Is Microsoft Teams HIPAA-conform?

Ja, Microsoft Teams valt onder het contractuele HIPAA-kader van Microsoft voor in aanmerking komende covered entities en business associates. In de documentatie over het HIPAA/HITECH-aanbod wordt Teams genoemd binnen de servicereikwijdte van Commercial en Government Community Cloud (GCC). Uw organisatie moet nog steeds nagaan welke overeenkomst, welk abonnement en welke configuratie van toepassing zijn.

De verplichtingen uit de Business Associate Agreement (BAA) van Microsoft zijn opgenomen in het toepasselijke Data Protection Addendum en de servicevoorwaarden. Ga er niet van uit dat er een aparte aanvraag- en ondertekeningsprocedure bestaat. Die contractuele dekking maakt een organisatie niet automatisch HIPAA-compliant.

Voor een praktijk die patiëntdocumenten verwerkt, is de volgende vraag waar beschermde gezondheidsinformatie (PHI) terechtkomt: in een Teams-chat, een kanaal, gekoppelde bestandsopslag, een mailbox of bij een faxprovider. Elke grens heeft invloed op toegang en verantwoordelijkheden.

Wat moet u controleren in uw Microsoft-regeling?

Stel vast welke tenant, cloudomgeving, aangeschafte diensten en voorwaarden voor uw organisatie gelden. Controleer of de Teams-service die u gaat gebruiken onder het toepasselijke HIPAA-aanbod valt; breid een verklaring over in aanmerking komende Microsoft-diensten niet uit naar elk gratis account of abonnement.

Bekijk welke beveiligingsmaatregelen uw licenties bieden. Voor preventie van gegevensverlies, audit, bewaring en andere governancefuncties gelden licentie- en configuratievereisten. Stem het abonnement af op de controles die uw goedgekeurde workflow vereist.

De organisatie blijft verantwoordelijk voor het totale gebruik, de toegang van medewerkers en de omgang met documenten. Een dienst die binnen de reikwijdte valt, is een beginpunt voor een geconfigureerde workflow.

Waar gaat het patiëntdocument daadwerkelijk naartoe?

Scheid een coördinatiebericht van het document waarop het betrekking heeft. Een fax kan in een goedgekeurd faxaccount blijven terwijl medewerkers de opvolging afstemmen, maar een bericht waarin de patiënt wordt genoemd of verwijsgegevens worden getoond, kan zelf PHI bevatten.

Bepaal voor elke stap wat er wordt geplaatst: statustekst, een faxnummer, een patiëntidentificatie, een documentlink, een bijlage of een voorbeeldweergave. Controleer vervolgens wie toegang heeft tot het gesprek en wie het onderliggende document kan openen. Controleer bij een Slack-implementatie afzonderlijk de grenzen van faxmeldingen in Slack.

Teams-chat, Teams Phone, gekoppelde bestandsopslag en een fax-app zijn verschillende onderdelen van een communicatieworkflow voor patiënten en medewerkers. Een BAA die van toepassing is op Microsoft-diensten, zorgt niet automatisch voor contractuele dekking van een aparte faxprovider of van elke gekoppelde applicatie.

Hoe beheert u kanalen, bestanden en toegang van medewerkers?

Bevestig de beoogde doelgroep voordat u patiëntgerelateerde meldingen in een kanaal of chat toestaat. Betrek gasttoegang, externe deelname en wijzigingen in het personeelsbestand bij die beoordeling.

Controleer zowel het lidmaatschap van het gesprek als de documentrechten. Een link kan leiden naar een bron met andere toegangsregels, terwijl een bijlage een kopie oplevert die een eigen behandeling nodig heeft. Controleer bewaring en export in het gesprek, de gekoppelde opslag en eventuele gedownloade kopieën.

Demonstreer de feitelijke configuratie met synthetische documenten: wie ontvangt een melding, wat wordt daarin getoond, wie kan het bestand openen en wat gebeurt er wanneer de toegang van die persoon wordt ingetrokken. Een geslaagde demonstratie verifieert het gedrag, maar garandeert niet dat het geheel compliant is.

Hoe past de Fax.Plus Teams-integratie hierin?

Fax.Plus heeft een native Microsoft Teams-integratie. Deze biedt meldingen voor binnenkomende faxen en de status van uitgaande faxen, inclusief verzonden of mislukte resultaten, met relevante faxgegevens en een link. Algemene integratieopties omvatten ook bijlagen.

De native integratie biedt meldingen en tracking; ze biedt geen scherm in Teams om een fax op te stellen of te versturen. De Fax.Plus Teams-documentatie beschrijft de algemene geschiktheid en installatie van de integratie.

Die algemene instructies bepalen niet het precieze gedrag dat is toegestaan onder Advanced Security Controls (ASC). Bevestig bij Fax.Plus voor uw account de beschikbaarheid, de berichtinhoud, de verwerking van bijlagen en de toegestane configuratie voordat u de integratie met PHI gebruikt.

Meldingen zonder bijlagen zijn niet automatisch vrij van PHI. Nummers, identificatiegegevens of andere berichtdetails kunnen gevoelig zijn. Beschouw die optie niet als bewijs dat een kanaal geschikt is voor patiëntgerelateerde activiteiten.

Wat moet de overeenkomst met de faxprovider dekken?

De faxconfiguratie voor de zorg van Fax.Plus vereist Enterprise, ingeschakelde Advanced Security Controls en een ondertekende BAA. De Alohi HIPAA-documentatie legt deze vereisten uit. Algemene beschikbaarheid van de Teams-integratie op Business maakt dat abonnement niet tot een geschikt alternatief voor PHI.

Als Microsoft en Fax.Plus als afzonderlijke providers beide elektronische PHI aanmaken, ontvangen, bewaren of verzenden, bevestig dan de toepasselijke Microsoft BAA-voorwaarden en sluit de Fax.Plus BAA af. De overeenkomst van de ene provider dekt de andere niet. De HHS-richtlijnen voor de cloud leggen de contractuele vereisten uit voor covered entities en business associates die cloudproviders gebruiken.

Houd faxdocumenten binnen de goedgekeurde zorgworkflow terwijl de Teams-koppeling wordt beoordeeld. Zapier is niet beschikbaar onder Fax.Plus ASC, dus de algemene automatiseringsvoorbeelden zijn voor deze accounts geen zorgconfiguratie.

Wat moet de praktijk goedkeuren voordat de workflow wordt gekoppeld?

Maak afspraken over welke dienst de fax bewaart, welke medewerkers deze verwerken en of patiëntgegevens in Teams zijn toegestaan. Controleer de voorwaarden van Microsoft, de overeenkomst met de faxprovider en de vereiste accountinstellingen in samenhang.

Laat voor de balie zien hoe een verwijzing de beoogde beoordelaar bereikt zonder onnodige blootstelling in het kanaal. Leg voor IT de toegestane berichtvelden, toegangsregels, bewaartermijnen en het verwijderen van gebruikers vast.

Als het gedrag van de koppeling voor de zorg niet is bevestigd, gebruikt u het goedgekeurde faxaccount voor patiëntdocumenten en volgt u de vastgestelde communicatieprocedure van uw organisatie.