Google Forms è conforme a HIPAA?
Prima che il primo paziente compili il tuo Google Form, devi sapere se può contenere i suoi dati sanitari. Di base, no. Google Forms può raccogliere PHI solo con un piano Business o Enterprise di Google Workspace, con un Business Associate Agreement (BAA) firmato con Google. La versione gratuita per privati non si può usare per le PHI in nessun caso. Anche con un BAA, sei responsabile dei controlli di accesso e di tenere le PHI fuori dalla condivisione pubblica, e diverse tutele funzionano disattivando delle funzioni. Formesign dà allo stesso modulo uno spazio di lavoro conforme a HIPAA, coperto dal suo BAA.
Questo articolo spiega prima cosa richiede Google. Per iniziare subito con Formesign, crea il tuo modulo. Il Metodo 2, verso la fine, mostra i passaggi.
Conformità HIPAA: prodotto + processo
La conformità HIPAA dipende dal prodotto (Google Forms) e anche da come quel prodotto viene usato (tu):
- Prodotto: la versione di Google Forms che usi deve avere funzioni di sicurezza e privacy come la crittografia dei dati in transito e a riposo, i log di audit, i controlli di accesso e le autorizzazioni di condivisione, le misure necessarie per proteggere le PHI.
- Processo: devi definire lo scopo del modulo, individuare e limitare le PHI da raccogliere nel modulo. Devi anche definire come vengono gestite le PHI raccolte, chi vi ha accesso e segnalare qualsiasi violazione dei dati.
Inoltre, devi anche formare i colleghi che gestiscono PHI sulle norme HIPAA e su come usare il prodotto per garantire la conformità HIPAA.
Come rendere Google Forms conforme alla HIPAA?
Passo 1: Passa a un piano Google Workspace idoneo per HIPAA
I moduli Google Forms creati con un account personale (@gmail.com) non possono essere resi conformi a HIPAA, perché Google non offre un BAA per gli account privati. Puoi passare a un piano a pagamento di Google Workspace che supporta la conformità HIPAA, come Business Starter, Business Standard, Business Plus o qualsiasi piano Enterprise. Le edizioni gratuite e individuali non sono idonee.
Passo 2: Firma il Business Associate Agreement (BAA) di Google
Se sei abbonato alla piattaforma Google Workspace, firma il Business Associate Addendum con Google e configura il controllo degli accessi dei tuoi account per soddisfare i requisiti HIPAA. Per esaminare e accettare il BAA,
- Accedi all'Admin console con l'account amministratore del tuo Google Workspace
- Nell'Admin console, fai clic sull'icona del menu > fai clic su Account > fai clic su Account settings
- Nella pagina Account settings, fai clic su Legal and Compliance > fai clic su Security and Privacy Additional Terms
- Fai clic su Google Workspace/Cloud Identity HIPAA Business Associate Amendment per esaminare l'emendamento
- Fai clic su Review and Accept > rispondi a tutte e tre le domande per confermare che sei un'entità coperta da HIPAA o un Business Associate dell'entità coperta
- Per accettare il BAA HIPAA, fai clic su OK.
Passo 3: configura i tuoi moduli per la Privacy Rule della HIPAA
La Privacy Rule della HIPAA definisce gli usi e le divulgazioni consentiti delle informazioni sanitarie protette (PHI). Quando usi Google Forms per raccogliere PHI, devi seguire questi passaggi:
- Limita la raccolta di PHI. Devi configurare Google Forms per raccogliere solo il minimo di PHI necessario. Evita di chiedere informazioni sensibili, a meno che non servano allo scopo specifico del modulo.
- Stabilisci regole di conservazione e cancellazione dei dati. Se devi raccogliere dati sensibili dei pazienti, definisci politiche e procedure chiare di conservazione per le PHI raccolte. Assicurati che i dati vengano rimossi definitivamente da Google Forms e dal Google Sheets collegato quando non servono più.
- Fornisci un'informativa sulle pratiche di privacy. Fornisci un'informativa che spieghi alle persone i loro diritti di privacy e come possono esercitarli, e come le loro informazioni mediche possono essere usate e divulgate. Puoi creare una sezione con questa informativa in Google Forms oppure pubblicarla sul tuo sito e aggiungere il link nel Google Forms usato per raccogliere PHI.
- Ottieni consenso & autorizzazione. Configura Google Forms per ottenere il consenso all'uso e alla divulgazione delle PHI per trattamento, pagamento e attività sanitarie.
Passo 4: configura i tuoi moduli per la Security Rule della HIPAA
La Security Rule della HIPAA definisce le misure di sicurezza amministrative, fisiche e tecniche per proteggere le PHI. Quando usi Google Forms per raccogliere PHI, devi seguire questi passaggi:
- Usa login individuali e MFA. Implementa l'autenticazione degli utenti e i controlli di accesso per impedire a persone non autorizzate di accedere alle PHI. Chiedi a ogni membro del team di accedere con il proprio account e di attivare la verifica in due passaggi. Non usare mai un login condiviso, altrimenti l'accesso al sistema e l'attività non si possono tracciare per utente.
- Implementa i controlli di accesso. Condividi Google Forms e il Google Sheets collegato solo con le persone autorizzate, per limitare l'accesso alle PHI raccolte. A differenza di Google Forms, Google Sheets offre controlli di accesso dettagliati. Imposta un'autenticazione degli utenti, livelli di autorizzazione e restrizioni di accesso adeguati per proteggere la riservatezza dei dati usando Google Sheets per condividere i dati con il tuo team.
- Tieni le PHI fuori da titoli e nomi dei file. Non mettere mai informazioni dei pazienti nel titolo del modulo o nel nome del foglio collegato, perché è facile esporli per errore.
- Disattiva le ricevute delle risposte. La Security Rule non vieta espressamente l'uso dell'email per inviare e-PHI, ma raccomanda di adottare politiche e procedure per limitare l'accesso. Poiché la funzione di ricevuta delle risposte di Google Forms non ti permette di personalizzare il contenuto, attiva questa opzione solo se è assolutamente necessario.
- Non precompilare mai PHI. Google Forms permette di precompilare le risposte passando valori tramite parametri dell'url. Non devi usare questa funzione per precompilare PHI, perché verrebbero esposte.
Passo 5: forma il tuo personale
La conformità è continua, non una configurazione una tantum. Forma chiunque gestisca PHI sulle regole HIPAA e sull'uso corretto di questi moduli: impostare autorizzazioni e visibilità adeguate, tenere le PHI fuori da titoli e link precompilati e sapere come segnalare una sospetta violazione. Aggiorna questa formazione periodicamente.
Lacune che restano anche con un BAA firmato
Hai firmato il BAA, configurato i tuoi moduli per la Privacy Rule e la Security Rule e formato il tuo staff. Anche così, la maggior parte di queste misure sono ripieghi. Rinunci alle funzioni invece di renderle sicure. Il problema di queste restrizioni è che limitano le funzioni che puoi usare e peggiorano l'esperienza del paziente. Restano diverse lacune che Google Forms non può colmare da solo:
- Funzioni perse, non funzioni protette. Disattivare le ricevute ed evitare la precompilazione protegge le PHI togliendo funzioni utili. Non esiste un modo nativo per inviare una risposta via email o precompilare i dati di un paziente noto senza esporre PHI.
- Nessuna autorizzazione a livello di campo. L'accesso è tutto o niente: chiunque abbia accesso in modifica al modulo o al foglio collegato vede ogni risposta, quindi lo standard del "minimo necessario" è difficile da far rispettare.
- Nessuna firma elettronica né raccolta del consenso. Non c'è un modo integrato per raccogliere una presa visione firmata delle pratiche di privacy o un'autorizzazione all'uso e alla divulgazione.
- Nessuna versione né PDF per il paziente. Nessun audit trail per le risposte modificate e nessuna copia PDF per il paziente di ciò che è stato inviato.
- I componenti aggiuntivi sono fuori dal BAA di Google. Il BAA di Google non copre i componenti aggiuntivi del Marketplace, quindi ogni componente aggiuntivo che tocca PHI deve fornire un proprio BAA alla tua organizzazione.
Flussi di lavoro clinici che Google Forms non sa gestire
Oltre alla conformità, questi casi si presentano di continuo in ambito sanitario e non hanno una soluzione nativa in Google Forms:
Il caricamento di file obbliga i pazienti ad accedere. La domanda di caricamento file di Google Forms richiede a chi risponde di accedere con un account Google, quindi raccogliere una tessera assicurativa, una ricetta o un documento d'identità vuol dire che ogni paziente ha bisogno di un login Google, che molti non hanno o non useranno.
Le autorizzazioni non si possono limitare per paziente. Un consenso o un'autorizzazione di solito vale per una persona specifica e per un periodo definito, ma Forms non può limitare un modulo in questo modo. Lo staff finisce per copiare il modulo per ogni paziente e dare alla copia il suo nome, mettendo il nome del paziente (PHI) nel titolo del file, proprio la pratica da cui la Privacy Rule mette in guardia.
Nessun punteggio clinico. Valutazioni validate come PHQ-9, GAD-7, AUDIT ecc. danno un peso a ogni risposta e collegano il totale a una fascia di gravità. Google Forms offre solo la correzione giusto/sbagliato dei quiz, non il punteggio ponderato, quindi non può calcolare questi risultati e lo staff deve calcolarli a mano con Google Sheets.
Nessun dato condiviso tra più moduli. L'accettazione di solito vuol dire diversi moduli in sequenza, la scheda di accettazione del paziente, una valutazione e un'autorizzazione al rilascio, e Google Forms non può passare dati dall'uno all'altro. I pazienti reinseriscono lo stesso nome, email e dati in ognuno, con perdita di tempo e rischio di errori.
Nessuna pianificazione né promemoria. Alcune valutazioni vanno ripetute a scadenza (un PHQ-9 ogni due settimane, per esempio) per seguire i progressi nel tempo. Google Forms non può inviare un modulo a cadenza ricorrente né sollecitare i pazienti che non rispondono, quindi lo staff deve ricordarsi di reinviarlo e sollecitare a mano.
Colmare queste lacune è il compito di uno strumento fatto apposta. Ci sono due opzioni per farlo con Formesign, a seconda che i tuoi moduli siano già in Google Forms o che tu stia partendo da zero. Entrambe le opzioni sono coperte dal nostro BAA e dall'attestazione SOC 2 Type II.
Google Forms conforme alla HIPAA con Formesign
Ci sono due metodi, adatti a team diversi.
- Hai già creato i tuoi moduli in Google Workspace con un BAA e formato lo staff a usarli? Aggiungi il componente aggiuntivo HIPAA form di Formesign e continua a lavorare dove sei.
- Parti da zero o hai creato il modulo con un account personale? Importa il Google Form nello spazio di lavoro di Formesign conforme a HIPAA tramite il suo URL.
Metodo 1: componente aggiuntivo Formesign - HIPAA compliance for Google Forms
Il tuo modulo resta in Google Forms; il componente aggiuntivo ci aggiunge la conformità. Segna i campi come PHI per mascherarli nelle email di notifica, nelle esportazioni su Sheets e nei link precompilati, imposta autorizzazioni a livello di campo (modificabile, sola lettura o nascosto), raccogli firme elettroniche per consenso e autorizzazione e conserva log di audit con le versioni delle modifiche alle risposte, colmando le lacune sopra senza cambiare il tuo modo di lavorare.
- Installa il componente aggiuntivo Formesign - HIPAA compliance for Google Forms
- Segna i campi come PHI: apri il tuo modulo in Google Forms > clicca sull'icona dei componenti aggiuntivi > seleziona Formesign - HIPAA compliance for Google Forms > clicca su Check HIPAA compliance e segui le istruzioni per completare il controllo.
- Ottieni il consenso: clicca sull'icona dei componenti aggiuntivi > seleziona Formesign - HIPAA compliance for Google Forms > clicca su Add e-signature e segui le istruzioni per aggiungere al tuo modulo un'opzione di firma per consenso e autorizzazione.
- Raccogli le risposte: usa il link di condivisione di Formesign per raccogliere le risposte dei tuoi pazienti oppure l'opzione email che crea automaticamente una precompilazione sicura, inserendo nome ed email del paziente senza esporli nell'URL.
Metodo 2: importa il tuo modulo Google Forms in Formesign
- Nuovo modulo: crea il modulo con i modelli pronti di Formesign e personalizzalo come ti serve.
- Importa modulo: apri l'opzione di importazione di Formesign - HIPAA form, incolla l'URL del tuo Google Forms e clicca su Make my form compliant.
- Quando compare Verify your Google Forms setup meets HIPAA requirements with Formesign, clicca su Proceed e poi su Next.
- In Select fields that contain PHI, spunta ogni campo che può contenere informazioni sanitarie protette e clicca su Next.
- Clicca su Sign BAA e segui le istruzioni per creare il tuo modulo conforme alla HIPAA in Formesign. Non puoi saltare questo passaggio.
- Raccogli le risposte: usa il link di condivisione di Formesign per raccogliere le risposte dei tuoi pazienti oppure l'opzione email che crea automaticamente una precompilazione sicura, inserendo nome ed email del paziente senza esporli nell'URL.
Perché Formesign
Qualunque strada scegli, Formesign colma anche le lacune dei flussi di lavoro clinici viste sopra:
Caricamento di file dei pazienti senza login. Formesign trasforma il campo di caricamento file di Google Forms in un caricamento HTML, così i pazienti possono allegare tessere assicurative, ricette o documenti senza un account Google. Di default i file sono salvati nell'infrastruttura Google Cloud di Formesign conforme alla HIPAA, con la possibilità di sincronizzarli sul tuo Google Drive (tieni quel Drive sotto il BAA del tuo Workspace così i file sincronizzati restano coperti).
Autorizzazioni datate e per paziente da un solo modulo. Usa le formule per impostare automaticamente il periodo di autorizzazione, TODAY() per la data di inizio e TODAY().add(2, "years") per la scadenza, e aggiungi campi che registrano i dati di ogni paziente all'invio. Un solo modulo serve così tutti i pazienti, e ogni invio ha la sua finestra di validità. Niente copie del modulo per ogni paziente e niente nomi di pazienti nei titoli dei file.
Punteggio automatico delle valutazioni. Assegna punti ponderati a ogni risposta e Formesign li somma in un totale e lo collega a una fascia di gravità, calcolando il punteggio di strumenti come PHQ-9, GAD-7 e AUDIT senza conteggi a mano.
Moduli collegati, compilati una volta. Collega i tuoi moduli di accettazione così che, inviandone uno, compaia un messaggio di ringraziamento con il link al successivo e le risposte in comune passino avanti automaticamente invece di essere riscritte. I dati che si ripetono, come nome ed email, passano tramite link precompilati sicuri, quindi non sono mai esposti nell'URL.
Moduli pianificati e promemoria. Imposta un modulo da inviare a cadenza ricorrente (giornaliera, settimanale o mensile) e Formesign invia il link via email automaticamente a ogni ciclo, con promemoria a chi non l'ha compilato in tempo. Così le valutazioni periodiche basate su misurazioni, come un PHQ-9 ogni due settimane, vanno avanti da sole.
Confronto
In sintesi, ecco come Google Forms si confronta con HIPAA form di Formesign sulle tutele di conformità e sui flussi clinici visti sopra.
| Funzionalità | Google Forms | Formesign |
|---|---|---|
| BAA HIPAA | No | Sì |
| Permessi per campo | No | Sì |
| Mascherare le PHI in email & esportazioni | No | Sì |
| Registro di controllo per risposta | Solo a livello di file | Sì |
| Firme elettroniche | No | Sì |
| PDF delle risposte & firmati | No | Sì |
| Caricamento file senza accesso | No | Sì |
| Punteggio delle valutazioni (PHQ-9, GAD-7 ecc.) | No | Sì |
| Moduli collegati & precompilazione sicura | No | Sì |
| Moduli programmati & promemoria | No | Sì |
Domande frequenti
Google Forms è conforme alla HIPAA di default?
No. Può diventare conforme solo con un piano a pagamento di Google Workspace, un BAA firmato e la configurazione corretta. Alla fine la conformità HIPAA dipende sia dal prodotto sia da come lo usi.
Google Forms può essere reso conforme alla HIPAA?
Sì. Ti serve un piano Google Workspace che supporti la HIPAA (Business Starter o superiore, oppure Enterprise), un Business Associate Agreement firmato e accettato nella Admin console e una corretta configurazione di controlli di accesso, impostazioni di condivisione e formazione del personale per soddisfare i requisiti HIPAA
La versione gratuita di Google Forms è conforme alla HIPAA?
No. Google non offre un BAA per gli account personali gratuiti (gmail.com), quindi la versione gratuita non può essere usata legalmente per raccogliere, conservare o trasmettere PHI.
Posso usare Google Forms per i moduli di accettazione dei pazienti?
Solo con un BAA firmato e misure di sicurezza ben configurate. Poiché l'accettazione dei pazienti comporta quasi sempre PHI e Forms non ha controlli di accesso a livello di campo né log di audit per risposta, molte organizzazioni aggiungono un componente aggiuntivo dedicato o usano uno strumento fatto apposta per l'accettazione.
Inviare via email le risposte di Google Forms è conforme alla HIPAA?
Non di default. Le email di notifica e di ricevuta contengono la risposta completa, comprese eventuali PHI, quindi se una arriva in una casella di posta non coperta da un BAA si tratta di una divulgazione non consentita. Per inviare le risposte via email in sicurezza, maschera o rimuovi le PHI dal messaggio oppure disattiva del tutto le notifiche email.
Riepilogo
Se raccogli dati dei pazienti, Google Forms richiede un piano Workspace a pagamento, un BAA firmato e soluzioni alternative che tolgono funzioni. Con Formesign, importi il tuo modulo in uno spazio di lavoro conforme a HIPAA, segni i campi con i dati dei pazienti e firmi un BAA. Per farlo, crea il tuo modulo come mostra il Metodo 2. Se hai domande, scrivi all'assistenza.
Ultimo aggiornamento: