Accord de Partenaire Commercial (BAA)

La HIPAA répartit l'univers des données de santé en deux rôles. Une entité couverte est un prestataire de soins qui transmet électroniquement des informations de santé pour des transactions standard, un régime d'assurance maladie ou une chambre de compensation de santé (clearinghouse). Un partenaire commercial est une personne ou une organisation extérieure qui crée, reçoit, conserve ou transmet des PHI en fournissant des services à une entité couverte. Le critère est fonctionnel, non formel : ce qui compte, c'est qu'un prestataire touche à des PHI, et non le secteur auquel il appartient.

La même relation se répète un niveau plus bas. Quand un partenaire commercial confie des PHI à une autre société, par exemple un hébergeur qui stocke ses sauvegardes, cette société devient un sous-traitant partenaire commercial. Elle doit être liée par un contrat écrit aux mêmes restrictions, afin que la chaîne contractuelle atteigne chaque organisation de la chaîne de traitement.

Les informations de santé protégées sont une forme de données sensibles et restent rarement dans un seul système. Les groupes suivants se trouvent généralement quelque part dans cette chaîne.

L'accord doit être en place avant que la moindre PHI n'atteigne le prestataire. Chaque fois qu'un service implique de créer, recevoir, conserver ou transmettre des PHI pour une entité couverte, la HIPAA exige des garanties écrites satisfaisantes que le prestataire protégera les données. Partager des PHI sans cet accord constitue déjà une violation, même si aucune donnée n'est jamais exposée.

Certaines relations échappent à la règle. Un simple transporteur qui fait passer des informations sans y accéder, comme un fournisseur d'accès à Internet ou un coursier qui ne détient le colis que quelques instants, n'a pas besoin de BAA. Un membre du personnel n'en a pas besoin non plus, car il relève des obligations de son employeur. Le critère est l'accès : dès qu'un prestataire peut raisonnablement consulter, utiliser ou stocker des PHI, un accord écrit est nécessaire.

La HIPAA fixe le contenu minimal du contrat. Un BAA complet établit les points suivants, et chacun doit être vérifié sur la réponse réelle du prestataire, pas seulement sur son modèle.

Les partenaires commerciaux ne rendaient autrefois de comptes qu'à leurs clients. La loi HITECH de 2009 et l'Omnibus Rule de 2013 ont changé la donne. Aujourd'hui, les partenaires commerciaux répondent directement devant les régulateurs de nombreuses obligations HIPAA, y compris les garanties de la Security Rule et la notification des violations. L'Office for Civil Rights du département américain de la Santé et des Services sociaux fait appliquer les règles par des amendes civiles graduées selon le degré de faute. Les procureurs généraux des États peuvent aussi agir au nom de leurs résidents.

L'entité couverte conserve ses propres obligations. Elle doit obtenir des garanties écrites avant toute divulgation, faire preuve de diligence raisonnable dans le choix des prestataires et notifier les personnes concernées ainsi que le régulateur lorsqu'une violation de données survient chez un prestataire. En pratique, les régulateurs citent souvent un BAA absent, expiré ou insuffisant comme une infraction à part entière, même lorsqu'aucune donnée n'a été compromise.

Dans les achats de santé modernes, le BAA fonctionne comme une barrière. Dès qu'il y a des PHI en jeu, un prestataire incapable de signer un BAA est écarté. Les grands prestataires publient souvent un accord standard lors de l'intégration, et les clients du secteur de la santé acceptent fréquemment ces conditions sans les négocier. Une signature reste toutefois une promesse et non une preuve, c'est pourquoi les vérifications suivantes précèdent la signature du contrat.

1. 1

   Cartographier le parcours des données

   Listez chaque lieu où le prestataire stockerait, transmettrait ou consulterait des PHI, y compris les sauvegardes et les accès du support.

2. 2

   Suivre les sous-traitants

   Demandez la liste des sous-traitants et vérifiez que chacun est lié par les mêmes restrictions écrites.

3. 3

   Vérifier le délai de notification

   Contrôlez le délai de signalement d'une violation et le contact désigné, afin que l'entité couverte puisse remplir ses propres obligations.

4. 4

   Exiger des preuves

   Demandez des rapports d'audit indépendants et un questionnaire de sécurité complété avant de partager la moindre PHI.

Le BAA devient une pratique quotidienne grâce au contrôle d'accès. Dans la console Anexet, l'administrateur définit les droits par utilisateur et par groupe pour chaque groupe de règles, séparément pour les règles et pour les incidents. Avec le déploiement sur site, les données collectées restent dans l'infrastructure du client, et le prestataire n'a pas accès aux données du client.

Commencez par les données auxquelles le prestataire pourrait accéder, et non par le modèle de contrat. Le BAA définit les obligations sur le papier, mais ce sont les contrôles qui le sous-tendent qui déterminent si elles sont respectées. Pour les garanties côté entité couverte sur chaque flux, consultez la fiche sur la prévention de la perte de données (DLP).

Réévaluez périodiquement les prestataires qui détiennent les données les plus sensibles. Le contrat se signe une fois, mais les flux de données continuent d'évoluer ensuite.