Requisiti HIPAA per il fax

Il fax è consentito da HIPAA?

Sì. Il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti (HHS) conferma che un operatore sanitario può inviare via fax informazioni sanitarie protette a un altro operatore per finalità di cura. Le informazioni sanitarie protette (PHI) sono qualsiasi informazione sulla salute che possa identificare un paziente, da una diagnosi a una data di nascita.

Ciò che HIPAA richiede è attenzione, non una tecnologia specifica. L'HHS cita il 45 CFR 164.530(c), il requisito sulle misure di protezione della Privacy Rule, e fornisce esempi semplici: verificare il numero di fax prima dell'invio e tenere il fax in un luogo non accessibile a persone non autorizzate.

Cosa richiede HIPAA quando si invia un fax?

HIPAA descrive le misure di protezione in tre gruppi. Ecco cosa significa ciascuno per il fax.

Misure amministrative. Politiche e persone. Stabilisci chi è autorizzato a inviare e ricevere PHI via fax, forma queste persone e verifica i numeri dei destinatari prima dell'invio. Invia solo le informazioni di cui il destinatario ha bisogno.

Misure fisiche. Dove finiscono i documenti. Un fax cartaceo lasciato in un vassoio condiviso è il rischio classico. Con il fax online, l'equivalente è assicurarsi che i fax arrivino in una casella protetta anziché su un apparecchio o in una casella di posta condivisa.

Misure tecniche. Come i dati sono protetti nei sistemi. Comprendono la crittografia, l'accesso univoco per ogni utente e i registri di controllo che mostrano chi ha inviato, ricevuto o visualizzato un fax.

Molte organizzazioni usano anche un frontespizio con un avviso di riservatezza. HIPAA non lo richiede espressamente, ma è una prassi comune. Fax.Plus offre un modello gratuito di frontespizio fax HIPAA.

Cosa cambia quando si usa un servizio di fax online?

Quando un fornitore conserva o trasmette PHI per tuo conto, diventa un tuo business associate. HIPAA richiede quindi un Business Associate Agreement (BAA): un contratto in cui il fornitore si impegna a proteggere la PHI che gestisce per te. Senza un BAA, l'invio di PHI tramite il servizio non è conforme, per quanto sicuro sia il servizio.

Occorrono inoltre misure tecniche integrate. Nel piano Fax.Plus Enterprise, queste includono:

• Crittografia AES-256 per i fax archiviati e crittografia TLS in transito
• Accesso basato sui ruoli, così i membri vedono solo ciò che il proprio ruolo consente
• Autenticazione a due fattori, che gli amministratori possono rendere obbligatoria per il team
• Registri di controllo dell'attività dell'account e dei fax
• La possibilità di scegliere dove vengono archiviati i dati dei fax, tra cui Stati Uniti e Canada

Non esiste una certificazione HIPAA ufficiale, né per il fax né per altro. Quando un fornitore dichiara di essere «conforme a HIPAA», ciò che conta è che firmi un BAA e implementi le misure di protezione richieste.

Come si configura l'invio di fax conforme a HIPAA su Fax.Plus?

L'invio di fax conforme a HIPAA su Fax.Plus è disponibile con il piano Enterprise. La configurazione richiede tre passaggi:

1. Avere il piano Enterprise. I piani Free, Basic, Premium e Business non sono idonei a HIPAA e non devono essere usati per la PHI.
2. Attivare Advanced Security Controls. Il titolare o un amministratore dell'account li attiva in Impostazioni, Sicurezza. Si applicano a tutto il team contemporaneamente.
3. Richiedere e firmare il BAA. Una volta firmato il BAA e attivati i controlli di sicurezza, il team può inviare e ricevere PHI.

La modalità HIPAA viene impostata a livello di account, non per singolo utente o per reparto. Tutti gli utenti dell'account Enterprise lavorano nello stesso ambiente protetto, eliminando il rischio che un membro del team invii PHI via fax da un'area non protetta dell'account.

Cosa cambia quando la modalità HIPAA è attiva?

I team di solito vogliono saperlo prima di attivarla, quindi ecco il quadro completo.

Vale la pena conoscere due dettagli. Se un utente di un account HIPAA scrive per errore all'indirizzo standard @fax.plus, Fax.Plus reindirizza automaticamente il messaggio nella pipeline con TLS obbligatorio. Inoltre, poiché Zapier è disattivato, l'API è la via per collegare il fax agli altri sistemi in un flusso di lavoro HIPAA. Per i dettagli, consulta l'API fax HIPAA.

Automatizzare i flussi di lavoro dei fax HIPAA

La modalità HIPAA disattiva Zapier, ma non blocca l'automazione. Gli allegati email sono un flusso di lavoro opzionale, attivato separatamente. Su un account HIPAA, l'API di Fax.Plus continua a funzionare e tre funzionalità sono particolarmente importanti per l'acquisizione dei dati in ambito sanitario:

• Streaming dei fax. Ogni pagina di un fax in arrivo viene inviata al tuo sistema non appena viene ricevuta, così un'impegnativa può essere smistata già dalla pagina 1. Lo streaming viene attivato su richiesta e funziona sugli account HIPAA.
• Webhook pronti per la produzione. Gli eventi sono firmati, così il tuo server può verificarli, possono essere filtrati per tipo di evento e numero di fax e includono un registro delle consegne, la riproduzione degli eventi persi e avvisi quando un endpoint continua a non funzionare.
• Nessuna PHI nel payload. Gli eventi webhook contengono i dettagli del fax, come lo stato e il numero di pagine, ma non il documento. Il tuo sistema scarica il fax tramite l'API.

Il server MCP di Fax.Plus, che consente agli assistenti IA di lavorare con i fax, non è disponibile sugli account con Advanced Security Controls, quindi i flussi di lavoro HIPAA usano invece l'API.

Quali piani Fax.Plus si possono usare per la PHI?

Solo Enterprise. Il piano riunisce ciò che serve per inviare fax in conformità con HIPAA: il BAA, Advanced Security Controls, la registrazione degli audit, l'accesso basato sui ruoli e opzioni di residenza dei dati. I piani inferiori non li includono, quindi non sono idonei per la PHI.

Per l'elenco completo dei controlli, consulta fax conforme a HIPAA. Per un'introduzione alla normativa, consulta cos'è HIPAA.

Una checklist per i fax HIPAA

Prima che il tuo team invii PHI via fax, verifica ciascuno di questi punti:

1. È stato firmato un BAA con il tuo fornitore di servizi fax.
2. La modalità HIPAA (Advanced Security Controls su Fax.Plus) è attiva per l'account.
3. Solo il personale formato ha accesso, con ruoli corrispondenti alla propria mansione.
4. L'autenticazione a due fattori è obbligatoria.
5. I numeri dei destinatari vengono confermati prima dell'invio e, quando possibile, salvati come contatti.
6. I fax vengono inviati con le sole informazioni necessarie al destinatario.
7. Il personale sa dove arrivano i fax ricevuti e sa che la PHI non deve essere inoltrata a email personali o a strumenti non approvati.