HIPAA uyumlu dikte uygulamaları: nelere bakmalı
Hasta notları, yazılar veya seans özetleri dikte ediyorsanız dikte uygulamanız korunan sağlık bilgilerini işler. Pek çok uygulama kendini “HIPAA uyumlu” olarak tanıtır, ama HIPAA ürünleri sertifikalandırmaz ve bu etiket çok farklı anlamlara gelebilir. HIPAA uyumlu bir dikte uygulaması seçerken gerçekten neyin önemli olduğunu ve ilk notunuzu dikte etmeden önce kullanabileceğiniz bir kontrol listesini sunuyoruz.
Resmî bir “HIPAA uyumlu” etiketi yoktur
ABD Sağlık ve İnsan Hizmetleri Bakanlığı (HHS), ürünleri HIPAA uyumlu olarak sertifikalandırmaz veya onaylamaz. HHS ayrıca özel kuruluşların “sertifikalarını” tanımadığını ve bunların sağlık hizmeti sunucularını kendi yükümlülüklerinden kurtarmadığını belirtmiştir. Bu yüzden bir sağlayıcı “HIPAA uyumlu” dediğinde bunu bir garanti değil, doğrulanması gereken bir iddia olarak görün. Uyumluluk, aracın verileri nasıl işlediğine, yapılan sözleşmelere ve onu nasıl kullandığınıza bağlıdır.
Asıl soru: sağlayıcı hiç hasta verisi alıyor mu?
HIPAA kapsamında, bir sağlık hizmeti sunucusu adına korunan sağlık bilgisi oluşturan, alan, tutan veya ileten bir şirket bir iş ortağıdır (business associate). Onunla hasta bilgisi paylaşmadan önce bir iş ortağı sözleşmesine (BAA) ihtiyacınız vardır: sağlayıcının verileri korumayı taahhüt ettiği bir sözleşme.
Bu yüzden sesinizin nereye gittiği bu kadar önemlidir:
- Bulutta dikte. Kaydınız yüklenir ve sağlayıcının sunucularında yazıya dökülür. Sağlayıcı hasta verisi alır; bu yüzden bir BAA’ya ihtiyacınız vardır ve onun güvenliğine, saklama kurallarına ve çalışanlarına güvenirsiniz.
- Şifreli bulut depolama. Bir sağlayıcı dosyalarınızı okuyamasa bile, HHS rehberine göre anahtarı olmadan şifreli hasta verisi saklayan bir bulut sağlayıcısı yine de bir iş ortağıdır. Yine bir BAA gerekir.
- Cihazda dikte. Kayıt, yazıya dökme ve depolama tamamen kendi telefonunuzda gerçekleşiyorsa ve geliştirici verileri hiç almıyorsa, geliştirici sizin adınıza hasta bilgisi işlemiyordur. Cihazın güvenliğinden başlayarak kendi HIPAA yükümlülükleriniz geçerliliğini korur.
Şifreleme: telefon kaybolursa güvenlik ağınız
Telefonlar kaybolur ve çalınır. HIPAA’nın ihlal bildirimi kuralına göre HHS rehberine uygun şekilde şifrelenmiş korunan sağlık bilgileri “güvence altında” sayılır; bu yüzden şifreli bir cihazı kaybetmek, şifre çözme anahtarı da ele geçirilmediği sürece genellikle bildirilmesi gereken bir ihlal değildir. Bir dikte uygulamasında şunlara bakın:
- Cihazda şifrelenmiş kayıtlar ve dökümler, tercihen ayrı bir uygulama kilidiyle; böylece kilidi açık bir telefon onları açığa çıkarmaz.
- Telefonun güvenlik donanımıyla korunan bir anahtar, başka bir yerde saklanan bir parola yerine Face ID ve iPhone’un Secure Enclave’i gibi.
- Aktarım sırasında şifreleme, telefondan çıkan her şey için; örneğin elektronik sağlık kaydınıza yapılan aktarımlar.
Dikte uygulaması seçmek için kontrol listesi
- Ses nerede yazıya dökülüyor? Cihazınızda mı, sağlayıcının sunucularında mı? Uçak modunda test edin.
- Sağlayıcı BAA imzalayacak mı? Hasta verilerinin herhangi bir kısmı sunucularına ulaşıyorsa buna ihtiyacınız vardır ve yalnızca belirli paketlerde sunuluyor olabilir.
- Veriler depolanırken ve aktarılırken şifreleniyor mu? Hangi standardın kullanıldığını ve anahtarların kimde olduğunu sorun.
- Verileriniz yapay zekâ eğitiminde kullanılıyor mu? “Anonimleştirilmiş veriler kullanılabilir” değil, net bir “hayır” arayın.
- Kayıtlara kimler erişebiliyor? Çalışanlar, yükleniciler, döküm görevlileri, yapay zekâ sağlayıcıları?
- Veriler ne kadar süre saklanıyor ve tamamen silebiliyor musunuz?
- Aktarımları siz mi kontrol ediyorsunuz? Bir notu elektronik sağlık kaydınıza veya muayenehane yazılımınıza göndermek her seferinde sizin kararınız olmalıdır.
HIPAA’nın geri kalanı da geçerliliğini korur
Hiçbir uygulama tek başına sizi uyumlu hâle getirmez. Telefonunuzun yazılımını güncel tutun, güçlü bir parola ve Face ID kullanın, cihazı paylaşmayın ve kurumunuzun mobil cihaz politikalarına uyun. Terapistler, psikoterapi notlarının HIPAA kapsamında ek korumalara sahip olduğunu da unutmamalıdır. Bir muayenehanede veya hastanede çalışıyorsanız yeni bir aracı kullanmaya başlamadan önce uyum veya gizlilik sorumlunuza danışın.
iPhone’un yerleşik dikte özelliğinde sesinize ne olduğundan emin değil misiniz? iPhone dikte özelliği gizli mi? rehberini okuyun.
Sıkça sorulan sorular
HIPAA uyumlu dikte uygulamalarının resmî bir listesi var mı?
Hayır. HHS ürünleri sertifikalandırmaz veya onaylamaz; bu yüzden “HIPAA uyumlu” etiketi sağlayıcının kendi iddiasıdır. Uygulamanın verileri nasıl işlediğini ve hasta bilgisi alıyorsa sağlayıcının bir iş ortağı sözleşmesi imzalayıp imzalamayacağını kontrol edin.
Bir dikte uygulaması için iş ortağı sözleşmesine ihtiyacım var mı?
Sağlayıcı sizin adınıza hasta bilgisi oluşturuyor, alıyor, tutuyor veya iletiyorsa evet; örneğin sesinizi kendi sunucularında yazıya döküyorsa ya da notlarınızı kendi bulutunda saklıyorsa. Her şey kendi cihazınızda kalıyorsa ve sağlayıcı hiçbir şey almıyorsa sağlayıcının elinde hasta verisi yoktur, ama yine de uyum sorumlunuza danışın.
iPhone’un yerleşik dikte özelliği HIPAA uyumlu mu?
Klinik bir araç olarak tasarlanmamıştır. Dilinize ve iPhone’unuza bağlı olarak dikte telefonda işlenebilir ya da Apple’ın sunucularına gönderilebilir ve metin, yazdığınız uygulamaya gider. iPhone dikte gizliliği rehberimiz kontrol etmeniz gereken ayarları açıklıyor.
Şifreleme bir uygulamayı HIPAA uyumlu yapar mı?
Tek başına yapmaz, ama çok önemlidir. HHS rehberine uygun şifreleme, kaybolan veya çalınan bir cihazın genellikle bildirilmesi gereken bir ihlal olmadığı anlamına gelir. Yine de erişim denetimlerine, makul politikalara ve bir sağlayıcı veri aldığında bir iş ortağı sözleşmesine ihtiyacınız vardır.
Bu rehber HIPAA hakkında genel bilgi sunar; hukuki danışmanlık değildir. Son söz kurumunuzun politikalarına ve uyum sorumlunuza aittir.