Aplikacije za narekovanje, skladne s HIPAA: kaj preveriti
Če narekujete zapiske o pacientih, pisma ali povzetke seans, vaša aplikacija za narekovanje obdeluje zaščitene zdravstvene podatke. Mnoge aplikacije se predstavljajo kot »skladne s HIPAA«, vendar HIPAA izdelkov ne certificira, ta oznaka pa lahko pomeni zelo različne stvari. Tukaj je, kaj je res pomembno pri izbiri aplikacije za narekovanje, skladne s HIPAA, in kontrolni seznam, ki ga uporabite, preden narekujete en sam zapisek.
Uradne oznake »skladno s HIPAA« ni
Ameriško ministrstvo za zdravje in socialne storitve (HHS) izdelkov ne certificira in ne priporoča kot skladnih s HIPAA. HHS je tudi izjavil, da ne priznava »certifikatov« zasebnih organizacij in da ti izvajalcev zdravstvene oskrbe ne odvežejo njihovih lastnih obveznosti. Ko torej ponudnik reče »skladno s HIPAA«, to obravnavajte kot trditev, ki jo je treba preveriti, ne kot jamstvo. Skladnost je odvisna od tega, kako orodje ravna s podatki, katere pogodbe so sklenjene in kako ga uporabljate.
Ključno vprašanje: ali ponudnik kdaj prejme podatke o pacientih?
Po HIPAA je podjetje, ki v imenu izvajalca zdravstvene oskrbe ustvarja, prejema, hrani ali prenaša zaščitene zdravstvene podatke, business associate. Preden z njim delite podatke o pacientih, potrebujete business associate agreement (BAA): pogodbo, v kateri se ponudnik zaveže, da bo podatke varoval.
Zato je tako pomembno, kam gre vaš posnetek:
- Narekovanje v oblaku. Vaš posnetek se naloži in prepiše na strežnikih ponudnika. Ponudnik prejme podatke o pacientih, zato potrebujete BAA in se zanašate na njegovo varnost, pravila hrambe in zaposlene.
- Šifrirana hramba v oblaku. Tudi ko ponudnik vaših datotek ne more prebrati, je po smernicah HHS ponudnik oblaka, ki hrani šifrirane podatke o pacientih brez ključa, še vedno business associate. BAA še vedno potrebujete.
- Narekovanje v napravi. Če snemanje, prepis in hramba v celoti potekajo v vašem telefonu in razvijalec podatkov nikoli ne prejme, razvijalec v vašem imenu ne obdeluje podatkov o pacientih. Vaše lastne obveznosti po HIPAA še vedno veljajo, začenši z varovanjem naprave.
Šifriranje: vaša varnostna mreža, če izgubite telefon
Telefoni se izgubijo in jih ukradejo. Po pravilu HIPAA o obveščanju o kršitvah se zaščiteni zdravstveni podatki, šifrirani v skladu s smernicami HHS, štejejo za »zavarovane«, zato izguba šifrirane naprave običajno ni kršitev, ki bi jo bilo treba prijaviti, dokler ni ogrožen tudi ključ za dešifriranje. Pri aplikaciji za narekovanje iščite:
- Posnetke in prepise, šifrirane v napravi, po možnosti z ločenim zaklepanjem aplikacije, da jih odklenjen telefon ne razkrije.
- Ključ, ki ga varuje varnostna strojna oprema telefona, kot sta Face ID in Secure Enclave v iPhonu, namesto gesla, shranjenega drugje.
- Šifriranje med prenosom za vse, kar telefon vendarle zapusti, na primer izvoz v vašo elektronsko zdravstveno dokumentacijo.
Kontrolni seznam za izbiro aplikacije za narekovanje
- Kje se zvok prepisuje? V vaši napravi ali na strežnikih ponudnika? Preizkusite v načinu za letalo.
- Ali bo ponudnik podpisal BAA? Če kakršni koli podatki o pacientih pridejo na njegove strežnike, jo potrebujete, morda pa je na voljo le v nekaterih paketih.
- So podatki šifrirani med hrambo in med prenosom? Vprašajte, kateri standard se uporablja in kdo ima ključe.
- Se vaši podatki uporabljajo za učenje umetne inteligence? Iščite jasen »ne«, ne »anonimizirani podatki se lahko uporabijo«.
- Kdo ima dostop do posnetkov? Zaposleni, podizvajalci, ljudje, ki prepisujejo, ponudniki umetne inteligence?
- Kako dolgo se podatki hranijo in ali jih lahko popolnoma izbrišete?
- Ali imate izvoz pod nadzorom? Pošiljanje zapiska v zdravstveno dokumentacijo ali programsko opremo ambulante mora biti vsakič vaša odločitev.
Preostanek HIPAA še vedno velja
Nobena aplikacija vas sama ne naredi skladnih. Programsko opremo telefona redno posodabljajte, uporabljajte močno kodo in Face ID, naprave ne delite in upoštevajte pravila svoje organizacije za mobilne naprave. Terapevti naj se zavedajo tudi, da imajo zapiski psihoterapije po HIPAA dodatno zaščito. Če delate v ambulanti ali bolnišnici, se pred uvedbo novega orodja posvetujte z odgovornim za skladnost ali varstvo podatkov.
Niste prepričani, kaj se zgodi z vašim glasom pri vgrajenem narekovanju na iPhonu? Preberite Ali je narekovanje na iPhonu zasebno?
Pogosta vprašanja
Ali obstaja uradni seznam aplikacij za narekovanje, skladnih s HIPAA?
Ne. HHS izdelkov ne certificira in ne priporoča, zato je oznaka »skladno s HIPAA« trditev samega ponudnika. Preverite, kako aplikacija ravna s podatki in ali bo ponudnik podpisal business associate agreement, če prejema podatke o pacientih.
Ali za aplikacijo za narekovanje potrebujem business associate agreement?
Potrebujete jo, če ponudnik v vašem imenu ustvarja, prejema, hrani ali prenaša podatke o pacientih, na primer tako, da vaš zvok prepisuje na svojih strežnikih ali vaše zapiske hrani v svojem oblaku. Če vse ostane v vaši napravi in ponudnik nikoli ničesar ne prejme, pri njem ni podatkov o pacientih, a to preverite z odgovornim za skladnost.
Ali je vgrajeno narekovanje na iPhonu skladno s HIPAA?
Ni zasnovano kot klinično orodje. Glede na jezik in iPhone se narekovanje lahko obdeluje v telefonu ali pošilja na Applove strežnike, besedilo pa konča v aplikaciji, v kateri tipkate. Naš vodnik o zasebnosti narekovanja na iPhonu pojasnjuje, katere nastavitve preveriti.
Ali šifriranje naredi aplikacijo skladno s HIPAA?
Samo po sebi ne, je pa zelo pomembno. Šifriranje v skladu s smernicami HHS pomeni, da izgubljena ali ukradena naprava običajno ni kršitev, ki bi jo bilo treba prijaviti. Še vedno pa potrebujete nadzor dostopa, razumna pravila in, ko ponudnik prejema podatke, business associate agreement.
Ta vodnik vsebuje splošne informacije o HIPAA, ne pravnega nasveta. Zadnjo besedo imajo pravila vaše organizacije in odgovorni za skladnost.