Business Associate Agreement: guida HIPAA

Le organizzazioni che trattano informazioni sanitarie protette (PHI) di solito hanno bisogno di un business associate agreement, a volte più di uno. Il BAA è il contratto che rende lecito, ai sensi dell'HIPAA, un rapporto relativo ai dati sanitari, e la sua assenza è una delle lacune di conformità più comuni e più costose individuate dalle autorità di regolamentazione.

Questa guida spiega, in termini semplici, che cos'è un BAA, chi ne ha bisogno, cosa l'HIPAA richiede nel documento, quali clausole meritano attenzione e quale checklist usare prima della firma.

Questo articolo contiene informazioni generali, non consulenza legale. Consulti un legale qualificato per la Sua situazione specifica.

Che cos'è un business associate agreement?

Un business associate agreement (BAA), talvolta chiamato business associate contract, è un contratto scritto tra un soggetto coperto dall'HIPAA (o un altro business associate) e un fornitore che creerà, riceverà, manterrà o trasmetterà informazioni sanitarie protette per suo conto.

Funziona come ponte giuridico tra due parti:

• Il soggetto coperto è il fornitore di servizi sanitari, il piano sanitario o la clearinghouse sanitaria che detiene il rapporto sottostante con i pazienti e i loro dati.
• Il business associate è il fornitore esterno che svolge attività che coinvolgono PHI: hosting, trattamento, analisi, fatturazione o altra gestione dei dati.

L'HIPAA consente a un soggetto coperto di condividere PHI con un fornitore solo se tale fornitore accetta contrattualmente di proteggere i dati e di usarli solo per scopi consentiti. Il BAA è il documento in cui vivono queste promesse. Trasferisce al fornitore una serie definita di obblighi HIPAA e offre al soggetto coperto un rimedio contrattuale se il fornitore gestisce male i dati.

Senza un BAA, non esiste una condivisione lecita di PHI con quel fornitore. Questo contratto si affianca al resto della documentazione di un team sanitario, motivo per cui molti team lo centralizzano in un software di gestione dei contratti sanitari invece di tracciarlo in fogli di calcolo.

Chi ha bisogno di un BAA?

Il modo più semplice per rispondere è identificare il ruolo svolto da ciascuna parte.

Soggetti coperti

Un soggetto coperto è una delle tre categorie previste dall'HIPAA:

• Un fornitore di servizi sanitari che trasmette informazioni sanitarie elettronicamente in relazione a transazioni coperte (la maggior parte di cliniche, ospedali, dentisti, terapeuti, laboratori).
• Un piano sanitario (assicuratori, HMO, piani sanitari collettivi dei datori di lavoro, programmi governativi).
• Una clearinghouse sanitaria (soggetti che elaborano dati sanitari tra formati diversi).

I soggetti coperti devono predisporre un BAA con ogni business associate prima che qualsiasi PHI venga scambiata.

Business associate

Un business associate è qualsiasi persona o organizzazione, diversa da un membro della forza lavoro del soggetto coperto, che svolge funzioni o servizi che coinvolgono PHI per conto del soggetto coperto. Esempi comuni:

• Fornitori di cloud hosting e archiviazione che conservano PHI (per esempio una piattaforma cloud idonea all'HIPAA).
• Società di fatturazione e codifica medica e fornitori del ciclo dei ricavi.
• Servizi di trascrizione medica.
• Fornitori di analisi e reportistica che trattano PHI per produrre insight.
• Piattaforme di firma elettronica usate per firmare documenti contenenti PHI.
• Software di gestione e revisione dei contratti che acquisisce accordi o registri contenenti PHI.
• Supporto IT, fornitori EHR, software di gestione degli studi, società di distruzione documenti e commercialisti o avvocati che gestiscono PHI.

Gli studi medici e i datori di lavoro di gruppo hanno lo stesso obbligo verso i propri fornitori, come spiegato più in dettaglio nella nostra guida al software di gestione dei contratti per medici.

Subappaltatori

Un business associate che trasmette PHI a un proprio fornitore a valle deve firmare un BAA con quel subappaltatore. Il subappaltatore è a sua volta un business associate ai sensi dell'HIPAA, e la catena degli obblighi deve fluire fino in fondo. Un fornitore di analisi cloud che usa un provider separato di data warehouse, per esempio, ha bisogno di un BAA con quel provider di warehouse. Questo meccanismo di trasferimento degli obblighi rispecchia il modo in cui il GDPR tratta i responsabili del trattamento, tema che affrontiamo in gestione dei sub-responsabili ai sensi del GDPR.

L'eccezione del conduit

Non tutti i fornitori che si avvicinano alle PHI hanno bisogno di un BAA. L'eccezione del conduit riguarda le organizzazioni che si limitano a trasportare dati senza accedervi abitualmente, come il servizio postale, i corrieri o un provider di servizi Internet che agisce esclusivamente come canale di trasmissione. Il criterio è trasmissione transitoria contro accesso o archiviazione persistente. Un corriere che consegna cartelle sigillate è un conduit. Un provider cloud che archivia quelle cartelle è un business associate, anche se non le legge mai, perché mantiene i dati.

In caso di dubbio, presuma di avere bisogno di un BAA. L'eccezione è ristretta.

Cosa richiede l'HIPAA in un BAA

La Privacy Rule HIPAA, al 45 CFR §164.504(e), stabilisce le disposizioni che un BAA conforme deve contenere. La Security Rule e l'HITECH Act aggiungono obblighi per le PHI elettroniche (ePHI) e per la notifica delle violazioni. Ecco cosa significa in pratica ogni elemento richiesto.

Disposizione richiesta	Cosa significa realmente
Usi e divulgazioni consentiti e richiesti	Il contratto deve definire esattamente come il business associate può usare o divulgare PHI, e limitarlo a quanto consentito dall'accordo e dalla legge.
Nessun ulteriore uso o divulgazione	Il business associate non può usare PHI oltre i termini contrattuali o in qualsiasi modo che violerebbe la Privacy Rule se lo facesse il soggetto coperto.
Misure di salvaguardia adeguate	Il business associate deve implementare misure di salvaguardia per prevenire usi o divulgazioni non autorizzati, incluse le misure amministrative, fisiche e tecniche della Security Rule per le ePHI.
Segnalazione di violazioni e incidenti	Il business associate deve segnalare incidenti di sicurezza, violazioni di PHI non protette e qualsiasi uso o divulgazione non autorizzati al soggetto coperto, entro tempistiche definite.
Trasferimento degli obblighi ai subappaltatori	Il business associate deve garantire che qualsiasi subappaltatore che gestisca PHI accetti le stesse restrizioni e condizioni, tramite un proprio BAA.
Diritti degli individui	Il business associate deve supportare gli obblighi del soggetto coperto di fornire agli individui accesso alle proprie PHI, apportare modifiche e fornire un rendiconto delle divulgazioni.
Restituzione o distruzione alla cessazione	Alla cessazione, il business associate deve restituire o distruggere tutte le PHI ove praticabile, ed estendere le protezioni a qualsiasi PHI che non possa restituire o distruggere.
Disponibilità dei registri all'HHS	Il business associate deve rendere disponibili le proprie pratiche interne, libri e registri al Department of Health and Human Services per la revisione di conformità.
Risoluzione per violazione	Il soggetto coperto deve poter risolvere il contratto se il business associate lo viola in modo sostanziale.

Alcuni di questi punti meritano particolare attenzione.

Misure di salvaguardia e Security Rule. Per le ePHI, "misure di salvaguardia adeguate" non è un'espressione vaga. Il business associate è direttamente obbligato a rispettare i requisiti della Security Rule relativi alle misure amministrative, fisiche e tecniche. Il BAA dovrebbe richiamarlo espressamente invece di lasciarlo implicito.

Notifica delle violazioni. Ai sensi dell'HITECH, le violazioni di PHI non protette fanno scattare obblighi di notifica. Il business associate deve informare il soggetto coperto affinché quest'ultimo possa rispettare le proprie scadenze (notifica agli individui interessati senza ritardo irragionevole e non oltre 60 giorni dalla scoperta). Il BAA dovrebbe stabilire con precisione quanto rapidamente il business associate deve informare il soggetto coperto, perché quel momento avvia il conteggio anche per il soggetto coperto.

Restituzione o distruzione. Questo punto è spesso assente o annacquato. Il contratto dovrebbe essere esplicito su cosa accade alle PHI quando il rapporto termina, inclusi backup e archivi.

Clausole chiave da esaminare prima della firma

I requisiti del §164.504(e) sono il livello minimo. I termini commerciali che li circondano determinano quanto rischio Lei effettivamente sostiene. Li legga con attenzione.

• Termine per la notifica di violazione. Un BAA conforme deve richiedere la segnalazione, ma "senza ritardo irragionevole" non è una scadenza. Insista per un numero concreto. Molti BAA ben redatti richiedono la notifica entro 24-72 ore dalla scoperta per violazioni confermate. Più lunga è la finestra, meno tempo rimane per rispettare l'obbligo di 60 giorni.
• Indennizzo. Il fornitore La indennizza per le perdite causate dalla sua violazione, incluse sanzioni regolamentari, costi di notifica e monitoraggio del credito? Un indennizzo unilaterale o assente trasferisce le conseguenze finanziarie sul soggetto coperto.
• Massimali di responsabilità rispetto al rischio HIPAA. Faccia attenzione a un massimale di responsabilità fissato, per esempio, alle commissioni degli ultimi 12 mesi. Una singola violazione che coinvolge molti record può costare molto di più in multe, notifiche e rimedi. Il massimale dovrebbe essere dimensionato al rischio dei dati, non solo al valore del contratto, e la responsabilità legata alle violazioni è spesso esclusa del tutto dal massimale.
• Diritti di audit e valutazione. Può richiedere il report SOC 2 del fornitore, le risposte ai questionari di sicurezza o prove delle misure di salvaguardia? I BAA solidi concedono diritti di audit o valutazione, così la fiducia è verificabile, non presunta.
• Ubicazione dei dati e sub-responsabili. Dove vengono archiviate e trattate le PHI, e quali sub-responsabili a valle le trattano? L'archiviazione transfrontaliera e un elenco non divulgato di sub-responsabili sono rischi reali. Richieda notifica e diritti di approvazione per nuovi sub-responsabili.
• Assicurazione. Il fornitore dispone di un'assicurazione cyber liability con massimali adeguati? Un indennizzo robusto vale solo quanto la capacità del fornitore di pagarlo.

Queste clausole si sovrappongono ai termini di trattamento dei dati che molti fornitori già mantengono. La nostra libreria di clausole sul trattamento dei dati mostra come le stesse protezioni vengono redatte sul versante GDPR.

Errori comuni e segnali di allarme nei BAA

• Nessun BAA con i subappaltatori. Un business associate che condivide PHI a valle senza un BAA interrompe la catena ed è esposto direttamente.
• Tempistiche di violazione vaghe o mancanti. "Tempestivamente" o "non appena praticabile" senza un numero lascia entrambe le parti incapaci di pianificare rispetto alle proprie scadenze.
• Nessuna clausola di restituzione o distruzione. PHI che rimangono indefinitamente nei sistemi di un ex fornitore sono una responsabilità permanente.
• Trattare un conduit come un business associate, o viceversa. Imporre un BAA a un puro conduit spreca energie. L'errore più pericoloso è l'opposto: presumere che un fornitore di cloud storage o software sia un conduit quando in realtà mantiene PHI e ha bisogno di un BAA.
• Affidarsi a termini click-through senza un BAA firmato. Alcuni fornitori trattano PHI in base a termini standard senza alcun BAA eseguito. Se gestiscono PHI, questa è una lacuna.
• BAA obsoleti. Accordi firmati anni fa possono essere precedenti all'HITECH e alla Omnibus Rule. Vecchi modelli possono mancare di disposizioni richieste. Un promemoria per contratti sanitari alla data di revisione di ogni BAA evita che questo passi inosservato.
• Presumere che il BAA basti. Un BAA firmato è necessario, ma da solo non rende nessuna delle parti conforme all'HIPAA. Le misure di salvaguardia devono comunque essere reali.

Checklist di revisione del BAA

Prima della firma, confermi che l'accordo copra ciascuno di questi punti. Può anche analizzare il Suo BAA con il nostro strumento gratuito di revisione BAA con AI per individuare automaticamente disposizioni mancanti e clausole deboli.

• Parti e ruoli sono identificati correttamente (soggetto coperto, business associate, subappaltatore).
• Gli usi e le divulgazioni consentiti e richiesti delle PHI sono chiaramente definiti e limitati.
• È presente una restrizione di "nessun ulteriore uso o divulgazione".
• Sono richieste misure di salvaguardia adeguate, con un riferimento esplicito alla conformità alla Security Rule per le ePHI.
• È richiesta la segnalazione di violazioni e incidenti di sicurezza, con una tempistica concreta (idealmente 24-72 ore).
• Gli obblighi di trasferimento ai subappaltatori richiedono BAA a valle.
• È affrontato il supporto ai diritti degli individui di accesso, modifica e rendiconto delle divulgazioni.
• Sono specificate la restituzione o distruzione delle PHI alla cessazione, inclusi i backup.
• I registri sono resi disponibili all'HHS per la revisione di conformità.
• La risoluzione per violazione sostanziale è disponibile per il soggetto coperto.
• L'indennizzo copre le violazioni del fornitore, incluse sanzioni e costi di notifica.
• I massimali di responsabilità sono dimensionati al rischio dei dati, con esclusione della responsabilità per violazioni ove appropriato.
• Sono concessi diritti di audit o valutazione (SOC 2, prove di sicurezza).
• Sono indicate l'ubicazione dei dati e la divulgazione dei sub-responsabili, con diritti di approvazione per nuovi sub-responsabili.
• Sono specificati i requisiti di assicurazione cyber liability.
• È impostato un promemoria di rinnovo o revisione affinché il BAA non diventi obsoleto.

Domande frequenti

Un BAA è richiesto dalla legge?

Sì. Se un soggetto coperto condivide PHI con un fornitore che si qualifica come business associate, l'HIPAA richiede un BAA scritto prima che qualsiasi PHI venga divulgata. Lo stesso vale tra un business associate e i suoi subappaltatori.

Cosa succede senza un BAA?

Condividere PHI senza un BAA richiesto è di per sé una violazione dell'HIPAA, separata da qualsiasi data breach. L'Office for Civil Rights ha concluso transazioni per centinaia di migliaia o milioni di dollari in casi in cui il problema principale era un BAA mancante o inadeguato. Entrambe le parti possono subire azioni di enforcement.

Un BAA ci rende conformi all'HIPAA?

No. Un BAA firmato è un elemento richiesto della conformità, ma è un contratto, non un controllo. Le misure di salvaguardia devono comunque essere implementate, il personale formato, l'analisi dei rischi condotta e le promesse dell'accordo effettivamente rispettate. Il BAA è l'impegno; il programma di sicurezza è ciò che lo mantiene.

BAA e DPA: qual è la differenza?

Un BAA è specifico per l'HIPAA e le PHI negli Stati Uniti. Un data processing agreement (DPA) è lo strumento equivalente ai sensi del GDPR dell'UE e del Regno Unito, e disciplina come un responsabile del trattamento gestisce dati personali per conto di un titolare. Svolgono una funzione ponte simile, ma rispondono a leggi diverse, definiscono ruoli diversi (soggetto coperto e business associate contro titolare e responsabile) e comportano termini richiesti diversi. Un'organizzazione che opera in entrambi i regimi può avere bisogno di entrambi. Per il versante GDPR, veda che cos'è un data processing agreement, e imposti promemoria di rinnovo dei DPA affinché anche l'accordo corrispondente non scada.

Abbiamo bisogno di un BAA con il nostro fornitore cloud o software?

Se il fornitore crea, riceve, mantiene o trasmette PHI per Suo conto, sì, anche se non visualizza mai i dati. Un provider cloud idoneo all'HIPAA, un EHR, un sistema di fatturazione, uno strumento di firma elettronica o una piattaforma contrattuale che archivia PHI è un business associate. Un puro conduit di trasmissione che non archivia mai i dati in modo persistente può rientrare nell'eccezione del conduit, ma consideri questo come il caso raro.

Con quale frequenza dovremmo revisionare i nostri BAA?

Revisioni i BAA al rinnovo, ogni volta che un fornitore cambia in modo sostanziale il modo in cui gestisce le PHI e dopo qualsiasi aggiornamento normativo. Mantenere un inventario aggiornato di ogni BAA, con date di rinnovo e promemoria, è uno dei modi più efficaci per evitare un accordo obsoleto o mancante.

Faccia revisionare i Suoi BAA

Un business associate agreement è protettivo solo se contiene davvero le disposizioni richieste e se i termini commerciali reggono. Clausole mancanti, tempistiche di violazione vaghe e massimali di responsabilità che ignorano il costo reale di una violazione sono facili da trascurare durante un ciclo di revisione intenso.

Contracko aiuta i team sanitari a individuare queste lacune. Analizzi qualsiasi accordo con il nostro strumento gratuito di revisione BAA con AI per far emergere disposizioni §164.504(e) mancanti e clausole deboli, usi il più ampio strumento di revisione dei contratti sanitari per accordi con fornitori e accordi clinici, e imposti promemoria di rinnovo e DPA affinché nulla scada inosservato. Veda come si inserisce nel resto del Suo stack sulla nostra pagina del settore sanitario.

Promemoria: questa guida contiene informazioni generali, non consulenza legale. Consulti un legale qualificato per le Sue circostanze specifiche.

Le immagini in questo articolo sono state generate con l'assistenza dell'AI.