Microsoft Teams est-il conforme à HIPAA ?

Oui, Microsoft Teams est inclus dans le cadre contractuel HIPAA de Microsoft pour les entités couvertes et les partenaires commerciaux éligibles. La documentation de son offre HIPAA/HITECH place Teams dans le périmètre de service Commercial et Government Community Cloud (GCC). Votre organisation doit tout de même vérifier son contrat, son abonnement et sa configuration.

Les obligations du Business Associate Agreement (BAA) de Microsoft sont intégrées à l'addendum relatif à la protection des données et aux conditions de service applicables. Il ne faut pas présumer qu'une procédure distincte de demande et de signature existe. Cette couverture contractuelle ne rend pas une organisation automatiquement conforme à HIPAA.

Pour un cabinet qui traite des documents patients, la question suivante est de savoir où transitent les informations de santé protégées (PHI) : une conversation Teams, un canal, un stockage de fichiers connecté, une boîte mail ou un prestataire de fax. Chacune de ces limites a des conséquences sur les accès et les responsabilités.

Que devez-vous vérifier dans votre contrat Microsoft ?

Identifiez le tenant, l'environnement cloud, les services achetés et les conditions qui s'appliquent à votre organisation. Vérifiez que le service Teams que vous utiliserez entre dans l'offre HIPAA applicable ; n'étendez pas une déclaration portant sur les services Microsoft éligibles à tous les comptes gratuits ou abonnements.

Examinez les mesures de protection offertes par vos licences. La prévention des pertes de données, l'audit, la conservation et les autres fonctions de gouvernance sont soumis à des exigences de licence et de configuration. Associez l'abonnement aux contrôles dont a besoin votre workflow approuvé.

L'organisation reste responsable de son utilisation globale, des accès de son personnel et du traitement des documents. Un service inclus dans le périmètre constitue un point de départ pour un workflow configuré.

Où va réellement le document du patient ?

Distinguez un message de coordination du document qu'il concerne. Un fax peut rester dans un compte de fax approuvé pendant que l'équipe organise le suivi, mais un message qui identifie le patient ou révèle des détails d'orientation peut lui-même contenir des PHI.

Pour chaque étape, identifiez ce qui est publié : texte d'état, numéro de fax, identifiant patient, lien vers un document, pièce jointe ou aperçu. Vérifiez ensuite qui peut accéder à la conversation et qui peut ouvrir le document d'origine. Pour un déploiement Slack, examinez séparément les limites des notifications de fax sur Slack.

La conversation Teams, Teams Phone, le stockage de fichiers connecté et une application de fax sont des composantes distinctes d'un flux de communication entre patients et personnel. Un BAA qui s'applique aux services Microsoft n'établit pas automatiquement une couverture contractuelle pour un prestataire de fax distinct ni pour toutes les applications connectées.

Comment gérer les canaux, les fichiers et les accès du personnel ?

Confirmez le public concerné avant d'autoriser des notifications liées aux patients dans un canal ou un chat. Incluez dans cette évaluation l'accès des invités, la participation de personnes externes et les changements de personnel.

Vérifiez à la fois l'appartenance à la conversation et les autorisations sur les documents. Un lien peut mener à une ressource dont les règles d'accès sont différentes, tandis qu'une pièce jointe crée une copie qui nécessite son propre traitement. Examinez la conservation et l'export au niveau de la conversation, du stockage connecté et des copies téléchargées.

Testez la configuration réelle avec des documents fictifs : qui reçoit une notification, ce qu'elle expose, qui peut ouvrir le fichier et ce qui se passe lorsque l'accès de cette personne est retiré. Une démonstration réussie permet de vérifier le comportement, mais ne garantit pas la conformité globale.

Quelle place occupe l'intégration Fax.Plus avec Teams dans ce schéma ?

Fax.Plus propose une intégration native avec Microsoft Teams. Elle envoie des notifications de réception de fax et d'état des envois, y compris les envois réussis ou en échec, avec les détails utiles du fax et un lien. Les options d'intégration générales incluent aussi les pièces jointes.

L'intégration native assure les notifications et le suivi ; elle ne propose pas d'écran de rédaction ou d'envoi de fax dans Teams. La documentation Fax.Plus sur Teams décrit les conditions d'éligibilité et la configuration générales de l'intégration.

Ces instructions générales ne précisent pas le comportement exact autorisé avec les Advanced Security Controls (ASC). Avant d'utiliser l'intégration avec des PHI, confirmez auprès de Fax.Plus, pour votre compte, sa disponibilité, le contenu des messages, la gestion des pièces jointes et la configuration autorisée.

Les notifications sans pièces jointes ne sont pas automatiquement exemptes de PHI. Des numéros, des identifiants ou d'autres détails du message peuvent être sensibles. Ne considérez pas cette option comme la preuve qu'un canal convient à une activité liée aux patients.

Que doit couvrir le contrat du prestataire de fax ?

La configuration de fax pour la santé de Fax.Plus exige le plan Enterprise, les Advanced Security Controls activés et un BAA signé. La documentation HIPAA d'Alohi détaille ces prérequis. La disponibilité de l'intégration Teams avec le plan Business ne fait pas de ce plan une alternative éligible pour les PHI.

Si Microsoft et Fax.Plus créent, reçoivent, conservent ou transmettent chacun des PHI électroniques en tant que prestataires distincts, vérifiez les conditions du BAA de Microsoft applicables et signez le BAA de Fax.Plus. Le contrat de l'un des prestataires ne couvre pas l'autre. Les recommandations du HHS sur le cloud expliquent les exigences contractuelles applicables aux entités couvertes et aux partenaires commerciaux qui utilisent des prestataires cloud.

Conservez les documents de fax dans le flux de travail de santé approuvé pendant l'évaluation de la connexion avec Teams. Zapier n'est pas disponible avec les ASC de Fax.Plus ; ses exemples d'automatisation généraux ne constituent donc pas une configuration adaptée à la santé pour ces comptes.

Que doit valider le cabinet avant de connecter le workflow ?

Déterminez quel service conserve le fax, quels membres du personnel le traitent et si des informations sur le patient peuvent être partagées dans Teams. Vérifiez ensemble les conditions de Microsoft, le contrat du prestataire de fax et les paramètres de compte requis.

Pour l'accueil, montrez comment une demande d'orientation parvient à la bonne personne sans exposition inutile dans les canaux. Pour le service informatique, documentez les champs de message autorisés, les règles d'accès, la conservation et le retrait des utilisateurs.

Tant que le comportement de la connexion dans un contexte de santé n'a pas été confirmé, utilisez le compte de fax approuvé pour les documents patients et suivez la procédure de communication établie par votre organisation.