Het faxen van patiëntgegevens is routine in de zorg, en HIPAA staat dit toe. Wat de wet vraagt, zijn de juiste beveiligingsmaatregelen rond elke fax. Deze gids legt die maatregelen in gewone taal uit, hoe u daaraan voldoet met een online faxdienst en wat er in uw account verandert wanneer de HIPAA-modus is ingeschakeld.
- HIPAA staat het faxen van PHI toe met redelijke beveiligingsmaatregelen en een ondertekende BAA met uw aanbieder.
- Bij Fax.Plus maakt HIPAA-faxen deel uit van Enterprise, waarbij Advanced Security Controls op het hele account worden toegepast.
- HIPAA-modus verstuurt standaard e-mailmeldingen zonder bijlagen. Optionele bijlagen vereisen toestemming van de beheerder, individuele activering en TLS 1.2 of hoger op de ontvangende mailserver. Zapier is uitgeschakeld; de API, streaming en webhooks blijven werken.
Is faxen toegestaan onder HIPAA?
Ja. Het Amerikaanse ministerie van Volksgezondheid (HHS) bevestigt dat een zorgverlener voor behandeling beschermde gezondheidsinformatie naar een andere zorgverlener mag faxen. Beschermde gezondheidsinformatie (PHI) is alle gezondheidsinformatie waarmee een patiënt kan worden geïdentificeerd, van een diagnose tot een geboortedatum.
HIPAA vraagt om zorgvuldigheid, niet om een specifieke technologie. HHS verwijst naar 45 CFR 164.530(c), de vereiste voor beveiligingsmaatregelen uit de Privacy Rule, en geeft eenvoudige voorbeelden: controleer het faxnummer voordat u verstuurt en plaats het faxapparaat op een plek die onbevoegden niet kunnen bereiken.
Wat vereist HIPAA wanneer u faxt?
HIPAA beschrijft beveiligingsmaatregelen in drie groepen. Hieronder leest u wat elke groep betekent voor het faxen.
Administratieve beveiligingsmaatregelen. Beleid en mensen. Bepaal wie PHI per fax mag versturen en ontvangen, train deze mensen en controleer de nummers van ontvangers voordat u verstuurt. Verstuur alleen de informatie die de ontvanger nodig heeft.
Fysieke beveiligingsmaatregelen. Waar documenten terechtkomen. Een papieren fax in een gedeelde bak is het klassieke risico. Bij online faxen komt dat neer op ervoor zorgen dat faxen in een beschermd postvak terechtkomen in plaats van op een apparaat of in een gedeelde mailbox.
Technische beveiligingsmaatregelen. Hoe de gegevens in systemen worden beschermd. Dit omvat versleuteling, unieke gebruikerstoegang en auditlogs die laten zien wie een fax heeft verzonden, ontvangen of bekeken.
Veel organisaties gebruiken ook een voorblad met een vertrouwelijkheidsverklaring. HIPAA vereist dit niet specifiek, maar het is gangbaar. Fax.Plus biedt een gratis sjabloon voor een HIPAA-faxvoorblad.
Wat verandert er wanneer u een online faxdienst gebruikt?
Wanneer een leverancier PHI voor u opslaat of verzendt, wordt die uw zakelijke partner (business associate). HIPAA vereist dan een Business Associate Agreement (BAA): een overeenkomst waarin de leverancier zich ertoe verbindt de PHI die hij voor u verwerkt te beschermen. Zonder BAA is het versturen van PHI via de dienst niet compliant, hoe veilig de dienst ook is.
U wilt ook dat de technische beveiligingsmaatregelen ingebouwd zijn. Bij het Fax.Plus Enterprise-abonnement omvat dat:
- AES-256-versleuteling voor opgeslagen faxen en TLS-versleuteling tijdens verzending
- Rolgebaseerde toegang, zodat leden alleen zien wat hun rol toestaat
- Tweefactorauthenticatie, die beheerders kunnen afdwingen voor het team
- Audittrails van account- en faxactiviteit
- Een keuze uit waar uw faxgegevens worden opgeslagen, waaronder de Verenigde Staten en Canada
Er bestaat geen officiële HIPAA-certificering, niet voor fax en niet voor iets anders. Wanneer een leverancier zegt dat hij „HIPAA-compliant” is, gaat het erom dat hij een BAA ondertekent en de vereiste beveiligingsmaatregelen implementeert.
Hoe stelt u HIPAA-compliant faxen in op Fax.Plus?
HIPAA-compliant faxen op Fax.Plus is beschikbaar met het Enterprise-abonnement. De installatie bestaat uit drie stappen:
- Zorg dat u het Enterprise-abonnement hebt. De abonnementen Free, Basic, Premium en Business komen niet in aanmerking voor HIPAA en mogen niet worden gebruikt voor PHI.
- Schakel Advanced Security Controls in. Een accounteigenaar of beheerder activeert deze onder Instellingen, Beveiliging. Ze gelden in één keer voor het hele team.
- Vraag de BAA aan en onderteken deze. Zodra de BAA is ondertekend en de beveiligingsinstellingen zijn ingeschakeld, kan uw team PHI verzenden en ontvangen.
De HIPAA-modus wordt op accountniveau ingesteld, niet per gebruiker of per afdeling. Iedereen in het Enterprise-account werkt binnen dezelfde beveiligde omgeving, waardoor het risico verdwijnt dat een teamlid PHI faxt vanuit een onbeveiligd onderdeel van het account.
Wat verandert er wanneer de HIPAA-modus is ingeschakeld?
Teams willen dit meestal weten voordat ze overstappen, dus hier is het volledige overzicht.
| Functie | Standaardaccount | Met HIPAA-modus ingeschakeld |
|---|---|---|
| E-mailmeldingen | Kunnen de fax als bijlage bevatten | Standaard alleen meldingen; optionele bijlagen na toestemming van de beheerder en individuele activering, met TLS 1.2 of hoger op de ontvangende mailserver. |
| Slack-meldingen | Kunnen de fax als bijlage bevatten | Alleen melding, geen bijlage. |
| Ontvangen faxen per e-mail | Bezorging van bijlagen indien ingeschakeld; opties voor PDF of TIFF | Standaard alleen meldingen, of bijlagen na de vereiste opt-in en TLS-configuratie. De klant is verantwoordelijk voor de bescherming van bezorgde PHI in de eigen e-mailomgeving. |
| E-mail naar fax | Verzenden vanaf het geverifieerde e-mailadres van uw account naar number@fax.plus | Verzenden naar number@tls.fax.plus, met afgedwongen TLS; alleen gebruikers die in het account zijn aangemaakt kunnen verzenden |
| Zapier | Beschikbaar met Enterprise | Uitgeschakeld |
| REST API en webhooks | Beschikbaar met Enterprise | Blijven werken, inclusief Fax.Plus KI |
| Web- en mobiele apps | Beschikbaar | Blijven werken |
| Gebruikersbeheer en nummertoewijzing | Beschikbaar | Blijven werken |
Twee details zijn goed om te weten. Als iemand met een HIPAA-account per ongeluk het standaardadres @fax.plus gebruikt, leidt Fax.Plus het bericht automatisch om naar de TLS-beveiligde verwerking. En omdat Zapier is uitgeschakeld, is de API de route om fax te koppelen aan uw andere systemen in een HIPAA-workflow. Zie de HIPAA-fax-API voor meer informatie.
HIPAA-faxworkflows automatiseren
HIPAA-modus schakelt Zapier uit, maar stopt automatisering niet. E-mailbijlagen zijn een optionele, afzonderlijk ingeschakelde workflow. Op een HIPAA-account blijft de Fax.Plus API werken, en drie mogelijkheden zijn het belangrijkst voor de intake in de zorg:
- Faxstreaming. Elke pagina van een binnenkomende fax wordt naar uw systeem gestuurd zodra deze is ontvangen, zodat een verwijzing al vanaf pagina 1 kan worden beoordeeld. Streaming wordt op verzoek ingeschakeld en werkt op HIPAA-accounts.
- Webhooks van productiekwaliteit. Gebeurtenissen zijn ondertekend zodat uw server ze kan verifiëren, kunnen worden gefilterd op gebeurtenistype en faxnummer, en worden geleverd met een leveringslogboek, het opnieuw afspelen van gemiste gebeurtenissen en waarschuwingen wanneer een eindpunt blijft falen.
- Geen PHI in de payload. Webhook-gebeurtenissen bevatten faxgegevens zoals de status en het aantal pagina's, maar niet het document zelf. Uw systeem downloadt de fax zelf via de API.
De Fax.Plus MCP-server, waarmee KI-assistenten met fax kunnen werken, is niet beschikbaar op accounts met Advanced Security Controls. HIPAA-workflows gebruiken daarom in plaats daarvan de API.
Welke Fax.Plus-abonnementen kunnen worden gebruikt voor PHI?
Alleen Enterprise. Dit abonnement bundelt wat HIPAA-faxen nodig heeft: de BAA, Advanced Security Controls, auditlogboeken, rolgebaseerde toegang en opties voor gegevenslocatie. Lagere abonnementen bevatten deze niet en komen daarom niet in aanmerking voor PHI.
Voor de volledige lijst met beveiligingsmaatregelen, zie HIPAA-compliant faxen. Voor een inleiding over de wet zelf, zie wat is HIPAA.
Een checklist voor HIPAA-faxen
Controleer het volgende voordat uw team PHI faxt:
- Er is een BAA ondertekend met uw faxaanbieder.
- HIPAA-modus (Advanced Security Controls op Fax.Plus) is ingeschakeld voor het account.
- Alleen getraind personeel heeft toegang, met rollen die passen bij hun functie.
- Tweefactorauthenticatie is verplicht gesteld.
- Nummers van ontvangers worden vóór verzending bevestigd en waar mogelijk als contactpersoon opgeslagen.
- Faxen worden verzonden met alleen de informatie die de ontvanger nodig heeft.
- Medewerkers weten waar ontvangen faxen terechtkomen en dat PHI niet mag worden doorgestuurd naar persoonlijke e-mail of niet-goedgekeurde tools.
Veelgestelde vragen
Hoe verstuurt u een HIPAA-compliant fax?
Gebruik een faxdienst die een BAA ondertekent en faxen beschermt met versleuteling en toegangscontroles. Op Fax.Plus betekent dat een Enterprise-account met Advanced Security Controls ingeschakeld en een ondertekende BAA. Bevestig vervolgens het nummer van de ontvanger, verstuur alleen de informatie die nodig is en gebruik een voorblad met een vertrouwelijkheidsverklaring.
Is een faxnummer beschermd onder HIPAA?
Een faxnummer op zichzelf is geen gezondheidsinformatie. Maar faxnummers staan op de lijst met identificatiegegevens van HIPAA, dus een faxnummer dat is gekoppeld aan de gezondheidsinformatie van een patiënt maakt deel uit van de PHI van die patiënt en heeft dezelfde bescherming nodig.
Vereist HIPAA een faxvoorblad?
Nee, er is geen specifieke regel die dit voorschrijft. Veel organisaties gebruiken een voorblad met een vertrouwelijkheidsverklaring als onderdeel van hun beveiligingsmaatregelen. U kunt beginnen met de gratis sjabloon voor een HIPAA-faxvoorblad en bekijken wat u op een HIPAA-voorblad moet opnemen.
Is Fax.Plus HIPAA-gecertificeerd?
Er bestaat geen formeel HIPAA-certificeringsprogramma. Fax.Plus implementeert met het Enterprise-abonnement de technische beveiligingsmaatregelen van HIPAA en ondertekent BAA's met covered entities en business associates.
Kan ik HIPAA-modus voor slechts één afdeling inschakelen?
Nee. Op Fax.Plus geldt HIPAA-modus voor het hele Enterprise-account. Eén BAA dekt het account en elk lid werkt binnen de beveiligde omgeving.
Kan ik met HIPAA-modus ingeschakeld nog steeds faxen versturen vanuit e-mail?
Ja. HIPAA-accounts versturen Email-to-Fax via een speciaal adres, number@tls.fax.plus, waarbij TLS-versleuteling wordt afgedwongen. Alleen gebruikers die in uw account zijn aangemaakt, kunnen op deze manier versturen.
Kan ik Fax.Plus gebruiken voor PHI met het Basic-, Premium- of Business-abonnement?
Nee. HIPAA-compliant faxen vereist het Enterprise-abonnement met Advanced Security Controls en een ondertekende BAA.
Uitgelichte artikelen
Alles weergeven
Confédération Suisse
Confederazione Svizzera
Confederaziun Svizra
Zwitserse Bondsstaat
Innosuisse - Zwitsers Innovatieagentschap
