Ein digitales Genogramm kann nur dann in einem HIPAA-regulierten Workflow verwendet werden, wenn die Praxis jedes identifizierbare klinische Detail als potenziell sensibel behandelt, die Rolle jedes Dienstleisters schriftlich bestätigt, eine dokumentierte Risikoanalyse durchführt, den Zugriff einschränkt, Daten bei Speicherung und Übertragung schützt, Audit-Nachweise aufbewahrt und einen definierten Prozess für Aufbewahrung und Incident Response befolgt. Ein Produktlabel oder ein Häkchen bei der Verschlüsselung macht einen Workflow nicht konform. Die Praxis bleibt dafür verantwortlich, wie das Genogramm erfasst, verwendet, geteilt, exportiert und gelöscht wird.