Acuerdo de Asociado Comercial (BAA)

La HIPAA divide el mundo de los datos de salud en dos funciones. Una entidad cubierta es un proveedor de salud que transmite electrónicamente información de salud en transacciones estándar, un plan de salud o una cámara de compensación de salud (clearinghouse). Un socio comercial es una persona u organización externa que crea, recibe, mantiene o transmite PHI mientras presta servicios a una entidad cubierta. La prueba es funcional, no formal: lo que importa es si el proveedor accede a PHI, no a qué industria pertenece.

La misma relación se repite un nivel más abajo. Cuando un socio comercial contrata a otra empresa para manejar PHI, como un proveedor de hosting que guarda sus respaldos, esa empresa pasa a ser un subcontratista socio comercial. Debe estar obligada por un contrato escrito con las mismas restricciones, para que la cadena contractual llegue a cada organización del proceso.

La información de salud protegida es un tipo de dato sensible y rara vez queda en un solo sistema. Los grupos siguientes suelen aparecer en algún punto de esa cadena.

El acuerdo debe existir antes de que cualquier PHI llegue al proveedor. Siempre que un servicio implique crear, recibir, mantener o transmitir PHI para una entidad cubierta, la HIPAA exige garantías escritas satisfactorias de que el proveedor protegerá los datos. Compartir PHI sin ese acuerdo ya es una infracción, aunque nunca se exponga ningún dato.

Algunas relaciones quedan fuera de la norma. Un mero conducto que pasa información sin acceder a ella, como un proveedor de internet o un mensajero con posesión física solo momentánea, no necesita un BAA. Tampoco lo necesita un miembro de la fuerza laboral, cubierto por las obligaciones del propio empleador. El criterio es el acceso: en cuanto un proveedor puede razonablemente ver, usar o almacenar PHI, se requiere un contrato escrito.

La HIPAA prescribe el contenido mínimo del contrato. Un BAA completo establece los puntos siguientes, y cada uno debe verificarse con la respuesta real del proveedor, no solo con su plantilla.

Los socios comerciales solo respondían ante sus clientes. La Ley HITECH de 2009 y la Omnibus Rule de 2013 cambiaron eso. Hoy, los socios comerciales responden directamente ante los reguladores por muchos requisitos de la HIPAA, incluidas las salvaguardas de la Security Rule y la notificación de brechas. La Office for Civil Rights del Departamento de Salud y Servicios Humanos de EE. UU. aplica las normas con multas civiles escalonadas según el grado de culpa. Los fiscales estatales también pueden demandar en nombre de sus residentes.

La entidad cubierta conserva sus propias obligaciones. Debe obtener garantías escritas antes de cualquier divulgación, aplicar diligencia razonable al elegir proveedores y notificar a las personas afectadas y al regulador cuando ocurra una brecha de datos en el proveedor. En la práctica, los reguladores suelen citar un BAA ausente, vencido o inadecuado como infracción por sí misma, aunque no se haya dañado ningún dato.

En la contratación moderna del sector salud, el BAA funciona como una puerta. Cuando hay PHI de por medio, un proveedor que no puede firmar uno queda descartado. Los grandes proveedores suelen publicar un acuerdo estándar durante la incorporación, y los clientes de salud a menudo aceptan esos términos en lugar de negociarlos. Pero la firma es una promesa, no una prueba, por eso los pasos siguientes se hacen antes de firmar el contrato.

1. 1

   Mapee la ruta de los datos

   Liste cada lugar donde el proveedor almacenaría, transmitiría o vería PHI, incluidos los respaldos y el acceso de soporte.

2. 2

   Rastree a los subcontratistas

   Pida la lista de subcontratistas y confirme que cada uno está sujeto a las mismas restricciones por escrito.

3. 3

   Confirme el plazo de notificación

   Revise el plazo para reportar una brecha y el contacto designado, para que la entidad cubierta pueda cumplir sus propias obligaciones.

4. 4

   Pida evidencia

   Solicite informes de auditoría independientes y un cuestionario de seguridad completado antes de compartir cualquier PHI.

El BAA se vuelve práctica diaria a través del control de acceso. En la consola de Anexet, el administrador define derechos por usuario y por grupo para cada grupo de reglas, por separado para reglas e incidentes. Con el despliegue on-premise, los datos capturados permanecen en la infraestructura del cliente y el proveedor no tiene acceso a los datos del cliente.

Empiece por los datos a los que el proveedor podría llegar, no por la plantilla del contrato. El BAA define las obligaciones en papel, pero los controles que hay detrás deciden si esas obligaciones se cumplen. Para las salvaguardas del lado de la propia entidad en cada flujo, revise el artículo sobre prevención de pérdida de datos (DLP).

Reevalúe periódicamente a los proveedores que guardan los datos más sensibles. El contrato se firma una vez, pero los flujos de datos siguen cambiando después.