eFaxはHIPAAに準拠していますか？

はい、eFaxはHIPAA準拠のfax送信をサポートすることを目的としたサービスを提供していますが、プランと契約内容が重要です。現行のBusinessプランには、Business Associate Agreement（BAA）が記載されています。Personalには記載がありません。大規模な組織は、別途提案を通じてeFax Corporateを検討できます。eFax製品レビューでは、一般的な料金やドキュメントのワークフローについても検討しています。

本ガイドは、プロバイダーであるefax.comのeFaxを対象としています。電子faxやオンラインfaxは、より広いカテゴリーを表す言葉です。一般的な「e-fax」という表現は、特定のベンダーを示すものではなく、HIPAAへの適格性を裏付けるものでもありません。

医師にとっての実務上の問いは、スタッフが対象サービスを通じて患者の文書を送受信できるかどうかです。ITにとっては、契約、アカウントの管理機能、連携システムが実際の導入環境をカバーしているかどうかです。

BAAが記載されているeFaxのプランはどれですか？

現在のeFaxの料金ページでは、PersonalとBusinessが区別されています。小規模事業者向けページでは、従来のProtect契約者の扱いについても説明されています。

料金は米ドル表記です。上記のBusinessの料金は、導入プロモーション終了後の月額請求の場合のものです。含まれる5ユーザーは小規模な診療所には関係があるかもしれませんが、ユーザー数の枠があることは、各ユーザーにどの権限が付与されるかを示すものではありません。

すでに通常の文書にPersonalを使用している場合は、保護対象医療情報（PHI）を追加する前に、利用の適格性を確認してください。プランを変更しても、既存のすべてのワークフローが適切になると決めつけず、契約や設定とあわせて確認してください。

eFaxのBAAは、どのサービスと契約に適用されますか？

公開されているeFax利用規約の第24条にはBusiness Associate Addendumが含まれており、Business、Protect、Uniteの「Secured Service」に言及しています。この補遺は、お客様が対象事業者またはBusiness Associateとして当該Secured Serviceを利用する場合に、Consensus USに適用されます。この適用範囲は、お客様のアカウントに適用される契約とあわせてお読みください。

公開されている補遺は、購入前に役立つ情報となります。ただし、特定の従来型アカウント、Corporateの注文、メール経路、連携アプリケーションが同一の条件で対象になることを示すものではありません。

PHIを送信する前に、eFaxに対して、対象となるサービス、お客様のアカウントに適用される契約、BAAの発効方法、必要な構成について確認を求めてください。その確認内容は、ベンダーの記録とともに保管してください。

BAAは、貴組織とサービスプロバイダーの間の責任を定めるものです。それでも、適切なスタッフのアクセス管理、受信者の確認、ダウンロードまたは転送された文書の取り扱い手順は、貴組織で整備する必要があります。

実際の患者文書のワークフローを確認する

ブラウザーでのアクセスとスタッフアカウント

eFax Businessでは、Webでのfax送信、管理、ユーザー権限が提供されると案内されています。模擬文書を使ってワークフローを実演してください。紹介状が届き、受付担当が内容を識別し、臨床担当者が確認し、権限のあるスタッフが返信を送信するという流れです。

各電話番号の文書を誰が閲覧できるか、各ユーザーが個別のアカウントを使用しているか、退職する従業員がどのようにアクセス権を失うかを確認してください。選択したプランで利用できる認証機能や管理者向けの管理機能についても確認し、Corporateの機能がBusinessにも備わっていると思い込むことは避けてください。

faxシステムの送達確認は、担当者が紹介状を読んだことや、意図した患者のカルテに入力されたことを証明するものではありません。送信失敗や誤送信を誰が確認し、診療所としてどのように対応するかを定めてください。

評価の際には、以下も確認してください。

• 提案されているアカウントでMFAが利用可能で、かつ強制されているかどうか。
• どの送信、受信、アクセスのイベントが記録されるか、またそれらの記録をエクスポートできるかどうか。
• スタッフが送信先の番号を確認する方法と、誤った番号に送信してしまった場合の対応。
• 共有ワークステーションでのダウンロードの扱いと、スタッフのアクセス権限を確認するタイミング。

メール送信、通知、添付ファイル

eFaxでは、Email-to-Faxやメールを使った受信のワークフローを利用できます。これらは個別に確認してください。メールをfaxとして送信する場合、通知を受信する場合、文書を添付ファイルとして受信する場合では、作成されるコピーやアクセス経路が異なります。

対象の構成でメールボックスに何が届くのかを確認してください。メッセージにPHI、添付ファイル、ポータルへのリンクのいずれが含まれるのか。どのような通信要件が適用されるのか。誰が転送やダウンロードできるのか、コピーはどのように保管されるのか。

メールプロバイダーや社内での取り扱いについても評価が必要です。faxサービスのBAAは、メールボックス、共有の転送ルール、サードパーティのアーカイブを自動的にカバーするものではありません。eFaxのセキュリティ情報は出発点として参考になりますが、お客様のアカウントで実際に示される動作を確認してください。

保管、エクスポート、アカウントの解約

文書がどのくらいの期間利用可能なのか、管理者が変更できる保管設定は何か、記録をどのようにエクスポートできるのかを確認してください。該当するサービスで、削除、バックアップ、アカウントの解約がどのように扱われるのかも尋ねてください。

これらの回答を、自院の記録に関するポリシーに当てはめてください。オンラインのfaxアーカイブは、必ずしも診療記録の完全な保管システムになるわけではなく、必要な記録を保存する唯一の手段としてポータルへのアクセスに頼るべきではありません。

eFax Corporateと連携についてはどうですか？

eFax Corporateは、管理機能、アカウント管理、API機能を備えたエンタープライズ向けの選択肢です。faxがより大規模な文書管理や相互運用性のプロジェクトの一部となる場合は、そのヘルスケア向けサービスも評価する価値があります。

対象となる製品、エンドポイント、権限、データフローを具体的に示した提案書を依頼してください。公開されているAPI情報だけでは、月額$39.99のBusinessサブスクリプションに含まれていることや、すぐに本番環境で利用できることは確認できません。

同様に、セキュリティ保証についても、明示された適用範囲で評価してください。Corporateに関連するHITRUST r2の主張を、すべてのeFaxプラン、連携、お客様固有の構成を自動的にカバーする認証であるかのように示すべきではありません。

Fax.PlusのHIPAA対応faxへの取り組み

Fax.Plusはこのガイドの発行元であり、代替プロバイダーです。PHIについては、そのヘルスケア向けfaxの要件が明確に定められています。それはEnterprise、有効化されたAdvanced Security Controls（ASC）、署名済みのBAAです。Basic、Premium、Businessは、この体制の代わりにはなりません。AlohiのHIPAAドキュメントで、対象となる条件を確認できます。

Fax.Plus Enterpriseには、無制限のメンバー、SSO、ロールベースのチーム管理が含まれます。管理者はチーム構造の中で電話番号の割り当てを管理できるため、受付スタッフと医療従事者がそれぞれ個別にアクセスする必要がある場合に適しています。割り当てと利用量は併せて評価してください。メンバーが無制限であることは、faxの利用量が無制限であることを意味しません。

Enterpriseでは、faxの文書とバックアップの保存先として40か所以上のロケーションを選択できます。この選択が対象とするのは保存であり、すべての処理操作ではありません。データレジデンシーの文書化された適用範囲を、お客様の要件と照らして確認してください。REST APIはASCの下でも引き続き利用できます。メール送信とオプションの受信添付ファイルには特定のセキュリティ条件があるため、PHIを移行する前に、想定しているメールのワークフローを実際に確認してください。

適切な比較は、eFaxの対象となるBusinessまたはCorporateの構成と、ASCおよびBAAを備えたFax.Plus Enterpriseとの比較です。スタッフのワークフロー、必要なセキュリティ対策、見積もりの総額を比較してください。どちらのプロバイダーでも、安価な個人向けサブスクリプションは、HIPAAの観点で同等の比較対象にはなりません。

プロバイダーの変更を決めた場合

PHIを移行する前に、新しいアカウントが対象となる条件を満たしていることを確認してください。必要なfaxの履歴を保存し、番号移行の条件を確認し、ポートが完了してテストが終わるまで現在のサービスを有効にしておいてください。旧サービスを終了する前に、受信と送信の配信状況、およびスタッフのアクセスを確認してください。