Tento rozhovor mi utkvel v pamäti. Pri práci v spoločnosti Bouncer sa každý deň stretávam s tým, ako veľmi záleží na kvalite údajov a dodržiavaní predpisov. Nielen pre marketingový úspech, ale aj pre ochranu dôvery pacientov.
V tomto článku sa preto podelím o poznatky o rovnováhe medzi dodržiavaním predpisov HIPAA a doručiteľnosťou e-mailov: ako môžu zdravotnícke organizácie udržať e-maily v bezpečí, zachovať si dobrú povesť odosielateľa a zároveň sa dostať do správnej schránky.
Základy HIPAA a čo znamená byť „obchodným partnerom“
HIPAA bol napísaný na ochranu chránených zdravotných informácií (PHI ) – údajov, ktoré spájajú osobu s jej zdravotným stavom.
Zákon sa vzťahuje na kryté subjekty, ako sú nemocnice, kliniky a poisťovne, a na obchodných partnerov, čo sú predajcovia, ktorí spracúvajú PHI v mene krytého subjektu.
Ministerstvo zdravotníctva a sociálnych služieb USA (HHS) vysvetľuje, že akákoľvek osoba alebo organizácia, ktorá vykonáva funkcie alebo činnosti týkajúce sa PHI v mene pokrytého subjektu, sa stáva obchodným partnerom.
Medzi bežné príklady patria:
- fakturačné služby,
- spoločnosti zaoberajúce sa prepisom,
- a cloudové e-mailové služby.
Keď krytý subjekt využíva služby obchodného partnera, podľa pravidiel ochrany osobných údajov HIPAA musí získať dostatočné záruky, že obchodný partner bude chrániť všetky PHI, ktoré dostane alebo vytvorí.
Tieto ubezpečenia musia byť v písomnej forme, zvyčajne v zmluve o obchodnom partnerovi (BAA).
V zmluve sa stanovuje povolené používanie PHI, zakazuje sa ďalšie zverejňovanie a od obchodného partnera sa vyžaduje, aby používal primerané bezpečnostné opatrenia. Ak predajca odmietne uzavrieť dohodu o spolupráci, krytý subjekt by ho nemal používať pre PHI.
Dodržiavanie predpisov sa nekončí predpisom o ochrane osobných údajov. Bezpečnostné pravidlo pridáva technickú ochranu.
Vyžaduje sa, aby informácie PHI neboli čitateľné pre nikoho, kto nemá právo ich vidieť.
Kľúčovým nástrojom je tu šifrovanie. Časopis HIPAA uvádza, že e-mailové systémy musia zaviesť mechanizmy na šifrovanie a dešifrovanie PHI v pokoji a používať technické bezpečnostné opatrenia na ochranu pred neoprávneným prístupom počas prenosu.
Hoci je šifrovanie označené ako „adresná“ špecifikácia, pravidlo očakáva, že kryté subjekty a obchodní partneri budú buď šifrovať, alebo prijmú iné opatrenie, ktoré je rovnako ochranné.
Federálna vláda navrhuje dodržiavať moderné usmernenia Národného inštitútu pre štandardy a technológie (NIST) pre údaje v pokoji a pri prenose.
Okrem šifrovania sa v bezpečnostnom predpise vyžadujú kontroly prístupu, kontroly auditu, kontroly integrity a opatrenia na overovanie, aby bolo možné sledovať, kto číta a upravuje údaje.
Transakčné a marketingové e-maily v zdravotníctve
Po tomto rozhovore s priateľom zo zdravotníctva som chcel pochopiť, prečo môže jedna správa bezpečne pristáť v priečinku doručenej pošty, zatiaľ čo druhá skončí v priečinku so spamom, aj keď obe spĺňajú pravidlá HIPAA.
V spoločnosti Bouncer často vidíme, že odosielatelia majú problém s týmto rozdelením medzi transakčné a marketingové správy.
Transakčné e-maily sú funkčné (pripomenutie stretnutia, obnovenie hesla, oznámenie o vyúčtovaní alebo výsledky laboratórnych testov). Sú spustené akciou používateľa a obsahujú informácie, ktoré príjemca očakáva.
Na druhej strane, marketingové e-maily sú propagačné. Spomeňte si na informačné bulletiny, wellness aktualizácie alebo pozvánky na podujatia. Tieto e-maily sú určené väčším zoznamom a vždy vyžadujú jasný súhlas a jednoduché odhlásenie.
V oblasti zdravotnej starostlivosti je zložité to, že oba typy môžu obsahovať chránené zdravotné informácie (PHI).
V časopise HIPAA Journal sa vysvetľuje, že pravidlá HIPAA sa uplatňujú vždy, keď sa PHI vytvára, prijíma, ukladá alebo posiela e-mailom (aj keď ide o obyčajnú pripomienku alebo oznámenie).
Keďže je ťažké zistiť, kedy sa môže objaviť informácia PHI, mnohé kliniky považujú všetky správy určené pre pacientov za citlivé.
Ak marketingový obsah zahŕňa informácie o životnom prostredí, potrebujete od každej osoby povolenie HIPAA.
Oddiel 164.508 pravidiel ochrany súkromia HIPAA vyžaduje platné, zdokumentované povolenie na akékoľvek použitie PHI pri marketingu.
Spoločnosť Paubox odporúča získavať súhlas prostredníctvom zabezpečených formulárov alebo portálov pre pacientov, aby sa zachovala jasná auditná stopa.
Potom je tu šedá zóna, keď sa transakčný e-mail nenápadne zmení na propagačný. Spoločnosť LuxSci varuje pred touto kombináciou.
Ak odošlete e-mail „Stav vašej objednávky“, ktorý sa v skutočnosti týka predaja, porušujete tým zámery CAN-SPAM aj HIPAA.
Bezpečnejšia cesta? Udržujte transakčné správy výlučne v prevádzke a propagačné aktualizácie posielajte samostatne. Tým si zachováte čistú povesť odosielateľa a ešte čistejší záznam o dodržiavaní predpisov.
Budovanie bezpečnej a kompatibilnej e-mailovej infraštruktúry
Po technickej stránke sú súlad a doručiteľnosť navzájom prepojené.
V bezpečnostných normách časopisu HIPAA sa uvádza, že e-mailové systémy musia zaviesť kontroly prístupu, auditné záznamy, kontroly integrity, overovanie totožnosti a bezpečnosť prenosu s cieľom obmedziť, kto má prístup k PHI, sledovať komunikáciu, zachovať integritu údajov a chrániť správy počas prenosu.
V článku sa dodáva, že systémy archivácie a uchovávania e-mailov môžu byť potrebné na reakciu na žiadosti jednotlivcov o prístup a uchovávanie záznamov.
Spoločnosť LuxSci medzitým poznamenáva, že transakčné a marketingové správy majú veľmi odlišné požiadavky na výkon.
Marketingové e-maily sa odosielajú hromadne a znesú menšie oneskorenia, takže na odoslanie tisícov správ naraz sú potrebné veľké pamäťové a procesorové zdroje.
Transakčné e-maily sú individuálne a často časovo citlivé, takže rýchlosť servera je dôležitejšia.
Vzhľadom na tieto rozdiely spoločnosť LuxSci odporúča používať samostatné servery alebo domény pre marketingové a transakčné toky, aby sa zabránilo krížovej kontaminácii reputácie a aby sa splnili ciele priepustnosti. Ak sa komunikácia týka vzťahu medzi pacientom a poskytovateľom, mala by byť šifrovaná.
Používanie bežnej platformy, ako je Google Workspace alebo Microsoft 365, samo o sebe nestačí. Paubox vysvetľuje, že HIPAA vyžaduje, aby poskytovatelia používali bezpečné e-mailové riešenie, ktoré šifruje správy a prílohy pri prenose a v pokoji.
V usmernení HHS, ktoré cituje Paubox, sa uvádza, že poskytovatelia zdravotnej starostlivosti môžu posielať e-maily pacientom, ak uplatňujú primerané bezpečnostné opatrenia, a poskytovatelia môžu predpokladať, že e-mail je prijateľný, ak pacient iniciuje konverzáciu.
Technické záruky z bezpečnostného predpisu vyžadujú opatrenia na ochranu pred neoprávneným prístupom počas prenosu.
Paubox upozorňuje, že v súčasnosti je bežné, že organizácie dopĺňajú svoju primárnu e-mailovú službu o zabezpečenú e-mailovú službu v súlade s HIPAA, ktorá zahŕňa šifrovanie, prevenciu straty údajov, zálohovanie a ďalšie kontrolné mechanizmy.
Bez ohľadu na to, akú platformu si vyberiete, podpíšte zmluvu o spolupráci s obchodným partnerom. Bez nej váš dodávateľ nie je v súlade s HIPAA.
Súhlas, odhlásenie a vedenie záznamov
Získavanie súhlasu je viac než len jednorazové zaškrtnutie políčka.
V časopise HIPAA Journal sa vysvetľuje, že pravidlá elektronickej pošty HIPAA sa uplatňujú len v prípade prítomnosti informácií PHI, ale pravidlo o ochrane osobných údajov dáva jednotlivcom právo požadovať dôvernú komunikáciu aj alternatívnymi prostriedkami.
V niektorých štátoch sa vyžaduje súhlas s akýmkoľvek marketingovým e-mailom. Ide o tieto prípady:
- Connecticut,
- Colorado,
- Texas,
- Tennessee,
- Virgínia,
- Utah,
- Montana,
- Iowa (od januára 2025),
- a Indiana (od januára 2026).
Paubox poskytuje praktické nápady na získavanie súhlasu od potenciálnych pacientov:
- bezpečné registračné formuláre,
- procesy prijímania,
- registrácie na vašej webovej stránke,
- registrácie na podujatia a odkazy na odporúčania.
V týchto formulároch by malo byť jasne opísané, aký typ e-mailov bude daná osoba dostávať.
Ak vaše marketingové kampane zahŕňajú PHI, mali by ste zdokumentovať, kedy a ako každý pacient povolil použitie svojich údajov. Tento záznam uchovávajte spolu s ostatnými súhlasmi pacienta, aby ste v prípade otázok mohli preukázať súlad.
V prípade marketingovej komunikácie potrebujete aj jednoduché odhlásenie. V rámci CAN-SPAM sa vyžaduje, aby marketingové správy obsahovali funkčný odkaz na odhlásenie a aby sa žiadosti o odhlásenie bezodkladne vybavovali.
Aj keď ide o transakčnú správu, poskytnutie kontroly príjemcom nad tým, ako sa od vás dozvedia, buduje dôveru a pomáha chrániť povesť vašej domény.
Vaše zásady ochrany osobných údajov by mali vysvetľovať, ako sa e-mailové adresy používajú, uchovávajú a zdieľajú, a potvrdzovať, že s informáciami o zdravotnom stave sa zaobchádza len na legitímne účely.
Podľa zákona HIPAA musia dohody s obchodnými partnermi špecifikovať povolené použitia, obmedziť ďalšie zverejňovanie, vyžadovať ochranné opatrenia a opísať postupy oznamovania porušenia – vaše zásady ochrany osobných údajov môžu tieto záväzky zhrnúť v zrozumiteľnom jazyku.
Stratégie doručiteľnosti a monitorovanie
Doručiteľnosť sa v rozhovoroch o dodržiavaní predpisov často prehliada, je však nevyhnutná na dosiahnutie doručenej pošty. Keď môj priateľ začal pracovať s elektronickou poštou v zdravotníctve, myslel si, že jediné, na čom záleží, je šifrovanie a podpisovanie. Potom mu prudko klesla miera otvorených správ.
Zistil, že primiešavanie marketingovej kópie do pripomienok pacientov spúšťa spamové filtre.
V príručke LuxSci sa uvádza, že primárny účel správy určuje, či ide o transakciu alebo marketing, a varuje pred zavádzajúcimi predmetmi alebo obsahom.
Ak sa chcete vyhnúť problémom s doručiteľnosťou, udržujte predmet a telo v súlade s hlavným účelom a marketingový obsah rozdeľte do samostatnej správy.
Používanie samostatných serverov alebo domén pre marketingové a transakčné toky pomáha zachovať reputáciu IP a podporuje vysoké objemy pre marketing bez oneskorenia časovo citlivých oznámení.
Úlohu zohráva aj overovanie. Nastavte záznamySPF, DKIM a DMARC pre každú doménu a uistite sa, že odosielané správy sú v súlade s týmito zásadami.
Nesúlad alebo chýbajúce záznamy môžu spôsobiť, že poskytovatelia poštových služieb odmietnu alebo umiestnia správy do karantény, čo poškodí transakčné aj marketingové toky.
Pravidelne sledujte mieru odchodov, sťažností na spama mieru otvorenia podľa domény alebo poskytovateľa.
Mnohé e-mailové služby spĺňajúce požiadavky HIPAA obsahujú informačné panely pre tieto ukazovatele a pomáhajú vám včas odhaliť problémy. Bezpečné e-mailové služby by mali zahŕňať automatické monitorovanie protokolov a dvojfaktorovú autentifikáciu.
Protokoly nielen posilňujú bezpečnosť, ale pomáhajú aj pri diagnostike problémov s doručiteľnosťou.
Nakoniec vyškoľte svojich zamestnancov. Vysoké percento prípadov narušenia bezpečnosti je dôsledkom ľudskej chyby.
Naučte zamestnancov rozpoznávať PHI, používať bezpečné kanály a vyhýbať sa miešaniu marketingových a prevádzkových správ.
Informujte ich o postupoch udeľovania súhlasu a procesoch odhlásenia.
Malá chyba, ako napríklad pridanie propagačného riadku k laboratórnemu výsledku, môže vyvolať sťažnosti a poškodiť povesť vášho odosielania.
Bouncer: udržiavanie čistých zoznamov kontaktov
Po tom, čo môj priateľ vyriešil svoju infraštruktúru a procesy udeľovania súhlasu, stále existoval nepríjemný problém: zlé adresy.
Jeho zoznamy obsahovali preklepy, neaktuálne domény a dokonca aj niektoré škodlivé registrácie. Pri každom odoslaní kampane sledoval, ako stúpa počet odmietnutí, a obával sa, že spamové pasce poškodzujú jeho povesť.
Oslovil ma a ja som mu navrhol, aby pred odoslaním použil našu platformu na overovanie e-mailov Bouncer na vyčistenie zoznamov kontaktov.
Nahral zoznam prostredníctvom hlavnej aplikácie a sledoval, ako sa kontroluje platnosť, doručiteľnosť a riziko každej adresy.
Keď zapojil rozhranie API do registračných formulárov, Bouncer Shield začal blokovať falošné alebo vyhodené adresy hneď, ako ich niekto zadal.
Kontrola toxicity hodnotila adresy od nuly do piatich bodov, pričom zvýraznila tie, ktoré sú spojené so spamovými pascami alebo známymi právnymi sťažnosťami. Súprava Deliverability Kit pomohla otestovať, kde správy pristanú a či bolo overovanie nastavené správne.
Obohatenie údajov pridalo verejne dostupné informácie o spoločnostiach, čím sa údaje CRM stali užitočnejšími.
Funkcia Email Engagement Insights ukázala, kedy sa každý kontakt naposledy otvoril, klikol alebo odpovedal. To uľahčilo segmentáciu podľa aktivity.
Keďže server Bouncer je umiestnený v EÚ a spĺňa požiadavky GDPR, s osobnými údajmi sa zaobchádzalo zákonne. Vďaka takmer dokonalej dostupnosti nemusel nikdy preplánovať žiadnu kampaň.
Používanie Bouncer ako súčasti jeho hygienickej rutiny výrazne znížilo mieru odskočenia a pomohlo mu vyhnúť sa spamovým pasciam. Jeho tímu to tiež dodalo istotu, že neposiela e-mailové adresy, ktoré mali byť už dávno odstránené.
V regulovaných odvetviach, ako je zdravotníctvo, kde sa prelína ochrana osobných údajov pacientov a doručiteľnosť, môžu byť nástroje ako Bouncer cenným partnerom pri udržiavaní presnosti vašich zoznamov.
Môžete to využiť aj vy – zaregistrujte sa a získajte 100 kreditov zadarmo.
Záver a kľúčové poznatky
Pracovať v zdravotníctve znamená zaobchádzať s e-mailom s rovnakou starostlivosťou, akú venujete lekárskym záznamom.
Pravidlá ochrany súkromia a bezpečnosti HIPAA vyžadujú šifrovanie, kontrolu prístupu a písomné dohody, keď sa informácie PHI prenášajú prostredníctvom e-mailu.
Marketingové správy musia byť schválené pacientom a podliehajú pravidlám opt-in a opt-out. Transakčné správy vyvolané akciami pacienta musia byť včasné a bezpečné.
Používanie samostatných infraštruktúr pre tieto dva typy e-mailov pomáha zachovať doručiteľnosť.
Poskytovatelia zabezpečenej elektronickej pošty prinášajú šifrovanie, monitorovanie protokolov a dohody o spolupráci s obchodnými partnermi.
Súhlas získavajte premyslene, dokumentujte ho a rešpektujte žiadosti o odhlásenie. Sledujte metriky a školte svojich zamestnancov, aby ste udržali súlad s predpismi aj doručiteľnosť na správnej úrovni.
S jasným plánom a správnymi nástrojmi môžete chrániť súkromie pacienta a zachovať viditeľnosť svojich správ v schránke.
Ak chcete riešiť kvalitu zoznamu bez ďalšieho stresu, vyskúšajte Bouncer.
Platforma sa dodáva s bezplatnými kreditmi, takže si môžete overiť, ako overovanie funguje na vašich vlastných údajoch, a môžete si objednať demo verziu, aby ste zistili vplyv na mieru odmietnutia.
Vďaka spojeniu prísnych postupov dodržiavania predpisov so spoľahlivou overovacou službou budete míňať menej a zároveň oslovíte viac správnych ľudí a vybudujete si lepšiu povesť odosielateľa.
