Microsoft Teams est-il conforme à HIPAA ?

Oui, Microsoft Teams est inclus dans le cadre contractuel HIPAA de Microsoft pour les entités couvertes et les partenaires commerciaux éligibles. La documentation de son offre HIPAA/HITECH place Teams dans le périmètre de service Commercial et Government Community Cloud (GCC). Votre organisation doit tout de même vérifier son contrat, son abonnement et sa configuration.

Les obligations du Business Associate Agreement (BAA) de Microsoft sont intégrées à l'addendum relatif à la protection des données et aux conditions de service applicables. Il ne faut pas présumer qu'une procédure distincte de demande et de signature existe. Cette couverture contractuelle ne rend pas une organisation automatiquement conforme à HIPAA.

Pour un cabinet qui manipule des documents de patients, la question suivante est de savoir où transitent les informations de santé protégées (PHI) : un chat Teams, un canal, un espace de stockage de fichiers connecté, une boîte mail ou un prestataire de fax. Chaque limite influe sur les accès et les responsabilités.

Que devez-vous vérifier dans votre contrat Microsoft ?

Identifiez le tenant, l'environnement cloud, les services achetés et les conditions qui s'appliquent à votre organisation. Vérifiez que le service Teams que vous utiliserez entre dans l'offre HIPAA applicable ; n'étendez pas une déclaration portant sur les services Microsoft éligibles à tous les comptes gratuits ou abonnements.

Examinez les mesures de protection offertes par vos licences. La prévention des pertes de données, l'audit, la conservation et les autres fonctions de gouvernance sont soumis à des exigences de licence et de configuration. Associez l'abonnement aux contrôles dont a besoin votre workflow approuvé.

L'organisation reste responsable de son utilisation globale, des accès de son personnel et du traitement des documents. Un service inclus dans le périmètre constitue un point de départ pour un workflow configuré.

Où va réellement le document du patient ?

Distinguez le message de coordination du document auquel il se rapporte. Un fax peut rester dans un compte de fax approuvé pendant que le personnel coordonne le suivi, mais un message qui identifie le patient ou révèle des détails d'une demande d'orientation peut lui-même contenir des PHI.

Pour chaque étape, identifiez ce qui est publié : texte d'état, numéro de fax, identifiant de patient, lien vers un document, pièce jointe ou aperçu. Vérifiez ensuite qui peut accéder à la conversation et qui peut ouvrir le document sous-jacent. Pour un déploiement Slack, vérifiez séparément les limites des notifications de fax de Slack.

Le chat Teams, Teams Phone, le stockage de fichiers connecté et une application de fax sont des éléments distincts d'un workflow de communication entre patients et personnel. Un BAA qui s'applique aux services Microsoft n'établit pas automatiquement de couverture contractuelle pour un prestataire de fax distinct ni pour chaque application connectée.

Comment gérer les canaux, les fichiers et les accès du personnel ?

Confirmez le public concerné avant d'autoriser des notifications liées aux patients dans un canal ou un chat. Incluez dans cette évaluation l'accès des invités, la participation de personnes externes et les changements de personnel.

Vérifiez à la fois l'appartenance à la conversation et les autorisations sur les documents. Un lien peut mener à une ressource dont les règles d'accès sont différentes, tandis qu'une pièce jointe crée une copie qui nécessite son propre traitement. Examinez la conservation et l'export au niveau de la conversation, du stockage connecté et des copies téléchargées.

Testez la configuration réelle avec des documents fictifs : qui reçoit une notification, ce qu'elle expose, qui peut ouvrir le fichier et ce qui se passe lorsque l'accès de cette personne est retiré. Une démonstration réussie permet de vérifier le comportement, mais ne garantit pas la conformité globale.

Comment fonctionne l'intégration de Fax.Plus avec Teams ?

Fax.Plus propose une intégration native avec Microsoft Teams. Elle fournit des notifications de fax entrant et d'état des envois, y compris les envois réussis ou en échec, avec les détails du fax concerné et un lien. Les options d'intégration générales incluent aussi les pièces jointes.

L'intégration native assure la notification et le suivi ; elle ne propose pas d'écran de rédaction ou d'envoi de fax dans Teams. La documentation de Fax.Plus sur Teams décrit l'éligibilité et la configuration générales de l'intégration.

Ces instructions générales ne précisent pas le comportement exact autorisé avec Advanced Security Controls (ASC). Avant d'utiliser l'intégration avec des PHI, confirmez auprès de Fax.Plus, pour votre compte, sa disponibilité, le contenu des messages, la gestion des pièces jointes et la configuration autorisée.

Les notifications sans pièces jointes ne sont pas automatiquement exemptes de PHI. Des numéros, des identifiants ou d'autres détails du message peuvent être sensibles. Ne considérez pas cette option comme la preuve qu'un canal convient à une activité liée aux patients.

Que doit couvrir le contrat du prestataire de fax ?

La configuration de fax pour la santé de Fax.Plus nécessite Enterprise, Advanced Security Controls activé et un BAA signé. La documentation HIPAA d'Alohi explique ces prérequis. La disponibilité de l'intégration Teams générale avec Business ne fait pas de ce plan un substitut éligible pour des PHI.

Si Microsoft et Fax.Plus créent, reçoivent, conservent ou transmettent tous deux des PHI électroniques en tant que prestataires distincts, confirmez les conditions applicables du BAA de Microsoft et signez le BAA de Fax.Plus. Le contrat d'un prestataire ne couvre pas l'autre. Les recommandations du HHS sur le cloud expliquent les exigences contractuelles pour les entités couvertes et les partenaires commerciaux qui font appel à des prestataires cloud.

Conservez les fax dans le workflow de santé approuvé pendant l'évaluation de la connexion à Teams. Zapier n'est pas disponible avec Fax.Plus ASC ; ses exemples d'automatisation généraux ne constituent donc pas une configuration adaptée au domaine de la santé pour ces comptes.

Que doit valider le cabinet avant de connecter le workflow ?

Déterminez quel service conserve le fax, quels membres du personnel le traitent et si des informations sur les patients peuvent être transmises dans Teams. Vérifiez ensemble les conditions de Microsoft, le contrat du prestataire de fax et les paramètres de compte requis.

Pour l'accueil, montrez comment une demande d'orientation parvient à la bonne personne sans exposition inutile dans les canaux. Pour le service informatique, documentez les champs de message autorisés, les règles d'accès, la conservation et le retrait des utilisateurs.

Si le comportement de la connexion pour un usage médical n'a pas été confirmé, utilisez le compte de fax approuvé pour les documents des patients et suivez la procédure de communication établie par votre organisation.