Is Google Forms HIPAA-conform?
Voordat de eerste patiënt je Google Form invult, moet je weten of het hun gezondheidsgegevens mag bevatten. Standaard mag dat niet. Google Forms mag alleen PHI verzamelen op een Google Workspace Business- of Enterprise-abonnement, met een Business Associate Agreement (BAA) die met Google is getekend. De gratis consumentenversie mag helemaal niet voor PHI worden gebruikt. Zelfs met een BAA ben jij verantwoordelijk voor de toegangscontrole en om PHI buiten openbaar delen te houden, en verschillende waarborgen werken door functies uit te zetten. Formesign geeft hetzelfde formulier een HIPAA-conforme werkruimte, met een eigen BAA.
Dit artikel behandelt eerst wat Google vereist. Wil je nu meteen beginnen in Formesign, maak dan je formulier. Methode 2, aan het eind, laat de stappen zien.
HIPAA-compliance: product + proces
HIPAA-compliance hangt af van het product (Google Forms) en van hoe dat product gebruikt wordt (jij):
- Product: De versie van Google Forms die je gebruikt, moet beveiligings- en privacyfuncties hebben zoals versleuteling van gegevens tijdens verzending en in rust, auditlogs, toegangscontrole en deelrechten, de nodige maatregelen om PHI te beschermen.
- Proces: Je moet het doel van het formulier bepalen en de PHI die het formulier moet verzamelen vaststellen en beperken. Je moet ook bepalen hoe de verzamelde PHI behandeld worden en wie er toegang toe heeft, en elk datalek melden.
Daarnaast moet je je collega's die met PHI werken trainen in de HIPAA-regels en in hoe ze het product gebruiken om HIPAA-compliance te waarborgen.
Hoe maak je Google Forms HIPAA-compliant?
Stap 1: Upgrade naar een Google Workspace-abonnement dat geschikt is voor HIPAA
Google Forms die met een persoonlijk account (@gmail.com) zijn gemaakt, kunnen niet HIPAA-conform worden gemaakt, omdat Google geen BAA aanbiedt voor consumentenaccounts. Je kunt upgraden naar een betaald Google Workspace-abonnement dat HIPAA-naleving ondersteunt, zoals Business Starter, Business Standard, Business Plus of elk Enterprise-abonnement. De gratis en individuele edities komen niet in aanmerking.
Stap 2: Teken de Business Associate Agreement (BAA) van Google
Als je een abonnement op het Google Workspace-platform hebt, teken je het Business Associate Addendum met Google en stel je toegangsbeheer voor je accounts in om aan de HIPAA-eisen te voldoen. Zo bekijk en accepteer je de BAA:
- Log in op de beheerconsole met het beheerdersaccount van je Google Workspace
- Klik in de Admin console op het menupictogram > klik op Account > klik op Account settings
- Klik op de pagina Account settings op Legal and Compliance > klik op Security and Privacy Additional Terms
- Klik op Google Workspace/Cloud Identity HIPAA Business Associate Amendment om de overeenkomst te bekijken
- Klik op Review and Accept > beantwoord alle drie de vragen om te bevestigen dat je een HIPAA covered entity bent of een business associate van de covered entity
- Klik op OK om de HIPAA BAA te accepteren.
Stap 3: Stel je formulieren in voor de HIPAA Privacy Rule
De HIPAA Privacy Rule beschrijft het toegestane gebruik en de toegestane openbaarmaking van beschermde gezondheidsinformatie (PHI). Als je Google Forms gebruikt om PHI te verzamelen, volg dan deze stappen:
- Beperk het verzamelen van PHI. Je moet je Google Forms zo instellen dat ze alleen het minimaal noodzakelijke aan PHI verzamelen. Vraag niet naar gevoelige informatie tenzij die nodig is voor het specifieke doel van het formulier.
- Stel regels op voor bewaren en verwijderen. Moet je gevoelige patiëntgegevens verzamelen, stel dan duidelijk beleid en procedures op voor het bewaren van de verzamelde PHI. Zorg dat de gegevens definitief uit Google Forms en de gekoppelde Google Sheets verwijderd worden als ze niet meer nodig zijn.
- Geef een privacyverklaring. Geef een verklaring die mensen informeert over hun privacyrechten en hoe ze die kunnen uitoefenen, en hoe hun medische informatie gebruikt en gedeeld mag worden. Je kunt hiervoor een sectie met de verklaring maken in Google Forms, of hem op je website publiceren en de link toevoegen aan het Google Form waarmee je PHI verzamelt.
- Vraag toestemming & machtiging. Stel je Google Forms zo in dat ze toestemming vragen voor het gebruik en de openbaarmaking van PHI voor behandeling, betaling en zorgverlening.
Stap 4: Stel je formulieren in voor de HIPAA Security Rule
De HIPAA Security Rule legt de administratieve, fysieke en technische maatregelen vast om PHI te beschermen. Als je Google Forms gebruikt om PHI te verzamelen, volg dan deze stappen:
- Gebruik eigen logins en MFA. Zet gebruikersverificatie en toegangscontrole in om te voorkomen dat onbevoegden bij PHI kunnen. Laat elk teamlid inloggen met een eigen account en zet verificatie in twee stappen aan. Gebruik nooit een gedeelde login, anders kun je systeemtoegang en activiteit niet per gebruiker volgen.
- Stel toegangscontrole in. Deel je Google Forms en de gekoppelde Google Sheets alleen met bevoegde personen om de toegang tot de verzamelde PHI te beperken. Anders dan Google Forms biedt Google Sheets fijnmazige toegangscontrole. Stel goede gebruikersverificatie, toegangsniveaus en toegangsbeperkingen in om de vertrouwelijkheid van gegevens te beschermen door Google Sheets te gebruiken om gegevens met je team te delen.
- Houd PHI uit titels en bestandsnamen. Zet nooit patiëntgegevens in de titel van het formulier of in de naam van de gekoppelde Sheet, want die raken makkelijk per ongeluk openbaar.
- Zet ontvangstbewijzen van antwoorden uit. De Security Rule verbiedt niet uitdrukkelijk om e-PHI per e-mail te sturen, maar raadt aan beleid en procedures in te voeren om de toegang te beperken. Omdat je de inhoud van de ontvangstbewijzen van Google Forms niet kunt aanpassen, zet je deze optie alleen aan als het echt nodig is.
- Vul PHI nooit vooraf in. Met Google Forms kun je antwoorden vooraf invullen door waarden via URL-parameters door te geven. Je mag deze functie niet gebruiken om PHI vooraf in te vullen, want dan liggen die gegevens open.
Stap 5: Train je personeel
Compliance is doorlopend, geen eenmalige inrichting. Train iedereen die met PHI werkt in de HIPAA-regels en in het juiste gebruik van deze formulieren: de juiste rechten en zichtbaarheid instellen, PHI uit titels en vooraf ingevulde links houden en weten hoe je een vermoedelijk datalek meldt. Fris die training regelmatig op.
Gaten die blijven, zelfs met een ondertekende BAA
Je hebt de BAA ondertekend, je formulieren ingesteld voor de Privacy en Security Rule en je personeel getraind. Zelfs dan zijn de meeste van die maatregelen noodoplossingen. Je geeft functies op in plaats van ze te beveiligen. Het probleem met deze beperkingen is dat ze de functies die je kunt gebruiken inperken en de ervaring van patiënten verslechteren. Er blijven een aantal gaten die Google Forms zelf niet kan dichten:
- Verloren functies, geen beveiligde functies. Ontvangstbewijzen uitzetten en vooraf invullen vermijden beschermt PHI door nuttige functies weg te halen. Er is geen ingebouwde manier om een antwoord te mailen of de gegevens van een bekende patiënt vooraf in te vullen zonder PHI bloot te geven.
- Geen rechten per veld. Toegang is alles of niets: iedereen met bewerkrechten op het formulier of de gekoppelde Sheet ziet elk antwoord, dus de norm van het "minimaal noodzakelijke" is lastig af te dwingen.
- Geen e-handtekening of vastlegging van toestemming. Er is geen ingebouwde manier om een ondertekende bevestiging van de privacyverklaring of een machtiging voor gebruik en openbaarmaking te verzamelen.
- Geen versiebeheer of patiënt-PDF. Geen audittrail voor bewerkte antwoorden en geen PDF-kopie van wat er verzonden is voor de patiënt.
- Add-ons vallen buiten de BAA van Google. De BAA van Google dekt geen Marketplace-add-ons, dus elke add-on die met PHI werkt, moet een eigen BAA met je organisatie hebben.
Klinische workflows die Google Forms niet aankan
Naast compliance komen deze in de zorg steeds terug en heeft Google Forms er geen ingebouwde oplossing voor:
Bestandsuploads dwingen patiënten in te loggen. De vraag voor bestandsupload in Google Forms vereist dat de invuller inlogt met een Google-account, dus een verzekeringspas, recept of identiteitsbewijs verzamelen betekent dat elke patiënt een Google-login nodig heeft, en veel patiënten hebben die niet of willen die niet gebruiken.
Machtigingen kun je niet per patiënt afbakenen. Een vrijgave of machtiging geldt meestal voor een bepaalde persoon en een bepaalde periode, maar Forms kan een formulier niet zo beperken. Het personeel kopieert het formulier dan voor elke patiënt en geeft de kopie de naam van die patiënt, waardoor de naam van de patiënt (PHI) in de bestandstitel staat, precies de praktijk waar de Privacy Rule voor waarschuwt.
Geen klinische scoring. Gevalideerde assessments zoals de PHQ-9, GAD-7, AUDIT enz. wegen elk antwoord en koppelen het totaal aan een ernstniveau. Google Forms biedt alleen goed/fout-beoordeling voor quizzen, geen gewogen scores, dus kan het deze uitkomsten niet berekenen en moet het personeel ze met de hand uitrekenen in Google Sheets.
Geen gedeelde gegevens tussen formulieren. Intake betekent meestal meerdere formulieren na elkaar, patiëntintake, een assessment en een machtiging tot vrijgave, en Google Forms kan geen gegevens tussen die formulieren doorgeven. Patiënten vullen in elk formulier dezelfde naam, hetzelfde e-mailadres en dezelfde gegevens opnieuw in, wat tijd kost en fouten uitlokt.
Geen planning of herinneringen. Sommige assessments moeten volgens een schema herhaald worden (bijvoorbeeld een PHQ-9 om de twee weken) om de voortgang te volgen. Google Forms kan een formulier niet op een vast ritme versturen of patiënten achter de broek zitten die niet reageren, dus moet het personeel eraan denken het opnieuw te sturen en met de hand op te volgen.
Deze gaten dichten is waar een tool komt kijken die daarvoor gebouwd is. Met Formesign zijn er twee opties, afhankelijk van of je formulieren al in Google Forms staan of je opnieuw begint. Beide opties worden gedekt door onze eigen BAA en een SOC 2 Type II-attestatie.
HIPAA-compliant Google Forms met Formesign
Er zijn twee methoden en ze passen bij verschillende teams.
- Heb je je formulieren al in Google Workspace gemaakt met een BAA en je personeel erin getraind? Voeg de Formesign-add-on HIPAA form toe en werk verder waar je bent.
- Begin je opnieuw of heb je je formulier met een persoonlijk account gemaakt? Importeer het Google Form via de URL in de HIPAA-conforme werkruimte van Formesign.
Methode 1: add-on Formesign - HIPAA compliance for Google Forms
Je formulier blijft in Google Forms; de add-on bouwt er compliance op. Markeer velden als PHI om ze te maskeren in meldingsmails, exports naar Sheets en vooraf ingevulde links, stel rechten per veld in (bewerkbaar, alleen-lezen of verborgen), verzamel e-handtekeningen voor toestemming en machtiging en houd auditlogs met versies van bewerkte antwoorden bij, zodat de gaten hierboven dicht zijn zonder dat je workflow verandert.
- Installeer de add-on Formesign - HIPAA compliance for Google Forms
- Markeer velden als PHI: Open je formulier in Google Forms > klik op het add-onpictogram > kies Formesign - HIPAA compliance for Google Forms > klik op Check HIPAA compliance en volg de aanwijzingen om de check af te ronden.
- Vraag toestemming: Klik op het add-onpictogram > kies Formesign - HIPAA compliance for Google Forms > klik op Add e-signature en volg de aanwijzingen om een handtekeningoptie voor toestemming en machtiging aan je formulier toe te voegen.
- Verzamel antwoorden: Gebruik de deellink van Formesign om antwoorden van je patiënten te verzamelen, of de e-mailoptie die automatisch een veilige vooraf ingevulde link maakt met de naam en het e-mailadres van de patiënt, zonder die in de URL bloot te geven.
Methode 2: Importeer je Google Form in Formesign
- Nieuw formulier: maak je formulier met de kant-en-klare sjablonen van Formesign en pas het aan je behoeften aan.
- Formulier importeren: open de importoptie van Formesign - HIPAA form, plak de URL van je Google Form en klik op Make my form compliant.
- Als er staat Verify your Google Forms setup meets HIPAA requirements with Formesign, klik je op Proceed en dan op Next.
- Vink onder Select fields that contain PHI elk veld aan dat beschermde gezondheidsinformatie kan bevatten en klik op Next.
- Klik op Sign BAA en volg de aanwijzingen om je HIPAA-compliant formulier in Formesign te maken. Deze stap kun je niet overslaan.
- Verzamel antwoorden: gebruik de deellink van Formesign om antwoorden van je patiënten te verzamelen, of de e-mailoptie die automatisch een veilige vooraf ingevulde link maakt met de naam en het e-mailadres van de patiënt, zonder die in de URL bloot te geven.
Waarom Formesign
Welke route je ook kiest, Formesign dicht ook de gaten in de klinische workflows hierboven:
Bestandsuploads van patiënten zonder login. Formesign zet het uploadveld van Google Forms om in een HTML-upload, zodat patiënten verzekeringspassen, recepten of een identiteitsbewijs kunnen bijvoegen zonder Google-account. Bestanden worden standaard opgeslagen in de HIPAA-compliant Google Cloud-infrastructuur van Formesign, met de optie om ze te synchroniseren met je eigen Google Drive (houd die Drive onder je Workspace-BAA zodat de gesynchroniseerde bestanden gedekt blijven).
Gedateerde machtigingen per patiënt vanuit één formulier. Stel de machtigingsperiode automatisch in met formules, TODAY() voor de startdatum en TODAY().add(2, "years") voor de vervaldatum, en voeg velden toe die bij het verzenden de gegevens van elke patiënt vastleggen. Eén formulier dient dan elke patiënt, en elke inzending heeft een eigen geldigheidsperiode. Geen formulier kopiëren per patiënt en geen patiëntnamen in bestandstitels.
Automatische scoring van assessments. Geef elk antwoord gewogen punten en Formesign telt ze op tot een totaal en koppelt dat aan een ernstniveau, zodat instrumenten als de PHQ-9, GAD-7 en AUDIT gescoord worden zonder handmatig tellen.
Gekoppelde formulieren, één keer invullen. Koppel je intakeformulieren zodat er na het verzenden van het ene een bedankbericht verschijnt met een link naar het volgende, en de gedeelde antwoorden automatisch meegaan in plaats van opnieuw getypt te worden. Overlappende gegevens zoals naam en e-mail worden doorgegeven via veilige vooraf ingevulde links, dus ze liggen nooit open in de URL.
Geplande formulieren en herinneringen. Laat een formulier op een vast ritme uitgaan (dagelijks, wekelijks of maandelijks) en Formesign mailt de link elke cyclus automatisch, met herinneringen aan iedereen die het niet op tijd heeft ingevuld. Zo lopen periodieke, metingsgerichte assessments zoals een tweewekelijkse PHQ-9 vanzelf.
Vergelijking
In één oogopslag: zo verhoudt Google Forms zich tot HIPAA form van Formesign op de waarborgen en klinische workflows die hierboven aan bod kwamen.
| Mogelijkheden | Google Forms | Formesign |
|---|---|---|
| HIPAA BAA | Nee | Ja |
| Rechten per veld | Nee | Ja |
| PHI maskeren in e-mails & exports | Nee | Ja |
| Auditlog per antwoord | Alleen per bestand | Ja |
| E-handtekeningen | Nee | Ja |
| Antwoord- & ondertekende PDF's | Nee | Ja |
| Bestandsupload zonder inloggen | Nee | Ja |
| Scoring van assessments (PHQ-9, GAD-7 enz.) | Nee | Ja |
| Gekoppelde formulieren & veilig vooraf invullen | Nee | Ja |
| Geplande formulieren & herinneringen | Nee | Ja |
Veelgestelde vragen
Is Google Forms standaard HIPAA-compliant?
Nee. Het kan alleen compliant worden gemaakt met een betaald Google Workspace-abonnement, een ondertekende BAA en de juiste configuratie. HIPAA-compliance hangt uiteindelijk af van zowel het product als hoe je het gebruikt.
Kan Google Forms HIPAA-compliant worden gemaakt?
Ja. Je hebt een Google Workspace-abonnement nodig dat HIPAA ondersteunt (Business Starter of hoger of Enterprise), een ondertekende Business Associate Agreement die in de Admin-console is geaccepteerd en de juiste instelling van toegangscontrole, deelinstellingen en training van personeel om aan de HIPAA-eisen te voldoen
Is de gratis versie van Google Forms HIPAA-compliant?
Nee. Google biedt geen BAA voor gratis consumentenaccounts (gmail.com), dus de gratis versie mag niet rechtmatig worden gebruikt om PHI te verzamelen, op te slaan of te verzenden.
Kan ik Google Forms gebruiken voor intakeformulieren van patiënten?
Alleen met een ondertekende BAA en goed ingestelde maatregelen. Omdat patiëntintake bijna altijd PHI omvat en Forms geen toegangscontrole per veld en geen auditlogs per antwoord heeft, voegen veel organisaties een speciale add-on toe of gebruiken ze een tool die voor intake gebouwd is.
Is het mailen van antwoorden uit Google Forms HIPAA-compliant?
Standaard niet. Meldings- en ontvangstmails bevatten het volledige antwoord, inclusief alle PHI, dus als er een in een mailbox belandt die niet onder een BAA valt, is dat een ongeoorloofde openbaarmaking. Om antwoorden veilig te mailen, maskeer of verwijder je PHI uit het bericht of zet je e-mailmeldingen helemaal uit.
Samenvatting
Als je patiëntgegevens verzamelt, heeft Google Forms een betaald Workspace-abonnement nodig, een getekende BAA en omwegen die functies wegnemen. Met Formesign importeer je je formulier in een HIPAA-conforme werkruimte, markeer je de velden met patiëntgegevens en teken je een BAA. Maak hiervoor je formulier zoals methode 2 laat zien. Heb je vragen, schrijf dan naar support.
Laatst bijgewerkt: