Ist Slack HIPAA-konform?

Ja, Slack kann die HIPAA-regulierte Zusammenarbeit von Mitarbeitenden unterstützen – im Rahmen der abgedeckten Enterprise-Vereinbarung, eines abgeschlossenen BAA und der erforderlichen Konfiguration. Ein reguläres Slack-Abonnement oder eine installierte fax-App allein belegt nicht, dass ein Workflow für Patientendokumente abgedeckt ist.

Für eine Praxis, die eingehende Überweisungen koordiniert, lautet die entscheidende Frage, was in Slack ankommt: eine Benachrichtigung, identifizierende Informationen, ein Link oder das fax selbst. Die Slack-Vereinbarung, die Vereinbarung mit dem fax-Anbieter und die Zugriffskontrollen müssen zu diesem tatsächlichen Ablauf passen.

Welche Slack-Organisation und welche Vereinbarung sind abgedeckt?

Die aktuellen Bedingungen von Slack setzen einen abgedeckten Tarif auf Enterprise-Ebene, ein unterzeichnetes Business Associate Agreement (BAA) und die bestätigte HIPAA-Aktivierung der benannten Organisation voraus. Aktuelle Käufe erfordern außerdem die Slack HIPAA Enabled SKU, die eigens für diese Vereinbarung vorgesehene Bestellposition. GovGrid ist ausgeschlossen.

Bestätigen Sie die in der Vereinbarung genannte Enterprise+- oder Legacy-Grid-Organisation und die davon abgedeckten Workspaces. Die Abdeckung einer benannten Organisation erstreckt sich nicht automatisch auf jede andere Organisation, die der Kunde besitzt.

Fordern Sie über Slack das geltende BAA, den aktuellen Leitfaden für HIPAA-Einrichtungen und die Aktivierungsbestätigung an. Ihre Organisation bleibt für ihre HIPAA-Compliance insgesamt verantwortlich, einschließlich zulässiger Nutzung, Zugriff, Überwachung und Umgang mit Dokumenten.

Wer darf patientenbezogene fax-Benachrichtigungen erhalten?

Der HIPAA-Leitfaden von Slack weist Organisationen an, für den Austausch geschützter Gesundheitsinformationen (PHI) private Kanäle zu verwenden. Prüfen Sie den bestehenden Verlauf des Kanals, bevor Sie jemanden hinzufügen: Die Mitgliedschaft kann sowohl frühere patientenbezogene Diskussionen als auch künftige Nachrichten zugänglich machen.

Halten Sie den Empfängerkreis auf die Mitarbeitenden beschränkt, die die Dokumente bearbeiten. Prüfen Sie Gäste, externe Teilnehmende, Kanaländerungen und das Ausscheiden von Mitarbeitenden. Bestätigen Sie bei Slack Connect die Berechtigungen und die rechtlich zulässige Weitergabe; die Funktion hebt diese Anforderungen nicht auf. Beziehen Sie autorisierte Exporte und den Discovery-Zugriff in die Bewertung des Empfängerkreises ein, da die Sichtbarkeit in privaten Kanälen nicht auf die reguläre Mitgliedschaft beschränkt ist.

Die HIPAA-Vereinbarung gilt für die Zusammenarbeit von Mitarbeitenden, nicht für die Kommunikation mit Patientinnen und Patienten. Der Leitfaden von Slack untersagt die Kommunikation mit Patienten, Versicherten, deren Familien oder Arbeitgebern und untersagt es, diese als Nutzer oder Gäste in Workspaces oder Kanäle aufzunehmen. Eine Überweisungsbenachrichtigung in einem Kanal des Behandlungsteams ist etwas anderes, als dem Patienten eine Nachricht zur Überweisung zu senden.

Was leistet die Fax.Plus-Slack-Integration?

Fax.Plus bietet eine native Slack-Integration für Benachrichtigungen über neue fax und den Status gesendeter fax. Die allgemeinen Integrationseinstellungen umfassen optionale Anhänge, doch das im Gesundheitswesen verfügbare Verhalten ist ein anderes.

Für PHI einer Organisation erfordert Fax.Plus für das Gesundheitswesen Enterprise, aktivierte Advanced Security Controls (ASC) und ein unterzeichnetes BAA. Die allgemeine Verfügbarkeit der Integration im Tarif Business macht diesen Tarif nicht zu einer gleichwertigen Regelung für PHI.

Mit ASC werden Slack-Benachrichtigungen weiterhin ohne fax-Dateianhänge gesendet. Rufen Sie das fax in der genehmigten Fax.Plus-Umgebung ab. Die Dokumentation zur ASC-Integration beschreibt diese Grenze; die Dokumentation zur nativen Slack-Integration erläutert ihre allgemeine Benachrichtigungsfunktion.

Diese Benachrichtigungen bieten keinen nativen Editor zum Verfassen neuer fax in Slack. Ebenso wenig zeigt eine Benachrichtigung für sich genommen, wer die Verantwortung für die Prüfung des Dokuments übernommen hat.

Welche Informationen legt eine Benachrichtigung ohne Anhang offen?

Prüfen Sie die tatsächlichen Felder der Benachrichtigung in der genehmigten Kontokonfiguration. Eine fax-Nummer, eine Kennung oder eine Kontextnachricht kann sensible Informationen preisgeben, selbst wenn das Dokument in Fax.Plus verbleibt.

Prüfen Sie sowohl den Empfängerkreis in Slack als auch die Berechtigungen für jede verknüpfte Ressource. Dass ein Kanalmitglied eine Benachrichtigung sehen kann, und seine Berechtigung, das fax zu öffnen, sind getrennte Entscheidungen. Wenn das Team eine Kollaborationsplattform auswählt, vergleichen Sie die fax-Koordination über Microsoft Teams unter Berücksichtigung der dort geltenden Konto- und Benachrichtigungsregeln.

Beispielsweise kann ein privater Aufnahmekanal die zuständigen Mitarbeitenden darauf hinweisen, dass ein fax Aufmerksamkeit erfordert, während das Dokument im fax-Konto verbleibt. Prüfen Sie die sichtbaren Felder und die berechtigten Nutzer, bevor Sie diesen Prozess einführen. Gehen Sie nicht davon aus, dass „ohne Anhang“ auch „ohne PHI“ bedeutet. Konfigurieren Sie die Vorschau mobiler Benachrichtigungen so, dass patientenbezogene Inhalte nicht vor dem Entsperren des Geräts angezeigt werden.

Wie verhält es sich mit fax-E-Mails und Anhängen?

Die optionalen sicheren E-Mail-Anhänge von Fax.Plus unterliegen eigenen Anforderungen und ändern nichts an der Anhangsrichtlinie für Slack unter ASC. Die Aktivierung einer E-Mail-Option aktiviert keine fax-Dateianhänge in Slack.

Die sichere Zustellung von fax per E-Mail bedeutet nicht, dass die Weiterleitung von Patienten-fax an Slack genehmigt ist. Die E-Mail-Aufnahme ist eine separate Integration, deren Verfügbarkeit, Übertragungsanforderungen, Empfänger und aufbewahrte Kopien unabhängig bewertet werden müssen. Verwenden Sie für die Koordination von Patienten-fax den genehmigten nativen Workflow für Benachrichtigung und Dokumentenabruf.

Deckt das Slack-BAA den fax-Anbieter ab?

Nein. Das BAA von Slack deckt einen unabhängigen fax-Dienst oder den Anbieter einer Drittanbieter-App nicht automatisch ab. Wenn beide Anbieter elektronische PHI verarbeiten, benötigt jede Geschäftsbeziehung ihre eigene, jeweils geltende vertragliche Absicherung.

Bestätigen Sie die Vereinbarung mit Slack und schließen Sie das Fax.Plus-BAA ab – zusammen mit den Anforderungen für Enterprise und ASC. Die Alohi HIPAA-Dokumentation erläutert die Voraussetzungen für das fax-Konto. Ein App-Eintrag oder eine erfolgreiche Verbindung ersetzt die Vereinbarung keines der beiden Anbieter.

Wo sollten Unterlagen und Prüfverantwortlichkeiten angesiedelt sein?

Slack darf nicht das führende System für PHI sein. Bewahren Sie das fax-Dokument im genehmigten Dokumenten-Workflow auf und führen Sie jede erforderliche klinische Ablage gemäß der Aufzeichnungsrichtlinie Ihrer Organisation durch.

Stimmen Sie die Aufbewahrung für relevante Nachrichten, fax-Dokumente, Exporte und heruntergeladene Kopien aufeinander ab. Legen Sie Überwachung und Datenverlustprävention für die Slack-Umgebung fest und klären Sie, welche Nachweise Administratoren tatsächlich einsehen können. Ein Nachrichtenexport sollte nicht als vollständiger Nachweis jedes Dokumentaufrufs oder Downloads betrachtet werden.

Legen Sie fest, wer eingehende fax prüft, wie eine andere Mitarbeiterin oder ein anderer Mitarbeiter Abwesenheiten abdeckt und wie die Erledigung dokumentiert wird. Eine zugestellte Benachrichtigung weist keine verantwortliche Person zu, belegt keine klinische Prüfung und aktualisiert nicht automatisch eine Patientenakte. Testen Sie die geplante Konfiguration für Benachrichtigungen und Zugriff mit synthetischen Dokumenten, bevor Sie sie für die Arbeit mit Patientendaten einsetzen.