Accordo di Business Associate (BAA)

L'HIPAA divide il mondo dei dati sanitari in due ruoli. Un'entità coperta è un fornitore di servizi sanitari che trasmette elettronicamente informazioni sanitarie per transazioni standard, un piano sanitario o una clearinghouse. Un business associate è una persona o organizzazione esterna che crea, riceve, conserva o trasmette PHI nello svolgimento di servizi per un'entità coperta. Il criterio è funzionale, non formale: conta se un fornitore tocca PHI, non il settore a cui appartiene.

La stessa relazione si ripete a un livello inferiore. Quando un business associate affida a un'altra società il trattamento di PHI, ad esempio un provider di hosting che conserva i suoi backup, quella società diventa un subappaltatore business associate. Deve essere vincolata da un contratto scritto con le stesse restrizioni, così che la catena contrattuale raggiunga ogni organizzazione della filiera di trattamento.

Le informazioni sanitarie protette sono una forma di dati sensibili e raramente restano in un solo sistema. I gruppi seguenti si trovano di solito da qualche parte in questa catena.

L'accordo deve esistere prima che qualsiasi PHI raggiunga il fornitore. Ogni volta che un servizio comporta la creazione, la ricezione, la conservazione o la trasmissione di PHI per un'entità coperta, l'HIPAA richiede garanzie scritte adeguate che il fornitore proteggerà i dati. Condividere PHI senza questo accordo è già una violazione, anche se nessun dato viene mai esposto.

Alcuni rapporti sono esclusi dalla regola. Un semplice canale di transito che inoltra le informazioni senza accedervi, come un provider internet o un corriere che ha il pacco solo per un momento, non richiede un BAA. Non lo richiede nemmeno un dipendente, che è coperto dagli obblighi del datore di lavoro. Il criterio è l'accesso: appena un fornitore può ragionevolmente vedere, usare o conservare PHI, serve un accordo scritto.

L'HIPAA stabilisce il contenuto minimo del contratto. Un BAA completo fissa i punti seguenti, e ciascuno va verificato sulla risposta effettiva del fornitore, non solo sul suo modello.

In passato i business associate rispondevano solo ai propri clienti. L'HITECH Act del 2009 e l'Omnibus Rule del 2013 hanno cambiato questo quadro. Oggi i business associate rispondono direttamente alle autorità per molti requisiti dell'HIPAA, incluse le misure della Security Rule e la notifica delle violazioni. L'Office for Civil Rights del Dipartimento della Salute e dei Servizi Umani degli Stati Uniti applica le norme con sanzioni civili graduate in base alla colpa. Anche i procuratori generali degli Stati possono agire in giudizio per conto dei propri residenti.

L'entità coperta mantiene i propri obblighi. Deve ottenere garanzie scritte prima di qualsiasi divulgazione, usare una ragionevole diligenza nella scelta dei fornitori e notificare le persone interessate e l'autorità quando si verifica una violazione dei dati presso il fornitore. In pratica, le autorità citano spesso un BAA mancante, scaduto o inadeguato come violazione autonoma, anche quando nessun dato è stato compromesso.

Negli acquisti sanitari moderni il BAA funziona da cancello. Quando sono coinvolti PHI, un fornitore che non può firmarlo viene escluso dalla valutazione. I grandi fornitori pubblicano spesso un accordo standard durante l'onboarding, e i clienti del settore sanitario accettano frequentemente quelle condizioni invece di negoziarle. Una firma, però, è una promessa e non una prova, per questo i controlli seguenti vengono prima della firma del contratto.

1. 1

   Mappare il percorso dei dati

   Elencare ogni punto in cui il fornitore conserverebbe, trasmetterebbe o visualizzerebbe PHI, inclusi i backup e l'accesso per l'assistenza.

2. 2

   Verificare i subappaltatori

   Chiedere l'elenco dei subappaltatori e confermare che ciascuno sia vincolato alle stesse restrizioni scritte.

3. 3

   Confermare i tempi di notifica

   Controllare il termine per segnalare una violazione e il contatto indicato, così che l'entità coperta possa rispettare i propri obblighi.

4. 4

   Chiedere prove

   Richiedere report di audit indipendenti e un questionario di sicurezza compilato prima di condividere qualsiasi PHI.

Il BAA diventa pratica quotidiana attraverso il controllo degli accessi. Nella console Anexet l'amministratore imposta i diritti per utente e per gruppo per ogni gruppo di regole, separatamente per le regole e per gli incidenti. Con il deployment on-premise i dati raccolti restano nell'infrastruttura del cliente e il fornitore non ha accesso ai dati del cliente.

Parti dai dati a cui il fornitore potrebbe arrivare, non dal modello di contratto. Il BAA definisce gli obblighi sulla carta, ma sono i controlli che stanno dietro a decidere se tali obblighi vengono rispettati. Per le misure di protezione dal lato dell'entità coperta su ogni flusso, consulta la voce sulla prevenzione della perdita di dati (DLP).

Rivaluta periodicamente i fornitori che custodiscono i dati più sensibili. Il contratto si firma una volta, ma i flussi di dati continuano a cambiare dopo.