Accordi Business Associate (BAA): requisiti essenziali per conformità HIPAA

Parti del contratto

Covered Entity: organizzazione sanitaria (ospedale, home health, RSA) che cerca tutela sotto Privacy Rule. Business Associate: entità che accede a PHI per erogare servizi (consulenti, fatturazione, ecc.). Il contratto definisce la relazione.

Riferimento normativo federale

Il BAA deve citare esplicitamente la legge: Standards for Privacy of Individually Identifiable Health Information (45 CFR Part 160 e Part 164, Subparts A ed E). Senza questo riferimento, il business associate potrebbe contestare l'intento.

PHI coperto

Il BAA deve dettagliare quali politiche, procedure, documenti e pratiche sono protetti. Deve includere esempi di violazioni (es. dipendenti del business associate non coinvolti nella codifica non devono accedere ai dati pazienti dell'ospedale).

Termini dell'accordo

Specificare: quando il BA accede al PHI, durata conservazione, accesso in assenza della covered entity, termini per informazioni altamenta riservate, cosa accade al PHI in possesso del BA alla risoluzione.

Revisione legale

Clausole extra-PHI vanno riviste da avvocato. Anche il BAA finale va sottoposto a revisione legale per eventuali emendamenti.