HIPAA-kompatibla dikteringsappar: vad du ska kontrollera
Om du dikterar patientanteckningar, brev eller sessionssammanfattningar hanterar din dikteringsapp skyddad hälsoinformation. Många appar kallar sig ”HIPAA-kompatibla”, men HIPAA certifierar inga produkter, och etiketten kan betyda väldigt olika saker. Här är vad som verkligen spelar roll när du väljer en HIPAA-kompatibel dikteringsapp, och en checklista att använda innan du dikterar en enda anteckning.
Det finns ingen officiell ”HIPAA-kompatibel”-märkning
USA:s hälsodepartement (HHS) certifierar eller godkänner inga produkter som HIPAA-kompatibla. HHS har också sagt att man inte erkänner privata organisationers ”certifieringar”, och att de inte befriar vårdgivare från deras egna skyldigheter. Så när en leverantör säger ”HIPAA-kompatibel”, behandla det som ett påstående att kontrollera, inte som en garanti. Efterlevnaden beror på hur verktyget hanterar data, vilka avtal som finns och hur du använder det.
Den avgörande frågan: tar leverantören någonsin emot patientdata?
Enligt HIPAA är ett företag som skapar, tar emot, förvarar eller överför skyddad hälsoinformation för en vårdgivares räkning en business associate. Innan du delar patientinformation med det behöver du ett business associate agreement (BAA): ett avtal där leverantören åtar sig att skydda uppgifterna.
Därför spelar det så stor roll vart ditt ljud tar vägen:
- Diktering i molnet. Din inspelning laddas upp och transkriberas på leverantörens servrar. Leverantören tar emot patientdata, så du behöver ett BAA, och du förlitar dig på dess säkerhet, lagringsregler och personal.
- Krypterad molnlagring. Även när en leverantör inte kan läsa dina filer säger HHS vägledning att en molnleverantör som lagrar krypterade patientdata utan nyckeln ändå är en business associate. Du behöver fortfarande ett BAA.
- Diktering på enheten. Om inspelning, transkribering och lagring sker helt på din egen telefon och utvecklaren aldrig tar emot uppgifterna, hanterar utvecklaren ingen patientinformation för din räkning. Dina egna skyldigheter enligt HIPAA gäller fortfarande, med början i att skydda enheten.
Kryptering: ditt skyddsnät om telefonen försvinner
Telefoner tappas bort och blir stulna. Enligt HIPAA:s regel om anmälan av personuppgiftsincidenter räknas skyddad hälsoinformation som krypterats enligt HHS vägledning som ”skyddad”, så att förlora en krypterad enhet är i regel ingen anmälningspliktig incident, så länge dekrypteringsnyckeln inte också har röjts. Leta efter detta i en dikteringsapp:
- Inspelningar och transkriptioner som krypteras på enheten, helst med ett eget applås, så att en upplåst telefon inte blottar dem.
- En nyckel som skyddas av telefonens säkerhetshårdvara, som Face ID och iPhonens Secure Enclave, i stället för ett lösenord som lagras någon annanstans.
- Kryptering under överföring för allt som ändå lämnar telefonen, till exempel export till ditt journalsystem.
En checklista för att välja dikteringsapp
- Var transkriberas ljudet? På din enhet eller på leverantörens servrar? Testa i flygplansläge.
- Skriver leverantören under ett BAA? Om några patientdata når dess servrar behöver du ett, och det kanske bara ingår i vissa abonnemang.
- Krypteras data både lagrade och under överföring? Fråga vilken standard som används och vem som har nycklarna.
- Används dina data för att träna AI? Leta efter ett tydligt ”nej”, inte ”avidentifierade data kan användas”.
- Vem har åtkomst till inspelningarna? Personal, underleverantörer, transkriberare, AI-leverantörer?
- Hur länge sparas data, och kan du radera dem helt?
- Styr du själv över exporten? Att skicka en anteckning till journalsystemet eller mottagningens program ska vara ditt beslut, varje gång.
Resten av HIPAA gäller fortfarande
Ingen app gör dig regelefterlevande på egen hand. Håll telefonens programvara uppdaterad, använd en stark lösenkod och Face ID, dela inte enheten och följ organisationens regler för mobila enheter. Terapeuter bör också komma ihåg att psykoterapianteckningar har extra skydd enligt HIPAA. Om du arbetar på en mottagning eller ett sjukhus, prata med ansvarig för regelefterlevnad eller dataskydd innan du tar ett nytt verktyg i bruk.
Osäker på vad som händer med din röst med iPhonens inbyggda diktering? Läs Är diktering på iPhone privat?
Vanliga frågor
Finns det en officiell lista över HIPAA-kompatibla dikteringsappar?
Nej. HHS certifierar eller godkänner inga produkter, så en ”HIPAA-kompatibel”-etikett är leverantörens eget påstående. Kontrollera hur appen hanterar data och om leverantören skriver under ett business associate agreement om den tar emot patientinformation.
Behöver jag ett business associate agreement för en dikteringsapp?
Det behöver du om leverantören skapar, tar emot, förvarar eller överför patientinformation för din räkning, till exempel genom att transkribera ditt ljud på sina servrar eller lagra dina anteckningar i sitt moln. Om allt stannar på din egen enhet och leverantören aldrig tar emot något finns inga patientdata hos leverantören, men stäm av med den som ansvarar för regelefterlevnad.
Är iPhonens inbyggda diktering HIPAA-kompatibel?
Den är inte utformad som ett kliniskt verktyg. Beroende på ditt språk och din iPhone kan diktering behandlas på telefonen eller skickas till Apples servrar, och texten hamnar i den app du skriver i. Vår guide om integritet vid diktering på iPhone förklarar vilka inställningar du ska kontrollera.
Gör kryptering en app HIPAA-kompatibel?
Inte på egen hand, men det spelar stor roll. Kryptering som uppfyller HHS vägledning innebär att en förlorad eller stulen enhet i regel inte är en anmälningspliktig incident. Du behöver fortfarande åtkomstkontroller, förnuftiga regler och, när en leverantör tar emot data, ett business associate agreement.
Den här guiden är allmän information om HIPAA, inte juridisk rådgivning. Din organisations regler och den som ansvarar för regelefterlevnad har sista ordet.