Отделите интерфейс электронной почты Outlook от соглашения, которое распространяется на почтовый ящик. Затем оцените отправку fax с данными пациентов, необязательные вложения fax и копии документов при общем доступе.
- Само приложение Outlook не определяет соответствие требованиям HIPAA. Проверьте почтовую службу, условия Microsoft и конфигурацию учётной записи.
- Microsoft принимает обязательства по BAA в рамках применимых условий для подходящих служб, входящих в сферу действия соглашения.
- Для отправки PHI через Fax.Plus по email-to-fax нужны тариф Enterprise, включённые Advanced Security Controls (ASC), подписанное BAA и авторизованный подключённый отправитель.
- Вложения fax в рамках ASC необязательны. Для них требуются согласие организации, индивидуальное согласие участника и приём по TLS 1.2 или выше.
- Проверьте копии в черновиках, папке «Отправленные», общих почтовых ящиках, архивах fax и адресах, на которые документы были пересланы.
Outlook может быть частью рабочего процесса, регулируемого HIPAA, но само приложение не подтверждает соответствие требованиям. Если организация обрабатывает защищённые данные о состоянии здоровья (PHI), значение имеют почтовая служба, применимое соглашение, конфигурация безопасности и порядок обращения с копиями документов.
Это особенно важно, когда регистратура отправляет медицинские документы пациентов по fax из Outlook или получает уведомления о fax в общем почтовом ящике. У Microsoft и поставщика услуг fax разные зоны ответственности, а организация отвечает за использование в целом.
Какую учётную запись и службу Outlook вы используете?
Outlook — это интерфейс для доступа к электронной почте. Настольное или мобильное приложение может подключаться к разным почтовым службам. Поэтому наличие приложения не указывает ни на способ размещения почты, ни на договор, который действует для учётной записи.
Microsoft включает Exchange Online в сферу действия своей программы HIPAA для Commercial и Government Community Cloud (GCC). Для соответствующих субъектов, на которых распространяется HIPAA, и их деловых партнёров BAA доступно по умолчанию в рамках применимого Online Services Data Protection Addendum и условий.
Проверьте, какие службы и какое соглашение распространяются на вашу организацию. Потребительские Outlook.com и Microsoft 365 Personal или Family — это иные условия. Платные потребительские функции шифрования не обеспечивают такого же покрытия организационным BAA.
Выбирайте подписку исходя из мер защиты, которые нужны для вашего рабочего процесса. Аутентификация, защита от потери данных, защита сообщений, аудит и хранение могут лицензироваться и настраиваться отдельно. Вход с рабочей или учебной учётной записью сам по себе не подтверждает, что все меры защиты доступны или включены.
Что защищает шифрование электронной почты Outlook?
Для внешней почты Exchange Online обычно использует оппортунистический TLS. Это означает попытку установить защищённое транспортное соединение, а не обязательное требование такого соединения для каждого внешнего получателя. Администраторы могут настроить обязательное использование TLS для партнёрских потоков почты.
Транспортное шифрование защищает соединение. Само по себе оно не управляет доступом после доставки, не предотвращает пересылку и не защищает скачанную копию. Шифрование на уровне сообщений, например Microsoft Purview Message Encryption и S/MIME, — это другие механизмы со своими требованиями.
HHS допускает передачу ePHI по электронной почте при надлежащей защите. Оценивайте реальные меры защиты и риски. Не считайте функцию шифрования одобрением любого рабочего процесса с документами пациентов.
Что меняется, когда Outlook отправляет fax с данными пациента?
При работе с Fax.Plus в Outlook используется отправка email-to-fax. Она работает через существующий почтовый клиент, а не через встроенную надстройку Fax.Plus для Outlook или кнопку fax. Надстройка для Microsoft Word и API для разработчиков — это отдельные инструменты.
Для PHI организации соответствующая требованиям HIPAA служба fax Fax.Plus требует тариф Enterprise, включённые Advanced Security Controls (ASC) и подписанное BAA. Владелец или администратор должен настроить защищённую схему email-to-fax. Адрес отправителя должен быть авторизованным подключённым адресом участника.
Маршрут отправки для здравоохранения использует номер fax получателя в . Обычная платная отправка fax по электронной почте не обеспечивает этих условий. Перед отправкой документов пациентов проверьте требования HIPAA к email-to-fax для вашей учётной записи.
Проверьте весь путь документа: черновики и папку «Отправленные» в Outlook, почтовую службу, учётную запись fax, журналы передачи и принимающую организацию. Уточните, какие копии хранятся на каждом этапе. Успешное подтверждение отправки fax сообщает о техническом результате доставки, а не доказывает, что кто-либо прочитал документы.
Могут ли уведомления о fax содержать вложения в Outlook?
Да. Fax.Plus поддерживает необязательные вложения отправленных и полученных fax для подходящих учётных записей с включённой поддержкой HIPAA. В рамках ASC уведомления по умолчанию приходят без вложений.
Для включения вложений нужны согласие организации от владельца или администратора и индивидуальное согласие участника. Принимающий сервер должен поддерживать TLS 1.2 или выше. Согласие администратора не включает доставку вложений автоматически для каждого участника.
Актуальная документация по вложениям рекомендует протестировать доставку. Уведомления отправляются по защищённому почтовому маршруту TLS. Если принимающий сервер не поддерживает нужную версию TLS, уведомление не отправляется, а fax остаётся в архиве Fax.Plus.
После доставки организация отвечает за защиту PHI в почтовом ящике. Это защита при передаче, а не шифрование PDF на уровне сообщения и не гарантия того, что пересланная копия останется защищённой. Медицинской практике, которая также использует Gmail, следует отдельно оценить рабочий процесс с fax в Google Workspace.
Как организовать работу с общими почтовыми ящиками и мобильным доступом?
Определите, каким сотрудникам нужно уведомление, каким — документ и кто может отправлять документы пациентов. Для общего почтового ящика проверьте права делегатов и то, авторизован ли отправитель в рамках утверждённой конфигурации Fax.Plus. Общий доступ не авторизует автоматически каждый адрес или отправителя.
Проверьте правила пересылки, автоматические архивы и скачивание файлов. Уведомление может раскрыть конфиденциальный контекст даже без вложения. Прикреплённый PDF создаёт ещё одну копию документа, для которой нужны соответствующие доступ и срок хранения.
Включите в ту же оценку Outlook для мобильных устройств: доступ с устройств, управление учётными записями и локально доступные копии. При смене должности сотрудника или его увольнении одновременно обновляйте делегирование почтового ящика, доступ с устройств и права в учётной записи Fax.Plus.
Что требует отдельного договорного покрытия?
Если Microsoft и Fax.Plus выступают как отдельные поставщики и оба обрабатывают электронные данные PHI, проверьте применимые условия Microsoft BAA и заключите BAA с Fax.Plus. Соглашение одного поставщика не распространяется на другого.
Соглашение с поставщиком услуг fax также не защищает неуправляемый адрес пересылки, личный почтовый ящик или сторонний архив. Определите, какие службы и сотрудники получают информацию, и проверьте обязанности и меры защиты, которые применяются к каждому из них.
Для медицинской практики это связывает привычную работу в Outlook с конкретными условиями учётной записи: утверждённым почтовым ящиком, авторизованным отправителем, службой fax и адресом получения. Проверьте такую конфигурацию на тестовых документах, прежде чем использовать медицинские карты пациентов. Также проверьте, как сотрудники получат fax, если доставка по электронной почте недоступна.
Часто задаваемые вопросы
Соответствует ли Outlook требованиям HIPAA?
Outlook — это интерфейс электронной почты, поэтому соответствие требованиям зависит от подключённой службы, соглашения и конфигурации. Проверяйте почтовый ящик организации, меры контроля доступа и порядок обработки документов, а не рассматривайте само приложение как статус соответствия.
Какой вариант Microsoft 365 подходит для работы в рамках HIPAA?
Microsoft включает Exchange Online в перечень служб, на которые распространяется соглашение, и закрепляет обязательства по BAA в применимых условиях для соответствующих клиентов. Проверьте своё соглашение и лицензии, необходимые для мер защиты, которых требует ваш порядок работы с документами.
Соответствует ли зашифрованная электронная почта Outlook требованиям HIPAA автоматически?
Одно шифрование не делает порядок работы надлежащим. TLS при передаче и защита самого сообщения — разные вещи. Организации необходимо оценить соглашение, доступ, пересылку, хранение и копии, которые остаются после доставки сообщения.
Соответствует ли мобильное приложение Outlook требованиям HIPAA?
Оценивайте мобильный доступ в рамках той же утверждённой учётной записи и порядка работы с документами. Проверьте меры контроля устройств, права доступа к почтовому ящику, локально доступные файлы и порядок отзыва доступа при потере устройства или увольнении сотрудника.
Можно ли отправлять документы пациентов по fax из Outlook с помощью Fax.Plus?
Да, при наличии тарифа Enterprise, включённой опции ASC, подписанного BAA и настроенной защищённой службы Email-to-Fax. Отправляйте сообщения только с авторизованного адреса участника, используя выделенный маршрут TLS и утверждённый почтовый ящик вашей организации.
Могут ли учётные записи Fax.Plus с поддержкой HIPAA получать вложения fax в Outlook?
Для вложений требуются согласие владельца или администратора, индивидуальное согласие участника и приём по TLS версии 1.2 или выше. Если сервер не поддерживает требуемую версию TLS, письмо не отправляется. Fax остаётся доступным в учётной записи для авторизованных пользователей.
Как медицинской команде управлять общим почтовым ящиком Outlook?
Определите, кто может читать документы, получать уведомления и отправлять сообщения от утверждённого имени. Проверьте делегирование, пересылку, хранение и порядок отзыва доступа при увольнении, а затем убедитесь, что любой адрес отправителя авторизован для настроенной службы fax.
Распространяется ли BAA Microsoft на Fax.Plus?
Соглашение Microsoft не распространяется на отдельного поставщика услуг fax. Если оба поставщика обрабатывают электронные данные PHI, проверьте применимые условия Microsoft и заключите BAA с Fax.Plus. Кроме того, для вашего порядка работы необходимы тариф Enterprise, опция ASC и выполнение требований к учётной записи.
Избранные статьи
Смотреть все
Confédération Suisse
Confederazione Svizzera
Confederaziun Svizra
Швейцарская Конфедерация
Innosuisse — Швейцарское агентство инноваций
