Desde organizar horarios, brindar atención y gestionar las operaciones diarias, mucho se requiere para administrar una organización de atención médica.

Afortunadamente, existen proveedores externos que pueden ayudar a aliviar parte de la carga de tu equipo para que se concentren en lo más importante. Pero usar organizaciones y herramientas de terceros a menudo significa compartir información de salud protegida, o PHI.

Entonces, ¿cómo usar de manera segura herramientas y recursos mientras se mantiene el cumplimiento de HIPAA?

La respuesta es simple: Acuerdos de Asociado Comercial.

Los Acuerdos de Asociado Comercial (BAA) son un tipo de contrato exigido por HIPAA para proteger la PHI cuando se comparte con un tercero.

A veces referidos como Contratos de Asociado Comercial, crear BAA efectivos es una parte crucial para cumplir con HIPAA.

A continuación, exploramos por qué necesitas BAA y cómo crearlos.

¿Qué es un asociado comercial?

Un asociado comercial es cualquier individuo, proveedor u organización que entra en contacto con la PHI de una organización de atención médica. Los asociados comerciales trabajan con entidades cubiertas para realizar servicios como almacenar y procesar PHI.

Dado que un asociado comercial maneja PHI, es igual de responsable de proteger los datos de salud del paciente que una entidad cubierta.

Ejemplos de asociados comerciales incluyen:

• Contadores
• Administradores
• Empresas de facturación
• Servicios de almacenamiento en la nube
• Abogados
• Personal de TI
• Archiveros
• Servicios de almacenamiento y manejo de documentos
• Servicios de transmisión de datos
• Organizaciones de alojamiento web
• Empresas de destrucción de documentos
• Consultores y auditores
• Servicios de transcripción médica

¿Qué es un acuerdo de asociado comercial?

Si una entidad cubierta subcontrata el manejo de PHI a un tercero, HIPAA requiere que esos terceros proporcionen garantías de que protegerán la PHI. Para demostrarlo, un asociado comercial debe firmar un BAA con la entidad cubierta.

Un BAA es un acuerdo legalmente vinculante entre una entidad cubierta y un asociado comercial que asegura la protección de la PHI. Estos acuerdos son exigidos por la Regla de Seguridad HIPAA.

El acuerdo debe definir claramente qué puede y qué no puede hacer un tercero con la PHI, así como las consecuencias por el incumplimiento del acuerdo.

Tanto las entidades cubiertas como los socios comerciales se benefician al firmar un BAA. Estos acuerdos eliminan las conjeturas sobre cómo manejar la PHI.

¿Quién necesita un acuerdo de socio comercial?

Cualquier socio comercial que maneje PHI para una entidad cubierta necesita completar un BAA. Los BAA también son necesarios si un socio comercial utiliza un subcontratista que manejará la PHI compartida por una entidad cubierta.

Los proveedores de servicios de internet y los socios de servicios de mensajería de una entidad cubierta no se consideran socios comerciales y no necesitan completar un BAA.

Los empleados de una entidad cubierta tampoco se consideran socios comerciales. Sin embargo, los empleados que trabajan para una entidad cubierta aún están bajo la jurisdicción de HIPAA. Esto significa que la entidad cubierta debe proporcionar capacitación HIPAA a todos los empleados sobre el manejo y la protección adecuados de la PHI.

Siempre recomendamos aclarar cualquier detalle con su departamento legal para asegurarse de que sus BAA cubran todos los temas necesarios.

¿Qué debe incluir un BAA?

HIPAA describe algunos temas esenciales que deben cubrirse en un BAA.

• Usos permitidos de la PHI
• Salvaguardias para prevenir violaciones del uso o divulgación de la PHI
• Cumplimiento con la Regla de Seguridad de HIPAA
• Reporte de usos y divulgaciones no autorizados
• Acuerdos con subcontratistas
• Quién puede acceder a la PHI
• Enmiendas a la PHI
• Delegación de las tareas de la entidad cubierta
• Registros disponibles para el Secretario del HHS
• Procesos para devolver o destruir la PHI al finalizar el contrato
• Provisiones de terminación

Plantilla de acuerdo de socio comercial

Hemos creado un ejemplo de acuerdo de socio comercial para ayudarle a crear el suyo propio.

Recuerde que crear un BAA implica más que solo llenar los espacios en blanco. Use esta plantilla como punto de partida y personalícela según sea necesario para ajustarse a su acuerdo.

¿Qué sucede cuando se viola un acuerdo de socio comercial?

Cuando se viola un BAA, la entidad cubierta debe tomar medidas para abordar la violación o terminar con la infra-cción causada por un socio comercial. Si estos pasos no tienen éxito, la entidad cubierta debe terminar el contrato para proteger la PHI.

Incluso si una violación es causada por un asociado comercial, ambas partes comparten la responsabilidad de abordar la violación. Esas responsabilidades pueden incluir:

• Informar de la violación al HHS
• Notificar a los individuos afectados por correo de primera clase
• Notificar a los medios (si más de 500 individuos están afectados)
• Proporcionar información a los individuos afectados que tengan preguntas sobre la violación

¿Qué pasa si no hay un BAA en su lugar?

El Departamento de Salud y Servicios Humanos de EE. UU. (HHS) tiene el derecho de auditar a las entidades cubiertas, asociados comerciales y subcontratistas en cualquier momento.

Si el HHS descubre que una empresa no cumple con HIPAA, esa empresa puede enfrentar consecuencias legales y financieras.

Si no hay un BAA en su lugar, ambas partes pueden encontrarse en problemas por las sanciones de HIPAA, no solo el negocio que causó la violación.

Por esta razón, los BAA son críticos no solo para asegurar que todos los terceros manejen la PHI de forma segura, sino también para proteger a tu propia organización de las violaciones de HIPAA.

Ejemplos de fallos en los acuerdos de asociados comerciales

Fallos comunes en los BAA por parte de los asociados comerciales incluyen:

• Fallo en cumplir con los requisitos de la Regla de Seguridad de HIPAA
• Fallo en proporcionar notificación de violaciones a una entidad cubierta u otro asociado comercial
• Usos y divulgaciones no permitidos de PHI
• Fallo en hacer esfuerzos razonables para limitar la PHI al mínimo necesario para lograr el propósito previsto del uso, divulgación o solicitud
• Fallo en proporcionar un registro de divulgaciones
• Fallo en firmar BAA con subcontratistas que crean o reciben PHI en su nombre
• Fallo en tomar medidas razonables para abordar una violación material o incumplimiento del acuerdo de asociado comercial del subcontratista

Sanciones por fallos en los acuerdos de asociados comerciales de HIPAA

Como se mencionó, el no crear y cumplir con los BAA puede resultar en consecuencias legales y financieras.

HIPAA categoriza los eventos de incumplimiento en dos categorías: sanciones civiles y penales. Las sanciones pueden incluir multas, planes de acción correctiva e incluso tiempo en prisión.

Las sanciones de HIPAA varían en severidad según la naturaleza de la ofensa y el conocimiento que el infractor tuviera de la violación.

Cómo Secureframe puede ayudarte a crear y mantener acuerdos de asociados comerciales

Cómo Secureframe puede ayudarte a crear y mantener acuerdos de asociados comerciales

Los acuerdos de asociados comerciales sirven como una línea de defensa que protege no solo la información del paciente, sino también la responsabilidad organizacional.

Hay muchos factores a considerar al crear acuerdos de asociados comerciales a prueba de fallos. Nuestro equipo de expertos está bien versado en crear acuerdos que satisfacen los rigurosos requisitos de HIPAA.

Para averiguar cómo Secureframe puede simplificar tu cumplimiento con HIPAA, solicita una demostración con nuestro equipo hoy.