HIPAA fax 要求

HIPAA 允许使用 fax 吗?

允许。美国卫生与公共服务部(HHS)确认,医疗服务提供者可以为了治疗目的,通过 fax 向另一家服务提供者发送受保护的健康信息。受保护的健康信息(PHI)是指任何能够识别患者身份的健康信息,从诊断结果到出生日期均包含在内。

HIPAA 要求的是审慎处理,而不是某种特定技术。HHS 引用了隐私规则中关于保护措施要求的 45 CFR 164.530(c),并给出了简单的示例:发送前确认 fax 号码,并将 fax 机放置在未经授权人员无法接触的地方。

通过 fax 发送时,HIPAA 有哪些要求?

HIPAA 将保护措施分为三类。以下是每一类对 fax 的具体意义。

管理保护措施。涉及制度和人员。确定哪些人员可以通过 fax 发送和接收 PHI,对他们进行培训,并在发送前确认接收方号码。仅发送接收方所需的信息。

物理保护措施。涉及文件的最终落点。纸质 fax 放在共用托盘中是典型的风险。使用在线 fax 时,对应的做法是确保 fax 进入受保护的收件箱,而不是留在某台设备上或共享邮箱中。

技术保护措施。涉及系统中数据的保护方式,包括加密、唯一的用户访问权限,以及记录谁发送、接收或查看了 fax 的审计记录。

许多机构还会使用带有保密声明的封面页。HIPAA 并未明确要求这样做,但这是一种常见做法。Fax.Plus 提供免费的 HIPAA fax 封面页模板。

使用在线 fax 服务后有哪些变化?

当服务提供商为您存储或传输 PHI 时,它就成为您的业务伙伴。此时 HIPAA 要求签署 Business Associate Agreement(BAA):这是一份合同,服务提供商在其中承诺保护其为您处理的 PHI。没有 BAA,无论服务多么安全,通过该服务发送 PHI 都不合规。

您还需要内置的技术保护措施。在 Fax.Plus 的 Enterprise 套餐中,这包括:

• 对已存储的 fax 使用 AES-256 加密,传输过程中使用 TLS 加密
• 基于角色的访问控制,成员只能看到其角色所允许的内容
• 双重身份验证,管理员可为团队强制启用
• 账户和 fax 活动的审计追踪
• 可选择fax 数据的存储位置,包括美国和加拿大

无论是 fax 还是其他方面,都不存在官方的 HIPAA 认证。当服务提供商声称自己“符合 HIPAA 要求”时,关键在于它是否签署了 BAA 并落实了所需的保护措施。

如何在 Fax.Plus 上设置符合 HIPAA 要求的 fax 服务?

Fax.Plus 上符合 HIPAA 要求的 fax 服务适用于 Enterprise 套餐。设置分为三个步骤:

1. 使用 Enterprise 套餐。Free、Basic、Premium 和 Business 套餐不符合 HIPAA 要求,不应用于传输 PHI。
2. 开启 Advanced Security Controls。账户所有者或管理员可在“设置”“安全”下激活。它们会一次性应用于整个团队。
3. 申请并签署 BAA。BAA 签署完成且安全控制已开启后,您的团队即可发送和接收 PHI。

HIPAA 模式是在账户层面设置的,而不是针对单个用户或部门。Enterprise 账户中的每个人都在同一套受保护的环境中工作,从而避免了某位团队成员在账户中未受保护的角落发送 PHI 的风险。

开启 HIPAA 模式后会有哪些变化?

团队通常希望在切换之前了解这一点,下面是完整的说明。

有两点值得了解。如果 HIPAA 账户中的某人误将邮件发送到标准的 @fax.plus 地址,Fax.Plus 会自动将该邮件重定向到强制使用 TLS 的通道。另外,由于 Zapier 已关闭,在 HIPAA 工作流程中,API 是将 fax 连接到其他系统的途径。详情请参阅HIPAA fax API。

自动化 HIPAA fax 工作流程

HIPAA 模式会关闭 Zapier，但不会阻止自动化。电子邮件附件是需单独启用的可选工作流。在 HIPAA 账户上，Fax.Plus API 仍可继续使用，其中有三项功能对医疗机构的接收流程尤为重要：

• fax 流式传输。收到的 fax 的每一页一经接收就会发送到您的系统,因此转诊单从第 1 页起即可进行分诊。流式传输需申请开通,并适用于 HIPAA 账户。
• 生产级 Webhook。事件带有签名,您的服务器可以对其进行验证;事件可按事件类型和 fax 号码筛选,并提供投递日志、漏收事件重放功能,以及端点持续失败时的告警。
• 负载中不含 PHI。Webhook 事件只携带状态和页数等 fax 详情,不包含文档本身。您的系统通过 API 自行下载 fax。

Fax.Plus MCP 服务器(可让 AI 助手处理 fax)在启用了 Advanced Security Controls 的账户上不可用,因此 HIPAA 工作流程需改用 API。

哪些 Fax.Plus 套餐可用于 PHI?

仅限 Enterprise。该套餐汇集了 HIPAA fax 所需的各项能力:BAA、Advanced Security Controls、审计日志、基于角色的访问控制以及数据驻留选项。较低级别的套餐不包含这些内容,因此不适用于 PHI。

如需查看完整的控制措施列表,请参阅 符合 HIPAA 要求的 fax。如需了解该法律本身的入门知识,请参阅什么是 HIPAA。

HIPAA fax 检查清单

在团队通过 fax 发送 PHI 之前,请确认以下每一项:

1. 已与您的 fax 服务提供商签署 BAA。
2. 账户已开启 HIPAA 模式(Fax.Plus 上的 Advanced Security Controls)。
3. 只有经过培训的员工才能访问,且角色与其岗位相匹配。
4. 已强制启用双重身份验证。
5. 发送前已确认收件人号码,并尽可能将其保存为联系人。
6. 发送 fax 时仅包含收件人所需的信息。
7. 员工清楚收到的 fax 会存放在哪里,并知道不得将 PHI 转发到个人邮箱或未经批准的工具。