Застосунки для диктування, відповідні HIPAA: що перевірити
Якщо ви диктуєте нотатки про пацієнтів, листи чи підсумки сесій, ваш застосунок для диктування працює із захищеною медичною інформацією. Багато застосунків називають себе «відповідними HIPAA», але HIPAA не сертифікує продукти, і ця позначка може означати дуже різні речі. Ось що справді важливо, коли ви обираєте застосунок для диктування, відповідний HIPAA, і чекліст, яким варто скористатися, перш ніж надиктувати першу нотатку.
Офіційної позначки «відповідає HIPAA» не існує
Міністерство охорони здоров’я та соціальних служб США (HHS) не сертифікує й не схвалює продукти як відповідні HIPAA. HHS також заявило, що не визнає «сертифікатів» приватних організацій і що вони не звільняють надавачів медичних послуг від їхніх власних обов’язків. Тож коли постачальник каже «відповідає HIPAA», сприймайте це як твердження, яке треба перевірити, а не як гарантію. Відповідність залежить від того, як інструмент поводиться з даними, які угоди укладено і як ви ним користуєтеся.
Ключове питання: чи отримує постачальник колись дані пацієнтів?
За HIPAA компанія, яка від імені надавача медичних послуг створює, отримує, зберігає або передає захищену медичну інформацію, є business associate. Перш ніж ділитися з нею інформацією про пацієнтів, вам потрібна business associate agreement (BAA): договір, у якому постачальник зобов’язується захищати дані.
Ось чому так важливо, куди потрапляє ваше аудіо:
- Хмарне диктування. Ваш запис завантажується й транскрибується на серверах постачальника. Постачальник отримує дані пацієнтів, тож вам потрібна BAA, і ви покладаєтеся на його безпеку, правила зберігання й працівників.
- Зашифроване хмарне сховище. Навіть коли постачальник не може прочитати ваші файли, за роз’ясненнями HHS хмарний провайдер, який зберігає зашифровані дані пацієнтів без ключа, однаково є business associate. Вам однаково потрібна BAA.
- Диктування на пристрої. Якщо запис, транскрипція й зберігання повністю відбуваються на вашому власному телефоні, а розробник ніколи не отримує даних, розробник не працює з інформацією про пацієнтів від вашого імені. Ваші власні обов’язки за HIPAA й далі діють, починаючи із захисту пристрою.
Шифрування: ваша страховка на випадок втрати телефона
Телефони губляться й їх крадуть. Згідно з правилом HIPAA про повідомлення про порушення, захищена медична інформація, зашифрована відповідно до роз’яснень HHS, вважається «захищеною», тож втрата зашифрованого пристрою зазвичай не є порушенням, про яке треба повідомляти, якщо ключ розшифрування також не скомпрометовано. У застосунку для диктування шукайте:
- Записи й транскрипції, зашифровані на пристрої, бажано з окремим блокуванням застосунку, щоб розблокований телефон їх не розкривав.
- Ключ, захищений апаратними засобами безпеки телефона, як-от Face ID і Secure Enclave в iPhone, а не пароль, що зберігається деінде.
- Шифрування під час передавання для всього, що все ж залишає телефон, наприклад для експорту у вашу електронну медичну картку.
Чекліст для вибору застосунку для диктування
- Де транскрибується аудіо? На вашому пристрої чи на серверах постачальника? Перевірте в авіарежимі.
- Чи підпише постачальник BAA? Якщо будь-які дані пацієнтів потрапляють на його сервери, вона вам потрібна, і вона може бути доступна лише в певних тарифах.
- Чи шифруються дані під час зберігання й передавання? Запитайте, який стандарт використовується і в кого ключі.
- Чи використовують ваші дані для навчання ШІ? Шукайте чітке «ні», а не «знеособлені дані можуть використовуватися».
- Хто має доступ до записів? Працівники, підрядники, транскрибувальники, постачальники ШІ?
- Як довго зберігаються дані і чи можна їх повністю видалити?
- Чи контролюєте ви експорт? Надсилати нотатку в медичну картку чи програму практики має бути вашим рішенням щоразу.
Решта HIPAA й далі діє
Жоден застосунок сам по собі не робить вас відповідними. Оновлюйте програмне забезпечення телефона, користуйтеся надійним кодом і Face ID, не діліться пристроєм і дотримуйтеся правил вашої організації щодо мобільних пристроїв. Терапевтам також варто пам’ятати, що нотатки психотерапії мають додатковий захист за HIPAA. Якщо ви працюєте в практиці чи лікарні, порадьтеся з відповідальним за комплаєнс або захист даних, перш ніж запроваджувати новий інструмент.
Не знаєте напевно, що відбувається з вашим голосом у вбудованому диктуванні iPhone? Прочитайте Чи приватне диктування на iPhone?
Поширені запитання
Чи існує офіційний список застосунків для диктування, відповідних HIPAA?
Ні. HHS не сертифікує й не схвалює продукти, тож позначка «відповідає HIPAA» — це твердження самого постачальника. Перевірте, як застосунок поводиться з даними і чи підпише постачальник business associate agreement, якщо отримує інформацію про пацієнтів.
Чи потрібна business associate agreement для застосунку для диктування?
Потрібна, якщо постачальник від вашого імені створює, отримує, зберігає або передає інформацію про пацієнтів, наприклад транскрибує ваше аудіо на своїх серверах або зберігає ваші нотатки у своїй хмарі. Якщо все залишається на вашому пристрої й постачальник ніколи нічого не отримує, даних пацієнтів у постачальника немає, але перевірте це з відповідальним за комплаєнс.
Чи відповідає HIPAA вбудоване диктування iPhone?
Воно не створювалося як клінічний інструмент. Залежно від мови та iPhone диктування може оброблятися на телефоні або надсилатися на сервери Apple, а текст потрапляє в застосунок, у якому ви набираєте. Наш посібник про приватність диктування на iPhone пояснює, які параметри перевірити.
Чи робить шифрування застосунок відповідним HIPAA?
Само по собі ні, але воно дуже важливе. Шифрування відповідно до роз’яснень HHS означає, що втрачений чи вкрадений пристрій зазвичай не є порушенням, про яке треба повідомляти. Вам однаково потрібні контроль доступу, розумні правила і, коли постачальник отримує дані, business associate agreement.
Цей посібник містить загальну інформацію про HIPAA, а не юридичну консультацію. Останнє слово за правилами вашої організації та відповідальним за комплаєнс.