Conformità di Google Workspace a HIPAA

Google Workspace può supportare flussi di lavoro conformi a HIPAA, ma la conformità dipende dall'accordo, dalla configurazione e dall'utilizzo da parte dell'organizzazione. L'acquisto di un abbonamento non completa questi passaggi.

Per uno studio sanitario, le questioni pratiche riguardano spesso Gmail e Drive. Il personale può inviare via email i documenti dei pazienti? Chi può aprire un file condiviso? Cosa cambia quando un documento esce da Workspace tramite un servizio di fax online?

Ogni passaggio di consegna conta. Il BAA di Google copre servizi Google specifici; non si estende a tutte le applicazioni collegate a un account.

Cosa copre l'accordo HIPAA di Google

Google offre un Business Associate Agreement per i servizi coperti di Workspace e Cloud Identity. L'accordo definisce le responsabilità di Google e del cliente.

La tua organizzazione resta responsabile di come utilizza tali servizi. Le informazioni trattate al di fuori dei servizi coperti, anche tramite applicazioni di terze parti o archiviazione locale, non rientrano nell'ambito di tale accordo. BAA HIPAA di Google.

Le funzionalità coperte includono Gmail e Drive, compresi Documenti, Fogli, Presentazioni e Moduli. Consulta la documentazione aggiornata di Google quando valuti un servizio o una funzione specifica. Servizi supportati da Google per HIPAA.

Un account Workspace organizzativo va inoltre distinto da un account Gmail personale. L'interfaccia Google, pur familiare, non fa rientrare un account personale nell'accordo dello studio.

Come preparare Google Workspace per le PHI

Accettare il BAA prima di gestire le informazioni dei pazienti

Un super amministratore può esaminare e accettare l'accordo HIPAA dalla console di amministrazione in Account → Impostazioni account → Aspetti legali e conformità.

Conferma l'accettazione per l'account organizzativo interessato e conserva una registrazione. Google richiede il BAA prima che le PHI vengano utilizzate nell'ambito dell'accordo coperto. Istruzioni di Google sull'accordo.

L'edizione di Workspace determina quali funzioni amministrative sono disponibili. Confronta i controlli di sicurezza, gestione e conservazione necessari alla tua implementazione, anziché considerare il nome di un piano come una conferma di conformità.

Assegnare la responsabilità dell'accesso agli account

Individua gli account che gestiscono le informazioni dei pazienti e i servizi di cui ogni persona ha bisogno.

Rivedi autenticazione, recupero dell'account, privilegi di amministratore e procedure di uscita del personale. La revoca dell'accesso a un ex dipendente non dovrebbe dipendere dalla modifica di una password condivisa da tutto lo studio.

Affida a qualcuno la responsabilità di queste impostazioni. Documenta chi può modificare le regole di condivisione, approvare le applicazioni collegate e indagare su accessi imprevisti.

Google offre controlli per esaminare e limitare l'accesso di terze parti ai dati di Workspace. Verifica le autorizzazioni richieste da ogni applicazione prima di approvarla. Controlli di Google per l'accesso alle applicazioni.

Limitare con attenzione la condivisione su Drive

Per i documenti dei pazienti, controlla le persone e i gruppi che hanno effettivamente accesso.

Le indicazioni di Google su HIPAA raccomandano di evitare le PHI nei titoli di file, cartelle e drive condivisi. Descrivono inoltre i controlli per la visibilità e la condivisione esterna. Guida di Google all'implementazione di HIPAA.

Controlla l'appartenenza ai gruppi oltre alla schermata di condivisione del file. Un gruppo appropriato l'anno scorso potrebbe ora includere altro personale.

Prima di inviare all'esterno un link di Drive, conferma il destinatario previsto e il suo accesso. Condividere con una persona specifica offre un confine diverso rispetto a rendere un documento disponibile a chiunque ottenga il link.

Gmail può essere usato per le informazioni dei pazienti?

Gmail rientra tra i servizi coperti da Google, ma l'organizzazione deve stipulare l'accordo applicabile e configurare il servizio di conseguenza.

Verifica più del solo messaggio. La scelta dei destinatari, l'inoltro, i delegati, gli allegati e le applicazioni collegate possono influire su dove vanno le informazioni.

Contano anche le impostazioni di trasporto. Gmail di norma tenta di usare TLS, ma Google spiega che può consegnare senza TLS quando il server ricevente non lo supporta. Gli amministratori possono richiedere TLS per domini o indirizzi specifici tramite l'impostazione di trasporto sicuro. Indicazioni di Google su TLS per Gmail.

TLS protegge una connessione di trasporto. Non stabilisce chi aprirà il messaggio in seguito né controlla un allegato scaricato.

Il personale deve anche sapere come gestire gli errori di consegna. Se un'impostazione di sicurezza blocca un messaggio, qualcuno deve dare seguito alla comunicazione che non è arrivata.

Il BAA di Google non copre i componenti aggiuntivi per il fax

Google precisa esplicitamente che le applicazioni di terze parti, inclusi i componenti aggiuntivi, non sono coperte dal proprio BAA per Workspace. Linee guida HIPAA di Google Workspace.

Prima di collegare un'applicazione di fax, esamina l'accordo del fornitore, l'abbonamento richiesto e la configurazione consentita. Verifica le autorizzazioni richieste dall'applicazione e i documenti a cui può accedere.

La configurazione fax HIPAA di Fax.Plus richiede Enterprise, Advanced Security Controls attivati e un BAA firmato. Basic, Premium e Business non offrono una configurazione alternativa idonea a HIPAA. Requisiti di Fax.Plus per il settore sanitario.

Valuta il percorso di invio effettivo con questi controlli. Un tutorial generico sull'integrazione non garantisce che ogni funzione sia disponibile o si comporti allo stesso modo nella configurazione per il settore sanitario.

Invio di un documento del paziente da Workspace tramite fax

Uno studio può preparare o conservare un documento in Workspace mentre un'organizzazione esterna lo attende a un numero di fax.

Un'opzione è preparare il documento consentito, esportarne una copia adeguata e caricarla tramite l'applicazione web di Fax.Plus configurata per HIPAA. Controlla il fascicolo e verifica il destinatario prima dell'invio.

L'esportazione crea un'altra copia. La sua gestione sulla postazione di lavoro deve seguire le regole dello studio su dispositivi e archiviazione.

Usare Gmail per l'Email-to-Fax conforme a HIPAA

Fax.Plus supporta anche un percorso Email-to-Fax HIPAA dedicato.

Il mittente deve essere un membro autorizzato e con account predisposto, con l'Email-to-Fax abilitato. L'indirizzo di destinazione è composto dal numero di fax del destinatario seguito da .

Fai verificare all'amministratore l'account e la configurazione della posta prima che il personale li usi per i documenti dei pazienti. Segui il formato di indirizzo documentato per il settore sanitario, senza dare per scontato che un pulsante di integrazione generico prepari il percorso corretto. Requisiti dell'Email-to-Fax HIPAA di Fax.Plus.

Per entrambi i percorsi, assegna la responsabilità di verificare l'esito della trasmissione. Un'email visibile in Inviati non dimostra che il fax sia arrivato. Un fax riuscito significa che il punto di ricezione ha confermato la ricezione; non dimostra che sia stato esaminato clinicamente o archiviato. Stato di trasmissione di Fax.Plus.

Ricevere fax in Gmail

Per impostazione predefinita, Fax.Plus utilizza per gli account con HIPAA abilitato un recapito email di sola notifica.

Gli allegati fax facoltativi richiedono il consenso dell'organizzazione da parte del proprietario o dell'amministratore, l'adesione volontaria del singolo utente e un server di posta ricevente che supporti TLS 1.2 o versioni successive.

Se la consegna TLS richiesta non riesce, non viene inviata alcuna email di notifica sostitutiva. Il fax resta disponibile in Fax.Plus. Il personale incaricato dei documenti in arrivo deve tenere conto di questo comportamento. Requisiti per gli allegati email dei fax HIPAA.

Quando un allegato arriva in Gmail, lo studio è responsabile della protezione di quella copia nella casella di posta. Prima di abilitare la funzione, verifica accessi, deleghe, inoltro, download e conservazione.

Scegli l'accesso al portale o gli allegati in base al lavoro che il personale deve svolgere. Gli allegati possono ridurre il passaggio da un'applicazione all'altra, ma aggiungono un'ulteriore posizione in cui è conservato il documento.

Inoltre, aprire una notifica non dimostra che qualcuno abbia esaminato il fax o completato l'azione richiesta. Assegna i documenti in arrivo a una persona o a un team e prevedi una copertura quando il destinatario abituale è assente.

Salvare i documenti ricevuti in Drive

Se lo studio lo consente, il personale può collocare una copia del documento in una posizione di Drive con accesso limitato.

Conferma il paziente e il documento prima dell'archiviazione, verifica la cartella di destinazione e controllane le autorizzazioni. Segui convenzioni di denominazione che evitino di esporre inutilmente informazioni sui pazienti nei titoli.

Importare un file di Drive in un flusso di lavoro fax non significa che i fax in arrivo vengano salvati automaticamente in Drive. Inoltre, salvare un fax in Drive non aggiorna automaticamente la cartella clinica del paziente.

Stabilisci in quale posizione venga conservato il documento ufficiale e come gestire le copie aggiuntive. Eliminare un documento da un'applicazione non significa che siano state rimosse anche le copie presenti in email, Drive o nei download locali.

Prima che il personale adotti il processo, provalo con documenti che non contengono informazioni sui pazienti. Segui un documento in uscita dalla sorgente fino alla trasmissione, poi un documento in arrivo fino alla revisione e all'archiviazione. Includi una consegna non riuscita, in modo che chi monitora la coda sappia come procedere.