HIPAA-Konformität von Google Workspace

Google Workspace kann HIPAA-konforme Workflows unterstützen, doch die Konformität hängt von der Vereinbarung, der Konfiguration und der Nutzung durch die Organisation ab. Der Kauf eines Abonnements erledigt diese Schritte nicht.

Für eine Arztpraxis drehen sich die praktischen Fragen oft um Gmail und Drive. Dürfen Mitarbeitende Patientendokumente per E-Mail versenden? Wer kann eine freigegebene Datei öffnen? Was ändert sich, wenn ein Dokument Workspace über einen Online-Faxdienst verlässt?

Jede Übergabe zählt. Googles BAA umfasst bestimmte Google-Dienste, aber nicht jede mit einem Konto verbundene Anwendung.

Was Googles HIPAA-Vereinbarung abdeckt

Google bietet ein Business Associate Agreement für abgedeckte Workspace- und Cloud-Identity-Dienste an. Die Vereinbarung legt die Verantwortlichkeiten von Google und des Kunden fest.

Ihre Organisation bleibt dafür verantwortlich, wie sie diese Dienste nutzt. Informationen, die außerhalb der abgedeckten Dienste verarbeitet werden, etwa über Drittanbieter-Anwendungen oder lokale Speicher, fallen nicht in den Geltungsbereich dieser Vereinbarung. Googles HIPAA-BAA.

Zu den abgedeckten Funktionen gehören Gmail und Drive, einschließlich Docs, Sheets, Slides und Forms. Prüfen Sie die aktuelle Dokumentation von Google, wenn Sie einen bestimmten Dienst oder eine bestimmte Funktion bewerten. Von Google für HIPAA unterstützte Dienste.

Ein Workspace-Konto einer Organisation sollte zudem von einem privaten Gmail-Konto unterschieden werden. Die vertraute Google-Oberfläche stellt ein privates Konto nicht unter die Vereinbarung der Praxis.

So bereiten Sie Google Workspace für PHI vor

Das BAA akzeptieren, bevor Patientendaten verarbeitet werden

Ein Super-Administrator kann die HIPAA-Vereinbarung in der Admin-Konsole unter Konto → Kontoeinstellungen → Rechtliches und Compliance prüfen und akzeptieren.

Bestätigen Sie die Annahme für das betreffende Organisationskonto und bewahren Sie einen Nachweis auf. Google verlangt das BAA, bevor PHI im Rahmen der abgedeckten Vereinbarung verwendet wird. Anleitung zur Google-Vereinbarung.

Die Workspace-Edition bestimmt, welche Verwaltungsfunktionen verfügbar sind. Vergleichen Sie die Sicherheits-, Verwaltungs- und Aufbewahrungskontrollen, die Ihre Umgebung benötigt, statt einen Tarifnamen als Bestätigung der Konformität zu betrachten.

Verantwortung für den Kontozugriff festlegen

Ermitteln Sie die Konten, die Patientendaten verarbeiten, und die Dienste, die jede Person benötigt.

Prüfen Sie Authentifizierung, Kontowiederherstellung, Administratorrechte und Abläufe beim Ausscheiden von Mitarbeitenden. Der Zugriffsentzug für ehemalige Mitarbeitende sollte nicht davon abhängen, ein von der gesamten Praxis gemeinsam genutztes Passwort zu ändern.

Legen Sie fest, wer für diese Einstellungen verantwortlich ist. Dokumentieren Sie, wer Freigaberegeln ändern, verbundene Anwendungen genehmigen und unerwartete Zugriffe untersuchen darf.

Google bietet Kontrollen, um den Zugriff von Drittanbietern auf Workspace-Daten zu prüfen und zu begrenzen. Prüfen Sie die von jeder Anwendung angeforderten Berechtigungen, bevor Sie sie autorisieren. Google-Kontrollen für den Anwendungszugriff.

Drive-Freigaben gezielt einschränken

Prüfen Sie bei Patientendokumenten, welche Personen und Gruppen tatsächlich Zugriff haben.

Googles HIPAA-Leitfaden empfiehlt, PHI in Datei-, Ordner- und Shared-Drive-Titeln zu vermeiden. Er beschreibt außerdem Kontrollen für Sichtbarkeit und externe Freigabe. Google-Leitfaden zur HIPAA-Umsetzung.

Prüfen Sie neben dem Freigabebildschirm der Datei auch die Gruppenmitgliedschaften. Eine Gruppe, die letztes Jahr angemessen war, kann jetzt andere Mitarbeitende enthalten.

Bestätigen Sie vor dem externen Versenden eines Drive-Links die vorgesehene Empfängerin oder den vorgesehenen Empfänger und deren Zugriff. Eine Freigabe für eine bestimmte Person bietet eine andere Schutzgrenze, als ein Dokument für alle verfügbar zu machen, die den Link erhalten.

Kann Gmail für Patientendaten verwendet werden?

Gmail gehört zu den abgedeckten Diensten von Google, aber die Organisation muss die geltende Vereinbarung abschließen und die Konfiguration vornehmen.

Prüfen Sie mehr als nur die Nachricht selbst. Auswahl der Empfänger, Weiterleitung, Stellvertretungen, Anhänge und verbundene Anwendungen können beeinflussen, wohin Informationen gelangen.

Auch die Übertragungseinstellungen sind wichtig. Gmail versucht normalerweise, TLS zu verwenden, doch Google erklärt, dass es ohne TLS zustellen kann, wenn der empfangende Server dies nicht unterstützt. Administratoren können TLS für bestimmte Domains oder Adressen über die Einstellung für sicheren Transport erzwingen. Google-Hinweise zu Gmail und TLS.

TLS schützt eine Übertragungsverbindung. Es bestimmt weder, wer die Nachricht anschließend öffnet, noch kontrolliert es einen heruntergeladenen Anhang.

Mitarbeitende müssen außerdem wissen, wie sie mit Zustellfehlern umgehen. Wenn eine Sicherheitseinstellung eine Nachricht blockiert, muss jemand der nicht zugestellten Kommunikation nachgehen.

Googles BAA deckt keine Fax-Add-ons ab

Google weist ausdrücklich darauf hin, dass Drittanbieteranwendungen, einschließlich Add-ons, nicht von seinem Workspace-BAA abgedeckt sind. Google-Workspace-Hinweise zu HIPAA.

Prüfen Sie vor der Verbindung einer Fax-Anwendung die Vereinbarung des Anbieters, das erforderliche Abonnement und die zulässige Konfiguration. Kontrollieren Sie die Berechtigungen, die die Anwendung anfordert, sowie die Dokumente, auf die sie zugreifen kann.

Die HIPAA-Fax-Einrichtung von Fax.Plus setzt Enterprise, aktivierte Advanced Security Controls und ein unterzeichnetes BAA voraus. Basic, Premium und Business bieten keine alternative HIPAA-geeignete Einrichtung. Fax.Plus-Anforderungen im Gesundheitswesen.

Beurteilen Sie den tatsächlichen Versandweg unter diesen Kontrollen. Eine allgemeine Integrationsanleitung belegt nicht, dass jede Funktion in der Konfiguration für das Gesundheitswesen verfügbar ist oder sich identisch verhält.

Patientendokument aus Workspace per Fax senden

Eine Praxis kann ein Dokument in Workspace vorbereiten oder speichern, während eine externe Organisation es unter einer Faxnummer erwartet.

Eine Möglichkeit besteht darin, das zulässige Dokument vorzubereiten, eine geeignete Kopie zu exportieren und sie über die für HIPAA konfigurierte Fax.Plus-Webanwendung hochzuladen. Prüfen Sie das Faxpaket und überprüfen Sie vor dem Senden den Empfänger.

Durch den Export entsteht eine weitere Kopie. Ihre Handhabung auf dem Arbeitsplatzrechner muss den Geräte- und Speicherrichtlinien der Praxis entsprechen.

Gmail für HIPAA-konformes Email-to-Fax verwenden

Fax.Plus unterstützt außerdem einen speziellen HIPAA-Email-to-Fax-Weg.

Absender muss ein bereitgestelltes, autorisiertes Mitglied mit aktiviertem Email-to-Fax sein. Die Zieladresse besteht aus der Faxnummer des Empfängers, gefolgt von .

Lassen Sie die Administratorin oder den Administrator das Konto und die Mail-Konfiguration überprüfen, bevor Mitarbeitende es für Patientendokumente nutzen. Halten Sie sich an das dokumentierte Adressformat für das Gesundheitswesen, statt anzunehmen, dass eine allgemeine Integrationsschaltfläche den richtigen Versandweg vorbereitet. Fax.Plus-Anforderungen für HIPAA-Email-to-Fax.

Legen Sie für beide Wege fest, wer das Übertragungsergebnis prüft. Eine E-Mail im Ordner Gesendet belegt nicht, dass das Fax angekommen ist. Ein erfolgreiches Fax bedeutet, dass die Empfangsstelle den Empfang bestätigt hat; es belegt weder eine klinische Prüfung noch eine Ablage. Fax.Plus-Übertragungsstatus.

Faxe in Gmail empfangen

Fax.Plus verwendet für HIPAA-fähige Konten standardmäßig die reine Benachrichtigungs-E-Mail.

Optionale Fax-Anhänge erfordern die Zustimmung der Organisation durch die Inhaberin bzw. den Inhaber oder die Administration, die individuelle Zustimmung der einzelnen Nutzenden sowie einen empfangenden Mailserver, der TLS 1.2 oder höher unterstützt.

Schlägt die erforderliche TLS-Zustellung fehl, wird keine Ersatz-Benachrichtigungs-E-Mail gesendet. Das Fax bleibt in Fax.Plus verfügbar. Mitarbeitende, die für eingehende Dokumente zuständig sind, sollten dieses Verhalten berücksichtigen. Anforderungen für HIPAA-Fax-E-Mail-Anhänge.

Sobald ein Anhang in Gmail eingegangen ist, ist die Praxis für den Schutz dieser Kopie im Postfach verantwortlich. Prüfen Sie Zugriff, Delegierung, Weiterleitung, Downloads und Aufbewahrung, bevor Sie die Funktion aktivieren.

Wählen Sie Portalzugriff oder Anhänge entsprechend den Aufgaben, die Ihre Mitarbeitenden erledigen müssen. Anhänge können das Wechseln zwischen Anwendungen verringern, schaffen aber einen weiteren Speicherort für das Dokument.

Auch das Öffnen einer Benachrichtigung belegt nicht, dass jemand das Fax geprüft oder die erforderliche Maßnahme abgeschlossen hat. Weisen Sie eingehende Unterlagen einer Person oder einem Team zu und sorgen Sie für Vertretung, wenn die übliche empfangende Person abwesend ist.

Empfangene Dokumente in Drive speichern

Sofern die Praxis es erlaubt, können Mitarbeitende eine Kopie des Dokuments an einem eingeschränkten Speicherort in Drive ablegen.

Bestätigen Sie vor dem Ablegen Patient bzw. Patientin und Dokument, prüfen Sie den Zielordner und kontrollieren Sie dessen Berechtigungen. Halten Sie sich an Namenskonventionen, die Patienteninformationen in Titeln nicht unnötig offenlegen.

Das Importieren einer Drive-Datei in einen Fax-Workflow bedeutet nicht, dass eingehende Faxe automatisch in Drive gesichert werden. Das Speichern eines Faxes in Drive aktualisiert außerdem nicht automatisch eine Patientenakte.

Legen Sie fest, an welchem Ort die aufzubewahrende Unterlage liegt und wie mit zusätzlichen Kopien umgegangen wird. Das Löschen eines Dokuments in einer Anwendung belegt nicht, dass auch Kopien in E-Mails, in Drive oder in lokalen Downloads entfernt wurden.

Testen Sie den Prozess, bevor Ihre Mitarbeitenden ihn übernehmen, mit Dokumenten ohne Patienteninformationen. Verfolgen Sie ein ausgehendes Dokument von der Quelle bis zur Übertragung und anschließend ein eingehendes Dokument durch Prüfung und Ablage. Beziehen Sie eine fehlgeschlagene Zustellung ein, damit die Person, die die Warteschlange überwacht, weiß, was als Nächstes zu tun ist.