Czy Slack jest zgodny z HIPAA?

Tak, Slack może wspierać współpracę personelu podlegającą HIPAA w ramach objętego umową modelu enterprise, zawartej umowy BAA i wymaganej konfiguracji. Zwykła subskrypcja Slacka ani zainstalowana aplikacja do faxów same w sobie nie oznaczają, że przepływ pracy z dokumentami pacjentów jest objęty ochroną.

W placówce koordynującej przychodzące skierowania kluczowe jest pytanie, co trafia do Slacka: powiadomienie, dane identyfikacyjne, link czy sam fax. Umowa ze Slackiem, umowa z dostawcą usługi faxowej i kontrola dostępu muszą odpowiadać temu rzeczywistemu przepływowi.

Jaka organizacja Slack i jaka umowa są objęte ochroną?

Aktualne warunki Slacka wymagają planu na poziomie enterprise objętego umową, podpisanej umowy Business Associate Agreement (BAA) oraz potwierdzonego włączenia funkcji HIPAA dla wskazanej organizacji. W przypadku bieżących zakupów wymagana jest także pozycja Slack HIPAA Enabled SKU, czyli dedykowana pozycja zamówienia dla tego rozwiązania. GovGrid jest wyłączony.

Potwierdź, która organizacja Enterprise+ lub starszego planu Grid jest wskazana w umowie i jakie obszary robocze obejmuje. Objęcie ochroną wskazanej organizacji nie rozciąga się automatycznie na każdą inną organizację należącą do klienta.

Uzyskaj za pośrednictwem Slacka obowiązującą umowę BAA, aktualny przewodnik dla podmiotów podlegających HIPAA oraz potwierdzenie włączenia funkcji. Twoja organizacja nadal odpowiada za ogólną zgodność z HIPAA, w tym za dopuszczalne wykorzystanie, dostęp, monitorowanie i obsługę dokumentów.

Kto może otrzymywać powiadomienia o faxach dotyczących pacjentów?

Przewodnik Slacka dotyczący HIPAA zaleca organizacjom używanie kanałów prywatnych do udostępniania chronionych informacji zdrowotnych (PHI). Przed dodaniem osoby sprawdź istniejącą historię kanału: członkostwo może ujawnić zarówno wcześniejsze rozmowy dotyczące pacjentów, jak i przyszłe wiadomości.

Dopasuj grono odbiorców do personelu obsługującego dokumenty. Sprawdzaj gości, uczestników zewnętrznych, zmiany w kanałach oraz odbieranie uprawnień przy odejściu z organizacji. W przypadku Slack Connect potwierdź uprawnienia i dozwolony prawnie zakres udostępniania; ta funkcja nie znosi tych wymogów. Uwzględnij w ocenie grona odbiorców także upoważniony dostęp do eksportu i Discovery, ponieważ widoczność kanału prywatnego nie ogranicza się do jego zwykłych członków.

Rozwiązanie zgodne z HIPAA służy współpracy personelu, a nie komunikacji z pacjentami. Przewodnik Slacka zabrania komunikowania się z pacjentami, uczestnikami planów, ich rodzinami lub pracodawcami oraz zabrania dodawania ich jako użytkowników lub gości w obszarze roboczym czy kanale. Alert o skierowaniu na kanale zespołu opieki to zupełnie inne zastosowanie niż wysłanie pacjentowi wiadomości o tym skierowaniu.

Do czego służy integracja Fax.Plus ze Slackiem?

Fax.Plus oferuje natywną integrację ze Slackiem do powiadomień o nowych faxach i statusu wysłanych faxów. Ogólne ustawienia integracji obejmują opcjonalne załączniki, jednak zachowanie dostępne w środowiskach opieki zdrowotnej jest inne.

W przypadku PHI w organizacji faxowanie w opiece zdrowotnej w Fax.Plus wymaga planu Enterprise, włączonych Advanced Security Controls (ASC) oraz podpisanej umowy BAA. Ogólna dostępność integracji w planie Business nie sprawia, że ten plan jest równoważnym rozwiązaniem dla PHI.

W ramach ASC powiadomienia w Slacku są nadal wysyłane, ale bez załączników z plikami faxu. Fax należy pobrać w zatwierdzonym środowisku Fax.Plus. Tę granicę opisuje dokumentacja integracji ASC, a ogólną funkcję powiadomień wyjaśnia dokumentacja natywnej integracji ze Slackiem.

Te alerty nie stanowią natywnego edytora nowych faxów w Slacku. Sam alert nie wskazuje też, kto przyjął odpowiedzialność za przejrzenie dokumentu.

Jakie informacje ujawnia alert bez załącznika?

Sprawdź rzeczywiste pola powiadomienia w zatwierdzonej konfiguracji konta. Numer faxu, identyfikator lub wiadomość kontekstowa mogą ujawniać wrażliwe informacje, nawet jeśli dokument pozostaje w Fax.Plus.

Sprawdź zarówno grono odbiorców w Slacku, jak i uprawnienia do każdego powiązanego zasobu. To, czy członek kanału może zobaczyć powiadomienie, oraz to, czy jest upoważniony do otwarcia faxu, to dwie odrębne decyzje. Jeśli zespół wybiera platformę do współpracy, porównaj koordynację faxów w Microsoft Teams w ramach jej własnych zasad dotyczących kont i powiadomień.

Na przykład prywatny kanał przyjęć może informować odpowiedni personel, że fax wymaga uwagi, podczas gdy dokument pozostaje na koncie faxowym. Przed wdrożeniem takiego procesu sprawdź widoczne pola i upoważnionych użytkowników. Nie zakładaj, że brak załącznika oznacza brak PHI. Skonfiguruj podglądy powiadomień mobilnych tak, aby treści dotyczące pacjentów nie były widoczne przed odblokowaniem urządzenia.

A co z wiadomościami e-mail z faxami i załącznikami?

Opcjonalne bezpieczne załączniki e-mail w Fax.Plus mają odrębne wymagania i nie zmieniają zasad dotyczących załączników w Slacku w ramach ASC. Włączenie opcji e-mail nie włącza załączników z plikami faxu w Slacku.

Bezpieczna dostawa faxów e-mailem nie oznacza, że przekazywanie faxów pacjentów do Slacka jest zatwierdzone. Odbiór wiadomości e-mail to odrębna integracja, której dostępność, wymogi dotyczące transmisji, odbiorców i zachowywane kopie trzeba ocenić niezależnie. Do koordynacji faxów pacjentów używaj zatwierdzonego natywnego powiadamiania i pobierania dokumentów.

Czy umowa BAA ze Slackiem obejmuje dostawcę usługi faxowej?

Nie. BAA Slacka nie obejmuje automatycznie niezależnej usługi faxowej ani zewnętrznego dostawcy aplikacji. Jeśli obaj dostawcy przetwarzają elektroniczne PHI, każda z tych relacji wymaga własnego, odpowiedniego zabezpieczenia umownego.

Należy potwierdzić ustalenia dotyczące Slacka i zawrzeć BAA z Fax.Plus, uwzględniając wymagania dotyczące Enterprise i ASC. Dokumentacja Alohi dotycząca HIPAA opisuje wymagania wstępne dla konta fax. Wpis aplikacji na liście ani udane połączenie nie zastępują umowy żadnego z dostawców.

Gdzie powinny znajdować się rejestry i odpowiedzialność za przegląd?

Slack nie może być systemem ewidencji PHI. Dokument fax należy przechowywać w zatwierdzonym obiegu dokumentów, a wymagane archiwizowanie klinicznej dokumentacji wykonać zgodnie z polityką dokumentacji w Twojej organizacji.

Należy ujednolicić okresy przechowywania wiadomości, dokumentów fax, eksportów i pobranych kopii. Trzeba też określić zasady monitorowania i zapobiegania utracie danych (DLP) w środowisku Slack oraz potwierdzić, jakie dowody administratorzy mogą faktycznie przeglądać. Eksportu wiadomości nie należy traktować jako pełnego zapisu każdego wyświetlenia lub pobrania dokumentu.

Ustal, kto sprawdza przychodzące faxy, jak inny członek zespołu zastępuje osobę nieobecną i w jaki sposób odnotowuje się zakończenie pracy. Dostarczone powiadomienie nie wyznacza osoby odpowiedzialnej, nie dowodzi przeglądu klinicznego i nie aktualizuje automatycznie karty pacjenta. Przed użyciem w pracy z danymi pacjentów przetestuj proponowaną konfigurację powiadomień i dostępu na dokumentach syntetycznych.