Requisitos HIPAA para fax

O envio de fax é permitido pela HIPAA?

Sim. O Departamento de Saúde e Serviços Humanos dos EUA (HHS) confirma que um prestador de cuidados pode enviar por fax informações de saúde protegidas a outro prestador para fins de tratamento. As informações de saúde protegidas (PHI) são quaisquer informações de saúde que possam identificar um paciente, desde um diagnóstico a uma data de nascimento.

O que a HIPAA exige é cuidado, não uma tecnologia específica. O HHS remete para o 45 CFR 164.530(c), o requisito de salvaguardas da Regra de Privacidade, e dá exemplos simples: confirme o número de fax antes de enviar e mantenha o aparelho de fax num local a que pessoas não autorizadas não possam aceder.

O que exige a HIPAA quando se envia um fax?

A HIPAA descreve as salvaguardas em três grupos. Eis o que cada um significa para o envio de fax.

Salvaguardas administrativas. Políticas e pessoas. Defina quem pode enviar e receber PHI por fax, forme essas pessoas e confirme os números dos destinatários antes de enviar. Envie apenas as informações de que o destinatário precisa.

Salvaguardas físicas. Onde os documentos vão parar. Um fax em papel esquecido num tabuleiro partilhado é o risco clássico. Com o fax online, o equivalente é garantir que os faxes chegam a uma caixa de entrada protegida, e não a um aparelho ou a uma caixa de correio partilhada.

Salvaguardas técnicas. Como os dados são protegidos nos sistemas. Isto abrange a encriptação, o acesso único por utilizador e os registos de auditoria que mostram quem enviou, recebeu ou visualizou um fax.

Muitas organizações utilizam também uma folha de rosto com um aviso de confidencialidade. A HIPAA não exige especificamente uma, mas é uma prática comum. Fax.Plus disponibiliza gratuitamente um modelo de folha de rosto de fax HIPAA.

O que muda quando se utiliza um serviço de fax online?

Quando um fornecedor armazena ou transmite PHI em seu nome, torna-se seu associado de negócios. A HIPAA exige então um Business Associate Agreement (BAA): um contrato em que o fornecedor se compromete a proteger a PHI que trata por si. Sem um BAA, enviar PHI através do serviço não está em conformidade, por mais seguro que o serviço seja.

Também convém ter as salvaguardas técnicas integradas. No plano Enterprise de Fax.Plus, isto inclui:

• Encriptação AES-256 para faxes armazenados e encriptação TLS em trânsito
• Acesso baseado em funções, para que os membros vejam apenas o que a sua função permite
• Autenticação de dois fatores, que os administradores podem tornar obrigatória para a equipa
• Registos de auditoria da atividade da conta e dos faxes
• A possibilidade de escolher onde os seus dados de fax são armazenados, incluindo os Estados Unidos e o Canadá

Não existe uma certificação HIPAA oficial, nem para fax nem para qualquer outra coisa. Quando um fornecedor afirma ser „compatível com a HIPAA“, o que importa é que assine um BAA e implemente as salvaguardas exigidas.

Como configurar o envio de fax em conformidade com a HIPAA em Fax.Plus?

O envio de fax em conformidade com a HIPAA em Fax.Plus está disponível no plano Enterprise. A configuração requer três passos:

1. Ter o plano Enterprise. Os planos Free, Basic, Premium e Business não são elegíveis para a HIPAA e não devem ser usados para PHI.
2. Ativar Advanced Security Controls. O proprietário da conta ou um administrador ativa-os em Definições, Segurança. Aplicam-se a toda a equipa em simultâneo.
3. Pedir e assinar o BAA. Depois de o BAA estar assinado e os controlos de segurança ativados, a sua equipa pode enviar e receber PHI.

O modo HIPAA é definido ao nível da conta, não por utilizador nem por departamento. Todos os membros da conta Enterprise trabalham na mesma configuração protegida, o que elimina o risco de um membro da equipa enviar PHI por fax a partir de uma zona desprotegida da conta.

O que muda quando o modo HIPAA está ativado?

As equipas costumam querer esta resposta antes de ativar o modo, por isso aqui fica o quadro completo.

Há dois detalhes a ter em conta. Se alguém numa conta HIPAA enviar um email por engano para o endereço @fax.plus padrão, Fax.Plus redireciona automaticamente a mensagem para o circuito com TLS obrigatório. E, como Zapier está desativado, a API é o caminho para ligar o fax aos seus outros sistemas num fluxo de trabalho HIPAA. Consulte a API de fax HIPAA para mais detalhes.

Automatizar fluxos de trabalho de fax HIPAA

O modo HIPAA desativa Zapier, mas não impede a automatização. Os anexos de email são um fluxo de trabalho opcional, ativado separadamente. Numa conta HIPAA, a API de Fax.Plus continua a funcionar, e três capacidades são as mais importantes para a admissão de doentes nas unidades de saúde:

• Streaming de fax. Cada página de um fax recebido é enviada para o seu sistema assim que é recebida, pelo que um encaminhamento pode ser triado a partir da página 1. O streaming é ativado a pedido e funciona em contas HIPAA.
• Webhooks de nível de produção. Os eventos são assinados para que o seu servidor os possa verificar, podem ser filtrados por tipo de evento e número de fax, e incluem um registo de entregas, reenvio de eventos perdidos e alertas quando um endpoint falha repetidamente.
• Sem PHI no conteúdo. Os eventos de webhook incluem detalhes do fax, como o estado e o número de páginas, mas não o documento. O seu sistema descarrega o próprio fax através da API.

O servidor MCP de Fax.Plus, que permite que assistentes de IA trabalhem com fax, não está disponível em contas com Advanced Security Controls, pelo que os fluxos de trabalho HIPAA utilizam a API.

Que planos de Fax.Plus podem ser utilizados para PHI?

Apenas o plano Enterprise. Este plano reúne o que o fax HIPAA exige: o BAA, Advanced Security Controls, registo de auditoria, acesso baseado em funções e opções de residência de dados. Os planos inferiores não os incluem, pelo que não são elegíveis para PHI.

Para consultar a lista completa de controlos, veja fax em conformidade com a HIPAA. Para uma introdução à própria lei, veja o que é a HIPAA.

Lista de verificação de fax HIPAA

Antes de a sua equipa enviar PHI por fax, confirme cada um dos seguintes pontos:

1. Existe um BAA assinado com o seu fornecedor de fax.
2. O modo HIPAA (Advanced Security Controls em Fax.Plus) está ativado na conta.
3. Apenas o pessoal com formação tem acesso, com funções adequadas às suas tarefas.
4. A autenticação de dois fatores é obrigatória.
5. Os números dos destinatários são confirmados antes do envio e, sempre que possível, guardados como contactos.
6. Os faxes são enviados apenas com as informações de que o destinatário precisa.
7. O pessoal sabe onde chegam os faxes recebidos e que a PHI não deve ser reencaminhada para email pessoal nem para ferramentas não aprovadas.