Ứng dụng đọc chính tả tuân thủ HIPAA: những gì cần kiểm tra
Nếu bạn đọc chính tả ghi chú bệnh nhân, thư từ hay tóm tắt buổi trị liệu, ứng dụng đọc chính tả của bạn đang xử lý thông tin sức khỏe được bảo vệ. Nhiều ứng dụng tự nhận là “tuân thủ HIPAA”, nhưng HIPAA không chứng nhận sản phẩm, và nhãn này có thể mang những ý nghĩa rất khác nhau. Dưới đây là những điều thực sự quan trọng khi bạn chọn ứng dụng đọc chính tả tuân thủ HIPAA, cùng danh sách kiểm tra trước khi bạn đọc chính tả bất kỳ ghi chú nào.
Không có nhãn “tuân thủ HIPAA” chính thức
Bộ Y tế và Dịch vụ Nhân sinh Mỹ (HHS) không chứng nhận hay xác nhận sản phẩm nào là tuân thủ HIPAA. HHS cũng cho biết họ không công nhận “chứng nhận” của các tổ chức tư nhân, và những chứng nhận đó không miễn trừ nghĩa vụ của chính cơ sở y tế. Vì vậy khi nhà cung cấp nói “tuân thủ HIPAA”, hãy coi đó là một tuyên bố cần kiểm chứng, không phải lời bảo đảm. Việc tuân thủ phụ thuộc vào cách công cụ xử lý dữ liệu, các thỏa thuận đã ký và cách bạn sử dụng nó.
Câu hỏi then chốt: nhà cung cấp có bao giờ nhận dữ liệu bệnh nhân không?
Theo HIPAA, một công ty tạo, nhận, duy trì hoặc truyền thông tin sức khỏe được bảo vệ thay mặt cơ sở y tế là business associate. Trước khi chia sẻ thông tin bệnh nhân với họ, bạn cần một business associate agreement (BAA): hợp đồng trong đó nhà cung cấp cam kết bảo vệ dữ liệu.
Đó là lý do nơi âm thanh của bạn đi đến lại quan trọng đến vậy:
- Đọc chính tả trên đám mây. Bản ghi của bạn được tải lên và chép lời trên máy chủ của nhà cung cấp. Nhà cung cấp nhận dữ liệu bệnh nhân, nên bạn cần BAA, và bạn phụ thuộc vào bảo mật, quy định lưu trữ và nhân viên của họ.
- Lưu trữ đám mây được mã hóa. Ngay cả khi nhà cung cấp không đọc được tệp của bạn, hướng dẫn của HHS cho biết nhà cung cấp đám mây lưu dữ liệu bệnh nhân đã mã hóa mà không có khóa vẫn là business associate. Bạn vẫn cần BAA.
- Đọc chính tả trên thiết bị. Nếu việc ghi âm, chép lời và lưu trữ đều diễn ra trên chính điện thoại của bạn và nhà phát triển không bao giờ nhận dữ liệu, thì nhà phát triển không xử lý thông tin bệnh nhân thay mặt bạn. Nghĩa vụ HIPAA của chính bạn vẫn áp dụng, bắt đầu từ việc bảo vệ thiết bị.
Mã hóa: tấm lưới an toàn khi mất điện thoại
Điện thoại có thể bị mất hoặc bị đánh cắp. Theo quy tắc thông báo vi phạm của HIPAA, thông tin sức khỏe được bảo vệ đã mã hóa theo hướng dẫn của HHS được coi là “đã được bảo vệ”, nên việc mất một thiết bị đã mã hóa thường không phải là vi phạm cần báo cáo, miễn là khóa giải mã không bị lộ. Với ứng dụng đọc chính tả, hãy tìm:
- Bản ghi và bản chép lời được mã hóa trên thiết bị, lý tưởng là có khóa ứng dụng riêng, để điện thoại đã mở khóa không làm lộ chúng.
- Khóa được bảo vệ bởi phần cứng bảo mật của điện thoại, như Face ID và Secure Enclave của iPhone, thay vì mật khẩu lưu ở nơi khác.
- Mã hóa khi truyền cho mọi thứ thực sự rời khỏi điện thoại, chẳng hạn khi xuất sang hồ sơ sức khỏe điện tử của bạn.
Danh sách kiểm tra khi chọn ứng dụng đọc chính tả
- Âm thanh được chép lời ở đâu? Trên thiết bị của bạn, hay trên máy chủ của nhà cung cấp? Hãy thử ở chế độ máy bay.
- Nhà cung cấp có ký BAA không? Nếu có bất kỳ dữ liệu bệnh nhân nào đến máy chủ của họ, bạn cần BAA, và có thể chỉ một số gói mới có.
- Dữ liệu có được mã hóa khi lưu và khi truyền không? Hãy hỏi tiêu chuẩn nào được dùng và ai giữ khóa.
- Dữ liệu của bạn có được dùng để huấn luyện AI không? Hãy tìm câu trả lời “không” rõ ràng, không phải “dữ liệu đã khử định danh có thể được sử dụng”.
- Ai có thể truy cập bản ghi? Nhân viên, nhà thầu, người chép lời, nhà cung cấp AI?
- Dữ liệu được lưu bao lâu, và bạn có thể xóa hoàn toàn không?
- Bạn có kiểm soát việc xuất dữ liệu không? Gửi một ghi chú sang hồ sơ sức khỏe điện tử hay phần mềm phòng khám phải luôn là quyết định của bạn, mỗi lần.
Phần còn lại của HIPAA vẫn áp dụng
Không ứng dụng nào tự nó giúp bạn tuân thủ. Hãy cập nhật phần mềm điện thoại, dùng mật mã mạnh và Face ID, không dùng chung thiết bị và tuân theo chính sách của tổ chức về thiết bị di động. Nhà trị liệu cũng nên nhớ rằng ghi chú tâm lý trị liệu được bảo vệ thêm theo HIPAA. Nếu bạn làm việc ở phòng khám hay bệnh viện, hãy trao đổi với người phụ trách tuân thủ hoặc quyền riêng tư trước khi dùng công cụ mới.
Không chắc điều gì xảy ra với giọng nói của bạn khi dùng tính năng đọc chính tả có sẵn của iPhone? Xem Đọc chính tả trên iPhone có riêng tư không?
Câu hỏi thường gặp
Có danh sách chính thức các ứng dụng đọc chính tả tuân thủ HIPAA không?
Không. HHS không chứng nhận hay xác nhận sản phẩm, nên nhãn “tuân thủ HIPAA” là tuyên bố của chính nhà cung cấp. Hãy kiểm tra cách ứng dụng xử lý dữ liệu, và liệu nhà cung cấp có ký business associate agreement nếu họ nhận thông tin bệnh nhân hay không.
Tôi có cần business associate agreement cho ứng dụng đọc chính tả không?
Bạn cần nếu nhà cung cấp tạo, nhận, duy trì hoặc truyền thông tin bệnh nhân thay mặt bạn, ví dụ chép lời âm thanh của bạn trên máy chủ của họ hoặc lưu ghi chú của bạn trên đám mây của họ. Nếu mọi thứ ở lại trên thiết bị của bạn và nhà cung cấp không bao giờ nhận gì, thì nhà cung cấp không nắm dữ liệu bệnh nhân nào, nhưng hãy xác nhận với người phụ trách tuân thủ.
Tính năng đọc chính tả có sẵn của iPhone có tuân thủ HIPAA không?
Nó không được thiết kế như một công cụ lâm sàng. Tùy theo ngôn ngữ và iPhone của bạn, nội dung đọc chính tả có thể được xử lý trên điện thoại hoặc gửi đến máy chủ của Apple, và văn bản đi vào ứng dụng bạn đang gõ. Hướng dẫn của chúng tôi về quyền riêng tư khi đọc chính tả trên iPhone giải thích những cài đặt cần kiểm tra.
Mã hóa có khiến một ứng dụng tuân thủ HIPAA không?
Tự nó thì không, nhưng mã hóa rất quan trọng. Mã hóa đáp ứng hướng dẫn của HHS có nghĩa là thiết bị bị mất hoặc bị đánh cắp thường không phải là vi phạm cần báo cáo. Bạn vẫn cần kiểm soát truy cập, chính sách hợp lý và, khi nhà cung cấp nhận dữ liệu, một business associate agreement.
Hướng dẫn này cung cấp thông tin chung về HIPAA, không phải tư vấn pháp lý. Chính sách của tổ chức và người phụ trách tuân thủ của bạn có tiếng nói cuối cùng.