Is Outlook HIPAA-conform?

Outlook kan deel uitmaken van een HIPAA-gereguleerde workflow, maar de app alleen zorgt niet voor naleving. Voor een organisatie die beschermde gezondheidsinformatie (PHI) verwerkt, zijn de mailboxdienst, de toepasselijke overeenkomst, de beveiligingsconfiguratie en de omgang met documentkopieën allemaal van belang.

Dat onderscheid is vooral belangrijk wanneer de balie patiëntdossiers per fax vanuit Outlook verstuurt of faxmeldingen in een gedeelde mailbox ontvangt. Microsoft en de faxaanbieder hebben afzonderlijke verantwoordelijkheden, terwijl de organisatie zelf verantwoordelijk blijft voor het gebruik als geheel.

Welk Outlook-account en welke dienst gebruikt u?

Outlook is een interface om toegang te krijgen tot e-mail. Een desktop- of mobiele app kan verbinding maken met verschillende mailboxdiensten, dus de aanwezigheid van de app zegt niets over de hosting of het contract achter een account.

Microsoft vermeldt Exchange Online binnen het toepassingsgebied Commercial en Government Community Cloud (GCC) van zijn HIPAA-aanbod. Voor in aanmerking komende gedekte entiteiten en zakelijke partners is de BAA standaard beschikbaar via het toepasselijke Online Services Data Protection Addendum en de bijbehorende voorwaarden.

Controleer welke diensten en welke overeenkomst voor uw organisatie gelden. Outlook.com voor consumenten en Microsoft 365 Personal of Family zijn andere constructies; betaalde versleutelingsfuncties voor consumenten bieden niet dezelfde BAA-dekking voor organisaties.

Kies het abonnement op basis van de beveiligingsmaatregelen die uw workflow vereist. Voor authenticatie, preventie van gegevensverlies, berichtbeveiliging, audit en bewaarmogelijkheden kunnen aparte licenties en configuraties nodig zijn. Een werk- of schoolaccount alleen bevestigt niet dat elke beveiligingsmaatregel beschikbaar of ingeschakeld is.

Wat beschermt de e-mailversleuteling van Outlook?

Exchange Online gebruikt voor externe e-mail normaal gesproken opportunistische TLS. Dat betekent dat er wordt geprobeerd een beveiligde transportverbinding op te zetten, in plaats van die automatisch voor elke externe bestemming af te dwingen. Beheerders kunnen mailstromen met partners zo configureren dat TLS vereist is.

Transportversleuteling beschermt de verbinding. Deze regelt op zichzelf niet de toegang na aankomst, voorkomt niet dat berichten worden doorgestuurd en beschermt geen gedownloade kopie. Opties op berichtniveau, zoals Microsoft Purview Message Encryption en S/MIME, zijn andere mechanismen met eigen vereisten.

HHS staat het verzenden van ePHI per e-mail toe wanneer deze adequaat is beschermd. Beoordeel de daadwerkelijke beveiligingsmaatregelen en risico's; beschouw een versleutelingsfunctie niet als goedkeuring van elke workflow voor patiëntdocumenten.

Wat verandert er wanneer Outlook een patiëntfax verstuurt?

Met Fax.Plus maakt de Outlook-workflow gebruik van verzending via Email-to-Fax. Hiervoor wordt de bestaande e-mailclient gebruikt, in plaats van een eigen Fax.Plus-invoegtoepassing of faxknop voor Outlook. De Microsoft Word-invoegtoepassing en de API voor ontwikkelaars zijn aparte hulpmiddelen.

Voor PHI van een organisatie vereist de HIPAA-geschikte faxdienst van Fax.Plus Enterprise, ingeschakelde Advanced Security Controls (ASC) en een ondertekende BAA. De eigenaar of beheerder moet de beveiligde Email-to-Fax-opzet configureren, en het verzendadres moet een geautoriseerd, ingericht ledenadres zijn.

De verzendroute voor de zorgsector gebruikt het bestemmingsfaxnummer op . Gewoon betaald faxen per e-mail voldoet niet aan deze vereisten. Raadpleeg de HIPAA-vereisten voor Email-to-Fax voor het account voordat u patiëntdocumenten verstuurt.

Controleer het volledige documenttraject: Outlook-concepten en Verzonden items, de maildienst, het faxaccount, de verzendgegevens en de ontvangende organisatie. Bevestig welke kopieën op elk punt worden bewaard. Een geslaagde faxbevestiging meldt een technisch afleveringsresultaat en is geen bewijs dat iemand de dossiers heeft gelezen.

Kunnen faxmeldingen in Outlook bijlagen bevatten?

Ja. Fax.Plus ondersteunt optionele bijlagen bij verzonden en ontvangen faxen voor in aanmerking komende accounts waarvoor HIPAA is ingeschakeld. Onder ASC zijn meldingen standaard zonder bijlagen.

Voor het inschakelen van bijlagen is toestemming van de organisatie door een eigenaar of beheerder vereist, plus een individuele opt-in van het lid. De ontvangende server moet TLS 1.2 of hoger ondersteunen. Toestemming van de beheerder schakelt het verzenden van bijlagen niet automatisch in voor elk lid.

De actuele documentatie over bijlagen raadt aan de aflevering te testen. Meldingen gebruiken de beveiligde TLS-mailroute; als de ontvangende server de vereiste TLS-versie niet ondersteunt, wordt er geen meldingsmail verstuurd en blijft de fax in het Fax.Plus-archief staan.

Na aflevering is uw organisatie verantwoordelijk voor de bescherming van PHI in de mailbox. Dit is transportbescherming, geen versleuteling van de PDF op berichtniveau en geen garantie dat een doorgestuurde kopie beschermd blijft. Een praktijk die ook Gmail gebruikt, moet de faxworkflow van Google Workspace afzonderlijk beoordelen.

Hoe moet u omgaan met gedeelde mailboxen en mobiele toegang?

Bepaal welke medewerkers de melding nodig hebben, welke het document nodig hebben en wie patiëntdossiers mag versturen. Controleer bij een gedeelde mailbox de machtigingen van gemachtigden en of de verzendende identiteit is geautoriseerd voor de goedgekeurde Fax.Plus-configuratie. Gedeelde toegang autoriseert niet automatisch elk adres of elke afzender.

Controleer doorstuurregels, automatische archieven en downloads. Een melding kan gevoelige context onthullen, ook zonder bijlage; een bijgevoegde PDF creëert een extra documentkopie die passende toegangsbeperking en bewaring nodig heeft.

Betrek Outlook mobile in dezelfde beoordeling: toegang via apparaten, accountbeheer en lokaal toegankelijke kopieën. Wanneer medewerkers van functie wisselen of vertrekken, werkt u de mailboxmachtigingen, apparaattoegang en rechten voor het faxaccount tegelijk bij.

Wat vereist afzonderlijke contractuele dekking?

Als Microsoft en Fax.Plus beide elektronische PHI verwerken als afzonderlijke aanbieders, controleert u de toepasselijke Microsoft BAA-voorwaarden en sluit u de Fax.Plus BAA af. De overeenkomst van de ene aanbieder dekt de andere niet.

De overeenkomst met de faxaanbieder beveiligt ook geen onbeheerde doorstuurbestemming, privémailbox of archief van derden. Stel vast welke diensten en personen de informatie ontvangen en controleer de verantwoordelijkheden en maatregelen die voor elk daarvan gelden.

Voor een praktijk koppelt dit de vertrouwde Outlook-workflow aan specifieke accountvoorwaarden: de goedgekeurde mailbox, de geautoriseerde afzender, de faxdienst en de ontvangstbestemming. Test die configuratie met synthetische documenten voordat u patiëntdossiers gebruikt, inclusief hoe medewerkers een fax ophalen als e-mailbezorging niet beschikbaar is.