Wymagania HIPAA dotyczące faksowania

Czy faksowanie jest dozwolone według HIPAA?

Tak. Amerykański Departament Zdrowia i Opieki Społecznej (HHS) potwierdza, że świadczeniodawca może przesłać faksem chronione informacje zdrowotne innemu świadczeniodawcy w celu leczenia. Chronione informacje zdrowotne (PHI) to wszelkie informacje zdrowotne, które pozwalają zidentyfikować pacjenta, od diagnozy po datę urodzenia.

HIPAA wymaga staranności, a nie konkretnej technologii. HHS odwołuje się do 45 CFR 164.530(c), czyli wymogu dotyczącego zabezpieczeń w Regule Prywatności, i podaje proste przykłady: potwierdź numer faksu przed wysłaniem oraz umieść faks w miejscu niedostępnym dla osób nieupoważnionych.

Czego wymaga HIPAA podczas faksowania?

HIPAA opisuje zabezpieczenia w trzech grupach. Oto, co każda z nich oznacza w przypadku faksowania.

Zabezpieczenia administracyjne. Zasady i ludzie. Ustal, kto może wysyłać i odbierać PHI faksem, przeszkól te osoby i przed wysłaniem potwierdzaj numery odbiorców. Wysyłaj tylko te informacje, których odbiorca potrzebuje.

Zabezpieczenia fizyczne. Gdzie trafiają dokumenty. Klasycznym zagrożeniem jest papierowy faks leżący we wspólnej tacy. W przypadku faksu online odpowiednikiem jest dopilnowanie, by faksy trafiały do chronionej skrzynki odbiorczej, a nie do urządzenia lub wspólnej skrzynki pocztowej.

Zabezpieczenia techniczne. Jak dane są chronione w systemach. Obejmuje to szyfrowanie, unikalny dostęp użytkowników oraz rejestry audytu pokazujące, kto wysłał, odebrał lub wyświetlił faks.

Wiele organizacji stosuje również stronę tytułową z klauzulą poufności. HIPAA nie wymaga tego wprost, ale to powszechna praktyka. Fax.Plus oferuje bezpłatny szablon strony tytułowej faksu HIPAA.

Co się zmienia, gdy korzystasz z internetowej usługi fax?

Gdy dostawca przechowuje lub przesyła PHI w Twoim imieniu, staje się Twoim partnerem biznesowym. HIPAA wymaga wtedy zawarcia Business Associate Agreement (BAA), czyli umowy, w której dostawca zobowiązuje się chronić PHI, którymi zarządza dla Ciebie. Bez BAA przesyłanie PHI za pośrednictwem usługi nie jest zgodne z przepisami, niezależnie od tego, jak bezpieczna jest ta usługa.

Potrzebujesz też wbudowanych zabezpieczeń technicznych. W planie Fax.Plus Enterprise obejmują one:

• Szyfrowanie AES-256 przechowywanych faksów i szyfrowanie TLS podczas przesyłania
• Dostęp oparty na rolach – członkowie widzą tylko to, na co pozwala ich rola
• Uwierzytelnianie dwuskładnikowe, które administratorzy mogą wymusić dla całego zespołu
• Ścieżki audytu aktywności konta i wiadomości fax
• Możliwość wyboru, gdzie przechowywane są dane fax, w tym w Stanach Zjednoczonych i Kanadzie

Nie istnieje oficjalny certyfikat HIPAA – ani dla fax, ani dla czegokolwiek innego. Gdy dostawca twierdzi, że jest „zgodny z HIPAA”, liczy się to, że podpisuje BAA i wdraża wymagane zabezpieczenia.

Jak skonfigurować wysyłanie fax zgodne z HIPAA w Fax.Plus?

Wysyłanie fax zgodne z HIPAA w Fax.Plus jest dostępne w planie Enterprise. Konfiguracja obejmuje trzy kroki:

1. Korzystaj z planu Enterprise. Plany Free, Basic, Premium i Business nie kwalifikują się do HIPAA i nie powinny być używane do przesyłania PHI.
2. Włącz Advanced Security Controls. Właściciel konta lub administrator aktywuje je w sekcji Ustawienia, Bezpieczeństwo. Obejmują one cały zespół jednocześnie.
3. Poproś o BAA i podpisz je. Po podpisaniu BAA i włączeniu zabezpieczeń Twój zespół może wysyłać i odbierać PHI.

Tryb HIPAA ustawia się na poziomie konta, a nie dla poszczególnych użytkowników czy działów. Wszyscy na koncie Enterprise pracują w tym samym chronionym środowisku, co eliminuje ryzyko, że ktoś z zespołu prześle PHI przez fax z niezabezpieczonego zakątka konta.

Co się zmienia po włączeniu trybu HIPAA?

Zespoły zwykle chcą poznać odpowiedź przed przełączeniem, więc oto pełny obraz.

Warto znać dwa szczegóły. Jeśli ktoś z konta HIPAA omyłkowo wyśle wiadomość na standardowy adres @fax.plus, Fax.Plus automatycznie przekieruje ją do potoku z wymuszonym TLS. A ponieważ Zapier jest wyłączony, do łączenia fax z innymi systemami w przepływie pracy zgodnym z HIPAA służy interfejs API. Szczegóły znajdziesz w API fax HIPAA.

Automatyzacja przepływów pracy z faksami zgodnymi z HIPAA

Tryb HIPAA wyłącza Zapier, ale nie zatrzymuje automatyzacji. Załączniki e-mail to opcjonalny, osobno włączany przepływ pracy. Na koncie HIPAA nadal działa Fax.Plus API, a trzy możliwości mają największe znaczenie przy przyjmowaniu dokumentów w placówkach medycznych:

• Strumieniowanie faksów. Każda strona przychodzącego faksu jest wysyłana do Twojego systemu zaraz po odebraniu, dzięki czemu skierowanie można ocenić już od pierwszej strony. Strumieniowanie włącza się na prośbę i działa na kontach HIPAA.
• Webhooki klasy produkcyjnej. Zdarzenia są podpisywane, więc Twój serwer może je zweryfikować, można je filtrować według typu zdarzenia i numeru faksu, a do tego dostępny jest dziennik dostarczania, ponowne wysyłanie pominiętych zdarzeń oraz alerty, gdy punkt końcowy wielokrotnie zawodzi.
• Brak PHI w treści zdarzenia. Zdarzenia webhooków zawierają dane faksu, takie jak status i liczba stron, ale nie sam dokument. Twój system pobiera faks za pośrednictwem API.

Serwer MCP Fax.Plus, który pozwala asystentom SI pracować z faksami, nie jest dostępny na kontach z Advanced Security Controls, dlatego przepływy pracy zgodne z HIPAA korzystają z API.

Które plany Fax.Plus można stosować do PHI?

Tylko Enterprise. Ten plan łączy wszystko, czego wymaga faksowanie zgodne z HIPAA: BAA, Advanced Security Controls, rejestrowanie audytowe, dostęp oparty na rolach i opcje lokalizacji danych. Niższe plany tego nie zawierają, więc nie nadają się do PHI.

Pełną listę zabezpieczeń znajdziesz w artykule Faks zgodny z HIPAA. Podstawowe informacje o samej ustawie znajdziesz w artykule Czym jest HIPAA.

Lista kontrolna dla faksów zgodnych z HIPAA

Zanim zespół zacznie wysyłać PHI faksem, upewnij się, że spełnione są wszystkie poniższe warunki:

1. Z dostawcą usługi fax podpisano BAA.
2. Tryb HIPAA (Advanced Security Controls w Fax.Plus) jest włączony dla konta.
3. Dostęp mają tylko przeszkoleni pracownicy, z rolami odpowiadającymi ich stanowisku.
4. Wymuszone jest uwierzytelnianie dwuskładnikowe.
5. Numery odbiorców są potwierdzane przed wysłaniem i, jeśli to możliwe, zapisywane jako kontakty.
6. Faksy zawierają wyłącznie informacje potrzebne odbiorcy.
7. Pracownicy wiedzą, gdzie trafiają odebrane faksy, oraz że PHI nie należy przekazywać na prywatną pocztę e-mail ani do niezatwierdzonych narzędzi.