Punti chiave
- Un BAA stabilisce usi consentiti e obblighi di salvaguardia.
- I subappaltatori devono assumere restrizioni equivalenti quando applicabili.
- Segnalazione e rimedio di incidenti e violazioni devono essere disciplinati.
- La cifratura non elimina automaticamente lo status di business associate.
Definizione e ambito
L’accordo definisce usi consentiti e richiesti, vieta altre divulgazioni, impone salvaguardie adeguate e regola le notifiche. Deve anche affrontare subappaltatori, diritti degli interessati e trattamento delle informazioni alla fine del contratto. [1]
Confine di sicurezza
HHS chiarisce che un cloud provider può essere business associate anche se conserva soltanto ePHI cifrate senza possedere la chiave. L’illeggibilità tecnica non sostituisce il BAA né l’analisi del rischio. [2]
Limiti e valutazione
Firmare un BAA non rende automaticamente un prodotto conforme a HIPAA. Le parti devono valutare utilizzo, configurazione, accessi, conservazione, risposta agli incidenti e tutte le salvaguardie amministrative, fisiche e tecniche applicabili. [1][3]
Domande frequenti.
Che cosa significa Business Associate Agreement (BAA)?
Un BAA è l’accordo scritto richiesto da HIPAA per ripartire gli obblighi quando un business associate tratta PHI. La cifratura non sostituisce l’accordo. [1]
Che cosa non garantisce Business Associate Agreement (BAA)?
Firmare un BAA non rende automaticamente un prodotto conforme a HIPAA. Le parti devono valutare utilizzo, configurazione, accessi, conservazione, risposta agli incidenti e tutte le salvaguardie amministrative, fisiche e tecniche applicabili. [1][3]
Come interpreta SealTask Business Associate Agreement (BAA)?
SealTask deve accettare espressamente per iscritto qualsiasi uso di PHI prima che inizi. Quando si applica HIPAA, le parti devono inoltre stipulare prima dell’uso un BAA conforme a HIPAA; la cifratura non sostituisce questi requisiti. [4]
Fonti primarie
Le definizioni privilegiano enti di standardizzazione, linee guida pubbliche e l’architettura SealTask di prima parte. I link aprono la fonte completa.
- 01 HHS: Business Associates Fonte primaria o di prima parte per definizione, requisiti del protocollo, confine di sicurezza o contesto normativo.
- 02 HHS: HIPAA and cloud service providers Fonte primaria o di prima parte per definizione, requisiti del protocollo, confine di sicurezza o contesto normativo.
- 03 HHS: Summary of the HIPAA Privacy Rule Fonte primaria o di prima parte per definizione, requisiti del protocollo, confine di sicurezza o contesto normativo.
- 04 SealTask security architecture Fonte primaria o di prima parte per definizione, requisiti del protocollo, confine di sicurezza o contesto normativo.