Microsoft Teams は HIPAA に準拠していますか？

はい、Microsoft Teams は、対象となる covered entity と business associate 向けの Microsoft の HIPAA 契約の枠組みに含まれています。HIPAA/HITECH の提供内容に関するドキュメントでは、Teams が Commercial および Government Community Cloud (GCC) のサービス範囲に含まれるとされています。ただし、組織で適用される契約、サブスクリプション、構成を確認する必要があります。

Microsoft の Business Associate Agreement (BAA) の義務は、該当する Data Protection Addendum およびサービス条件に組み込まれています。申請と署名の手続きが別途あると想定しないでください。この契約上の適用範囲があっても、組織が自動的に HIPAA に準拠するわけではありません。

患者のドキュメントを扱う医療機関では、次に保護対象保健情報 (PHI) の行き先を確認します。Teams のチャット、チャネル、接続されたファイルストレージ、メールボックス、fax プロバイダーなどが該当します。それぞれの境界が、アクセス権限と責任範囲に影響します。

Microsoft との契約関係で何を確認すべきですか？

組織に適用されるテナント、cloud 環境、購入済みのサービス、条件を特定してください。使用する Teams サービスが該当する HIPAA の提供範囲に含まれていることを確認します。対象となる Microsoft サービスに関する記載を、すべての無料アカウントやサブスクリプションに当てはめないでください。

ライセンスで利用できる保護機能を確認してください。データ損失防止、監査、保持、その他のガバナンス機能には、ライセンスと構成の要件があります。承認されたワークフローに必要な制御に合わせて、サブスクリプションを選択してください。

全体的な利用、スタッフのアクセス、ドキュメントの取り扱いについては、引き続き組織が責任を負います。対象範囲内のサービスは、構成済みのワークフローを構築するための出発点にすぎません。

患者のドキュメントは実際にどこへ送られますか？

連絡用のメッセージと、その対象となるドキュメントを切り分けてください。スタッフがフォローアップを調整している間も、fax は承認済みの fax アカウント内にとどめておけますが、患者を特定できるメッセージや紹介の詳細が分かるメッセージは、それ自体に PHI が含まれる場合があります。

各ステップで、何が投稿されるのかを特定してください。ステータスのテキスト、fax 番号、患者の識別情報、ドキュメントのリンク、添付ファイル、プレビューなどが該当します。そのうえで、誰がその会話にアクセスでき、誰が元のドキュメントを開けるのかを確認します。Slack を導入している場合は、Slack の fax 通知における境界を別途確認してください。

Teams のチャット、Teams Phone、接続されたファイルストレージ、fax アプリは、患者とスタッフのコミュニケーションワークフローを構成する別々の要素です。Microsoft のサービスに適用される BAA は、別の fax プロバイダーや接続されたすべてのアプリケーションを自動的に契約の対象とするものではありません。

チャネル、ファイル、スタッフのアクセスはどのように管理すべきですか？

患者に関する通知をチャネルやチャットに送る前に、想定する閲覧者を確認してください。この評価には、ゲストアクセス、外部の参加者、スタッフの異動も含めます。

会話のメンバーシップとドキュメントの権限の両方を確認してください。リンク先のリソースには別のアクセスルールが設定されている場合があり、添付ファイルは個別の取り扱いが必要なコピーを生み出します。会話、接続されたストレージ、ダウンロードされたコピーのすべてについて、保持とエクスポートを確認してください。

ダミーのドキュメントを使って、実際の構成を検証してください。誰が通知を受け取るのか、通知で何が見えるのか、誰がファイルを開けるのか、その人のアクセス権を削除するとどうなるのかを確認します。検証に成功しても、確認できるのは動作であり、全体的なコンプライアンスが保証されるわけではありません。

Fax.Plus の Teams 連携はどのような位置づけですか？

Fax.Plus にはネイティブの Microsoft Teams 連携があります。この連携では、fax の受信通知と、送信成功や失敗などの送信ステータス通知が、関連する fax の詳細とリンクとともに届きます。一般的な連携オプションには、添付ファイルも含まれます。

ネイティブ連携が提供するのは通知と追跡であり、Teams 内で fax を作成・送信する画面はありません。一般的な連携の利用条件と設定方法については、Fax.Plus の Teams ドキュメントをご覧ください。

これらの一般的な手順では、Advanced Security Controls (ASC) の下で許可される具体的な動作は確認できません。PHI を扱う用途で連携を使用する前に、お使いのアカウントでの利用可否、メッセージの内容、添付ファイルの取り扱い、許可される構成について Fax.Plus に確認してください。

添付ファイルのない通知であっても、PHI が含まれないとは限りません。番号、識別情報、その他のメッセージの詳細が機密に当たる場合があります。このオプションを、チャネルが患者関連の業務に適している証拠とみなさないでください。

fax プロバイダーとの契約では、何をカバーする必要がありますか？

Fax.Plus の医療向け fax 構成には、Enterprise、有効化された Advanced Security Controls、署名済みの BAA が必要です。これらの前提条件については、Alohi の HIPAA ドキュメントで説明しています。Business プランで一般的な Teams 連携を利用できるからといって、そのプランが PHI 用の代替として適格になるわけではありません。

Microsoft と Fax.Plus がそれぞれ別のプロバイダーとして電子的な PHI を作成、受信、保持、または送信する場合は、該当する Microsoft の BAA 条件を確認したうえで、Fax.Plus の BAA を締結してください。一方のプロバイダーとの契約は、もう一方をカバーしません。HHS の cloud ガイダンスでは、cloud プロバイダーを利用する covered entity と business associate に求められる契約要件を説明しています。

Teams との接続を評価している間は、fax ドキュメントを承認済みの医療ワークフロー内にとどめてください。Fax.Plus ASC では Zapier を利用できないため、Zapier の一般的な自動化の例は、これらのアカウントにおける医療向けの設定にはなりません。

ワークフローを接続する前に、クリニックは何を承認しておくべきですか？

どのサービスが fax を保管するのか、どのスタッフが取り扱うのか、患者情報を Teams に含めてよいかどうかを取り決めてください。Microsoft の条件、fax プロバイダーとの契約、必要なアカウント設定をあわせて確認してください。

受付担当者には、紹介状が不要なチャネルへの露出なく、意図した確認担当者に届く流れを実演してください。IT担当者には、許可するメッセージ項目、アクセスルール、保持期間、ユーザーの削除について文書化してください。

この連携が医療向けの用途でどのように動作するかを確認できていない場合は、患者のドキュメントには承認済みの fax アカウントを使用し、組織で定められた連絡手順に従ってください。