Acordo de Associado de Negócios (BAA)

A HIPAA divide o mundo dos dados de saúde em dois papéis. Uma entidade coberta é um prestador de saúde que transmite eletronicamente informações de saúde em transações padronizadas, um plano de saúde ou uma clearinghouse de saúde. Um associado de negócios é uma pessoa ou organização externa que cria, recebe, mantém ou transmite PHI ao prestar serviços para uma entidade coberta. O critério é funcional, não formal: o que importa é se o fornecedor tem acesso a PHI, e não o setor a que pertence.

A mesma relação se repete um nível abaixo. Quando um associado de negócios contrata outra empresa para tratar PHI, como um provedor de hospedagem que guarda os seus backups, essa empresa se torna um subcontratado associado de negócios. Ela precisa estar vinculada a um contrato escrito com as mesmas restrições, para que a cadeia contratual alcance todas as organizações do processamento.

Informação de saúde protegida é uma forma de dado sensível e raramente fica em um único sistema. Os grupos abaixo normalmente aparecem em algum ponto dessa cadeia.

O contrato deve estar em vigor antes que qualquer PHI chegue ao fornecedor. Sempre que um serviço envolve criar, receber, manter ou transmitir PHI para uma entidade coberta, a HIPAA exige garantias escritas satisfatórias de que o fornecedor protegerá os dados. Compartilhar PHI sem esse contrato já é uma violação, mesmo que nenhum dado seja exposto.

Algumas relações ficam fora da regra. Um mero canal de transporte, que apenas repassa informações sem acessá-las, como um provedor de internet ou um courier com posse física apenas momentânea, não precisa de BAA. Também não precisa um membro da força de trabalho, coberto pelas obrigações do próprio empregador. O critério é o acesso: assim que um fornecedor pode razoavelmente ver, usar ou armazenar PHI, é necessário um contrato escrito.

A HIPAA prescreve o conteúdo mínimo do contrato. Um BAA completo estabelece os pontos abaixo, e cada um deve ser conferido na resposta real do fornecedor, e não apenas no modelo dele.

Os associados de negócios já respondiam apenas a seus clientes. A HITECH Act de 2009 e a Omnibus Rule de 2013 mudaram isso. Hoje, os associados de negócios respondem diretamente perante os reguladores por muitos requisitos da HIPAA, incluindo salvaguardas da Security Rule e notificação de violações. O Office for Civil Rights do Departamento de Saúde e Serviços Humanos dos EUA aplica as regras com multas civis escalonadas conforme a culpa. Procuradores-gerais estaduais também podem processar em nome de seus residentes.

A entidade coberta mantém seus próprios deveres. Ela precisa obter garantias escritas antes de qualquer divulgação, agir com diligência razoável na escolha de fornecedores e notificar as pessoas afetadas e o regulador quando ocorrer uma violação de dados no fornecedor. Na prática, os reguladores costumam citar um BAA ausente, vencido ou inadequado como infração autônoma, mesmo quando nenhum dado foi prejudicado.

Na contratação moderna em saúde, o BAA funciona como um portão. Quando há PHI envolvida, um fornecedor que não consegue assinar um BAA é excluído da disputa. Grandes provedores costumam publicar um contrato padrão durante a implantação, e clientes da área de saúde frequentemente aceitam esses termos sem negociar. Mas a assinatura é uma promessa, não uma prova, por isso as etapas abaixo vêm antes da assinatura do contrato.

1. 1

   Mapeie o caminho dos dados

   Liste cada lugar onde o fornecedor armazenaria, transmitiria ou veria PHI, incluindo backups e acessos de suporte.

2. 2

   Rastreie os subcontratados

   Peça a lista de subcontratados e confirme que cada um está vinculado às mesmas restrições por escrito.

3. 3

   Confirme o prazo de notificação

   Verifique o prazo para comunicar uma violação e o contato indicado, para que a entidade coberta cumpra os próprios deveres.

4. 4

   Peça evidências

   Solicite relatórios de auditoria independentes e um questionário de segurança preenchido antes de compartilhar qualquer PHI.

O BAA se transforma em prática diária pelo controle de acesso. No console Anexet, o administrador define direitos por usuário e por grupo para cada grupo de regras, separadamente para regras e para incidentes. Com a implantação on-premise, os dados capturados permanecem na infraestrutura do cliente, e o fornecedor não tem acesso aos dados do cliente.

Comece pelos dados que o fornecedor poderia alcançar, e não pelo modelo de contrato. O BAA define os deveres no papel, mas são os controles por trás dele que decidem se esses deveres são cumpridos. Para as salvaguardas do lado da própria entidade em cada fluxo, veja o verbete sobre prevenção de perda de dados (DLP).

Reavalie periodicamente os fornecedores que guardam os dados mais sensíveis. O contrato é assinado uma vez, mas os fluxos de dados continuam mudando depois disso.