Percakapan tersebut melekat pada diri saya. Bekerja di Bouncer, saya melihat setiap hari betapa pentingnya kualitas dan kepatuhan data. Tidak hanya untuk kesuksesan pemasaran, tetapi juga untuk melindungi kepercayaan pasien.
Jadi, dalam artikel ini, saya akan berbagi apa yang saya pelajari tentang menyeimbangkan antara kepatuhan terhadap HIPAA dan keterkiriman email: bagaimana organisasi perawatan kesehatan bisa menjaga email tetap aman, mempertahankan reputasi pengirim yang kuat, dan tetap menjangkau kotak masuk yang tepat.
Dasar-dasar HIPAA dan arti menjadi “rekan bisnis”
HIPAA ditulis untuk melindungi informasi kesehatan yang dilindungi (PHI ) – rincian yang menghubungkan seseorang dengan kondisi kesehatannya.
Undang-undang ini berlaku untuk entitas yang tercakup, seperti rumah sakit, klinik, dan perusahaan asuransi, dan untuk rekanan bisnis, yang merupakan vendor yang menangani PHI atas nama entitas yang tercakup.
Departemen Kesehatan dan Layanan Kemanusiaan (HHS) A.S. menjelaskan bahwa setiap orang atau organisasi yang menjalankan fungsi atau aktivitas yang melibatkan PHI atas nama entitas yang tercakup akan menjadi rekanan bisnis.
Contoh umum meliputi:
- layanan penagihan,
- perusahaan transkripsi,
- dan layanan email berbasis cloud.
Ketika entitas yang tercakup menggunakan rekanan bisnis, Peraturan Privasi HIPAA menyatakan bahwa entitas yang tercakup harus mendapatkan jaminan yang memuaskan bahwa rekanan bisnis tersebut akan melindungi PHI apa pun yang diterima atau dibuatnya.
Jaminan tersebut harus dibuat secara tertulis, biasanya dalam bentuk Business Associate Agreement (BAA) .
Perjanjian tersebut menetapkan penggunaan PHI yang diizinkan, melarang pengungkapan lebih lanjut, dan mengharuskan rekan bisnis untuk menggunakan perlindungan yang sesuai. Jika vendor menolak BAA, entitas yang tercakup tidak boleh menggunakannya untuk PHI.
Kepatuhan tidak berhenti pada Aturan Privasi. Aturan Keamanan menambahkan perlindungan teknis.
Hal ini mengharuskan PHI tidak dapat dibaca oleh siapa pun yang tidak memiliki hak untuk melihatnya.
Enkripsi adalah alat utama di sini. Jurnal HIPAA mencatat bahwa sistem email harus menerapkan mekanisme untuk mengenkripsi dan mendekripsi PHI saat istirahat dan menggunakan langkah-langkah keamanan teknis untuk melindungi dari akses yang tidak sah selama transmisi.
Meskipun enkripsi dilabeli sebagai spesifikasi “dapat dialamatkan”, aturan ini mengharapkan entitas yang tercakup dan rekan bisnis untuk mengenkripsi atau mengadopsi tindakan lain yang sama protektifnya.
Pemerintah federal menyarankan untuk mengikuti panduan National Institute of Standards and Technology (NIST) yang modern untuk data yang sedang diam dan dalam perjalanan.
Selain enkripsi, Aturan Keamanan menuntut kontrol akses, kontrol audit, kontrol integritas, dan langkah-langkah autentikasi untuk melacak siapa yang membaca dan memodifikasi data.
Email transaksional versus email pemasaran dalam layanan kesehatan
Setelah mengobrol dengan teman saya di bidang kesehatan, saya ingin memahami mengapa satu pesan bisa masuk dengan aman ke kotak masuk sementara pesan lainnya masuk ke folder spam, meskipun keduanya mengikuti aturan HIPAA.
Di Bouncer, kami sering melihat pengirim berjuang dengan perpecahan antara pesan transaksional dan pesan pemasaran.
Email transaksional bersifat fungsional (pengingat janji temu, pengaturan ulang kata sandi, pemberitahuan penagihan, atau hasil lab). Email ini dipicu oleh tindakan pengguna dan berisi informasi yang diharapkan oleh penerima.
Di sisi lain, email pemasaran bersifat promosi. Pikirkan tentang buletin, informasi terbaru tentang kesehatan, atau undangan acara. Ini masuk ke daftar yang lebih besar dan selalu membutuhkan persetujuan yang jelas dan cara berhenti berlangganan yang mudah.
Bagian yang sulit dalam perawatan kesehatan adalah bahwa kedua jenis tersebut dapat mencakup Informasi Kesehatan yang Dilindungi (PHI).
Jurnal HIPAA menjelaskan bahwa aturan HIPAA berlaku setiap kali PHI dibuat, diterima, disimpan, atau dikirim melalui email (meskipun hanya berupa pengingat atau pemberitahuan).
Karena sulit untuk mengetahui kapan PHI akan muncul, banyak klinik yang memperlakukan semua pesan yang berhubungan dengan pasien sebagai pesan yang sensitif secara default.
Jika konten pemasaran melibatkan PHI, Anda memerlukan otorisasi HIPAA dari setiap individu.
Bagian 164.508 dari Peraturan Privasi HIPAA mensyaratkan otorisasi yang sah dan terdokumentasi untuk penggunaan PHI dalam pemasaran.
Paubox merekomendasikan untuk mengumpulkan persetujuan melalui formulir yang aman atau portal pasien untuk menjaga jejak audit yang jelas.
Lalu ada area abu-abu ketika email transaksional diam-diam berubah menjadi promosi. LuxSci memperingatkan agar tidak melakukan hal ini.
Jika Anda mengirimkan email “Status Pesanan Anda” yang benar-benar berisi tentang penjualan, Anda melanggar CAN-SPAM dan HIPAA.
Rute yang lebih aman? Jaga agar pesan transaksional tetap beroperasi secara ketat dan kirimkan pembaruan promosi secara terpisah. Hal ini akan menjaga reputasi pengirim tetap bersih dan catatan kepatuhan Anda tetap bersih.
Membangun infrastruktur email yang aman dan patuh
Di sisi teknis, kepatuhan dan penyampaian saling terkait.
Standar keamanan Jurnal HIPAA mengatakan bahwa sistem email harus menerapkan kontrol akses, jejak audit, pemeriksaan integritas, otentikasi identitas, dan keamanan transmisi untuk membatasi siapa saja yang bisa mengakses PHI, melacak komunikasi, menjaga integritas data, dan melindungi pesan selama transmisi.
Artikel tersebut menambahkan bahwa sistem pengarsipan dan penyimpanan email mungkin diperlukan untuk merespons permintaan akses individu dan memelihara catatan.
Sementara itu, LuxSci mencatat bahwa pesan transaksional dan pemasaran memiliki kebutuhan kinerja yang sangat berbeda.
Email pemasaran dikirim dalam jumlah besar dan dapat mentoleransi penundaan kecil, sehingga memori dan sumber daya CPU yang tinggi diperlukan untuk mengirim ribuan pesan sekaligus.
Email transaksional bersifat satu-ke-satu dan sering kali sensitif terhadap waktu, sehingga kecepatan server lebih penting.
Karena perbedaan ini, LuxSci merekomendasikan penggunaan server atau domain terpisah untuk aliran pemasaran dan transaksional untuk menghindari kontaminasi silang terhadap reputasi dan untuk memenuhi tujuan throughput. Ketika komunikasi berhubungan dengan hubungan antara pasien dan penyedia layanan kesehatan, komunikasi tersebut harus dienkripsi.
Menggunakan platform umum seperti Google Workspace atau Microsoft 365 saja tidak cukup. Paubox menjelaskan bahwa HIPAA mengharuskan penyedia layanan untuk menggunakan solusi email aman yang mengenkripsi pesan dan lampiran dalam perjalanan dan saat istirahat.
Panduan HHS yang dikutip oleh Paubox mengatakan bahwa penyedia layanan kesehatan yang tercakup dapat mengirim email kepada pasien selama mereka menerapkan perlindungan yang wajar, dan penyedia layanan kesehatan dapat menganggap email dapat diterima jika pasien yang memulai percakapan.
Perlindungan teknis dari Peraturan Keamanan memerlukan langkah-langkah untuk menjaga akses yang tidak sah selama transmisi.
Paubox menunjukkan bahwa sekarang ini sudah umum bagi organisasi untuk melengkapi layanan email utama mereka dengan layanan email aman yang sesuai dengan HIPAA yang menambahkan enkripsi, pencegahan kehilangan data, pencadangan, dan kontrol lainnya.
Apa pun platform yang Anda pilih, tandatangani Perjanjian Rekanan Bisnis. Tanpa perjanjian ini, vendor Anda tidak mematuhi HIPAA.
Persetujuan, penyisihan, dan penyimpanan catatan
Mengumpulkan persetujuan lebih dari sekadar mencentang satu kali.
Jurnal HIPAA menjelaskan bahwa aturan email HIPAA hanya berlaku jika ada PHI, tetapi Aturan Privasi juga memberikan hak kepada individu untuk meminta komunikasi rahasia dengan cara alternatif.
Beberapa negara bagian memerlukan persetujuan afirmatif untuk email pemasaran apa pun. Yaitu:
- Connecticut,
- Colorado,
- Texas,
- Tennessee,
- Virginia,
- Utah,
- Montana,
- Iowa (mulai Januari 2025),
- dan Indiana (mulai Januari 2026).
Paubox memberikan ide-ide praktis untuk mengumpulkan persetujuan dari calon pasien:
- formulir pendaftaran yang aman,
- proses asupan,
- mendaftar di situs web Anda,
- pendaftaran acara dan tautan rujukan.
Formulir ini harus secara jelas menggambarkan jenis email yang akan diterima orang tersebut.
Jika kampanye pemasaran Anda melibatkan PHI, Anda harus mendokumentasikan kapan dan bagaimana setiap pasien mengizinkan penggunaan data mereka. Simpan catatan ini dengan persetujuan pasien lainnya sehingga Anda dapat membuktikan kepatuhan jika ada pertanyaan.
Untuk komunikasi pemasaran, Anda juga memerlukan opsi berhenti berlangganan yang mudah. CAN-SPAM mengharuskan pesan pemasaran menyertakan tautan berhenti berlangganan yang berfungsi dengan baik dan permintaan berhenti berlangganan segera dipenuhi.
Meskipun pesan bersifat transaksional, memberikan kendali kepada penerima atas cara mereka mendengar dari Anda akan membangun kepercayaan dan membantu melindungi reputasi domain Anda.
Kebijakan privasi Anda harus menjelaskan bagaimana alamat email digunakan, disimpan, dan dibagikan, dan mengonfirmasi bahwa PHI hanya ditangani untuk tujuan yang sah.
Berdasarkan HIPAA, perjanjian rekanan bisnis harus merinci penggunaan yang diizinkan, membatasi pengungkapan lebih lanjut, mewajibkan perlindungan, dan menjelaskan prosedur pemberitahuan pelanggaran – kebijakan privasi Anda dapat meringkas komitmen ini dalam bahasa yang sederhana.
Strategi penyampaian dan pemantauan
Keterkiriman sering kali diabaikan dalam percakapan kepatuhan, namun hal ini sangat penting untuk mencapai kotak masuk. Ketika teman saya pertama kali mulai bekerja dengan email kesehatan, dia mengira enkripsi dan penandatanganan adalah satu-satunya hal yang penting. Kemudian tingkat keterbukaannya anjlok.
Dia menemukan bahwa mencampurkan salinan pemasaran ke dalam pengingat pasien dapat memicu filter spam.
Panduan LuxSci mencatat bahwa tujuan utama dari sebuah pesan menentukan apakah pesan tersebut bersifat transaksional atau pemasaran, dan memperingatkan agar tidak salah dalam menentukan subjek atau konten.
Untuk menghindari masalah keterkiriman, jaga agar baris subjek dan isi email Anda tetap selaras dengan tujuan utama, dan pisahkan konten pemasaran ke dalam pesan yang terpisah.
Menggunakan server atau domain terpisah untuk pemasaran dan aliran transaksional membantu menjaga reputasi IP dan mendukung volume tinggi untuk pemasaran tanpa menunda notifikasi yang sensitif terhadap waktu.
Otentikasi juga berperan. Siapkan catatanSPF, DKIM, dan DMARC untuk setiap domain, dan pastikan pesan yang Anda kirimkan selaras dengan kebijakan tersebut.
Catatan yang tidak selaras atau hilang dapat menyebabkan penyedia layanan email menolak atau mengkarantina pesan, sehingga merugikan arus transaksi dan pemasaran.
Pantau rasio pentalan, keluhan spam, dan rasio terbuka per domain atau penyedia secara teratur.
Banyak layanan email yang sesuai dengan HIPAA menyertakan dasbor untuk metrik-metrik ini dan membantu Anda menemukan masalah lebih awal. Layanan email yang aman harus menyertakan pemantauan log otomatis dan autentikasi dua faktor.
Log tidak hanya memperkuat keamanan tetapi juga membantu mendiagnosis masalah pengiriman.
Terakhir, latihlah staf Anda. Persentase pelanggaran yang tinggi berasal dari kesalahan manusia.
Ajarkan karyawan untuk mengenali PHI, gunakan saluran yang aman, dan hindari pencampuran pesan pemasaran dengan pesan operasional.
Selalu berikan informasi terbaru tentang praktik persetujuan dan proses berhenti berlangganan.
Kesalahan kecil, seperti menambahkan kalimat promosi pada hasil lab, dapat memicu komplain dan merusak reputasi pengirim.
Bouncer: menjaga daftar kontak Anda tetap bersih
Setelah teman saya menyelesaikan infrastruktur dan proses persetujuannya, masih ada masalah yang mengganggu: alamat yang buruk.
Daftarnya berisi kesalahan ketik, domain yang sudah basi, dan bahkan beberapa pendaftaran yang berbahaya. Setiap kali ia mengirim kampanye, ia melihat angka bounce meningkat dan khawatir jebakan spam merusak reputasinya.
Dia menghubungi saya dan saya menyarankan untuk menggunakan Bouncer, platform verifikasi email kami, untuk membersihkan daftar kontak sebelum mengirim.
Dia mengunggah daftar melalui aplikasi utama dan melihat bagaimana aplikasi tersebut memeriksa setiap alamat untuk validitas, kemampuan pengiriman, dan risikonya.
Ketika dia memasukkan API ke dalam formulir pendaftaran, Bouncer Shield mulai memblokir alamat palsu atau alamat yang dibuang segera setelah seseorang mengetikkannya.
Pemeriksaan Toksisitas menilai alamat dari nol hingga lima, menyoroti alamat yang terkait dengan jebakan spam atau pengaduan hukum yang diketahui. Deliverability Kit membantu menguji di mana pesan mendarat dan apakah autentikasi telah diatur dengan benar.
Pengayaan Data menambahkan informasi yang tersedia untuk umum tentang perusahaan, yang membuat data CRM menjadi lebih berguna.
Wawasan Keterlibatan Email menunjukkan kapan setiap kontak terakhir kali dibuka, diklik, atau dibalas. Hal ini memudahkan untuk melakukan segmentasi berdasarkan aktivitas.
Karena Bouncer di-host di Uni Eropa dan memenuhi persyaratan GDPR, data pribadi diperlakukan secara sah. Dengan waktu aktif yang nyaris sempurna, dia tidak perlu menjadwalkan ulang kampanye.
Menggunakan Bouncer sebagai bagian dari rutinitas kebersihannya mengurangi tingkat pentalan secara dramatis dan membantunya menghindari jebakan spam. Hal ini juga memberikan keyakinan pada timnya bahwa mereka tidak mengirimkan email ke alamat yang seharusnya sudah lama dihapus.
Dalam industri yang diatur seperti perawatan kesehatan, di mana privasi pasien dan pengiriman bersinggungan, alat seperti Bouncer dapat menjadi mitra yang berharga untuk menjaga daftar Anda tetap akurat.
Anda juga bisa memanfaatkannya – daftar sekarang dan dapatkan 100 kredit gratis.
Kesimpulan dan poin-poin penting
Bekerja di bidang kesehatan berarti memperlakukan email dengan perhatian yang sama seperti yang Anda berikan pada rekam medis.
Peraturan Privasi dan Keamanan HIPAA meminta enkripsi, kontrol akses, dan perjanjian tertulis ketika PHI dikirimkan melalui email.
Pesan pemasaran harus memiliki otorisasi pasien dan tunduk pada aturan ikut serta dan tidak ikut serta. Pesan transaksional yang dipicu oleh tindakan pasien harus tepat waktu dan aman.
Menggunakan infrastruktur terpisah untuk dua jenis email membantu menjaga keterkiriman.
Penyedia email yang aman menghadirkan enkripsi, pemantauan log, dan perjanjian rekanan bisnis.
Kumpulkan persetujuan dengan cermat, dokumentasikan, dan penuhi permintaan berhenti berlangganan. Pantau metrik dan latih staf Anda untuk menjaga kepatuhan dan penyampaian tetap pada jalurnya.
Dengan rencana yang jelas dan alat yang tepat, Anda bisa melindungi privasi pasien dan menjaga agar pesan Anda tetap terlihat di kotak masuk.
Jika Anda ingin menangani kualitas daftar tanpa tekanan ekstra, pertimbangkan untuk mencoba Bouncer.
Platform ini dilengkapi dengan kredit gratis sehingga Anda bisa melihat bagaimana verifikasi bekerja pada data Anda sendiri, dan Anda bisa memesan demo untuk melihat dampaknya pada rasio pentalan.
Berkat memadukan praktik kepatuhan yang kuat dengan layanan verifikasi yang andal, Anda akan mengeluarkan biaya lebih sedikit sekaligus menjangkau lebih banyak orang yang tepat dan membangun reputasi pengirim yang lebih sehat.
