HIPAA-conformiteit van Google Workspace

Google Workspace kan HIPAA-conforme workflows ondersteunen, maar naleving hangt af van de overeenkomst, de configuratie en het gebruik door de organisatie. Het afsluiten van een abonnement voltooit deze stappen niet.

Voor een zorgpraktijk gaan de praktische vragen vaak over Gmail en Drive. Mogen medewerkers patiëntdocumenten e-mailen? Wie kan een gedeeld bestand openen? Wat verandert er wanneer een document Workspace verlaat via een online faxservice?

Elke overdracht telt. De BAA van Google dekt bepaalde Google-services; ze geldt niet voor elke applicatie die aan een account is gekoppeld.

Wat de HIPAA-overeenkomst van Google dekt

Google biedt een Business Associate Agreement aan voor gedekte Workspace- en Cloud Identity-services. De overeenkomst legt de verantwoordelijkheden van Google en de klant vast.

Uw organisatie blijft verantwoordelijk voor hoe zij die services gebruikt. Informatie die buiten de gedekte services wordt verwerkt, onder meer via applicaties van derden of lokale opslag, valt buiten het bereik van die overeenkomst. HIPAA-BAA van Google.

Gedekte functionaliteit omvat Gmail en Drive, inclusief Docs, Sheets, Slides en Forms. Raadpleeg de actuele documentatie van Google wanneer u een bepaalde service of functie beoordeelt. Door Google voor HIPAA ondersteunde services.

Een organisatorisch Workspace-account moet ook worden onderscheiden van een persoonlijk Gmail-account. De vertrouwde Google-interface brengt een persoonlijk account niet onder de overeenkomst van de praktijk.

Google Workspace voorbereiden op PHI

Accepteer de BAA voordat u patiëntgegevens verwerkt

Een superbeheerder kan de HIPAA-overeenkomst bekijken en accepteren via de Admin-console onder Account → Accountinstellingen → Juridisch en compliance.

Bevestig de acceptatie voor het betreffende organisatieaccount en bewaar een bewijs. Google vereist de BAA voordat PHI wordt gebruikt binnen de gedekte regeling. Instructies voor de overeenkomst van Google.

De Workspace-editie bepaalt welke beheerfuncties beschikbaar zijn. Vergelijk de beveiligings-, beheer- en bewaarinstellingen die uw implementatie nodig heeft, in plaats van een abonnementsnaam als bevestiging van naleving te beschouwen.

Wijs de verantwoordelijkheid voor accounttoegang toe

Bepaal welke accounts patiëntgegevens verwerken en welke services elke persoon nodig heeft.

Controleer authenticatie, accountherstel, beheerdersrechten en procedures bij uitdiensttreding. Het intrekken van de toegang van een voormalige medewerker mag niet afhangen van het wijzigen van een wachtwoord dat door de hele praktijk wordt gedeeld.

Wijs iemand aan die verantwoordelijk is voor deze instellingen. Leg vast wie de deelregels mag wijzigen, gekoppelde applicaties mag goedkeuren en onverwachte toegang onderzoekt.

Google biedt instellingen om toegang van derden tot Workspace-gegevens te controleren en te beperken. Controleer de machtigingen die elke applicatie aanvraagt voordat u deze autoriseert. Instellingen van Google voor applicatietoegang.

Beperk het delen in Drive bewust

Controleer bij patiëntdocumenten welke personen en groepen daadwerkelijk toegang hebben.

De HIPAA-richtlijnen van Google raden aan om PHI niet in titels van bestanden, mappen en gedeelde schijven op te nemen. Ze beschrijven ook instellingen voor zichtbaarheid en extern delen. HIPAA-implementatiegids van Google.

Controleer ook het groepslidmaatschap, niet alleen het deelscherm van het bestand. Een groep die vorig jaar passend was, kan nu andere medewerkers bevatten.

Controleer voordat u een Drive-link extern verstuurt de beoogde ontvanger en diens toegang. Delen met een specifieke persoon biedt een andere afbakening dan een document beschikbaar maken voor iedereen die de link ontvangt.

Kan Gmail worden gebruikt voor patiëntgegevens?

Gmail behoort tot de gedekte services van Google, maar de organisatie moet de toepasselijke overeenkomst en configuratie zelf tot stand brengen.

Controleer meer dan alleen het bericht zelf. De keuze van ontvangers, doorsturen, gemachtigden, bijlagen en gekoppelde applicaties kunnen bepalen waar informatie terechtkomt.

Ook transportinstellingen zijn belangrijk. Gmail probeert normaal gesproken TLS te gebruiken, maar Google legt uit dat het bericht zonder TLS kan worden afgeleverd wanneer de ontvangende server dit niet ondersteunt. Beheerders kunnen TLS verplicht stellen voor opgegeven domeinen of adressen via de instelling voor beveiligd transport. Richtlijnen van Google over TLS in Gmail.

TLS beveiligt een transportverbinding. Het bepaalt niet wie het bericht daarna opent en regelt evenmin wat er met een gedownloade bijlage gebeurt.

Medewerkers moeten ook weten hoe ze met afleverfouten omgaan. Als een beveiligingsinstelling een bericht blokkeert, moet iemand de communicatie die niet is aangekomen opvolgen.

De BAA van Google dekt geen fax-add-ons

Google geeft uitdrukkelijk aan dat applicaties van derden, waaronder add-ons, niet onder de Workspace-BAA vallen. HIPAA-richtlijnen van Google Workspace.

Bekijk voordat u een faxapplicatie koppelt de overeenkomst van de aanbieder, het vereiste abonnement en de toegestane configuratie. Controleer welke machtigingen de applicatie vraagt en tot welke documenten zij toegang heeft.

De HIPAA-faxconfiguratie van Fax.Plus vereist Enterprise, ingeschakelde Advanced Security Controls en een ondertekende BAA. Basic, Premium en Business bieden geen alternatieve HIPAA-geschikte configuratie. Vereisten van Fax.Plus voor de zorgsector.

Beoordeel de daadwerkelijke verzendroute onder die beveiligingsmaatregelen. Een algemene integratiehandleiding bewijst niet dat elke functie beschikbaar is of in de zorgconfiguratie op dezelfde manier werkt.

Een patiëntdocument vanuit Workspace per fax versturen

Een praktijk kan een document in Workspace voorbereiden of opslaan, terwijl een externe organisatie het op een faxnummer verwacht.

Een mogelijkheid is om het toegestane document voor te bereiden, een geschikte kopie te exporteren en deze te uploaden via de HIPAA-geconfigureerde Fax.Plus-webapplicatie. Controleer het pakket en verifieer de ontvanger voordat u verzendt.

Exporteren creëert een extra kopie. De omgang ermee op de werkplek moet voldoen aan de regels van de praktijk voor apparaten en opslag.

Gmail gebruiken voor HIPAA-Email-to-Fax

Fax.Plus ondersteunt ook een speciale HIPAA-route voor Email-to-Fax.

De afzender moet een ingerichte, geautoriseerde gebruiker zijn bij wie Email-to-Fax is ingeschakeld. Het bestemmingsadres bestaat uit het faxnummer van de ontvanger gevolgd door .

Laat de beheerder het account en de mailconfiguratie controleren voordat medewerkers die voor patiëntdocumenten gebruiken. Volg het gedocumenteerde adresformaat voor de zorgsector en ga er niet van uit dat een algemene integratieknop de juiste route voorbereidt. Vereisten voor HIPAA-Email-to-Fax van Fax.Plus.

Wijs bij beide routes iemand aan die verantwoordelijk is voor het controleren van het verzendresultaat. Een e-mail in Verzonden bewijst niet dat de fax is aangekomen. Een geslaagde fax betekent dat het ontvangende eindpunt de ontvangst heeft bevestigd; het bewijst niet dat het document klinisch is beoordeeld of gearchiveerd. Verzendstatus van Fax.Plus.

Faxen ontvangen in Gmail

Fax.Plus gebruikt voor accounts met HIPAA ingeschakeld standaard e-mailbezorging met alleen meldingen.

Optionele faxbijlagen vereisen toestemming van de organisatie via de eigenaar of beheerder, een individuele opt-in van de gebruiker en een ontvangende mailserver die TLS 1.2 of hoger ondersteunt.

Als de vereiste TLS-bezorging mislukt, wordt er geen vervangende meldingsmail verzonden. De fax blijft beschikbaar in Fax.Plus. Medewerkers die verantwoordelijk zijn voor inkomende documenten moeten met dit gedrag rekening houden. Vereisten voor e-mailbijlagen bij HIPAA-faxen.

Zodra een bijlage in Gmail aankomt, is de praktijk verantwoordelijk voor de bescherming van die kopie in de mailbox. Controleer toegang, delegatie, doorsturen, downloads en bewaartermijnen voordat u de functie inschakelt.

Kies voor toegang via de portal of voor bijlagen, afhankelijk van het werk dat medewerkers moeten uitvoeren. Bijlagen kunnen het wisselen tussen applicaties verminderen, maar voegen een extra locatie toe waar het document wordt bewaard.

Het openen van een melding bewijst ook niet dat iemand de fax heeft beoordeeld of de vereiste actie heeft voltooid. Wijs inkomende documenten toe aan een persoon of team en zorg voor vervanging wanneer de gebruikelijke ontvanger afwezig is.

Ontvangen documenten opslaan in Drive

Wanneer de praktijk dit toestaat, kunnen medewerkers een kopie van een document in een beperkte Drive-locatie plaatsen.

Bevestig de patiënt en het document voordat u archiveert, controleer de doelmap en de bijbehorende machtigingen. Hanteer naamgevingsconventies die patiëntgegevens in titels niet onnodig zichtbaar maken.

Het importeren van een Drive-bestand in een faxworkflow zorgt er niet voor dat inkomende faxen automatisch een back-up in Drive krijgen. Het opslaan van een fax in Drive werkt ook niet automatisch een patiëntendossier bij.

Bepaal op welke locatie het bewaarde dossier staat en hoe extra kopieën worden behandeld. Het verwijderen van een document in de ene applicatie bewijst niet dat kopieën in e-mail, Drive of lokale downloads ook zijn verwijderd.

Test het proces met documenten zonder patiëntgegevens voordat medewerkers het in gebruik nemen. Volg één uitgaand document van de bron tot en met de verzending, en daarna één inkomend document tot en met beoordeling en archivering. Neem ook een mislukte bezorging mee, zodat de persoon die de wachtrij bewaakt weet wat de volgende stap is.