o fornecedor assina um business associate agreement caso receba informação de doentes.
Preciso de um business associate agreement para uma app de ditado?
Precisas, se o fornecedor criar, receber, mantiver ou transmitir informação de doentes em teu nome, por exemplo ao transcrever o teu áudio nos seus servidores ou ao guardar as tuas notas na sua nuvem. Se tudo ficar no teu próprio dispositivo e o fornecedor nunca o receber, não há dados de doentes nas mãos do fornecedor, mas confirma com o teu responsável pela conformidade.
O ditado integrado do iPhone é conforme à HIPAA?
Não foi concebido como ferramenta clínica. Consoante o teu idioma e o teu iPhone, o ditado pode ser processado no telemóvel ou enviado para os servidores da Apple, e o texto vai para a app em que estás a escrever. O nosso guia sobre a privacidade do ditado do iPhone explica que definições verificar.
A encriptação torna uma app conforme à HIPAA?
Não por si só, mas conta muito. Uma encriptação conforme às orientações do HHS significa que um dispositivo perdido ou roubado normalmente não é uma violação de notificação obrigatória. Continuas a precisar de controlos de acesso, políticas sensatas e, quando um fornecedor recebe dados, de um business associate agreement.
Este guia dá informação geral sobre a HIPAA, não aconselhamento jurídico. As políticas da tua organização e o teu responsável pela conformidade têm a última palavra.