Cumplimiento de HIPAA en Google Workspace

Google Workspace puede respaldar flujos de trabajo conformes con HIPAA, pero el cumplimiento depende del acuerdo, la configuración y el uso que haga la organización. Contratar una suscripción no completa esos pasos.

Para una consulta sanitaria, las cuestiones prácticas suelen girar en torno a Gmail y Drive. ¿Puede el personal enviar documentos de pacientes por correo electrónico? ¿Quién puede abrir un archivo compartido? ¿Qué cambia cuando un documento sale de Workspace a través de un servicio de fax en línea?

Cada traspaso cuenta. El BAA de Google cubre determinados servicios de Google; no se extiende a todas las aplicaciones conectadas a una cuenta.

Qué cubre el acuerdo HIPAA de Google

Google ofrece un Business Associate Agreement para los servicios cubiertos de Workspace y Cloud Identity. El acuerdo establece las responsabilidades de Google y del cliente.

Su organización sigue siendo responsable del uso que haga de esos servicios. La información procesada fuera de los servicios cubiertos, incluso a través de aplicaciones de terceros o almacenamiento local, queda fuera del alcance de ese acuerdo. BAA HIPAA de Google.

La funcionalidad cubierta incluye Gmail y Drive, con Documentos, Hojas de cálculo, Presentaciones y Formularios. Consulte la documentación actual de Google al evaluar un servicio o una función concretos. Servicios compatibles con HIPAA de Google.

También conviene distinguir una cuenta organizativa de Workspace de una cuenta personal de Gmail. La interfaz conocida de Google no incluye una cuenta personal en el acuerdo de la consulta.

Cómo preparar Google Workspace para la PHI

Acepte el BAA antes de gestionar información de pacientes

Un superadministrador puede revisar y aceptar el acuerdo HIPAA a través de la consola de administración, en Cuenta → Configuración de la cuenta → Legal y cumplimiento.

Confirme la aceptación en la cuenta organizativa correspondiente y conserve un registro. Google exige el BAA antes de que se utilice PHI mediante el acuerdo cubierto. Instrucciones del acuerdo de Google.

La edición de Workspace determina qué funciones administrativas están disponibles. Compare los controles de seguridad, gestión y retención que necesita su implementación en lugar de considerar el nombre de un plan como confirmación de cumplimiento.

Asigne la responsabilidad del acceso a las cuentas

Identifique las cuentas que gestionan información de pacientes y los servicios que necesita cada persona.

Revise la autenticación, la recuperación de cuentas, los privilegios de administrador y los procedimientos de baja. Retirar el acceso a un antiguo empleado no debería depender de cambiar una contraseña compartida por toda la consulta.

Designe a una persona responsable de estos ajustes. Documente quién puede modificar las reglas de uso compartido, aprobar aplicaciones conectadas e investigar accesos inesperados.

Google ofrece controles para revisar y limitar el acceso de terceros a los datos de Workspace. Revise los permisos que solicita cada aplicación antes de autorizarla. Controles de acceso a aplicaciones de Google.

Restrinja el uso compartido de Drive de forma deliberada

En el caso de los documentos de pacientes, compruebe las personas y los grupos que realmente tienen acceso.

La guía HIPAA de Google recomienda evitar la PHI en los títulos de archivos, carpetas y unidades compartidas. También describe controles de visibilidad y de uso compartido externo. Guía de implementación HIPAA de Google.

Inspeccione la pertenencia a los grupos además de la pantalla de uso compartido del archivo. Un grupo que era adecuado el año pasado puede incluir ahora a otro personal.

Antes de enviar un enlace de Drive a un destinatario externo, confirme quién es y qué acceso tiene. Compartir con una persona concreta establece un límite distinto al de poner un documento a disposición de cualquiera que obtenga el enlace.

¿Se puede usar Gmail para información de pacientes?

Gmail es uno de los servicios cubiertos de Google, pero la organización debe establecer el acuerdo y la configuración aplicables.

Revise algo más que el propio mensaje. La selección de destinatarios, el reenvío, los delegados, los archivos adjuntos y las aplicaciones conectadas pueden influir en el destino de la información.

Los ajustes de transporte también importan. Gmail normalmente intenta usar TLS, pero Google explica que puede entregar el mensaje sin TLS cuando el servidor receptor no lo admite. Los administradores pueden exigir TLS para dominios o direcciones concretos mediante el ajuste de transporte seguro. Guía de Google sobre TLS en Gmail.

TLS protege una conexión de transporte. No determina quién abre el mensaje después ni controla un archivo adjunto descargado.

El personal también debe saber cómo actuar ante los fallos de entrega. Si un ajuste de seguridad bloquea un mensaje, alguien debe dar seguimiento a la comunicación que no llegó.

El BAA de Google no cubre los complementos de fax

Google indica expresamente que las aplicaciones de terceros, incluidos los complementos, no están cubiertas por su BAA de Workspace. Guía de HIPAA de Google Workspace.

Antes de conectar una aplicación de fax, examine el acuerdo del proveedor, la suscripción requerida y la configuración permitida. Revise los permisos que solicita la aplicación y los documentos a los que puede acceder.

La configuración de fax HIPAA de Fax.Plus requiere Enterprise, Advanced Security Controls habilitados y un BAA firmado. Basic, Premium y Business no ofrecen una configuración alternativa apta para HIPAA. Requisitos de Fax.Plus para el sector sanitario.

Evalúe la ruta de envío real bajo esos controles. Un tutorial general de integración no demuestra que todas las funciones estén disponibles ni que se comporten de forma idéntica en la configuración para el sector sanitario.

Envío de un documento de paciente desde Workspace por fax

Una consulta puede preparar o almacenar un documento en Workspace mientras que una organización externa lo espera en un número de fax.

Una opción es preparar el documento permitido, exportar una copia adecuada y cargarla a través de la aplicación web de Fax.Plus configurada para HIPAA. Revise el paquete y verifique el destinatario antes de enviarlo.

Exportar crea otra copia. Su gestión en la estación de trabajo debe ajustarse a las normas de dispositivos y almacenamiento de la consulta.

Uso de Gmail para Email-to-Fax conforme a HIPAA

Fax.Plus también admite una ruta dedicada de Email-to-Fax para HIPAA.

El remitente debe ser un miembro autorizado y aprovisionado con Email-to-Fax habilitado. El destino utiliza el número de fax del destinatario seguido de .

Pida al administrador que verifique la cuenta y la configuración del correo antes de que el personal la utilice para documentos de pacientes. Siga el formato de dirección documentado para el sector sanitario en lugar de suponer que un botón de integración general prepara la ruta correcta. Requisitos de Email-to-Fax HIPAA de Fax.Plus.

En ambas rutas, asigne la responsabilidad de comprobar el resultado de la transmisión. Que un correo aparezca en Enviados no demuestra que el fax haya llegado. Un fax enviado correctamente significa que el extremo receptor confirmó la recepción; no demuestra que haya habido revisión clínica ni archivo. Estado de transmisión de Fax.Plus.

Recepción de faxes en Gmail

Fax.Plus utiliza de forma predeterminada la entrega de correo solo con notificación para las cuentas con HIPAA habilitado.

Los archivos adjuntos opcionales de fax requieren el consentimiento de la organización por parte del propietario o administrador, la aceptación individual del usuario y un servidor de correo receptor compatible con TLS 1.2 o superior.

Si falla la entrega con TLS requerida, no se envía un correo de notificación sustitutivo. El fax sigue disponible en Fax.Plus. El personal responsable de los documentos entrantes debe tener en cuenta este comportamiento. Requisitos de HIPAA para archivos adjuntos de fax por correo.

Una vez que un archivo adjunto llega a Gmail, la consulta es responsable de proteger esa copia en el buzón. Revise el acceso, la delegación, el reenvío, las descargas y la conservación antes de habilitar la función.

Elija el acceso mediante el portal o los archivos adjuntos según el trabajo que deba realizar el personal. Los archivos adjuntos pueden reducir el cambio entre aplicaciones, pero añaden otra ubicación que contiene el documento.

Abrir una notificación tampoco demuestra que alguien haya revisado el fax ni que haya completado la acción requerida. Asigne los registros entrantes a una persona o un equipo y prevea una cobertura para cuando el destinatario habitual esté ausente.

Almacenamiento de documentos recibidos en Drive

Cuando la consulta lo permita, el personal puede colocar una copia del documento en una ubicación restringida de Drive.

Confirme el paciente y el documento antes de archivarlo, verifique la carpeta de destino y compruebe sus permisos. Siga convenciones de nomenclatura que eviten exponer innecesariamente información del paciente en los títulos.

Importar un archivo de Drive a un flujo de trabajo de fax no implica una copia de seguridad automática de los faxes entrantes en Drive. Guardar un fax en Drive tampoco actualiza automáticamente la historia clínica del paciente.

Decida qué ubicación conserva el registro oficial y cómo se gestionan las copias adicionales. Eliminar un documento de una aplicación no implica que se hayan eliminado también las copias en el correo, en Drive o en las descargas locales.

Antes de que el personal adopte el proceso, pruébelo con documentos que no contengan información de pacientes. Siga un documento saliente desde su origen hasta la transmisión y, después, un documento entrante a lo largo de su revisión y archivo. Incluya una entrega fallida para que la persona que supervisa la cola sepa qué hacer a continuación.