Outlook 符合 HIPAA 要求吗？

Outlook 可以成为受 HIPAA 监管的工作流程的一部分，但仅凭该应用并不能确立合规性。对于处理受保护健康信息 (PHI) 的组织而言，邮箱服务、适用协议、安全配置以及文档副本的处理方式都很重要。

当前台通过 Outlook 以 fax 方式发送患者记录，或在共享邮箱中接收 fax 通知时，这一区分尤为重要。Microsoft 与 fax 服务提供商各自承担不同的责任，而组织仍须对自身的整体使用情况负责。

您使用的是哪个 Outlook 账户和服务？

Outlook 是用于访问电子邮件的界面。桌面或移动应用可以连接到不同的邮箱服务，因此仅凭使用了该应用，无法确定账户背后的托管安排或合同。

Microsoft 将 Exchange Online 列入其 HIPAA 服务中商业版和政府社区 cloud (GCC) 的范围。对于符合条件的涉及实体和业务伙伴，其 BAA 默认通过适用的在线服务数据保护附录和条款提供。

请核实涵盖您组织的服务和协议。面向个人的 Outlook.com 以及 Microsoft 365 Personal 或家庭版属于不同的安排；付费的个人加密功能并不能确立同等的组织级 BAA 覆盖。

请根据工作流程所需的控制措施来选择订阅。身份验证、数据丢失防护、邮件保护、审计和保留功能可能各有不同的许可和配置要求。仅有工作或学校账号登录，并不能确认所有保护措施都可用或已启用。

Outlook 电子邮件加密能保护什么？

Exchange Online 对外部电子邮件通常使用机会性 TLS。也就是说，它会尝试建立受保护的传输连接，而不是自动要求每个外部目的地都必须使用。管理员可以将合作伙伴邮件流配置为强制要求 TLS。

传输加密保护的是连接。它本身并不能控制邮件送达后的访问，不能阻止转发，也不能保护已下载的副本。Microsoft Purview 邮件加密和 S/MIME 等邮件级选项属于不同的机制，各有其自身要求。

HHS 允许在得到充分保护的情况下通过电子邮件传输 ePHI。请评估实际的保护措施和风险；不要将某项加密功能理解为对所有患者文档工作流程的批准。

通过 Outlook 发送患者 fax 时会有什么变化？

使用 Fax.Plus 时，Outlook 工作流程采用 email-to-fax 发送。它使用现有的电子邮件客户端，而不是原生的 Fax.Plus Outlook 加载项或 fax 按钮。Microsoft Word 加载项和开发者 API 属于独立的工具。

对于组织的 PHI，Fax.Plus 符合 HIPAA 资格的 fax 服务需要Enterprise 套餐、已启用的 Advanced Security Controls (ASC) 以及已签署的 BAA。所有者或管理员必须配置安全的 email-to-fax 安排，并且发送地址必须是经授权且已配置的成员地址。

医疗场景的发送路径使用位于 的目标 fax 号码。普通的付费电子邮件 fax 并不具备这些前提条件。在发送患者文档之前，请检查该账户的 HIPAA email-to-fax 要求。

请检查整个文档路径：Outlook 草稿和已发送邮件、邮件服务、fax 账户、传输记录以及接收组织。确认每个环节保留了哪些副本。fax 发送成功的确认仅报告技术层面的送达结果，并不能证明有人阅读了这些记录。

fax 通知在 Outlook 中可以包含附件吗？

可以。Fax.Plus 为符合条件且已启用 HIPAA 的账户支持可选的已发送和已接收 fax 附件。在 ASC 下，通知默认不含附件。

启用附件需要所有者或管理员给予组织层面的同意，以及成员个人选择启用。接收服务器必须支持 TLS 1.2 或更高版本。管理员的同意并不会自动为每位成员启用附件投递。

当前的附件文档建议测试投递。通知使用安全的 TLS 邮件路由；如果接收服务器不支持所需的 TLS 版本，则不会发送通知邮件，fax 会保留在 Fax.Plus 存档中。

投递之后，您的组织有责任保护邮箱中的 PHI。这属于传输保护，而不是对 PDF 的邮件级加密，也不能保证转发的副本仍受保护。同时使用 Gmail 的机构应单独评估其 Google Workspace fax 工作流程。

应如何处理共享邮箱和移动访问？

请确定哪些员工需要接收通知、哪些需要查看文档，以及哪些可以发送患者记录。对于共享邮箱，请确认委派权限，以及发送身份是否已获授权使用经批准的 Fax.Plus 配置。共享访问并不会自动授权每个地址或发件人。

请检查转发规则、自动存档和下载。即使没有附件，通知也可能泄露敏感的上下文信息；附带的 PDF 则会产生额外的文档副本，需要适当的访问控制和保留策略。

请将 Outlook 移动端纳入同一评估范围：设备访问、账户管理以及可在本地访问的副本。当员工变更角色或离职时，请同步更新邮箱委派、设备访问权限和 fax 账户权限。

哪些内容需要单独的合同保障？

如果 Microsoft 与 Fax.Plus 作为各自独立的服务提供商都处理电子 PHI，请确认适用的 Microsoft BAA 条款，并签署 Fax.Plus BAA。一方服务提供商的协议并不涵盖另一方。

fax 服务提供商的协议同样无法保护不受管理的转发目的地、个人邮箱或第三方存档。请明确接收信息的服务和人员，并核实适用于各方的责任和控制措施。

对医疗机构而言，这将熟悉的 Outlook 工作流程与具体的账户条件联系起来：已批准的邮箱、授权发件人、fax 服务和接收目的地。在引入患者记录之前，请先使用模拟文档测试该配置，包括在电子邮件无法送达时员工如何获取 fax。