Czy Microsoft Teams jest zgodny z HIPAA?

Tak, Microsoft Teams jest objęty ramami umownymi HIPAA firmy Microsoft dla kwalifikujących się podmiotów objętych regulacjami i partnerów biznesowych. Dokumentacja oferty HIPAA/HITECH wskazuje Teams w zakresie usług Commercial oraz Government Community Cloud (GCC). Organizacja nadal musi zweryfikować obowiązującą umowę, subskrypcję i konfigurację.

Zobowiązania wynikające z umowy Business Associate Agreement (BAA) firmy Microsoft są włączone do obowiązującego Dodatku o ochronie danych i warunków usług. Nie należy zakładać odrębnej procedury wnioskowania i podpisywania. Takie pokrycie umowne nie sprawia, że organizacja automatycznie jest zgodna z HIPAA.

W przypadku placówki obsługującej dokumenty pacjentów kolejne pytanie brzmi: dokąd trafiają chronione informacje zdrowotne (PHI) — na czat Teams, do kanału, podłączonego magazynu plików, skrzynki pocztowej czy do dostawcy usług fax. Każda z tych granic wpływa na dostęp i odpowiedzialność.

Co należy zweryfikować w ustaleniach z Microsoft?

Ustal dzierżawę (tenant), środowisko cloud, zakupione usługi i warunki obowiązujące w Twojej organizacji. Potwierdź, że usługa Teams, z której zamierzasz korzystać, mieści się w zakresie obowiązującej oferty HIPAA; nie rozszerzaj stwierdzenia o kwalifikujących się usługach Microsoft na każde bezpłatne konto ani każdą subskrypcję.

Sprawdź, jakie zabezpieczenia zapewniają Twoje licencje. Zapobieganie utracie danych, audyt, retencja i inne funkcje nadzoru mają wymagania licencyjne i konfiguracyjne. Dopasuj subskrypcję do kontroli wymaganych przez zatwierdzony proces.

Organizacja nadal odpowiada za ogólny sposób korzystania z usługi, dostęp pracowników i obsługę dokumentów. Usługa objęta zakresem jest punktem wyjścia dla skonfigurowanego procesu.

Dokąd faktycznie trafia dokument pacjenta?

Oddziel wiadomość koordynacyjną od dokumentu, którego dotyczy. Fax może pozostać na zatwierdzonym koncie fax, podczas gdy pracownicy koordynują dalsze działania, ale wiadomość identyfikująca pacjenta lub ujawniająca szczegóły skierowania sama może zawierać PHI.

Dla każdego kroku ustal, co jest publikowane: tekst statusu, numer fax, identyfikator pacjenta, link do dokumentu, załącznik lub podgląd. Następnie sprawdź, kto ma dostęp do rozmowy i kto może otworzyć dokument źródłowy. W przypadku wdrożenia Slack osobno sprawdź granice powiadomień o fax w Slack.

Czat Teams, Teams Phone, podłączony magazyn plików i aplikacja fax to różne elementy procesu komunikacji z pacjentami i pracownikami. Umowa BAA obejmująca usługi Microsoft nie zapewnia automatycznie pokrycia umownego dla odrębnego dostawcy usług fax ani dla każdej podłączonej aplikacji.

Jak zarządzać kanałami, plikami i dostępem pracowników?

Zanim dopuścisz powiadomienia związane z pacjentami do kanału lub czatu, potwierdź zamierzonych odbiorców. Uwzględnij w tej ocenie dostęp gości, udział osób z zewnątrz i zmiany w zespole.

Sprawdź zarówno członkostwo w rozmowie, jak i uprawnienia do dokumentów. Link może prowadzić do zasobu o innych regułach dostępu, a załącznik oznacza kopię, która wymaga odrębnej obsługi. Przejrzyj retencję i eksport w rozmowie, podłączonym magazynie plików i wszelkich pobranych kopiach.

Przetestuj rzeczywistą konfigurację na dokumentach syntetycznych: kto otrzymuje powiadomienie, co ono ujawnia, kto może otworzyć plik i co się dzieje po odebraniu dostępu tej osobie. Udana demonstracja weryfikuje zachowanie, ale nie gwarantuje ogólnej zgodności.

Jak wpisuje się integracja Fax.Plus z Teams?

Fax.Plus ma natywną integrację z Microsoft Teams. Zapewnia powiadomienia o przychodzących fax oraz o statusie wysyłki, w tym o wynikach wysłania lub niepowodzenia, wraz z istotnymi szczegółami fax i linkiem. Ogólne opcje integracji obejmują także załączniki.

Natywna integracja zapewnia powiadomienia i śledzenie; nie udostępnia w Teams ekranu tworzenia ani wysyłania fax. Dokumentacja Fax.Plus dotycząca Teams opisuje ogólne warunki kwalifikowalności i konfigurację integracji.

Te ogólne instrukcje nie określają dokładnie, jakie zachowanie jest dozwolone w ramach Advanced Security Controls (ASC). Przed użyciem integracji z PHI potwierdź w Fax.Plus jej dostępność, zawartość wiadomości, obsługę załączników i dozwoloną konfigurację dla swojego konta.

Powiadomienia bez załączników nie są automatycznie wolne od PHI. Numery, identyfikatory lub inne szczegóły wiadomości mogą być wrażliwe. Nie traktuj tej opcji jako dowodu, że kanał nadaje się do działań związanych z pacjentami.

Co powinna obejmować umowa z dostawcą usług fax?

Konfiguracja Fax.Plus do fax w opiece zdrowotnej wymaga planu Enterprise, włączonych Advanced Security Controls i podpisanej umowy BAA. Dokumentacja HIPAA Alohi wyjaśnia te wymagania wstępne. Ogólna dostępność integracji z Teams w planie Business nie czyni tego planu odpowiednim zamiennikiem w przypadku PHI.

Jeśli Microsoft i Fax.Plus jako odrębni dostawcy tworzą, odbierają, przechowują lub przekazują elektroniczne PHI, potwierdź obowiązujące warunki BAA Microsoft i zawrzyj BAA z Fax.Plus. Umowa jednego dostawcy nie obejmuje drugiego. Wytyczne HHS dotyczące cloud wyjaśniają wymogi umowne dla podmiotów objętych regulacjami i partnerów biznesowych korzystających z dostawców cloud.

W czasie oceny połączenia z Teams dokumenty fax należy utrzymywać w zatwierdzonym procesie opieki zdrowotnej. Zapier jest niedostępny w ramach Fax.Plus ASC, więc jego ogólne przykłady automatyzacji nie stanowią konfiguracji dla opieki zdrowotnej w przypadku tych kont.

Co placówka powinna zatwierdzić przed podłączeniem procesu?

Ustal, która usługa przechowuje fax, którzy pracownicy się nim zajmują i czy jakiekolwiek dane pacjentów mogą trafiać do Teams. Potwierdź łącznie warunki Microsoft, umowę z dostawcą usług fax oraz wymagane ustawienia konta.

Dla recepcji pokaż, jak skierowanie trafia do właściwej osoby, bez zbędnego ujawniania go na kanale. Dla działu IT udokumentuj dozwolone pola wiadomości, zasady dostępu, retencję oraz usuwanie użytkowników.

Jeśli sposób działania połączenia w kontekście danych medycznych nie został potwierdzony, do dokumentów pacjentów używaj zatwierdzonego konta fax i stosuj przyjętą w organizacji procedurę komunikacji.