Zgodność Google Workspace z HIPAA

Google Workspace może wspierać procesy zgodne z HIPAA, ale zgodność zależy od umowy zawartej przez organizację, konfiguracji i sposobu korzystania. Samo wykupienie subskrypcji nie realizuje tych kroków.

W placówce medycznej praktyczne pytania często dotyczą Gmaila i Dysku. Czy pracownicy mogą wysyłać dokumenty pacjentów e-mailem? Kto może otworzyć udostępniony plik? Co się zmienia, gdy dokument opuszcza Workspace za pośrednictwem usługi faksu online?

Każde przekazanie ma znaczenie. Umowa BAA firmy Google obejmuje wskazane usługi Google; nie rozciąga się na każdą aplikację połączoną z kontem.

Co obejmuje umowa HIPAA firmy Google

Google oferuje umowę Business Associate Agreement dla objętych nią usług Workspace i Cloud Identity. Umowa określa obowiązki firmy Google i klienta.

Organizacja nadal odpowiada za sposób korzystania z tych usług. Informacje przetwarzane poza usługami objętymi umową, w tym za pośrednictwem aplikacji zewnętrznych lub w pamięci lokalnej, nie wchodzą w zakres tej umowy. Umowa HIPAA BAA firmy Google.

Objęte funkcje obejmują Gmaila i Dysk, w tym Dokumenty, Arkusze, Prezentacje i Formularze. Oceniając konkretną usługę lub funkcję, sprawdź aktualną dokumentację Google. Usługi Google obsługujące HIPAA.

Organizacyjne konto Workspace należy też odróżniać od osobistego konta Gmail. Znajomy interfejs Google nie sprawia, że konto osobiste podlega umowie placówki.

Jak przygotować Google Workspace do obsługi PHI

Zaakceptuj umowę BAA przed rozpoczęciem przetwarzania informacji o pacjentach

Superadministrator może zapoznać się z umową HIPAA i ją zaakceptować w konsoli administracyjnej w sekcji Konto → Ustawienia konta → Kwestie prawne i zgodność.

Potwierdź akceptację dla odpowiedniego konta organizacyjnego i zachowaj dokumentację. Google wymaga umowy BAA, zanim PHI będzie używane w ramach objętego nią rozwiązania. Instrukcje dotyczące umowy Google.

Wersja Workspace określa, które funkcje administracyjne są dostępne. Porównaj funkcje bezpieczeństwa, zarządzania i przechowywania danych potrzebne w Twoim wdrożeniu, zamiast traktować nazwę planu jako potwierdzenie zgodności.

Przypisz odpowiedzialność za dostęp do kont

Określ, które konta przetwarzają informacje o pacjentach i z jakich usług potrzebuje korzystać każda osoba.

Sprawdź uwierzytelnianie, odzyskiwanie kont, uprawnienia administratorów i procedury odejścia z pracy. Odebranie dostępu byłemu pracownikowi nie powinno zależeć od zmiany hasła współdzielonego przez całą placówkę.

Wyznacz osobę odpowiedzialną za te ustawienia. Udokumentuj, kto może zmieniać zasady udostępniania, zatwierdzać połączone aplikacje i badać nieoczekiwany dostęp.

Google udostępnia mechanizmy kontroli umożliwiające przeglądanie i ograniczanie dostępu aplikacji zewnętrznych do danych Workspace. Przed autoryzacją każdej aplikacji sprawdź uprawnienia, o które prosi. Kontrola dostępu aplikacji w Google.

Świadomie ograniczaj udostępnianie na Dysku

W przypadku dokumentów pacjentów sprawdzaj rzeczywiste osoby i grupy, które mają dostęp.

Wytyczne Google dotyczące HIPAA zalecają unikanie PHI w nazwach plików, folderów i dysków współdzielonych. Opisują też mechanizmy kontroli widoczności i udostępniania zewnętrznego. Przewodnik wdrażania HIPAA w Google.

Sprawdzaj członkostwo w grupach, a nie tylko ekran udostępniania pliku. Grupa, która była odpowiednia rok temu, może teraz obejmować innych pracowników.

Przed wysłaniem linku do Dysku poza organizację potwierdź, kto jest zamierzonym odbiorcą i jaki ma dostęp. Udostępnienie konkretnej osobie daje inną granicę ochrony niż udostępnienie dokumentu każdemu, kto uzyska link.

Czy Gmaila można używać do informacji o pacjentach?

Gmail należy do usług objętych umową Google, ale organizacja musi zawrzeć odpowiednią umowę i dokonać właściwej konfiguracji.

Sprawdź nie tylko samą wiadomość. Wybór odbiorców, przekazywanie, delegaci, załączniki i połączone aplikacje mogą wpływać na to, dokąd trafiają informacje.

Znaczenie mają też ustawienia transportu. Gmail zwykle próbuje użyć TLS, ale Google wyjaśnia, że może dostarczyć wiadomość bez TLS, gdy serwer odbiorcy go nie obsługuje. Administratorzy mogą wymagać TLS dla określonych domen lub adresów za pomocą ustawienia bezpiecznego transportu. Wskazówki Google dotyczące TLS w Gmailu.

TLS chroni połączenie transportowe. Nie określa, kto później otworzy wiadomość, ani nie kontroluje pobranego załącznika.

Pracownicy muszą też wiedzieć, jak postępować w razie niepowodzenia dostarczenia. Jeśli ustawienie zabezpieczeń zablokuje wiadomość, ktoś musi wyjaśnić sprawę korespondencji, która nie dotarła.

Umowa BAA firmy Google nie obejmuje dodatków do faksu

Google wyraźnie zaznacza, że aplikacje firm trzecich, w tym dodatki, nie są objęte jego umową BAA dla Workspace. Wytyczne Google Workspace dotyczące HIPAA.

Przed podłączeniem aplikacji faksowej zapoznaj się z umową dostawcy, wymaganą subskrypcją i dozwoloną konfiguracją. Sprawdź uprawnienia, o które prosi aplikacja, oraz dokumenty, do których może uzyskać dostęp.

Konfiguracja faksu zgodna z HIPAA w Fax.Plus wymaga planu Enterprise, włączonych Advanced Security Controls i podpisanej umowy BAA. Plany Basic, Premium i Business nie stanowią alternatywnej konfiguracji spełniającej wymogi HIPAA. Wymagania Fax.Plus dla placówek medycznych.

Oceń rzeczywistą trasę wysyłki w ramach tych zabezpieczeń. Ogólny poradnik dotyczący integracji nie dowodzi, że każda funkcja jest dostępna lub działa identycznie w konfiguracji dla placówek medycznych.

Wysyłanie dokumentu pacjenta z Workspace faksem

Placówka może przygotować lub przechowywać dokument w Workspace, podczas gdy zewnętrzna organizacja oczekuje go pod numerem faksu.

Jedną z możliwości jest przygotowanie dozwolonego dokumentu, wyeksportowanie odpowiedniej kopii i przesłanie jej przez aplikację internetową Fax.Plus skonfigurowaną zgodnie z HIPAA. Przed wysłaniem sprawdź cały pakiet i zweryfikuj odbiorcę.

Eksport tworzy kolejną kopię. Jej obsługa na stanowisku roboczym musi być zgodna z zasadami placówki dotyczącymi urządzeń i przechowywania danych.

Korzystanie z Gmaila do wysyłania faksów e-mailem zgodnie z HIPAA

Fax.Plus obsługuje także dedykowaną trasę HIPAA Email-to-Fax.

Nadawca musi być skonfigurowanym, upoważnionym członkiem zespołu z włączoną funkcją Email-to-Fax. Adres docelowy składa się z numeru faksu odbiorcy, po którym następuje .

Zanim pracownicy zaczną używać tej funkcji do dokumentów pacjentów, administrator powinien zweryfikować konto i konfigurację poczty. Stosuj udokumentowany format adresu dla placówek medycznych i nie zakładaj, że ogólny przycisk integracji przygotuje właściwą trasę. Wymagania Fax.Plus dla Email-to-Fax zgodnego z HIPAA.

W obu przypadkach wyznacz osobę odpowiedzialną za sprawdzanie wyniku transmisji. Wiadomość widoczna w folderze Wysłane nie oznacza, że fax dotarł. Pomyślny fax oznacza, że urządzenie odbiorcze potwierdziło odbiór; nie oznacza to, że dokument został przejrzany przez personel medyczny ani zarchiwizowany. Status transmisji w Fax.Plus.

Odbieranie faksów w Gmailu

Dla kont z włączoną obsługą HIPAA Fax.Plus domyślnie stosuje dostarczanie wyłącznie powiadomień e-mail.

Opcjonalne załączniki faksów wymagają zgody organizacji ze strony właściciela lub administratora, zgody poszczególnych użytkowników oraz serwera pocztowego odbiorcy obsługującego TLS 1.2 lub nowszy.

Jeśli wymagane dostarczenie z użyciem TLS się nie powiedzie, nie jest wysyłana zastępcza wiadomość z powiadomieniem. Fax nadal jest dostępny w Fax.Plus. Osoby odpowiedzialne za dokumenty przychodzące powinny uwzględnić to działanie. Wymagania HIPAA dotyczące załączników faksów w e-mailach.

Gdy załącznik trafi do Gmaila, placówka odpowiada za ochronę kopii w skrzynce. Przed włączeniem tej funkcji sprawdź dostęp, delegowanie, przekazywanie, pobieranie i przechowywanie.

Wybierz dostęp przez portal lub załączniki w zależności od pracy, którą personel ma wykonywać. Załączniki mogą ograniczyć przełączanie się między aplikacjami, ale dodają kolejne miejsce przechowywania dokumentu.

Otwarcie powiadomienia nie oznacza również, że ktoś przejrzał fax lub wykonał wymagane działanie. Przypisz dokumenty przychodzące do osoby lub zespołu i zapewnij zastępstwo na wypadek nieobecności zwykłego odbiorcy.

Zapisywanie otrzymanych dokumentów na Dysku

Jeśli placówka na to zezwala, pracownicy mogą umieścić kopię dokumentu w zastrzeżonej lokalizacji na Dysku.

Przed zapisaniem potwierdź pacjenta i dokument, zweryfikuj folder docelowy i sprawdź jego uprawnienia. Stosuj konwencje nazewnictwa, które nie ujawniają niepotrzebnie informacji o pacjencie w tytułach.

Zaimportowanie pliku z Dysku do procesu wysyłania faksów nie oznacza automatycznego tworzenia kopii zapasowej faksów przychodzących na Dysku. Zapisanie faksu na Dysku nie aktualizuje też automatycznie karty pacjenta.

Ustal, gdzie przechowywany jest oficjalny zapis i jak postępować z dodatkowymi kopiami. Usunięcie dokumentu z jednej aplikacji nie oznacza, że kopie w poczcie, na Dysku lub w plikach pobranych lokalnie również zostały usunięte.

Zanim pracownicy zaczną korzystać z tego procesu, przetestuj go na dokumentach niezawierających informacji o pacjentach. Prześledź jeden dokument wychodzący od źródła do transmisji, a następnie jeden dokument przychodzący przez przegląd i archiwizację. Uwzględnij nieudane dostarczenie, aby osoba monitorująca kolejkę wiedziała, co zrobić dalej.