Modulo W-9 vs Accordo BAA HIPAA: Perché i Provider Sanitari Ne Hanno Bisogno Entrambi e Come Restare Conformi
Il W-9 non soddisfa i requisiti dell'Accordo di Associato d'Affari (BAA) HIPAA. Servono scopi completamente diversi — e confonderli è un errore di conformità costoso.
Scopi Distinti
- W-9 (IRS): Raccoglie il Taxpayer Identification Number (TIN) per la reportistica 1099. Contiene zero disposizioni su privacy o sicurezza.
- BAA (HIPAA): Un contratto che richiede all'associato d'affari di proteggere le PHI, segnalare violazioni, permettere audit, e garantire conformità dei subappaltatori.
Requisito di Conformità
Le entità coperte (provider, piani sanitari, clearinghouse) devono avere un BAA firmato con ogni associato d'affari prima di condividere PHI. Include società di fatturazione, vendor EHR, cloud storage, servizi distruzione documenti, consulenti, e altro.
Errori Comuni
- Assumere W-9 = BAA.
- Usare l'accordo di servizio del vendor senza addendum HIPAA.
- Mancanza di BAA per subappaltatori (il BAA deve scendere a cascata).
- Lasciare scadere i BAA senza rinnovo.
Azioni da Intraprendere
- Inventariare tutti i vendor che ricevono PHI.
- Eseguire un BAA conforme HIPAA con ciascuno.
- Raccogliere W-9 separatamente per scopi fiscali.
- Audit annuale.
Sanzioni
Sanzioni per BAA mancante: fino a 68.928$ per violazione (2024), più piani d'azione correttiva. Il costo della conformità è una frazione del rischio.
Due moduli. Due scopi. Entrambi non negoziabili.