แอปพูดบันทึกที่สอดคล้องกับ HIPAA: สิ่งที่ต้องตรวจสอบ
หากคุณพูดบันทึกโน้ตผู้ป่วย จดหมาย หรือสรุปเซสชัน แอปพูดบันทึกของคุณกำลังจัดการข้อมูลสุขภาพที่ได้รับการคุ้มครอง หลายแอปอ้างว่า “สอดคล้องกับ HIPAA” แต่ HIPAA ไม่ได้รับรองผลิตภัณฑ์ และป้ายนี้อาจมีความหมายต่างกันมาก นี่คือสิ่งที่สำคัญจริง ๆ เมื่อเลือกแอปพูดบันทึกที่สอดคล้องกับ HIPAA พร้อมรายการตรวจสอบก่อนพูดบันทึกโน้ตใด ๆ
ไม่มีป้าย “สอดคล้องกับ HIPAA” อย่างเป็นทางการ
กระทรวงสาธารณสุขและบริการมนุษย์สหรัฐฯ (HHS) ไม่ได้รับรองหรือสนับสนุนผลิตภัณฑ์ใดว่าสอดคล้องกับ HIPAA HHS ยังระบุว่าไม่ยอมรับ “การรับรอง” จากองค์กรเอกชน และการรับรองเหล่านั้นไม่ได้ปลดหน่วยงานด้านสุขภาพจากหน้าที่ของตนเอง ดังนั้นเมื่อผู้ให้บริการบอกว่า “สอดคล้องกับ HIPAA” ให้ถือว่าเป็นคำกล่าวอ้างที่ต้องตรวจสอบ ไม่ใช่การรับประกัน การปฏิบัติตามกฎขึ้นอยู่กับวิธีที่เครื่องมือจัดการข้อมูล ข้อตกลงที่ลงนามไว้ และวิธีที่คุณใช้งาน
คำถามสำคัญ: ผู้ให้บริการได้รับข้อมูลผู้ป่วยหรือไม่?
ตาม HIPAA บริษัทที่สร้าง รับ เก็บรักษา หรือส่งข้อมูลสุขภาพที่ได้รับการคุ้มครองแทนหน่วยงานด้านสุขภาพ ถือเป็น business associate ก่อนแบ่งปันข้อมูลผู้ป่วยกับบริษัทนั้น คุณต้องมี business associate agreement (BAA): สัญญาที่ผู้ให้บริการให้คำมั่นว่าจะปกป้องข้อมูล
นี่คือเหตุผลที่ว่าเสียงของคุณไปที่ไหนจึงสำคัญมาก:
- การพูดบันทึกบนคลาวด์ ไฟล์บันทึกของคุณถูกอัปโหลดและถอดความบนเซิร์ฟเวอร์ของผู้ให้บริการ ผู้ให้บริการได้รับข้อมูลผู้ป่วย จึงต้องมี BAA และคุณต้องพึ่งความปลอดภัย กฎการเก็บรักษา และพนักงานของผู้ให้บริการ
- พื้นที่จัดเก็บบนคลาวด์ที่เข้ารหัส แม้ผู้ให้บริการจะอ่านไฟล์ของคุณไม่ได้ แนวทางของ HHS ระบุว่าผู้ให้บริการคลาวด์ที่เก็บข้อมูลผู้ป่วยที่เข้ารหัสโดยไม่มีกุญแจก็ยังเป็น business associate ยังคงต้องมี BAA
- การพูดบันทึกบนอุปกรณ์ หากการบันทึก การถอดความ และการจัดเก็บเกิดขึ้นบนโทรศัพท์ของคุณเองทั้งหมด และผู้พัฒนาไม่ได้รับข้อมูลเลย ผู้พัฒนาก็ไม่ได้จัดการข้อมูลผู้ป่วยแทนคุณ หน้าที่ตาม HIPAA ของคุณเองยังคงมีผล เริ่มจากการปกป้องอุปกรณ์
การเข้ารหัส: ตาข่ายนิรภัยเมื่อโทรศัพท์หาย
โทรศัพท์อาจหายหรือถูกขโมย ภายใต้กฎการแจ้งเหตุละเมิดข้อมูลของ HIPAA ข้อมูลสุขภาพที่ได้รับการคุ้มครองซึ่งเข้ารหัสตามแนวทางของ HHS ถือว่า “ได้รับการปกป้อง” การสูญหายของอุปกรณ์ที่เข้ารหัสจึงโดยทั่วไปไม่ใช่เหตุละเมิดที่ต้องรายงาน ตราบใดที่กุญแจถอดรหัสไม่ถูกเปิดเผย ในแอปพูดบันทึก ให้มองหา:
- ไฟล์บันทึกและบทถอดความที่เข้ารหัสบนอุปกรณ์ ควรมีล็อกแอปแยกต่างหาก เพื่อไม่ให้โทรศัพท์ที่ปลดล็อกแล้วเปิดเผยข้อมูล
- กุญแจที่ได้รับการปกป้องด้วยฮาร์ดแวร์ความปลอดภัยของโทรศัพท์ เช่น Face ID และ Secure Enclave ของ iPhone แทนรหัสผ่านที่เก็บไว้ที่อื่น
- การเข้ารหัสระหว่างส่ง สำหรับทุกสิ่งที่ออกจากโทรศัพท์จริง ๆ เช่น การส่งออกไปยังเวชระเบียนอิเล็กทรอนิกส์ของคุณ
รายการตรวจสอบสำหรับเลือกแอปพูดบันทึก
- เสียงถูกถอดความที่ไหน? บนอุปกรณ์ของคุณ หรือบนเซิร์ฟเวอร์ของผู้ให้บริการ? ลองทดสอบในโหมดเครื่องบิน
- ผู้ให้บริการจะลงนาม BAA ไหม? หากข้อมูลผู้ป่วยใด ๆ ไปถึงเซิร์ฟเวอร์ของผู้ให้บริการ คุณต้องมี BAA และอาจมีให้เฉพาะบางแพ็กเกจ
- ข้อมูลถูกเข้ารหัสทั้งขณะจัดเก็บและระหว่างส่งไหม? ถามว่าใช้มาตรฐานใด และใครถือกุญแจ
- ข้อมูลของคุณถูกใช้ฝึก AI ไหม? มองหาคำตอบ “ไม่” ที่ชัดเจน ไม่ใช่ “อาจใช้ข้อมูลที่ลบข้อมูลระบุตัวตนแล้ว”
- ใครเข้าถึงไฟล์บันทึกได้? พนักงาน ผู้รับจ้าง ผู้ถอดความ ผู้ให้บริการ AI?
- ข้อมูลถูกเก็บไว้นานเท่าไร และลบได้ทั้งหมดไหม?
- คุณควบคุมการส่งออกได้ไหม? การส่งโน้ตไปยังเวชระเบียนอิเล็กทรอนิกส์หรือซอฟต์แวร์คลินิกควรเป็นการตัดสินใจของคุณทุกครั้ง
ส่วนอื่นของ HIPAA ยังคงมีผล
ไม่มีแอปใดทำให้คุณปฏิบัติตามกฎได้ด้วยตัวเอง อัปเดตซอฟต์แวร์ของโทรศัพท์ ใช้รหัสที่รัดกุมและ Face ID อย่าใช้อุปกรณ์ร่วมกับผู้อื่น และปฏิบัติตามนโยบายด้านอุปกรณ์เคลื่อนที่ขององค์กร นักบำบัดควรจำไว้ด้วยว่าบันทึกจิตบำบัดได้รับการคุ้มครองเพิ่มเติมภายใต้ HIPAA หากคุณทำงานในคลินิกหรือโรงพยาบาล ให้ปรึกษาเจ้าหน้าที่ด้านการปฏิบัติตามกฎหรือด้านความเป็นส่วนตัวก่อนใช้เครื่องมือใหม่
ไม่แน่ใจว่าเกิดอะไรขึ้นกับเสียงของคุณเมื่อใช้การป้อนตามคำบอกในตัว iPhone? ดู การป้อนตามคำบอกบน iPhone เป็นส่วนตัวไหม?
คำถามที่พบบ่อย
มีรายชื่ออย่างเป็นทางการของแอปพูดบันทึกที่สอดคล้องกับ HIPAA ไหม?
ไม่มี HHS ไม่ได้รับรองหรือสนับสนุนผลิตภัณฑ์ ป้าย “สอดคล้องกับ HIPAA” จึงเป็นคำกล่าวอ้างของผู้ให้บริการเอง ตรวจสอบว่าแอปจัดการข้อมูลอย่างไร และผู้ให้บริการจะลงนาม business associate agreement หรือไม่หากได้รับข้อมูลผู้ป่วย
ฉันต้องมี business associate agreement สำหรับแอปพูดบันทึกไหม?
ต้องมี หากผู้ให้บริการสร้าง รับ เก็บรักษา หรือส่งข้อมูลผู้ป่วยแทนคุณ เช่น ถอดความเสียงของคุณบนเซิร์ฟเวอร์ของตน หรือเก็บโน้ตของคุณบนคลาวด์ของตน หากทุกอย่างอยู่บนอุปกรณ์ของคุณและผู้ให้บริการไม่ได้รับอะไรเลย ผู้ให้บริการก็ไม่ได้ถือข้อมูลผู้ป่วย แต่ควรยืนยันกับเจ้าหน้าที่ด้านการปฏิบัติตามกฎของคุณ
การป้อนตามคำบอกในตัว iPhone สอดคล้องกับ HIPAA ไหม?
ฟีเจอร์นี้ไม่ได้ออกแบบมาเป็นเครื่องมือทางคลินิก ขึ้นอยู่กับภาษาและ iPhone ของคุณ การป้อนตามคำบอกอาจถูกประมวลผลบนโทรศัพท์หรือส่งไปยังเซิร์ฟเวอร์ของ Apple และข้อความจะไปอยู่ในแอปที่คุณกำลังพิมพ์ คู่มือของเราเรื่องความเป็นส่วนตัวของการป้อนตามคำบอกบน iPhone อธิบายการตั้งค่าที่ควรตรวจสอบ
การเข้ารหัสทำให้แอปสอดคล้องกับ HIPAA ไหม?
ไม่ใช่ด้วยตัวมันเอง แต่การเข้ารหัสสำคัญมาก การเข้ารหัสที่เป็นไปตามแนวทางของ HHS หมายความว่าอุปกรณ์ที่หายหรือถูกขโมยโดยทั่วไปไม่ใช่เหตุละเมิดที่ต้องรายงาน คุณยังต้องมีการควบคุมการเข้าถึง นโยบายที่เหมาะสม และเมื่อผู้ให้บริการได้รับข้อมูล ก็ต้องมี business associate agreement
คู่มือนี้ให้ข้อมูลทั่วไปเกี่ยวกับ HIPAA ไม่ใช่คำแนะนำทางกฎหมาย นโยบายขององค์กรและเจ้าหน้าที่ด้านการปฏิบัติตามกฎของคุณมีคำตัดสินสุดท้าย