Umowa z podmiotem współpracującym (BAA)

HIPAA dzieli świat danych medycznych na dwie role. Podmiot objęty przepisami to dostawca usług zdrowotnych, który elektronicznie przesyła informacje o zdrowiu w standardowych transakcjach, plan zdrowotny albo podmiot pośredniczący w rozliczeniach (clearinghouse). Podmiot współpracujący to zewnętrzna osoba lub organizacja, która tworzy, odbiera, przechowuje lub przesyła PHI, wykonując usługi dla podmiotu objętego przepisami. Liczy się funkcja, a nie forma: istotne jest, czy dostawca ma kontakt z PHI, a nie to, do jakiej branży należy.

Ta sama relacja powtarza się o szczebel niżej. Gdy podmiot współpracujący zleca przetwarzanie PHI innej firmie, na przykład dostawcy hostingu przechowującemu jego kopie zapasowe, ta firma staje się podwykonawcą-podmiotem współpracującym. Musi być związana pisemną umową z tymi samymi ograniczeniami, dzięki czemu łańcuch umów obejmuje każdą organizację w procesie przetwarzania.

Chroniona informacja o zdrowiu jest jedną z form danych wrażliwych i rzadko zostaje w jednym systemie. Poniższe grupy zwykle pojawiają się gdzieś w tym łańcuchu.

Umowa musi obowiązywać, zanim PHI trafi do dostawcy. Ilekroć usługa obejmuje tworzenie, odbieranie, przechowywanie lub przesyłanie PHI dla podmiotu objętego przepisami, HIPAA wymaga pisemnych gwarancji, że dostawca zabezpieczy dane. Przekazanie PHI bez takiej umowy stanowi naruszenie samo w sobie, nawet jeśli dane nigdy nie wyciekły.

Niektóre relacje są poza zakresem przepisu. Podmiot, który jedynie przekazuje informacje dalej bez ich dostępu, na przykład dostawca internetu albo kurier mający przesyłkę tylko przez chwilę, nie potrzebuje umowy BAA. Nie potrzebuje jej też pracownik, objęty obowiązkami pracodawcy. Decyduje dostęp: gdy dostawca może w uzasadniony sposób oglądać, używać lub przechowywać PHI, wymagana jest pisemna umowa.

HIPAA określa minimalną treść umowy. Pełna umowa BAA ustala poniższe punkty, a każdy z nich warto sprawdzić w rzeczywistej odpowiedzi dostawcy, a nie tylko w jego wzorcu.

Podmioty współpracujące dawniej odpowiadały wyłącznie przed swoimi klientami. Ustawa HITECH z 2009 roku i reguła Omnibus z 2013 roku to zmieniły. Dziś podmioty współpracujące odpowiadają bezpośrednio przed regulatorem za wiele wymogów HIPAA, w tym za zabezpieczenia z Security Rule i zgłaszanie naruszeń. Urząd ds. praw obywatelskich (Office for Civil Rights) w Departamencie Zdrowia i Usług Społecznych USA (HHS) egzekwuje przepisy, stosując kary pieniężne zależne od stopnia winy. Prokuratorzy generalni stanów mogą też pozywać w imieniu swoich mieszkańców.

Podmiot objęty przepisami zachowuje własne obowiązki. Musi uzyskać pisemne gwarancje przed każdym ujawnieniem, zachować należytą staranność przy wyborze dostawcy i powiadomić osoby, których dotyczy sprawa, oraz regulatora, gdy dojdzie do naruszenia danych u dostawcy. W praktyce regulatorzy często wskazują brak, wygaśnięcie lub nieodpowiedniość umowy BAA jako odrębne naruszenie, nawet gdy nikt nie ucierpiał.

W nowoczesnych zakupach w ochronie zdrowia umowa BAA działa jak bramka. Tam, gdzie chodzi o PHI, dostawca, który nie podpisze takiej umowy, odpada z postępowania. Duzi dostawcy często publikują standardową umowę podczas wdrożenia, a klienci z ochrony zdrowia zwykle akceptują te warunki zamiast je negocjować. Podpis jest jednak obietnicą, a nie dowodem, dlatego poniższe kroki wykonuje się przed podpisaniem umowy.

1. 1

   Opisać drogę danych

   Wypisać wszystkie miejsca, w których dostawca przechowywałby, przesyłał lub oglądał PHI, w tym kopie zapasowe i dostęp serwisowy.

2. 2

   Prześledzić podwykonawców

   Zażądać listy podwykonawców i potwierdzić, że każdy z nich jest związany tymi samymi pisemnymi ograniczeniami.

3. 3

   Potwierdzić termin zgłoszeń

   Sprawdzić termin zgłoszenia naruszenia i wskazaną osobę kontaktową, aby podmiot mógł wypełnić własne obowiązki.

4. 4

   Zażądać dowodów

   Zażądać niezależnych raportów z audytu i wypełnionego kwestionariusza bezpieczeństwa, zanim udostępni się jakiekolwiek PHI.

Umowa BAA zamienia się w codzienną praktykę przez kontrolę dostępu. W konsoli Anexet administrator ustawia uprawnienia dla użytkownika i grupy osobno dla każdej grupy reguł, a także osobno dla reguł i incydentów. Dzięki wdrożeniu on-premise zebrane dane pozostają w infrastrukturze klienta, a dostawca nie ma dostępu do danych klienta.

Zacznij od danych, do których dostawca mógłby dotrzeć, a nie od wzorca umowy. Umowa BAA określa obowiązki na papierze, a to kontrole za nią decydują, czy te obowiązki są spełniane. Zabezpieczenia po stronie podmiotu na każdym odcinku przepływu opisuje hasło zapobieganie utracie danych (DLP).

Okresowo oceniaj dostawców, którzy przechowują najbardziej wrażliwe dane. Umowę podpisuje się raz, ale przepływy danych po tym zmieniają się dalej.