Outlook está em conformidade com a HIPAA?

Outlook pode fazer parte de um fluxo de trabalho regulado pela HIPAA, mas a aplicação por si só não estabelece a conformidade. Para uma organização que trata informações de saúde protegidas (PHI), contam o serviço de caixa de correio, o acordo aplicável, a configuração de segurança e o tratamento das cópias dos documentos.

Esta distinção é especialmente importante quando a receção envia registos de pacientes por fax a partir de Outlook ou recebe notificações de fax numa caixa de correio partilhada. Microsoft e o fornecedor de fax têm responsabilidades distintas, mas a organização continua a ser responsável pela utilização global.

Que conta e serviço de Outlook está a utilizar?

Outlook é uma interface utilizada para aceder ao email. Uma aplicação de computador ou móvel pode ligar-se a diferentes serviços de caixa de correio, pelo que a sua presença não identifica o alojamento nem o contrato associado a uma conta.

Microsoft inclui Exchange Online no âmbito Commercial e Government Community Cloud (GCC) da sua oferta HIPAA. Para as entidades abrangidas e os associados de negócio elegíveis, o seu BAA está disponível por predefinição através do Online Services Data Protection Addendum e dos termos aplicáveis.

Verifique os serviços e o acordo que abrangem a sua organização. Outlook.com para consumidores e Microsoft 365 Personal ou Family são acordos diferentes; as funcionalidades de encriptação pagas para consumidores não estabelecem a mesma cobertura de BAA organizacional.

Escolha a subscrição em função dos controlos de que o seu fluxo de trabalho necessita. As capacidades de autenticação, prevenção de perda de dados, proteção de mensagens, auditoria e retenção podem ter requisitos de licenciamento e configuração distintos. Um início de sessão profissional ou escolar, por si só, não confirma que todas as salvaguardas estão disponíveis ou ativadas.

O que protege a encriptação de email de Outlook?

Exchange Online utiliza normalmente TLS oportunista para o email externo. Isto significa tentar estabelecer uma ligação de transporte protegida, em vez de a exigir automaticamente para todos os destinos externos. Os administradores podem configurar fluxos de correio de parceiros para exigir TLS.

A encriptação de transporte protege a ligação. Por si só, não controla o acesso após a chegada, não impede o reencaminhamento nem protege uma cópia transferida. As opções ao nível da mensagem, como Microsoft Purview Message Encryption e S/MIME, são mecanismos diferentes, com requisitos próprios.

O HHS permite a transmissão de ePHI por email quando devidamente protegida. Avalie as salvaguardas e os riscos reais; não interprete uma funcionalidade de encriptação como aprovação de todos os fluxos de trabalho com documentos de pacientes.

O que muda quando Outlook envia um fax de paciente?

Com Fax.Plus, o fluxo de trabalho de Outlook utiliza o envio por email-to-fax. Utiliza o cliente de email existente, em vez de um suplemento nativo de Fax.Plus para Outlook ou de um botão de fax. O suplemento para Microsoft Word e a API para programadores são ferramentas distintas.

Para PHI organizacional, o serviço de fax elegível para HIPAA de Fax.Plus requer Enterprise, Advanced Security Controls (ASC) ativados e um BAA assinado. O Proprietário ou Administrador tem de configurar o esquema seguro de email-to-fax, e o endereço de envio tem de ser um endereço de membro autorizado e aprovisionado.

A rota de envio para a área da saúde utiliza o número de fax de destino em . O envio normal de fax por email pago não estabelece estes pré-requisitos. Consulte os requisitos de email-to-fax para HIPAA da conta antes de enviar documentos de pacientes.

Reveja todo o percurso do documento: rascunhos e Itens Enviados de Outlook, o serviço de correio, a conta de fax, os registos de transmissão e a organização recetora. Confirme que cópias são conservadas em cada ponto. Uma confirmação de fax bem-sucedida indica um resultado técnico de entrega e não prova que uma pessoa leu os registos.

As notificações de fax podem incluir anexos em Outlook?

Sim. Fax.Plus suporta anexos opcionais de fax enviados e recebidos em contas elegíveis com HIPAA ativado. No âmbito do ASC, as notificações não incluem anexos por predefinição.

Ativar os anexos requer o consentimento organizacional de um Proprietário ou Administrador e a adesão individual de cada membro. O servidor recetor tem de suportar TLS 1.2 ou posterior. O consentimento do administrador não ativa automaticamente a entrega de anexos para todos os membros.

A documentação atual sobre anexos recomenda testar a entrega. As notificações utilizam a rota de correio segura com TLS; se o servidor recetor não suportar a versão de TLS exigida, não é enviado qualquer email de notificação e o fax permanece no arquivo de Fax.Plus.

Após a entrega, a sua organização é responsável por proteger a PHI na caixa de correio. Trata-se de proteção de transporte, não de encriptação do PDF ao nível da mensagem nem de uma garantia de que uma cópia reencaminhada continua protegida. Uma clínica que também utilize Gmail deve avaliar separadamente o seu fluxo de trabalho de fax com Google Workspace.

Como devem ser tratados as caixas de correio partilhadas e o acesso móvel?

Decida que colaboradores precisam da notificação, quais precisam do documento e quais podem enviar registos de pacientes. Numa caixa de correio partilhada, confirme as permissões dos delegados e se a identidade de envio está autorizada para a configuração aprovada de Fax.Plus. O acesso partilhado não autoriza automaticamente todos os endereços ou remetentes.

Reveja as regras de reencaminhamento, os arquivos automáticos e as transferências. Uma notificação pode expor contexto sensível mesmo sem o anexo; um PDF anexado cria uma cópia adicional do documento que requer acesso e retenção adequados.

Inclua Outlook para dispositivos móveis na mesma avaliação: acesso a partir do dispositivo, gestão de contas e cópias acessíveis localmente. Quando os colaboradores mudam de funções ou saem da organização, atualize em conjunto a delegação da caixa de correio, o acesso aos dispositivos e as permissões da conta de fax.

O que necessita de cobertura contratual separada?

Se Microsoft e Fax.Plus tratarem ambas PHI eletrónica como fornecedores distintos, confirme os termos do BAA de Microsoft aplicáveis e celebre o BAA de Fax.Plus. O acordo de um fornecedor não abrange o outro.

O acordo com o fornecedor de fax também não protege um destino de reencaminhamento não gerido, uma caixa de correio pessoal ou um arquivo de terceiros. Identifique os serviços e as pessoas que recebem as informações e verifique as responsabilidades e os controlos aplicáveis a cada um.

Para uma clínica, isto liga o fluxo de trabalho habitual de Outlook a condições específicas da conta: a caixa de correio aprovada, o remetente autorizado, o serviço de fax e o destino de receção. Teste essa configuração com documentos fictícios antes de introduzir registos de pacientes, incluindo a forma como os colaboradores obtêm um fax caso a entrega por email não esteja disponível.