Συμφωνία Συνεργαζόμενου Μέρους (BAA)

Ο HIPAA χωρίζει τον κόσμο των δεδομένων υγείας σε δύο ρόλους. Ένας καλυπτόμενος φορέας είναι πάροχος υγειονομικής περίθαλψης που διαβιβάζει ηλεκτρονικά πληροφορίες υγείας για τυποποιημένες συναλλαγές, ένα ασφαλιστικό ταμείο υγείας ή έναν εκκαθαριστή υγειονομικών αποζημιώσεων. Ένα συνεργαζόμενο μέρος είναι εξωτερικό πρόσωπο ή οργανισμός που δημιουργεί, λαμβάνει, διατηρεί ή διαβιβάζει PHI κατά την παροχή υπηρεσιών σε καλυπτόμενο φορέα. Το κριτήριο είναι λειτουργικό, όχι τυπικό: σημασία έχει αν ένας προμηθευτής έρχεται σε επαφή με PHI, όχι ο κλάδος στον οποίο ανήκει.

Η ίδια σχέση επαναλαμβάνεται ένα επίπεδο πιο κάτω. Όταν ένα συνεργαζόμενο μέρος αναθέτει το PHI σε άλλη εταιρεία, όπως έναν πάροχο φιλοξενίας που αποθηκεύει τα αντίγραφα ασφαλείας του, αυτή η εταιρεία γίνεται υπεργολάβος συνεργαζόμενο μέρος. Πρέπει να δεσμεύεται με γραπτή συμφωνία με τους ίδιους περιορισμούς, ώστε η αλυσίδα των συμβάσεων να φτάνει σε κάθε οργανισμό της επεξεργασίας.

Οι προστατευόμενες πληροφορίες υγείας αποτελούν μορφή ευαίσθητων δεδομένων και σπάνια μένουν σε ένα μόνο σύστημα. Οι ομάδες που ακολουθούν βρίσκονται συνήθως κάπου σε αυτή την αλυσίδα.

Η συμφωνία πρέπει να ισχύει πριν φτάσει οποιοδήποτε PHI στον προμηθευτή. Όποτε μια υπηρεσία περιλαμβάνει δημιουργία, λήψη, διατήρηση ή διαβίβαση PHI για καλυπτόμενο φορέα, ο HIPAA απαιτεί ικανοποιητικές γραπτές διαβεβαιώσεις ότι ο προμηθευτής θα προστατεύει τα δεδομένα. Η κοινοποίηση PHI χωρίς τέτοια συμφωνία αποτελεί παράβαση από μόνη της, ακόμη και αν τα δεδομένα δεν εκτεθούν ποτέ.

Ορισμένες σχέσεις εξαιρούνται από τον κανόνα. Ένας απλός αγωγός που διαβιβάζει πληροφορίες χωρίς να τις αποκτά, όπως ένας πάροχος internet ή ένας courier με στιγμιαία φυσική κατοχή, δεν χρειάζεται BAA. Ούτε χρειάζεται ένα μέλος του προσωπικού, που καλύπτεται από τις υποχρεώσεις του ίδιου του εργοδότη. Το κριτήριο είναι η πρόσβαση: μόλις ένας προμηθευτής μπορεί εύλογα να δει, να χρησιμοποιήσει ή να αποθηκεύσει PHI, απαιτείται γραπτή συμφωνία.

Ο HIPAA ορίζει το ελάχιστο περιεχόμενο της σύμβασης. Ένα πλήρες BAA καθορίζει τα παρακάτω σημεία, και καθένα πρέπει να ελέγχεται με την πραγματική απάντηση του προμηθευτή, όχι μόνο με το πρότυπό του.

Τα συνεργαζόμενα μέρη απαντούσαν παλαιότερα μόνο στους πελάτες τους. Ο νόμος HITECH του 2009 και ο κανονισμός Omnibus του 2013 άλλαξαν αυτή την κατάσταση. Σήμερα, τα συνεργαζόμενα μέρη ευθύνονται άμεσα απέναντι στις ρυθμιστικές αρχές για πολλές απαιτήσεις του HIPAA, μεταξύ άλλων για τα μέτρα του Security Rule και την ειδοποίηση παραβιάσεων. Το Office for Civil Rights του αμερικανικού Υπουργείου Υγείας και Ανθρωπίνων Υπηρεσιών επιβάλλει τους κανόνες με κλιμακούμενα χρηματικά πρόστιμα ανάλογα με τον βαθμό ευθύνης. Οι γενικοί εισαγγελείς των πολιτειών μπορούν επίσης να ασκήσουν αγωγή για λογαριασμό των κατοίκων τους.

Ο καλυπτόμενος φορέας διατηρεί τις δικές του υποχρεώσεις. Πρέπει να λάβει γραπτές διαβεβαιώσεις πριν από κάθε γνωστοποίηση, να επιδείξει εύλογη επιμέλεια στην επιλογή προμηθευτών και να ειδοποιήσει τα επηρεαζόμενα άτομα και τη ρυθμιστική αρχή όταν συμβεί παραβίαση δεδομένων στον προμηθευτή. Στην πράξη, οι ρυθμιστικές αρχές συχνά επικαλούνται ένα απόν, ληγμένο ή ανεπαρκές BAA ως αυτοτελή παράβαση, ακόμη και όταν δεν βλάφθηκαν δεδομένα.

Στις σύγχρονες προμήθειες υγειονομικής περίθαλψης, το BAA λειτουργεί ως πύλη. Όπου εμπλέκεται PHI, ένας προμηθευτής που δεν μπορεί να υπογράψει BAA αποκλείεται από τη διαδικασία. Οι μεγάλοι πάροχοι δημοσιεύουν συχνά ένα τυπικό συμφωνητικό κατά την ένταξη, και οι πελάτες υγείας συχνά αποδέχονται αυτούς τους όρους αντί να τους διαπραγματεύονται. Η υπογραφή, ωστόσο, είναι υπόσχεση και όχι απόδειξη, γι' αυτό τα παρακάτω βήματα γίνονται πριν από την υπογραφή της σύμβασης.

1. 1

   Χαρτογραφήστε τη διαδρομή των δεδομένων

   Καταγράψτε κάθε σημείο όπου ο προμηθευτής θα αποθήκευε, διαβίβαζε ή θα έβλεπε PHI, συμπεριλαμβανομένων των αντιγράφων ασφαλείας και της πρόσβασης υποστήριξης.

2. 2

   Ελέγξτε τους υπεργολάβους

   Ζητήστε τον κατάλογο των υπεργολάβων και βεβαιωθείτε ότι κάθε ένας δεσμεύεται με τους ίδιους γραπτούς περιορισμούς.

3. 3

   Επιβεβαιώστε την προθεσμία αναφοράς

   Ελέγξτε την προθεσμία αναφοράς παραβίασης και τον υπεύθυνο επικοινωνίας, ώστε ο καλυπτόμενος φορέας να τηρεί τις δικές του υποχρεώσεις.

4. 4

   Ζητήστε αποδείξεις

   Ζητήστε ανεξάρτητες εκθέσεις ελέγχου και συμπληρωμένο ερωτηματολόγιο ασφαλείας πριν κοινοποιήσετε οποιοδήποτε PHI.

Το BAA μετατρέπεται σε καθημερινή πρακτική μέσω του ελέγχου πρόσβασης. Στην κονσόλα Anexet, ο διαχειριστής ορίζει δικαιώματα ανά χρήστη και ανά ομάδα για κάθε ομάδα κανόνων, χωριστά για τους κανόνες και τα περιστατικά. Με την εγκατάσταση on-premise, τα συλλεγμένα δεδομένα παραμένουν στην υποδομή του πελάτη, και ο προμηθευτής δεν έχει πρόσβαση στα δεδομένα του πελάτη.

Ξεκινήστε από τα δεδομένα στα οποία θα μπορούσε να φτάσει ο προμηθευτής και όχι από το πρότυπο σύμβασης. Το BAA ορίζει τις υποχρεώσεις στο χαρτί, όμως οι έλεγχοι πίσω από αυτό αποφασίζουν αν τηρούνται. Για τα μέτρα προστασίας από την πλευρά του ίδιου του φορέα σε κάθε ροή, δείτε το λήμμα για την πρόληψη απώλειας δεδομένων (DLP).

Επανεξετάζετε περιοδικά τους προμηθευτές που έχουν τα πιο ευαίσθητα δεδομένα. Η σύμβαση υπογράφεται μία φορά, αλλά οι ροές των δεδομένων αλλάζουν συνεχώς μετά από αυτό.