BAA (business associate agreement)

Qu'est-ce qu'un business associate agreement (BAA) ?

Un business associate agreement, ou BAA, est un contrat écrit exigé par HIPAA entre une covered entity, comme un laboratoire, et un business associate, c'est-à-dire un fournisseur qui crée, reçoit, stocke ou transmet des informations de santé protégées (PHI) pour son compte.

Les éditeurs de logiciels, les hébergeurs cloud et les prestataires de facturation et d'e-mail qui traitent des PHI sont des exemples courants de business associates.

Ce que couvre habituellement un BAA

• Comment le fournisseur peut utiliser et partager les PHI, et rien au-delà.
• Les garanties que le fournisseur doit maintenir.
• Le signalement des violations et des incidents de sécurité à la covered entity.
• L'engagement des propres sous-traitants du fournisseur à respecter les mêmes conditions.
• La restitution ou la destruction des PHI à la fin du contrat.

Un BAA ne rend pas à lui seul un fournisseur conforme, mais recourir sans BAA à un fournisseur qui traite des PHI est un problème HIPAA courant.

Ceci est un résumé en langage clair à titre d'information générale, et non un avis juridique. Vérifiez les règles en vigueur auprès d'un conseiller qualifié pour votre laboratoire.

Comment Lab Desk le gère

Lab Desk signe un BAA avec chaque laboratoire américain et a conclu des BAA avec les sous-traitants ultérieurs qui traitent des données de patients. Voir HIPAA chez Lab Desk.

Termes associés

• HIPAA : la loi américaine qui fixe des règles nationales pour protéger la confidentialité et la sécurité des informations de santé.
• PHI (informations de santé protégées) : les informations de santé permettant d'identifier une personne, détenues ou partagées par une covered entity HIPAA ou son business associate.
• RGPD britannique (UK GDPR) : la principale loi britannique sur la protection des données, qui fixe les règles de traitement des données personnelles, y compris les données de santé.