Conformité de Google Workspace à HIPAA

Google Workspace peut prendre en charge des flux de travail conformes à HIPAA, mais la conformité dépend de l’accord, de la configuration et de l’utilisation propres à l’organisation. Souscrire un abonnement ne suffit pas à accomplir ces étapes.

Pour un cabinet médical, les questions pratiques portent souvent sur Gmail et Drive. Le personnel peut-il envoyer des documents de patients par email ? Qui peut ouvrir un fichier partagé ? Qu’est-ce qui change lorsqu’un document quitte Workspace via un service de fax en ligne ?

Chaque transfert compte. Le BAA de Google couvre certains services Google précis ; il ne s’étend pas à toutes les applications connectées à un compte.

Ce que couvre l’accord HIPAA de Google

Google propose un Business Associate Agreement pour les services Workspace et Cloud Identity couverts. Cet accord définit les responsabilités de Google et du client.

Votre organisation reste responsable de la manière dont elle utilise ces services. Les informations traitées en dehors des services couverts, notamment via des applications tierces ou un stockage local, ne relèvent pas du champ de cet accord. BAA HIPAA de Google.

Les fonctionnalités couvertes incluent Gmail et Drive, y compris Docs, Sheets, Slides et Forms. Consultez la documentation à jour de Google pour évaluer un service ou une fonctionnalité en particulier. Services pris en charge par Google pour HIPAA.

Il faut aussi distinguer un compte Workspace d’organisation d’un compte Gmail personnel. L’interface Google, qui reste la même, ne place pas un compte personnel sous l’accord du cabinet.

Comment préparer Google Workspace au traitement des PHI

Accepter le BAA avant de traiter des informations de patients

Un super administrateur peut consulter et accepter l’accord HIPAA dans la console d’administration, sous Account → Account settings → Legal and compliance.

Vérifiez que l’acceptation a bien été enregistrée pour le compte d’organisation concerné et conservez-en une trace. Google exige le BAA avant toute utilisation de PHI dans le cadre de l’accord couvert. Instructions de Google sur l’accord.

L’édition de Workspace détermine les fonctionnalités d’administration disponibles. Comparez les contrôles de sécurité, de gestion et de conservation dont votre déploiement a besoin, plutôt que de considérer le nom d’un plan comme une preuve de conformité.

Attribuer la responsabilité de l’accès aux comptes

Identifiez les comptes qui traitent des informations de patients et les services dont chaque personne a besoin.

Examinez l’authentification, la récupération de compte, les privilèges d’administrateur et les procédures de départ. La suppression de l’accès d’un ancien employé ne doit pas dépendre du changement d’un mot de passe partagé par tout le cabinet.

Désignez une personne responsable de ces paramètres. Documentez qui peut modifier les règles de partage, approuver les applications connectées et enquêter sur les accès inattendus.

Google fournit des contrôles pour examiner et limiter l’accès des tiers aux données Workspace. Vérifiez les autorisations demandées par chaque application avant de l’autoriser. Contrôles d’accès aux applications de Google.

Restreindre volontairement le partage dans Drive

Pour les documents de patients, vérifiez quelles personnes et quels groupes y ont réellement accès.

Les recommandations HIPAA de Google conseillent d’éviter les PHI dans les titres de fichiers, de dossiers et de drives partagés. Elles décrivent aussi des contrôles de visibilité et de partage externe. Guide de mise en œuvre HIPAA de Google.

Vérifiez l’appartenance aux groupes, en plus de l’écran de partage du fichier. Un groupe qui convenait l’an dernier peut désormais compter d’autres membres du personnel.

Avant d’envoyer un lien Drive à l’extérieur, vérifiez le destinataire prévu et ses droits d’accès. Partager avec une personne précise n’offre pas le même niveau de protection que rendre un document accessible à toute personne disposant du lien.

Peut-on utiliser Gmail pour les informations de patients ?

Gmail fait partie des services couverts par Google, mais l’organisation doit mettre en place l’accord applicable et la configuration adéquate.

Ne vous limitez pas au message lui-même. Le choix des destinataires, le transfert, les délégués, les pièces jointes et les applications connectées peuvent influer sur la destination des informations.

Les paramètres de transport comptent aussi. Gmail tente normalement d’utiliser TLS, mais Google précise qu’il peut remettre le message sans TLS lorsque le serveur destinataire ne le prend pas en charge. Les administrateurs peuvent exiger TLS pour des domaines ou des adresses donnés grâce au paramètre de transport sécurisé. Conseils de Google sur TLS dans Gmail.

TLS protège une connexion de transport. Il ne détermine pas qui ouvre ensuite le message et ne contrôle pas une pièce jointe téléchargée.

Le personnel doit aussi savoir comment réagir en cas d’échec de remise. Si un paramètre de sécurité bloque un message, quelqu’un doit assurer le suivi de la communication qui n’est pas arrivée.

Le BAA de Google ne couvre pas les modules complémentaires de fax

Google indique explicitement que les applications tierces, y compris les modules complémentaires, ne sont pas couvertes par son BAA Workspace. Recommandations de Google sur HIPAA et Workspace.

Avant de connecter une application de fax, examinez l'accord du fournisseur, l'abonnement requis et la configuration autorisée. Vérifiez les autorisations demandées par l'application et les documents auxquels elle peut accéder.

La configuration HIPAA de Fax.Plus exige le plan Enterprise, l'activation d'Advanced Security Controls et un BAA signé. Les plans Basic, Premium et Business ne proposent aucune autre configuration compatible avec HIPAA. Exigences de Fax.Plus pour le secteur de la santé.

Évaluez le circuit d'envoi réel dans le cadre de ces contrôles. Un tutoriel général sur l'intégration ne garantit pas que toutes les fonctionnalités sont disponibles ni qu'elles se comportent de la même façon dans la configuration destinée au secteur de la santé.

Envoyer par fax un document patient depuis Workspace

Un cabinet peut préparer ou conserver un document dans Workspace, alors qu'un organisme externe l'attend à un numéro de fax.

Une option consiste à préparer le document autorisé, à en exporter une copie adaptée, puis à l'importer via l'application web Fax.Plus configurée pour HIPAA. Relisez le dossier et vérifiez le destinataire avant l'envoi.

L'export crée une copie supplémentaire. Sa gestion sur le poste de travail doit respecter les règles du cabinet en matière d'appareils et de stockage.

Utiliser Gmail pour l'email-to-fax conforme à HIPAA

Fax.Plus prend également en charge un circuit email-to-fax HIPAA dédié.

L'expéditeur doit être un membre autorisé disposant d'un compte provisionné, avec l'email-to-fax activé. L'adresse de destination se compose du numéro de fax du destinataire suivi de .

Demandez à l'administrateur de vérifier le compte et la configuration de la messagerie avant que le personnel l'utilise pour des documents patient. Suivez le format d'adresse documenté pour le secteur de la santé plutôt que de supposer qu'un bouton d'intégration générique prépare le bon circuit. Exigences de Fax.Plus pour l'email-to-fax conforme à HIPAA.

Quel que soit le circuit choisi, désignez une personne chargée de vérifier le résultat de la transmission. Un email affiché dans Envoyés ne prouve pas que le fax est arrivé. Un fax réussi signifie que le terminal de réception a accusé réception ; cela ne prouve ni une consultation clinique ni un classement. Statut de transmission Fax.Plus.

Recevoir des fax dans Gmail

Pour les comptes compatibles HIPAA, Fax.Plus utilise par défaut une remise par email limitée aux notifications.

Les pièces jointes de fax facultatives nécessitent le consentement de l'organisation (par le propriétaire ou l'administrateur), l'activation par chaque utilisateur et un serveur de messagerie de réception compatible avec TLS 1.2 ou version supérieure.

Si la remise TLS requise échoue, aucun email de notification de remplacement n'est envoyé. Le fax reste disponible dans Fax.Plus. Les personnes chargées des documents entrants doivent tenir compte de ce comportement. Exigences HIPAA pour les pièces jointes de fax par email.

Une fois qu'une pièce jointe arrive dans Gmail, le cabinet est responsable de la protection de cette copie dans la boîte mail. Vérifiez les accès, les délégations, les transferts, les téléchargements et la conservation avant d'activer la fonctionnalité.

Choisissez l'accès via le portail ou les pièces jointes selon le travail que le personnel doit effectuer. Les pièces jointes peuvent limiter les allers-retours entre applications, mais elles ajoutent un emplacement supplémentaire où le document est conservé.

De même, l'ouverture d'une notification ne prouve pas que quelqu'un a consulté le fax ni mené à bien l'action qu'il demandait. Attribuez les documents entrants à une personne ou à une équipe, et prévoyez un remplacement lorsque le destinataire habituel est absent.

Enregistrer les documents reçus dans Drive

Lorsque le cabinet l'autorise, le personnel peut placer une copie du document dans un emplacement Drive à accès restreint.

Confirmez le patient et le document avant le classement, vérifiez le dossier de destination et contrôlez ses autorisations. Appliquez des conventions de nommage qui évitent d'exposer inutilement des informations patient dans les titres.

Le fait d'importer un fichier Drive dans un processus d'envoi de fax n'implique pas la sauvegarde automatique des fax reçus dans Drive. De même, enregistrer un fax dans Drive ne met pas à jour automatiquement le dossier du patient.

Déterminez quel emplacement conserve le dossier officiel et comment les copies supplémentaires sont gérées. Supprimer un document dans une application ne signifie pas que les copies présentes dans la messagerie, dans Drive ou dans les téléchargements locaux ont également été supprimées.

Avant que le personnel adopte ce processus, testez-le avec des documents ne contenant aucune information patient. Suivez un document sortant depuis sa source jusqu'à la transmission, puis un document entrant jusqu'à sa consultation et son classement. Incluez un échec de remise afin que la personne qui surveille la file sache quoi faire ensuite.