Dropbox FaxはHIPAAに準拠していますか？

確認した公開料金情報では、Business Associate Agreementを含むDropbox Faxのプランは特定できませんでした。医療機関の購入者は、保護対象保健情報を送信する前に、使用するFaxサービス、アカウント、ワークフローが対象であることを書面で確認してください。この製品の一般的な機能については、Dropbox Faxの機能レビューをご覧ください。

個別に交渉した契約があれば、特定のアカウントに対する評価が変わる可能性があります。判断は、その契約の対象となるサービスとワークフロー、および必要な設定と安全対策によって決まります。

Dropbox Fax、Dropbox Sign、Dropboxファイルストレージが併せて登場する場合、この区別が重要になります。ブランドが共通であっても、1つの契約がすべてのサービスを対象とすることにはなりません。

Dropbox Faxの公開情報で確認できること

公開文書は2026年10月20日に確認しました。

Faxの料金ページにはサブスクリプションと利用枠が記載されていますが、BAAを含むと明示されたfaxプランは確認できませんでした。より大きな利用枠を購入しても、この契約上の問題は解決しません。

Dropbox Signの利用規約では、Dropbox Faxが対象サービスに明示的に含まれています。第4.2条(xii)は、顧客とDropboxが別途HIPAAのBAAを締結しない限り、PHIの保存、送信、その他の処理を禁止しています。

この条件から分かるのは、これらの規約に基づき別途契約が必要であるということだけです。どのFaxプランが対象となるか、お客様のアカウントで契約を利用できるか、どの送受信方法が対象になるかは、これでは確認できません。

サブスクリプションが患者の文書に適していると判断する前に、これらの点について回答を求めてください。

Dropbox Fax、Dropbox Sign、Dropboxストレージはそれぞれ別のサービスです

「DropboxはHIPAAに準拠している」と言われた場合は、どのサービスとどの契約を指しているのかを確認してください。

文書の保存に関する契約があっても、それだけでは、別のfaxサービスを通じてその文書を送信する場合まで対象になるとは確認できません。Dropboxは、Dropboxファイルストレージ向けとDropbox Sign向けに別々のHIPAAガイダンスを公開しています。それぞれの契約の適用範囲を確認してください。

同様に、Dropbox Signの署名プランの利用資格を、Dropbox Faxに関するBAAの選択肢があることの証拠として扱うべきではありません。対象サービスを明示するよう求めてください。

たとえば、診療所がファイルストレージから紹介状を取り出し、Faxにアップロードして、そのコピーをメールで受け取る場合があります。添付ファイルを受信するメールボックスを含め、その経路に関わるすべてのサービスを確認してください。

BAA以外に確認すべきこと

cloud プロバイダーが貴組織に代わって電子的なPHIを取り扱う場合、BAAは必要な取り決めの一部です。貴組織はさらに、リスクを評価し、適切な安全対策を整える必要があります。暗号化されたストレージだけでは、これらの責任を果たしたことにはなりません。HHSのcloudコンピューティングに関するガイダンス。

実際のfaxの運用環境に即した証拠の提示を求めてください。

• スタッフのアクセス：受信した文書を開いたり、割り当てを変更したり、退職するユーザーを削除したりできるのは誰ですか？
• アクティビティ情報：どのイベントが記録され、どのような詳細を確認でき、記録はどのくらいの期間保持されますか？
• 文書の保護：保存、配信、連携サービスにおいて、暗号化はどこに適用されますか？
• 所在地：文書やバックアップはどこに保存され、処理はどこで行われますか？
• 保持：ポータル上の文書、メールの添付ファイル、ダウンロードしたコピーはどのように扱われますか？

これらは確認すべき質問であり、Dropbox Faxの制限事項として確認済みのものを一覧にしたものではありません。

セキュリティレポートや認証についても、その適用範囲を確認する必要があります。別の製品に関連する認証が、すべてのfax機能を対象としていることを示すものではありません。

Dropboxにfaxに特化した書面での回答を求める

利用を予定しているワークフローを具体的に伝えてください。ブラウザから紹介状を送信する小規模な診療所と、API経由でfaxを連携する組織とでは、要件が異なります。

Dropboxに次の点を確認してください。

• 提案されているBAAの対象となるFaxサービスとアカウントの正確な範囲。
• 必要なサブスクリプション、契約、設定、有効化の手順。
• ブラウザからの送信、email-to-fax、受信した添付ファイル、および想定している連携が対象に含まれるかどうか。
• 利用可能なアクセス制御、保持、アクティビティ確認の機能。
• 総額と、想定している利用に影響する制限事項。

Dropboxがヘルスケアに対応しているという一般的な保証だけでは、これらの詳細事項を確認したことにはなりません。

契約書と関連する設定情報は、組織のベンダー記録とともに保管してください。PHIを取り扱う前に、患者に関係のない代表的な文書を使ってワークフローを確認してください。

すでにDropbox Faxを利用している場合は？

結論を出す前に、既存のアカウントに関連する契約を確認してください。公開されている料金ページには表示されない契約書類が、組織にある場合があります。

対象範囲が未確認のままの場合は、PHIの取り扱いが確認済みで、組織が承認しているチャネルを使用してください。プライバシー担当またはコンプライアンス担当チームに、これまでの利用状況の評価と、送信情報やアカウント情報のうち何を保存すべきかを含む今後の対応の決定を依頼してください。

Fax.Plusのヘルスケア向け体制との比較

このガイドはFax.Plusが公開しています。PHIを扱う場合、Fax.Plusが定めるヘルスケア向けfaxの必須構成は、Enterprise、有効化されたAdvanced Security Controls、署名済みのBAAです。Basic、Premium、Businessには、HIPAA対応可能な代替設定はありません。Fax.Plusのヘルスケア要件。

明確に文書化された出発点を求める診療所にとって、これは評価すべきFax.Plusのサブスクリプションと制御機能を示すものです。

それでも、スタッフは受信者の確認、アクセスの管理、文書の適切な取り扱いを行う必要があります。送信確認レポートはフォローアップの助けになりますが、送信が成功したことは、臨床上の確認や記録への保管が行われたことを意味しません。

プロバイダーの変更を決めた場合

解約する前に、現在の番号を移行できるかを確認し、移行先プロバイダーの要件を確認してください。

Dropboxの現行の規約では、fax番号のポーティングは、米国、英国、カナダで移入・移出の両方に対応している場合があり、追加料金が発生する可能性があるとされています。お使いの番号に関する取り決めを確認してください。

新しいサービスでPHIを取り扱う前に、スタッフのアクセス権、受信の割り当て、必要な契約を準備してください。既存の番号のサービスは、移行が完了し確認できるまで有効にしておき、切り替え期間中に受信記録を誰が監視するかを決めてください。