Aplicații de dictare conforme cu HIPAA: ce să verificați
Dacă dictați notițe despre pacienți, scrisori sau rezumate ale ședințelor, aplicația de dictare lucrează cu informații medicale protejate. Multe aplicații se declară „conforme cu HIPAA”, dar HIPAA nu certifică produse, iar eticheta poate însemna lucruri foarte diferite. Iată ce contează cu adevărat când alegeți o aplicație de dictare conformă cu HIPAA, plus o listă de verificare de folosit înainte să dictați prima notiță.
Nu există o etichetă oficială „conform cu HIPAA”
Departamentul de Sănătate și Servicii Umane al SUA (HHS) nu certifică și nu recomandă produse ca fiind conforme cu HIPAA. HHS a mai spus că nu recunoaște „certificările” organizațiilor private și că acestea nu îi scutesc pe furnizorii de servicii medicale de propriile obligații. Așadar, când un furnizor spune „conform cu HIPAA”, tratați afirmația ca pe ceva de verificat, nu ca pe o garanție. Conformitatea depinde de modul în care instrumentul gestionează datele, de contractele încheiate și de modul în care îl folosiți.
Întrebarea cheie: primește vreodată furnizorul date despre pacienți?
Conform HIPAA, o companie care creează, primește, păstrează sau transmite informații medicale protejate în numele unui furnizor de servicii medicale este un business associate. Înainte de a-i împărtăși informații despre pacienți, aveți nevoie de un business associate agreement (BAA): un contract prin care furnizorul se angajează să protejeze datele.
De aceea contează atât de mult unde ajunge înregistrarea dvs.:
- Dictare în cloud. Înregistrarea este încărcată și transcrisă pe serverele furnizorului. Furnizorul primește date despre pacienți, așa că aveți nevoie de un BAA și vă bazați pe securitatea, regulile de păstrare și personalul lui.
- Stocare criptată în cloud. Chiar și când un furnizor nu vă poate citi fișierele, ghidul HHS spune că un furnizor de cloud care stochează date criptate despre pacienți fără cheie este tot un business associate. Tot aveți nevoie de un BAA.
- Dictare pe dispozitiv. Dacă înregistrarea, transcrierea și stocarea au loc în întregime pe propriul telefon, iar dezvoltatorul nu primește niciodată datele, dezvoltatorul nu gestionează informații despre pacienți în numele dvs. Propriile obligații HIPAA rămân valabile, începând cu securizarea dispozitivului.
Criptarea: plasa de siguranță dacă pierdeți telefonul
Telefoanele se pierd și se fură. Conform regulii HIPAA privind notificarea încălcărilor de securitate, informațiile medicale protejate criptate conform ghidului HHS sunt considerate „securizate”, așa că pierderea unui dispozitiv criptat nu este, de regulă, o încălcare care trebuie raportată, atâta timp cât nici cheia de decriptare nu a fost compromisă. La o aplicație de dictare, căutați:
- Înregistrări și transcrieri criptate pe dispozitiv, ideal cu o blocare separată a aplicației, ca un telefon deblocat să nu le expună.
- O cheie protejată de componentele de securitate ale telefonului, precum Face ID și Secure Enclave de pe iPhone, nu o parolă stocată în altă parte.
- Criptare în tranzit pentru tot ce iese totuși de pe telefon, cum ar fi exporturile către dosarul medical electronic.
O listă de verificare pentru alegerea unei aplicații de dictare
- Unde este transcris sunetul? Pe dispozitivul dvs. sau pe serverele furnizorului? Testați în modul avion.
- Va semna furnizorul un BAA? Dacă orice date despre pacienți ajung pe serverele lui, aveți nevoie de unul, iar acesta poate fi disponibil doar la anumite abonamente.
- Sunt datele criptate la stocare și în tranzit? Întrebați ce standard este folosit și cine deține cheile.
- Datele dvs. sunt folosite pentru antrenarea AI? Căutați un „nu” clar, nu „pot fi folosite date anonimizate”.
- Cine are acces la înregistrări? Personal, contractori, transcriptori, furnizori de AI?
- Cât timp sunt păstrate datele și le puteți șterge complet?
- Controlați exporturile? Trimiterea unei notițe în dosarul medical electronic sau în software-ul cabinetului trebuie să fie decizia dvs., de fiecare dată.
Restul HIPAA se aplică în continuare
Nicio aplicație nu vă face conform de una singură. Țineți la zi software-ul telefonului, folosiți un cod puternic și Face ID, nu împărțiți dispozitivul și respectați politicile organizației privind dispozitivele mobile. Terapeuții trebuie să-și amintească și că notițele de psihoterapie au protecții suplimentare conform HIPAA. Dacă lucrați într-un cabinet sau spital, discutați cu responsabilul de conformitate sau de protecția datelor înainte de a adopta un instrument nou.
Nu știți exact ce se întâmplă cu vocea dvs. la dictarea integrată a iPhone-ului? Citiți Este privată dictarea pe iPhone?
Întrebări frecvente
Există o listă oficială de aplicații de dictare conforme cu HIPAA?
Nu. HHS nu certifică și nu recomandă produse, așa că o etichetă „conform cu HIPAA” este o afirmație a furnizorului. Verificați cum gestionează aplicația datele și dacă furnizorul va semna un business associate agreement în cazul în care primește informații despre pacienți.
Este nevoie de un business associate agreement pentru o aplicație de dictare?
Da, dacă furnizorul creează, primește, păstrează sau transmite informații despre pacienți în numele dvs., de exemplu transcriindu-vă sunetul pe serverele lui sau stocându-vă notițele în cloudul lui. Dacă totul rămâne pe propriul dispozitiv și furnizorul nu primește niciodată nimic, nu există date despre pacienți la furnizor, dar verificați cu responsabilul de conformitate.
Este dictarea integrată a iPhone-ului conformă cu HIPAA?
Nu este concepută ca instrument clinic. În funcție de limbă și de iPhone, dictarea poate fi procesată pe telefon sau trimisă pe serverele Apple, iar textul ajunge în aplicația în care scrieți. Ghidul nostru despre confidențialitatea dictării pe iPhone explică ce configurări să verificați.
Face criptarea o aplicație conformă cu HIPAA?
Nu de una singură, dar contează mult. O criptare conformă cu ghidul HHS înseamnă că un dispozitiv pierdut sau furat nu este, de regulă, o încălcare care trebuie raportată. Tot aveți nevoie de controale de acces, politici rezonabile și, când un furnizor primește date, de un business associate agreement.
Acest ghid oferă informații generale despre HIPAA, nu consultanță juridică. Ultimul cuvânt îl au politicile organizației și responsabilul de conformitate.