الشركاء التجاريون والجهات المشمولة
يقسّم قانون HIPAA عالم بيانات الرعاية الصحية إلى دورين. الجهة المشمولة هي مقدم رعاية صحية ينقل المعلومات الصحية إلكترونياً في المعاملات القياسية، أو خطة صحية، أو جهة تخليص مطالبات صحية. الشريك التجاري هو شخص أو منظمة خارجية تنشئ PHI أو تستلمها أو تحتفظ بها أو تنقلها أثناء تقديم خدمات لجهة مشمولة. والمعيار وظيفي لا شكلي: المهم هو هل يتعامل المورد مع PHI، لا إلى أي قطاع ينتمي.
تتكرر العلاقة نفسها على مستوى أدنى. عندما يتعاقد الشريك التجاري مع شركة أخرى للتعامل مع PHI، كمزود استضافة يخزّن نسخه الاحتياطية، تصبح هذه الشركة شريكاً تجارياً من الباطن. ويجب أن تلتزم بعقد مكتوب يتضمن القيود نفسها، حتى تصل سلسلة العقود إلى كل منظمة في سلسلة المعالجة.
من يتعامل مع PHI عملياً
المعلومات الصحية المحمية نوع من البيانات الحساسة، ونادراً ما تبقى في نظام واحد. وتظهر المجموعات التالية عادةً في مكان ما من هذه السلسلة.
| المجموعة | لماذا تتعامل مع PHI |
|---|---|
| الفوترة ومعالجة المطالبات | تُعدّ المطالبات أو ترمّزها أو ترسلها ضمن عملها |
| خدمات السحابة والاستضافة | تخزّن PHI الإلكترونية (ePHI) في النسخ الاحتياطية والبريد والتطبيقات |
| خدمات تقنية المعلومات والخدمات المُدارة | استشاريون ومكاتب دعم ومديرون خارجيون لديهم وصول إلى أنظمة تحتوي PHI |
| إدارة السجلات | النسخ والترميز والنسخ الورقي وإتلاف الوثائق والتخزين خارج الموقع |
| الخدمات المهنية | محامون ومحاسبون ومستشارون لديهم وصول إلى بيانات المرضى |
متى يلزم وجود BAA
يجب أن تكون الاتفاقية سارية قبل وصول أي PHI إلى المورد. كلما شملت الخدمة إنشاء PHI أو استلامها أو الاحتفاظ بها أو نقلها لصالح جهة مشمولة، يطلب HIPAA ضمانات مكتوبة كافية بأن المورد سيحمي البيانات. ومشاركة PHI دون هذه الاتفاقية مخالفة بحد ذاتها، حتى لو لم تتعرض البيانات للكشف أبداً.
بعض العلاقات خارج نطاق القاعدة. فالناقل البحت الذي يمرر المعلومات دون الوصول إليها، مثل مزود الإنترنت أو ساعي البريد الذي يحوز الشحنة لحظات فقط، لا يحتاج إلى BAA. ولا يحتاجه أيضاً أحد أفراد القوى العاملة، لأنه مشمول بالتزامات صاحب العمل. والمعيار هو الوصول: فحين يستطيع المورد بصورة معقولة أن يرى PHI أو يستخدمها أو يخزنها، تلزم اتفاقية مكتوبة.
ما يجب أن تتضمنه الاتفاقية
يحدد HIPAA الحد الأدنى لمحتوى العقد. تحدد اتفاقية BAA الكاملة النقاط التالية، ويجب التحقق من كل منها عبر الرد الفعلي للمورد، لا عبر نموذجه وحده.
| المتطلب | ماذا يعني | ما الذي تسأل عنه المورد |
|---|---|---|
| الاستخدامات والإفصاحات المسموح بها | فقط ما هو مسموح به، ولا يُستخدم أبداً لتسويق المورد أو لتطوير منتجاته | لأي أغراض تُستخدم البيانات، كتابةً |
| الضمانات | لـ ePHI: ضوابط Security Rule، مثل التحكم في الوصول وضوابط التدقيق وأمن النقل | أدلة على كل ضابط، لا مجرد وعد |
| الإبلاغ عن الحوادث والخروقات | الإبلاغ دون تأخير غير مبرر وضمن مهلة العقد | المهلة الدقيقة ومن يستلم الإشعار |
| الرقابة على المتعاقدين من الباطن | القيود نفسها، كتابةً، قبل مشاركة أي بيانات | قائمة محدثة بالمتعاقدين من الباطن الذين لديهم وصول إلى PHI |
| حقوق الأفراد | تقديم PHI للاطلاع عليها أو تعديلها، والاحتفاظ بسجل الإفصاحات | كيف تُلبّى الطلبات وكيف تُسجَّل |
| الإشراف وإنهاء العقد | إتاحة السجلات للجهات التنظيمية، وإعادة PHI أو إتلافها حيث يكون ذلك ممكناً | ما يحدث للبيانات عند انتهاء العقد |
المسؤولية والإنفاذ
كان الشركاء التجاريون يُسألون أمام عملائهم فقط. وقد غيّر قانون HITECH لعام 2009 والقاعدة الشاملة Omnibus Rule لعام 2013 هذا الوضع. واليوم يتحمل الشركاء التجاريون مسؤولية مباشرة أمام الجهات التنظيمية عن كثير من متطلبات HIPAA، ومنها ضمانات Security Rule وإشعارات الخرق. ويطبّق مكتب الحقوق المدنية في وزارة الصحة والخدمات الإنسانية الأمريكية القواعد بغرامات مدنية متدرجة تتناسب مع درجة التقصير. ويحق للمدعين العامين في الولايات أيضاً رفع دعاوى نيابة عن سكانها.
تحتفظ الجهة المشمولة بواجباتها الخاصة. فعليها الحصول على ضمانات مكتوبة قبل أي إفصاح، وبذل العناية المعقولة عند اختيار الموردين، وإخطار الأفراد المتضررين والجهة التنظيمية عندما يقع خرق للبيانات لدى المورد. وفي الممارسة، تستشهد الجهات التنظيمية كثيراً بغياب BAA أو انتهاء صلاحيته أو عدم كفايته بوصفه مخالفة مستقلة، حتى لو لم تتضرر أي بيانات.
فحص المورد قبل التوقيع
في المشتريات الصحية الحديثة تعمل اتفاقية BAA كبوابة. فحيث تكون PHI معنية، يُستبعد المورد الذي لا يستطيع توقيعها. وكثيراً ما تنشر المؤسسات الكبيرة اتفاقية قياسية أثناء التهيئة، ويقبل العملاء في القطاع الصحي هذه الشروط غالباً دون تفاوض. لكن التوقيع وعد وليس دليلاً، ولهذا تُنفَّذ الخطوات التالية قبل توقيع العقد.
- 1
ارسم مسار البيانات
سجّل كل موضع قد يخزن فيه المورد PHI أو ينقلها أو يطّلع عليها، بما في ذلك النسخ الاحتياطية وصلاحيات الدعم.
- 2
تتبّع المتعاقدين من الباطن
اطلب قائمة المتعاقدين من الباطن، وتأكد من أن كلاً منهم ملتزم بالقيود الكتابية نفسها.
- 3
تحقق من مهلة الإبلاغ
راجع مهلة الإبلاغ عن الخرق والجهة المسؤولة عن الاستلام، لتتمكن الجهة المشمولة من الوفاء بواجباتها.
- 4
اطلب الأدلة
اطلب تقارير تدقيق مستقلة واستبياناً أمنياً مكتملاً قبل مشاركة أي PHI.
كيف يبدو الأمر في Anexet
تتحول اتفاقية BAA إلى ممارسة يومية عبر التحكم في الوصول. في وحدة تحكم Anexet يحدد المسؤول صلاحيات كل مستخدم وكل مجموعة لكل مجموعة قواعد، ويفصل بين صلاحيات القواعد وصلاحيات الحوادث. ومع النشر المحلي on-premise تبقى البيانات المجمّعة داخل بنية العميل، ولا يملك المورد وصولاً إلى بيانات العميل.
من أين تبدأ
ابدأ بالبيانات التي قد يصل إليها المورد، لا بنموذج العقد. تحدد اتفاقية BAA الواجبات على الورق، لكن الضوابط التي خلفها هي ما يقرر هل تُنفَّذ هذه الواجبات. أما الضمانات على جانب الجهة المشمولة في كل تدفق فيشرحها مدخل منع فقدان البيانات (DLP).
أعِد تقييم الموردين الذين يحتفظون بأكثر البيانات حساسية بصورة دورية. يُوقَّع العقد مرة واحدة، لكن تدفقات البيانات تتغير بعد ذلك باستمرار.
تسجّل اتفاقية BAA الموقّعة ما وعد به المورد. ولا تظهر حقيقة الوفاء بالوعد إلا من ضوابطه وسجلاته.
Anexet Team