Требования HIPAA к отправке fax

Разрешена ли отправка fax по HIPAA?

Да. Министерство здравоохранения и социальных служб США (HHS) подтверждает, что поставщик медицинских услуг может передавать по fax защищаемые данные о состоянии здоровья другому поставщику в целях лечения. Защищаемые данные о состоянии здоровья (PHI) — это любые сведения о здоровье, позволяющие идентифицировать пациента: от диагноза до даты рождения.

HIPAA требует не конкретной технологии, а должной осмотрительности. HHS ссылается на 45 CFR 164.530(c) — требование Правила о конфиденциальности (Privacy Rule) о мерах защиты — и приводит простые примеры: проверяйте номер fax перед отправкой и размещайте аппарат там, куда не имеют доступа посторонние.

Что HIPAA требует при отправке fax?

HIPAA делит меры защиты на три группы. Ниже описано, что каждая из них означает для отправки fax.

Организационные меры. Правила и сотрудники. Определите, кому разрешено отправлять и получать PHI по fax, обучите этих сотрудников и проверяйте номера получателей перед отправкой. Отправляйте только ту информацию, которая нужна получателю.

Физические меры защиты. Место, где оказываются документы. Классический риск — бумажный fax, лежащий в общем лотке. В онлайн-сервисе fax аналогичная мера — следить, чтобы fax поступали в защищённый ящик, а не на аппарат или в общий почтовый ящик.

Технические меры защиты. Защита данных в системах. Они включают шифрование, персональный доступ пользователей и журналы аудита, фиксирующие, кто отправил, получил или просмотрел fax.

Многие организации также используют титульный лист с уведомлением о конфиденциальности. HIPAA прямо этого не требует, но такая практика распространена. Fax.Plus предлагает бесплатный шаблон титульного листа fax для HIPAA.

Что меняется при использовании онлайн-сервиса fax?

Если поставщик хранит или передаёт PHI от вашего имени, он становится вашим деловым партнёром (business associate). Тогда HIPAA требует заключить Business Associate Agreement (BAA) — договор, в котором поставщик обязуется защищать PHI, которые он обрабатывает для вас. Без BAA отправка PHI через сервис не соответствует требованиям, каким бы безопасным ни был сервис.

Также важно, чтобы технические меры защиты были встроены в сервис. В тарифе Fax.Plus Enterprise они включают:

• Шифрование AES-256 для хранимых fax и шифрование TLS при передаче
• Ролевой доступ: участники видят только то, что разрешено их ролью
• Двухфакторная аутентификация, которую администраторы могут сделать обязательной для всей команды
• Журналы аудита действий в аккаунте и операций с fax
• Возможность выбрать, где хранятся ваши данные fax, включая США и Канаду

Официальной сертификации HIPAA не существует ни для fax, ни для чего-либо ещё. Когда поставщик заявляет о «соответствии HIPAA», важно, что он подписывает BAA и применяет необходимые меры защиты.

Как настроить отправку fax в соответствии с HIPAA в Fax.Plus?

Отправка fax в соответствии с требованиями HIPAA в Fax.Plus доступна на тарифе Enterprise. Настройка состоит из трёх шагов:

1. Перейдите на тариф Enterprise. Тарифы Free, Basic, Premium и Business не соответствуют требованиям HIPAA, и использовать их для PHI не следует.
2. Включите Advanced Security Controls. Владелец или администратор аккаунта активирует их в разделе «Настройки» → «Безопасность». Они действуют сразу для всей команды.
3. Запросите и подпишите BAA. После подписания BAA и включения мер безопасности ваша команда сможет отправлять и получать PHI.

Режим HIPAA устанавливается на уровне аккаунта, а не для отдельного пользователя или подразделения. Все участники аккаунта Enterprise работают в единой защищённой среде. Поэтому исключён риск того, что кто-то из команды отправит PHI по fax из незащищённой части аккаунта.

Что меняется при включении режима HIPAA?

Обычно команды хотят узнать об этом до переключения, поэтому ниже приведена полная картина.

Стоит учитывать два момента. Если пользователь аккаунта с режимом HIPAA по ошибке отправит письмо на стандартный адрес @fax.plus, Fax.Plus автоматически перенаправит сообщение в канал с обязательным использованием TLS. Кроме того, поскольку Zapier отключён, для подключения fax к другим системам в рабочем процессе HIPAA используется API. Подробнее см. API для fax с поддержкой HIPAA.

Автоматизация рабочих процессов с fax в соответствии с HIPAA

Режим HIPAA отключает Zapier, но не блокирует автоматизацию. Вложения в электронных письмах — это дополнительный процесс, который включается отдельно. В аккаунте с HIPAA продолжает работать Fax.Plus API. Для приёма документов в медицинских организациях наиболее важны три возможности:

• Потоковая передача fax. Каждая страница входящего fax передаётся в вашу систему сразу после получения, поэтому направление можно сортировать по приоритету уже с первой страницы. Потоковая передача включается по запросу и работает в аккаунтах с режимом HIPAA.
• Вебхуки производственного уровня. События подписываются, поэтому ваш сервер может их проверять. Их можно фильтровать по типу события и номеру fax. Доступны журнал доставки, повторная отправка пропущенных событий и оповещения о постоянных сбоях конечной точки.
• Без PHI в полезной нагрузке. События вебхуков содержат сведения о fax, например статус и количество страниц, но не сам документ. Ваша система загружает fax через API самостоятельно.

Сервер MCP Fax.Plus, который позволяет ИИ-ассистентам работать с fax, недоступен в аккаунтах с Advanced Security Controls. Поэтому в рабочих процессах HIPAA используйте API.

Какие тарифы Fax.Plus можно использовать для PHI?

Только Enterprise. Этот тариф объединяет всё необходимое для отправки fax в соответствии с HIPAA: BAA, Advanced Security Controls, журнал аудита, ролевой доступ и опции размещения данных. В более низких тарифах этих возможностей нет, поэтому они не подходят для работы с PHI.

Полный перечень мер защиты приведён в статье fax в соответствии с HIPAA. Краткий обзор самого закона см. в статье что такое HIPAA.

Контрольный список для отправки fax в соответствии с HIPAA

Прежде чем сотрудники начнут отправлять PHI по fax, убедитесь в выполнении каждого из условий:

1. С поставщиком услуг fax подписано BAA.
2. Для аккаунта включён режим HIPAA (в Fax.Plus это Advanced Security Controls).
3. Доступ имеют только обученные сотрудники, а их роли соответствуют должностным обязанностям.
4. Включена обязательная двухфакторная аутентификация.
5. Номера получателей проверяются перед отправкой и по возможности сохраняются как контакты.
6. В fax указываются только те сведения, которые необходимы получателю.
7. Сотрудники знают, куда поступают полученные fax, и понимают, что PHI нельзя пересылать на личную электронную почту или в неутверждённые инструменты.