Slack est-il conforme à HIPAA ?

Oui, Slack peut prendre en charge la collaboration du personnel soumise à HIPAA dans le cadre de son dispositif entreprise couvert, d'un BAA signé et de la configuration requise. Un abonnement Slack classique ou une application de fax installée ne suffit pas, à lui seul, à établir qu'un flux de travail de documents patients est couvert.

Pour un cabinet qui coordonne des demandes d'orientation entrantes, la vraie question est de savoir ce qui arrive dans Slack : une notification, des informations d'identification, un lien ou le fax lui-même. L'accord avec Slack, l'accord avec le fournisseur de fax et les contrôles d'accès doivent correspondre à ce flux réel.

Quelle organisation Slack et quel accord sont couverts ?

Les conditions actuelles de Slack exigent un plan de niveau entreprise couvert, un Business Associate Agreement (BAA) signé et l'activation HIPAA confirmée pour l'organisation désignée. Les achats actuels nécessitent également le HIPAA Enabled SKU de Slack, l'élément de commande dédié à ce dispositif. GovGrid est exclu.

Confirmez l'organisation Enterprise+ ou Grid (ancienne offre) désignée dans l'accord, ainsi que les espaces de travail qu'elle couvre. La couverture d'une organisation désignée ne s'étend pas automatiquement à toutes les autres organisations appartenant au client.

Obtenez auprès de Slack le BAA applicable, le guide actuel destiné aux entités soumises à HIPAA et la confirmation d'activation. Votre organisation reste responsable de sa conformité globale à HIPAA, y compris l'usage autorisé, l'accès, la surveillance et le traitement des documents.

Qui peut recevoir les notifications de fax liées aux patients ?

Le guide HIPAA de Slack indique d'utiliser des canaux privés pour partager des informations de santé protégées (PHI). Examinez l'historique existant du canal avant d'y ajouter quelqu'un : l'appartenance au canal peut donner accès aux discussions antérieures concernant des patients, et pas seulement aux futurs messages.

Limitez l'audience au personnel qui traite les documents. Passez en revue les invités, les participants externes, les modifications de canaux et les départs. Pour Slack Connect, confirmez les autorisations et le partage légalement permis ; cette fonctionnalité ne supprime pas ces exigences. Incluez l'accès autorisé à l'export et à Discovery dans l'évaluation de l'audience, car la visibilité d'un canal privé ne se limite pas à ses membres habituels.

Le dispositif HIPAA est prévu pour la collaboration du personnel, et non pour la communication avec les patients. Le guide de Slack interdit de communiquer avec les patients, les membres d'un plan, leurs familles ou leurs employeurs, et interdit de les ajouter comme utilisateurs ou invités de l'espace de travail ou d'un canal. Une alerte de demande d'orientation dans un canal de l'équipe soignante est un usage différent de l'envoi d'un message au patient à propos de cette demande.

Que fait l'intégration Slack de Fax.Plus ?

Fax.Plus propose une intégration Slack native pour les notifications de nouveaux fax et le statut des fax envoyés. Les paramètres généraux de l'intégration incluent des pièces jointes facultatives, mais le comportement disponible pour le secteur de la santé est différent.

Pour les PHI d'une organisation, l'envoi de fax pour la santé avec Fax.Plus nécessite Enterprise, Advanced Security Controls (ASC) activé et un BAA signé. La disponibilité générale de l'intégration avec Business ne fait pas de ce plan un dispositif équivalent pour les PHI.

Avec ASC, les notifications Slack continuent sans pièces jointes de fax. Récupérez le fax dans l'environnement Fax.Plus approuvé. La documentation de l'intégration ASC décrit cette limite ; la documentation de l'intégration Slack native explique sa fonction générale de notification.

Ces alertes ne constituent pas un outil natif de création de nouveaux fax dans Slack. Une alerte ne permet pas non plus, à elle seule, de savoir qui a accepté la responsabilité de la vérification du document.

Quelles informations une alerte sans pièce jointe expose-t-elle ?

Examinez les champs réels de la notification dans la configuration approuvée du compte. Un numéro de fax, un identifiant ou un message contextuel peut révéler des informations sensibles, même lorsque le document reste dans Fax.Plus.

Vérifiez à la fois l'audience Slack et les autorisations de toute ressource liée. Le fait qu'un membre du canal puisse voir une notification et son autorisation d'ouvrir le fax sont deux décisions distinctes. Si l'équipe choisit une plateforme de collaboration, comparez la coordination des fax via Microsoft Teams selon ses propres règles de compte et de notification.

Par exemple, un canal privé d'admission peut alerter le personnel concerné qu'un fax requiert son attention, tandis que le document reste dans le compte de fax. Examinez les champs visibles et les utilisateurs autorisés avant d'adopter ce processus. Ne partez pas du principe que « sans pièce jointe » signifie « sans PHI ». Configurez les aperçus des notifications mobiles pour que le contenu lié aux patients n'apparaisse pas avant le déverrouillage de l'appareil.

Qu'en est-il des emails et des pièces jointes de fax ?

Les pièces jointes sécurisées facultatives par email de Fax.Plus répondent à des exigences distinctes et ne modifient pas la politique de pièces jointes de Slack sous ASC. Activer une option d'email n'active pas les pièces jointes de fax dans Slack.

La remise sécurisée des fax par email ne signifie pas que le transfert de fax de patients vers Slack est approuvé. L'ingestion par email est une intégration distincte dont la disponibilité, les exigences de transport, les destinataires et les copies conservées doivent être évalués séparément. Pour la coordination des fax de patients, utilisez le flux de travail natif approuvé de notification et de récupération des documents.

Le BAA de Slack couvre-t-il le fournisseur de fax ?

Non. Le BAA de Slack ne couvre pas automatiquement un service de fax indépendant ni un fournisseur d’application tierce. Lorsque les deux prestataires traitent des PHI électroniques, chaque relation nécessite sa propre couverture contractuelle applicable.

Vérifiez l’accord conclu avec Slack et signez le BAA de Fax.Plus, en tenant compte des exigences liées à Enterprise et à ASC. La documentation HIPAA d’Alohi détaille les prérequis du compte fax. La présence d’une application dans un catalogue ou une connexion réussie ne remplace l’accord d’aucun des deux prestataires.

Où conserver les dossiers et qui est responsable de la vérification ?

Slack ne doit pas être le système d’enregistrement des PHI. Conservez le document fax dans le flux documentaire approuvé et effectuez tout classement clinique requis conformément à la politique de gestion des dossiers de votre organisation.

Harmonisez la conservation des messages, des documents fax, des exports et des copies téléchargées concernés. Définissez la surveillance et la prévention des pertes de données pour l’environnement Slack, et vérifiez quelles preuves les administrateurs peuvent réellement consulter. Un export de messages ne doit pas être considéré comme un enregistrement complet de chaque consultation ou téléchargement de document.

Déterminez qui vérifie les fax entrants, comment un autre membre de l’équipe assure le remplacement en cas d’absence et comment la clôture du traitement est consignée. Une alerte reçue n’attribue pas de responsable, ne prouve pas qu’une vérification clinique a eu lieu et ne met pas à jour automatiquement un dossier patient. Testez la configuration envisagée des notifications et des accès avec des documents fictifs avant de l’utiliser pour le travail auprès des patients.