Slack は HIPAA に準拠していますか？

はい。Slack は、対象エンタープライズ契約、締結済みの BAA、必要な設定のもとで、HIPAA の規制対象となるスタッフ間の共同作業に利用できます。通常の Slack サブスクリプションや、インストール済みの fax アプリがあるだけでは、患者文書のワークフローが対象となることにはなりません。

受信した紹介状を調整する診療所にとって重要なのは、Slack に何が届くのかという点です。通知なのか、識別情報なのか、リンクなのか、fax そのものなのかを確認します。Slack との契約、fax プロバイダーとの契約、アクセス制御は、その実際のデータの流れに合致している必要があります。

対象となる Slack の組織と契約はどれですか？

Slack の現行の規約では、対象となるエンタープライズレベルのプラン、署名済みの Business Associate Agreement（BAA）、指定された組織での HIPAA 有効化の確認が必要です。現在の購入では、この契約専用の注文項目である Slack の HIPAA Enabled SKU も必要です。GovGrid は対象外です。

契約に記載されている Enterprise+ またはレガシー Grid の組織と、その対象となるワークスペースを確認してください。指定された組織が対象となっても、お客様が所有する他のすべての組織に自動的に適用されるわけではありません。

該当する BAA、HIPAA 対象事業体向けの最新ガイド、有効化の確認を Slack から入手してください。許可される利用、アクセス、モニタリング、文書の取り扱いなど、HIPAA 全般の遵守に対する責任は、引き続きお客様の組織にあります。

患者に関連する fax 通知を受信できるのは誰ですか?

Slack の HIPAA ガイドでは、保護対象保健情報（PHI）の共有にはプライベートチャンネルを使用するよう指示されています。メンバーを追加する前に、そのチャンネルの既存の履歴を確認してください。メンバーになると、今後のメッセージだけでなく、過去の患者に関するやり取りも閲覧できる可能性があります。

閲覧できる範囲は、文書を取り扱うスタッフに合わせてください。ゲスト、外部の参加者、チャンネルの変更、退職時の手続きを確認します。Slack Connect を使う場合は、権限と法的に許可された共有であることを確認してください。この機能を使っても、それらの要件がなくなるわけではありません。プライベートチャンネルは通常のメンバーだけに表示されるとは限らないため、許可されたエクスポートや Discovery によるアクセスも、閲覧範囲の評価に含めてください。

HIPAA の契約は、患者向けのコミュニケーションではなく、スタッフ間の共同作業を対象としています。Slack のガイドでは、患者、プランの加入者、その家族や雇用主とのコミュニケーションを禁止しており、これらの人々をワークスペースやチャンネルのユーザーまたはゲストとして追加することも禁止しています。ケアチームのチャンネルで紹介状の通知を共有することと、紹介状について患者にメッセージを送ることは、用途が異なります。

Fax.Plus の Slack 連携では何ができますか?

Fax.Plus は、新着 fax の通知と送信した fax のステータスを確認できるネイティブの Slack 連携を提供しています。一般的な連携設定には任意の添付ファイルが含まれますが、ヘルスケア向けに利用できる動作は異なります。

組織で PHI を扱う場合、Fax.Plus のヘルスケア向け faxにはEnterprise、有効化された Advanced Security Controls（ASC）、署名済みの BAA が必要です。Business プランで一般的な連携が利用できるからといって、そのプランが PHI を扱うための同等の契約になるわけではありません。

ASC を使用すると、Slack の通知はfax ファイルを添付せずに継続されます。fax は、承認された Fax.Plus の環境内で取得してください。ASC 連携のドキュメントではこの範囲について説明しています。一般的な通知機能については、ネイティブの Slack 連携のドキュメントをご覧ください。

これらの通知によって、Slack 内でネイティブに新しい fax を作成できるようになるわけではありません。また、通知だけでは、誰が文書の確認を担当することになったのかも分かりません。

添付ファイルなしの通知では、どのような情報が見えてしまいますか？

承認されたアカウント設定で、実際の通知フィールドを確認してください。文書が Fax.Plus に残っていても、fax 番号、識別子、状況を伝えるメッセージから機密情報が分かってしまうことがあります。

Slack の閲覧対象と、リンク先リソースの権限の両方を確認してください。チャンネルメンバーが通知を見られることと、fax を開く権限があることは、別々に判断する必要があります。コラボレーションプラットフォームを検討している場合は、独自のアカウントおよび通知ルールが適用されるMicrosoft Teams での fax 連携と比較してください。

たとえば、プライベートの受付チャンネルで、fax への対応が必要であることを担当スタッフに知らせつつ、文書は fax アカウント内に残しておくことができます。この運用を採用する前に、表示される項目と権限のあるユーザーを確認してください。添付ファイルがないからといって PHI が含まれないとは考えないでください。デバイスのロックが解除される前に、患者に関連する内容がプレビューに表示されないよう、モバイル通知のプレビューを設定してください。

fax のメールと添付ファイルはどうなりますか？

Fax.Plus の任意のセキュアなメール添付ファイルには別途要件があり、ASC における Slack の添付ファイルに関するポリシーは変わりません。メールのオプションを有効にしても、Slack での fax ファイルの添付は有効になりません。

fax をメールで安全に配信できても、患者の fax を Slack に転送することが承認されたことにはなりません。メールの取り込みは別個の連携であり、利用可否、通信要件、受信者、保持されるコピーを個別に評価する必要があります。患者の fax を調整する場合は、承認されたネイティブの通知と文書取得のワークフローを使用してください。

Slack の BAA は fax プロバイダーも対象としますか？

いいえ。Slack の BAA は、独立した fax サービスやサードパーティ製アプリのプロバイダーを自動的に対象とするものではありません。両方のプロバイダーが電子 PHI を取り扱う場合は、それぞれの関係に対して適用される契約上の保護が必要です。

Slack の契約内容を確認し、Enterprise および ASC の要件とあわせて Fax.Plus BAA を締結してください。Alohi の HIPAA ドキュメントでは、fax アカウントの前提条件について説明しています。アプリが一覧に表示されていることや接続に成功したことは、どちらのプロバイダーの契約の代わりにもなりません。

記録の保管場所と確認の責任はどこに置くべきですか？

Slack を PHI の正式な記録保管先にしてはいけません。fax 文書は承認された文書ワークフロー内で保管し、必要な臨床記録への保存は組織の記録管理ポリシーに従って完了してください。

関連するメッセージ、fax 文書、エクスポートデータ、ダウンロードしたコピーの間で保持期間を揃えてください。Slack 環境に対する監視とデータ損失防止の方針を定め、管理者が実際に確認できる証跡の範囲を確認してください。メッセージのエクスポートを、すべての文書の閲覧やダウンロードを網羅した完全な記録とみなしてはいけません。

受信した fax を誰が確認するのか、不在時には他のスタッフがどのようにカバーするのか、完了をどのように記録するのかを取り決めてください。配信された通知は、担当者を割り当てたり、臨床的な確認を証明したり、患者のカルテを自動的に更新したりするものではありません。患者に関する業務で使用する前に、想定している通知とアクセス設定を、模擬文書でテストしてください。