Acuerdo de Asociado Comercial HIPAA: Guía Completa

Las empresas del sector sanitario suelen dar por sentado que si un proveedor es de confianza o tiene experiencia trabajando con otros servicios sanitarios, automáticamente está cubierto. Pero la HIPAA no se basa en suposiciones. 

Sin un Acuerdo de Asociación Comercial (BAA, por sus siglas en inglés), incluso el intercambio de datos con buenas intenciones puede convertirse en una pesadilla de cumplimiento normativo. Esto se debe a que las empresas necesitan la garantía de que los proveedores de servicios que acceden a la información de salud protegida (PHI, por sus siglas en inglés) mantengan un nivel aceptable de integridad y confidencialidad. 

Este artículo es para usted si tiene acceso a información de salud protegida (PHI) al trabajar con entidades cubiertas. Analizamos las excepciones del Acuerdo de Asociación Comercial (BAA), cómo funciona el BAA para el cumplimiento de HIPAA y qué sucede en caso de incumplimiento. También hemos incluido un modelo de Acuerdo de Asociación Comercial de HIPAA que puede descargar como referencia.

¿Quién es un socio comercial según la HIPAA?

Un socio comercial según la HIPAA es cualquier persona física o jurídica que realiza determinadas funciones, actividades o servicios que implican el uso o la divulgación de información sanitaria protegida (PHI, por sus siglas en inglés) en nombre de, o que presta servicios a, una entidad cubierta.

Una entidad cubierta por la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) es cualquier proveedor de atención médica, plan de salud o cámara de compensación de atención médica. Sin embargo, un miembro del personal de la entidad cubierta no se considera un socio comercial. Un proveedor de servicios de salud, plan de salud o cámara de compensación de atención médica cubierto puede ser socio comercial de otra entidad cubierta.

La Regla de Privacidad de HIPAA enumera algunas de las funciones o actividades, así como los servicios específicos, que convierten a una persona o entidad en un socio comercial si la actividad o el servicio implica el uso o la divulgación de información de salud protegida. Las funciones o actividades que pueden convertir a una persona o entidad en un socio comercial incluyen los servicios de facturación o las funciones de operaciones de atención médica, y otras actividades reguladas por las Reglas de Simplificación Administrativa.

Funciones y responsabilidades de un asociado comercial

Un socio comercial tiene la responsabilidad de garantizar la seguridad y la privacidad de la información de salud protegida (PHI) al tiempo que presta un servicio de calidad a sus clientes, es decir, a las entidades cubiertas. En el desempeño de sus funciones, el socio comercial debe implementar medidas de seguridad sólidas, informar de inmediato sobre las infracciones y capacitar a sus empleados.

Estas son las funciones y responsabilidades de un asociado comercial dentro del ámbito de aplicación de HIPAA:

Ingresando a BAA

El socio comercial debe suscribir un acuerdo de socio comercial con la entidad cubierta que defina claramente las funciones y responsabilidades del socio comercial con respecto a la protección de la información de salud protegida (PHI).

Protección de la información de salud protegida (PHI)

El socio comercial es responsable de garantizar la confidencialidad, la integridad y la disponibilidad de la información de salud protegida (PHI) mediante el cumplimiento de las normas HIPAA. Debe implementar medidas de seguridad técnicas, administrativas y físicas para proteger la PHI contra el acceso o la divulgación no autorizados.

Una herramienta de cumplimiento como Sprinto Protege la información de salud protegida (PHI) mediante la monitorización activa de sus sistemas en busca de vulnerabilidades. Aplica las políticas de forma coherente, simplifica las auditorías y proporciona alertas en tiempo real ante cualquier infracción. Mantenga una sólida protección de la PHI y cumpla con los requisitos normativos aplicables a su empresa con un mínimo esfuerzo.  

Organización de la capacitación sobre HIPAA

Todo empleado de la organización asociada que maneje, directa o indirectamente, información médica electrónica protegida (ePHI) debe recibir capacitación sobre HIPAA . Los empleados deben ser conscientes de la importancia de salvaguardar la información confidencial y de las obligaciones que les impone el Acuerdo de Asociación Comercial (BAA).

Notificación de incumplimiento

Un socio comercial debe cumplir con las normas de notificación de violaciones de seguridad de HIPAA . En caso de un incidente o violación de seguridad, es responsabilidad del socio comercial notificar a la entidad cubierta a más tardar 60 días después del descubrimiento de la violación.

Cumplimiento de los subcontratistas

Si un socio comercial trabaja con un subcontratista para realizar funciones que impliquen el uso o la divulgación de información de salud protegida (PHI), debe asegurarse de que el agente también cumpla con los requisitos de HIPAA y proteja dicha información.

Documentación y mantenimiento de registros

El socio comercial debe mantener la documentación relacionada con el procesamiento y la protección de la información de salud protegida (PHI) para garantizar el cumplimiento de todas sus obligaciones y, al mismo tiempo, mantener la conformidad con las regulaciones de HIPAA.

Ejemplos de socios comerciales

Un Acuerdo de Asociado Comercial (BAA, por sus siglas en inglés) es un contrato legal o un acuerdo escrito que se firma entre una entidad cubierta y un Asociado Comercial, o entre un Asociado Comercial y un Subcontratista de Asociados Comerciales, que especifica las tareas de cada parte para proteger y salvaguardar la Información de Salud Protegida (PHI, por sus siglas en inglés).

La HIPAA exige que las entidades cubiertas trabajen únicamente con socios comerciales responsables con quienes hayan firmado acuerdos para proteger la información de salud protegida (PHI).

HIPAA audita a las Entidades Cubiertas, los Socios Comerciales y los Subcontratistas de los Socios Comerciales para verificar su cumplimiento. Por lo tanto, si su organización comparte información de salud protegida (PHI) con cualquier otra organización, es recomendable contar con Acuerdos de Socio Comercial para garantizar que la responsabilidad compartida de proteger la PHI quede documentada legalmente.

¿Qué es un Acuerdo de Asociado Comercial HIPAA?

Un Acuerdo de Asociado Comercial (BAA, por sus siglas en inglés) es un contrato legal o un acuerdo escrito que se firma entre una entidad cubierta y un Asociado Comercial para el uso, la divulgación o el procesamiento seguros de la Información de Salud Protegida (PHI, por sus siglas en inglés). También se utiliza entre un Asociado Comercial y un Subcontratista de Asociado Comercial para especificar las tareas de cada parte en cuanto a la protección y seguridad de la PHI.

El certificado HIPAA exige que las entidades cubiertas trabajen únicamente con socios comerciales responsables con quienes hayan firmado acuerdos para proteger la información de salud protegida (PHI).

HIPAA audita a las Entidades Cubiertas, Socios Comerciales y Subcontratistas de Socios Comerciales para verificar su cumplimiento. Por lo tanto, si su organización comparte información de salud protegida (PHI) con cualquier otra organización, es recomendable contar con contratos de Socio Comercial para garantizar que la responsabilidad compartida de proteger la PHI esté legalmente documentada.

¿Qué es un BAA para entidades cubiertas?

Un BAA debe incluir lo siguiente:

• Debe describir en detalle las particularidades de las actividades que el Socio Comercial o los Subcontratistas del Socio Comercial pueden realizar con la Información de Salud Protegida (PHI) que se les comparte.
• Debe enumerar los métodos y protocolos de seguridad necesarios que se exigen a los socios comerciales y subcontratistas de socios comerciales para garantizar que no se viole la integridad, la seguridad y la confidencialidad de la información de salud protegida (PHI).
• Debería exigir a los socios comerciales y subcontratistas de socios comerciales que no utilicen la información de salud protegida (PHI) para fines distintos a los permitidos por la entidad cubierta y por la ley.

Cuando un proveedor de atención médica cubierto detecta un incumplimiento o una violación del acuerdo comercial por parte del socio comercial (BA o BAS), la entidad cubierta debe tomar medidas para corregirlo. Si las medidas tomadas no dan resultados positivos, la entidad cubierta debe rescindir inmediatamente su acuerdo comercial con dicho socio. Si la rescisión del contrato o acuerdo es imposible, las entidades cubiertas deben informar del incidente de incumplimiento o violación del acuerdo comercial al HHS o a la OCR (Oficina de Derechos Civiles).

Si usted es un proveedor que trabaja con una entidad cubierta, es fundamental monitorear constantemente sus sistemas de seguridad de la información y buscar posibles vulnerabilidades. En caso de que sospeche que se ha producido una brecha de seguridad, informe a la entidad cubierta de inmediato.

Contrato entre una entidad cubierta y un socio comercial.

Todo contrato escrito entre los BA y CE debe incluir lo siguiente: 

1. Menciona los casos permitidos de divulgación de información de salud protegida (PHI); cómo y cuándo el administrador comercial (BA) puede usar y compartir información de salud protegida (PHI).
2. Mencione las limitaciones en el uso y la divulgación de la información de salud protegida (PHI); casos en los que el socio comercial (BA) desea utilizar la PHI más allá de lo que establece el contrato o lo que permiten las cláusulas legales.
3. Exigir que el BA implemente medidas de seguridad apropiadas para prevenir el acceso no autorizado a la información de salud protegida (PHI).
4. Exigir al BA que informe al CE inmediatamente en caso de que se produzca una violación de la PHI o se comparta accidentalmente con personal no autorizado.
5. Exigir al administrador de beneficios que divulgue la información de salud protegida (PHI) para atender las solicitudes de las personas, como registros de su información de salud, modificaciones o informes de divulgaciones.
6. Una cláusula para la rescisión del contrato por parte del CE si el BA no cumple con un acuerdo.
7. Exigir al BA que destruya o devuelva todas las formas de PHI recibidas o creadas durante el período de su acuerdo. 
8. Exigir a la BA que obligue a cualquier subcontratista que emplee a cumplir con los mismos términos y condiciones de privacidad que se aplican a sí misma.
9. Exigir a la BA que se coordine con el HHS para auditar sus registros, controles y prácticas relacionados con la información de salud protegida (PHI) para garantizar el cumplimiento de la Regla de Privacidad. 
10. Exigir al BA que cumpla con los mismos requisitos y acuerdos que el CE si trabaja en una tarea en nombre del CE que se encuentre dentro del alcance de la Regla de Privacidad.

Disposiciones de transición de HIPAA para contratos BAA existentes

Según el Departamento de Salud y Servicios Humanos (HHS), las entidades cubiertas (que no sean planes de salud pequeños) que tengan un contrato vigente (u otro acuerdo por escrito) con un socio comercial antes del 15 de octubre de 2002, pueden seguir operando bajo ese contrato hasta por un año adicional después de la fecha de cumplimiento del 14 de abril de 2003, siempre que el contrato no se renueve o modifique antes del 14 de abril de 2003.

Este período de transición se aplica únicamente a contratos escritos u otros acuerdos por escrito. Los contratos orales u otros acuerdos no son elegibles para el período de transición. Las entidades cubiertas con contratos que cumplan con los requisitos pueden continuar operando bajo dichos contratos con sus socios comerciales hasta el 14 de abril de 2004, o hasta que el contrato sea renovado o modificado, lo que ocurra primero, independientemente de si el contrato cumple con los requisitos contractuales aplicables de la Regla en 45 CFR 164.502(e) y 164.504(e).

¿Cuál es la diferencia entre BAA y BASA?

Un subcontratista asociado comercial es una entidad o persona a la que un socio comercial delega servicios o trabajo y con la que comparte el acceso a información de salud protegida (PHI).

Ejemplos de subcontratistas asociados comerciales son:

• Servicios Contables
• Bufetes de abogados
• Servicios de respaldo y gestión de desastres
• servicios de cifrado de correo electrónico
• Servicios de trituración 
• Proveedores de servicios en la nube

La principal diferencia entre un Acuerdo de Asociación Comercial (BAA, por sus siglas en inglés) y un Acuerdo de Subcontratación de Asociados Comerciales (BASA, por sus siglas en inglés) radica en que un BAA es un contrato entre una entidad cubierta y un Asociado Comercial, mientras que un BASA abarca la relación en un nivel inferior de la cadena. Ambos acuerdos existen porque la aplicabilidad de HIPAA se extiende a lo largo de toda la cadena de proveedores que manejan información de salud protegida (PHI), no solo a la primera relación comercial, por lo que todas las partes involucradas deben estar sujetas a un acuerdo vinculante.

Un acuerdo de subcontratación con un socio comercial garantiza que, cuando un socio comercial comparte información de salud protegida (PHI) con un subcontratista asociado comercial, se mantengan los mismos estándares con respecto a dicha información.

Requisitos del acuerdo de asociación comercial de HIPAA

Una sección de la Regla de Privacidad de HIPAA, concretamente la sección 45 CFR 164.504(e), sienta las bases de los requisitos aplicables a los acuerdos de asociación comercial. El acuerdo comienza con detalles básicos como el nombre de las partes, la fecha del acuerdo y el método de aceptación. A continuación, incluye los siguientes detalles para garantizar que se cumpla todo lo estipulado por HIPAA con respecto a un socio comercial:

Estos son los 7 requisitos del Acuerdo de Asociación Comercial (BAA) de HIPAA que debe conocer:

1. Uso y divulgación permitidos

El acuerdo especifica los fines legales para los que se puede usar, acceder o divulgar la información de salud protegida (PHI, por sus siglas en inglés) y también define cualquier uso no permitido.

2. Obligaciones contractuales

El BAA especifica las funciones y responsabilidades del socio comercial, como la implementación de medidas de seguridad adecuadas, la notificación de una infracción, la organización de la formación del personal, etc.

3. Responsabilidad y mitigación de riesgos

El acuerdo reconoce los derechos de propiedad de la información de salud protegida (PHI) que poseen las entidades cubiertas y especifica su porcentaje de responsabilidad. La responsabilidad del socio comercial en caso de una violación de seguridad se establece por separado. Ambas partes deben realizar esfuerzos comercialmente razonables para mitigar los riesgos derivados del acceso o la divulgación no autorizados.

Sprinto Le ayuda a evaluar y visualizar el verdadero impacto de los riesgos de seguridad utilizando puntos de referencia confiables de la industria. Esto le permite abordar los riesgos con confianza, priorizarlos eficazmente y gestionarlos sistemáticamente. Evite descartar riesgos prematuramente o asumir responsabilidades innecesarias con Sprinto's orientación.  

4. Cumplimiento del subcontratista

El BAA aclara que si se contrata a un subcontratista para realizar ciertas funciones que impliquen el uso o la divulgación de información de salud protegida (PHI), el socio comercial deberá celebrar contratos adicionales con el tercero para garantizar el cumplimiento por parte del subcontratista.

5 Duración y terminación

El contrato, jurídicamente vinculante, estipula la duración de la relación comercial y las condiciones para su terminación. Las cláusulas de terminación incluyen la devolución o destrucción de la información de salud protegida por parte del socio comercial.

6. Indemnización

El acuerdo escrito también describe las responsabilidades y las limitaciones de responsabilidad de ambas partes en caso de representación legal o pérdidas derivadas de la relación de asociación comercial.

7. Disposiciones varias

El acuerdo incluye cláusulas diversas al final que contienen otras disposiciones relevantes para el contexto empresarial específico, como por ejemplo, las medidas que deben adoptarse en caso de cambios en los requisitos reglamentarios.

¿Qué excepciones contempla la HIPAA a las normas de la BAA?

Existen excepciones en las que no se requiere un acuerdo escrito u oral entre una Entidad Cubierta y sus Socios Comerciales. Estas excepciones se detallan en la norma de privacidad de HIPAA.

Las excepciones son:

• Divulgaciones a un patrocinador de un plan de salud, como un empleador, por parte de un plan de salud grupal, o por el emisor de seguros de salud o HMO que proporciona los beneficios o la cobertura del seguro de salud para el plan de salud grupal, siempre que los documentos del plan de salud grupal se hayan modificado para limitar las divulgaciones o se haya cumplido con una de las excepciones en 45 CFR 164.504(f).  Fuente
• Cuando una Entidad Cubierta divulga información de salud protegida a un profesional de la salud para el tratamiento de un individuo. Por ejemplo,  Un hospital no tendrá que firmar un Acuerdo de Asociado Comercial con un médico cuando remita al paciente a un especialista para recibir atención médica y, en el proceso, comparta el historial médico del paciente.
  Asimismo, un laboratorio hospitalario está exento de tener un Acuerdo de Asociación Comercial (BAA) para el cumplimiento de la HIPAA cuando envía información confidencial del paciente a otro laboratorio hospitalario de referencia.
• Cuando la actividad de recopilación de información médica esté autorizada por ley. Por ejemplo, , recopilando datos médicos para Medicare (un programa de beneficio público)

¿Qué ocurre si la BAA o la BAAS no logran proteger la información del paciente?

“Un socio comercial es directamente responsable conforme a las normas HIPAA y está sujeto a sanciones civiles y, en algunos casos, penales por el uso y la divulgación de información de salud protegida que no estén autorizados por su contrato ni exigidos por la ley. Un socio comercial/subcontratista también es directamente responsable y está sujeto a sanciones civiles por no proteger la información de salud protegida electrónica de acuerdo con la norma de seguridad HIPAA.” 4 – Fuente

Cuando un socio comercial o un subcontratista asociado a un negocio incumple el acuerdo, infringe las leyes y regulaciones de HIPAA. Por lo tanto, está sujeto a las mismas sanciones y enfrenta las mismas consecuencias que las entidades cubiertas.

Como se mencionó anteriormente, cuando una Entidad Cubierta tenga conocimiento de casos en los que el acuerdo BAS o BAA infrinja sus términos, deberá implementar medidas para corregir la infracción. Sin embargo, si las medidas correctivas aplicadas no dan resultados satisfactorios, deberá rescindir el acuerdo de inmediato y, si es necesario, informar sobre el BA o el BAS, o ambos, a las autoridades del HHS y la OCR.

¿Desde dónde se puede descargar el acuerdo de socio comercial?

Puedes descargar un modelo de Acuerdo de Asociado Comercial desde el sitio web oficial del HHS. Aquí te dejamos el enlace. Sin embargo, requiere un poco de análisis.

Como alternativa, puede descargar aquí nuestra plantilla gratuita de Acuerdo de Asociado Comercial.

¿Es infalible el Acuerdo de Asociado Comercial??

Las organizaciones deben comprender que el Acuerdo de Asociado Comercial de HIPAA es un acuerdo legal, no un mecanismo infalible para garantizar la seguridad y la confidencialidad de la información de salud protegida (PHI). Por lo tanto, deben contar con un proceso de evaluación exhaustivo antes de incorporar a cualquier proveedor a su entorno empresarial. Además, según el nivel de acceso del proveedor a la PHI, las organizaciones deben incluir esta variable adicional en su análisis de riesgos.

Si bien esto aplica a las Entidades Cubiertas, los Socios Comerciales también deben realizar su debida diligencia. Asegúrese de compartir su postura de seguridad con las Entidades Cubiertas para generar confianza en cómo maneja la información confidencial y hable sobre las políticas y medidas de seguridad que tiene implementadas.

Los acuerdos comerciales son contratos legales y no mecanismos para garantizar que la información de salud protegida (PHI) no se utilice indebidamente. Como CE o BA, es recomendable que un servicio externo neutral evalúe a la contraparte antes de su incorporación a su entorno empresarial.

Otra buena práctica común en el sector es que los subcontratistas asociados completen cuestionarios de seguridad y presenten pruebas de las actualizaciones del sistema y las mejoras de seguridad antes de que comience el ciclo de facturación. Esto garantiza que la seguridad no se vea comprometida y que no se pase nada por alto.

Otra buena práctica es que un abogado o bufete de abogados independiente y neutral evalúe sus Acuerdos de Asociado Comercial para garantizar que el contrato sea completo y enumere las expectativas y funciones de cada parte involucrada en lo que respecta a la protección de la información de salud protegida (PHI).

Recuerden, obtener un acuerdo de asociación comercial sólido y completo es solo una parte de la solución al problema de la HIPAA. Para cumplir siempre con la HIPAA, asegúrense de realizar periódicamente análisis de brechas, evaluaciones de riesgos de la HIPAA , buscar vulnerabilidades en su negocio y capacitar a sus empleados sobre las mejores prácticas de seguridad.

Hacer todo esto sin problemas podría ser complicado, especialmente si lo haces tú mismo. 

Ahora imagina un escenario donde todas esas tareas están automatizadas y tienes visibilidad total de tu nivel de cumplimiento normativo. Cada vez que surge una vulnerabilidad, se asigna automáticamente a un miembro de tu equipo para solucionarla, y si el parche no se aplica a tiempo, se te notifica mediante una matriz de escalamiento.

Ahora los empleados pueden participar en capacitaciones de seguridad que pueden realizar desde sus puestos de trabajo, y no es necesario gastar una fortuna para obtener todo esto.

Lo que acabas de imaginar es lo que se siente al trabajar con un experto en automatización del cumplimiento como Sprinto. Trayectorias de cumplimiento con Sprinto Son pan comido. Hable con nosotros para saber cómo podemos hacer que su proceso de cumplimiento de HIPAA sea muy sencillo.

Preguntas frecuentes