Tóm tắt
BAA là hợp đồng HIPAA giữa covered entity và business associate xử lý PHI; nội dung bắt buộc, hạn báo breach và khi nào công ty IT Việt Nam phải ký.
BAA là gì? Business Associate Agreement (BAA) là hợp đồng mà HIPAA yêu cầu giữa một covered entity (bệnh viện, phòng khám, công ty bảo hiểm y tế Mỹ) và business associate, tức bên tạo, nhận, lưu trữ hoặc truyền PHI thay cho họ. Công ty IT Việt Nam phải ký BAA khi xây, vận hành hoặc hỗ trợ hệ thống có PHI cho khách hàng đó.
BAA khác NDA như thế nào?
NDA là thỏa thuận bảo mật do hai bên tự đặt điều khoản. BAA là hợp đồng có nội dung tối thiểu do luật liên bang Mỹ quy định tại 45 CFR 164.504(e), và thiếu BAA khi xử lý PHI là vi phạm HIPAA. Một hợp đồng outsource có thể có cả NDA, điều khoản bảo mật chung và BAA riêng.
Business associate không chỉ chịu trách nhiệm theo hợp đồng. Từ quy định HITECH và Omnibus Rule, business associate chịu trách nhiệm trực tiếp với Security Rule (45 CFR 164.302) và với nghĩa vụ báo breach cho covered entity (45 CFR 164.410).
Nguồn: HHS, Business Associates
BAA phải có những nội dung gì?
Theo 45 CFR 164.504(e), mỗi BAA phải quy định tối thiểu các điểm dưới đây. Cột bên phải là những gì khách hàng Mỹ thường thêm vào hợp đồng, cần đọc kỹ trước khi ký.
| Nội dung | Luật yêu cầu tối thiểu | Điều khoản khách hàng hay thêm |
|---|---|---|
| Phạm vi dùng PHI | Chỉ dùng và tiết lộ PHI cho mục đích đã thỏa thuận hoặc luật cho phép | Liệt kê cụ thể hệ thống, môi trường, quốc gia được phép xử lý |
| Bảo vệ PHI | Áp dụng safeguard theo Security Rule cho ePHI | Yêu cầu cụ thể về mã hóa, MFA, log, kiểm tra định kỳ |
| Báo cáo breach | Báo cho covered entity không chậm trễ bất hợp lý, tối đa 60 ngày kể từ khi phát hiện (164.410) | Hạn ngắn hơn theo hợp đồng, có thể tính bằng giờ hoặc ngày; định nghĩa "sự cố" rộng hơn breach |
| Subcontractor | Ký BAA với nhà thầu phụ xử lý PHI với điều kiện tương đương | Yêu cầu thông báo hoặc xin phép trước khi dùng nhà thầu phụ mới |
| Kết thúc hợp đồng | Trả lại hoặc hủy PHI; nếu không thể, tiếp tục bảo vệ | Hạn cụ thể và biên bản xác nhận hủy |
| Quyền của HHS | Mở sổ sách cho HHS kiểm tra việc tuân thủ | Quyền audit của chính khách hàng |
Thời hạn 60 ngày là giới hạn tối đa theo luật. Hạn ngắn hơn trong BAA là nghĩa vụ hợp đồng, và bạn phải đáp ứng hạn đó nếu đã ký.
Khi nào công ty IT Việt Nam phải ký BAA?
Bạn cần BAA khi xử lý PHI theo hợp đồng với một covered entity Mỹ, hoặc với một business associate khác (khi đó bạn là nhà thầu phụ). Các tình huống hay gặp:
- Xây và vận hành EHR, telemedicine, billing có thông tin bệnh nhân.
- Hosting hoặc vận hành hạ tầng có lưu PHI, kể cả khi bạn không đọc dữ liệu.
- Phân tích dữ liệu chưa được de-identify theo chuẩn HIPAA.
- Managed IT hoặc support có quyền truy cập hệ thống chứa PHI.
Thường không cần BAA khi làm website marketing không có thông tin bệnh nhân, phần mềm không liên quan dữ liệu y tế, hoặc phân tích dữ liệu đã de-identify đúng theo 45 CFR 164.514. Cách xác định HIPAA có áp dụng cho công ty bạn không có trong bài HIPAA có áp dụng cho công ty Việt Nam không.
Quy trình ký BAA diễn ra thế nào?
Thông thường covered entity gửi mẫu BAA của họ trong giai đoạn đánh giá vendor.
- Nhận bản nháp BAA cùng hợp đồng chính hoặc bảng câu hỏi bảo mật.
- Rà soát các điều khoản trong bảng trên, nhất là hạn báo sự cố, nhà thầu phụ và bồi thường.
- Kiểm tra danh sách vendor của chính bạn có chạm vào PHI không (cloud, email, công cụ support, monitoring, cả AI coding tools) và họ có ký BAA không.
- Ký và lưu BAA cùng tài liệu HIPAA ít nhất 6 năm (164.316(b)(2)).
- Ký BAA tương ứng với mọi nhà thầu phụ xử lý PHI.
Nếu khách hàng không nhắc đến BAA mà bạn biết mình sẽ xử lý PHI, hãy chủ động hỏi.
Nhà cung cấp cloud có ký BAA không?
AWS, Google Cloud và Microsoft Azure đều cung cấp BAA cho các dịch vụ nằm trong danh sách đủ điều kiện HIPAA của họ (AWS HIPAA compliance). Không phải dịch vụ nào cũng nằm trong danh sách đó, nên phải kiểm tra từng dịch vụ trước khi đưa PHI vào.
Ký BAA với nhà cung cấp cloud không có nghĩa mọi thứ bạn chạy trên đó đều tuân thủ HIPAA. Cấu hình, phân quyền, mã hóa và log ở tầng ứng dụng vẫn là trách nhiệm của bạn. Các yêu cầu kỹ thuật cho developer có trong bài yêu cầu kỹ thuật HIPAA.
Xử lý PHI mà không có BAA thì sao?
Xử lý PHI mà không có BAA là vi phạm HIPAA. Covered entity có nghĩa vụ phải có BAA, nhưng business associate cũng chịu trách nhiệm trực tiếp với một số nghĩa vụ, như Security Rule và báo breach. Với công ty Việt Nam, rủi ro thường gặp nhất là vi phạm hợp đồng, bị đòi bồi thường và mất cơ hội với các khách hàng y tế Mỹ khác. Chi tiết rủi ro có trong bài rủi ro không tuân thủ HIPAA.
pTrackly giúp gì với BAA?
Trong phần Vendors của pTrackly, bạn đánh dấu một vendor là HIPAA business associate và ghi trạng thái BAA (chưa có, bản nháp, đã ký, hết hạn) cùng các mốc ngày; vendor là business associate được gợi ý xếp ít nhất Tier 2 khi đánh giá rủi ro. Sổ sự cố privacy chạy đồng hồ 60 ngày theo HIPAA Breach Notification Rule để bạn không bỏ lỡ hạn theo luật; hạn ngắn hơn trong hợp đồng bạn vẫn phải tự theo dõi. pTrackly không soạn, đàm phán hay ký BAA thay bạn; phần đó thuộc về bộ phận pháp lý của hai bên. Xem thêm tại pTrackly cho HIPAA.
Câu hỏi thường gặp
BAA có bắt buộc theo luật không?
Có. HIPAA yêu cầu covered entity có BAA với mọi business associate trước khi để họ xử lý PHI, và business associate phải có BAA với nhà thầu phụ xử lý PHI, theo 45 CFR 164.502(e) và 164.504(e).
Hạn báo breach trong BAA là 60 ngày hay 72 giờ?
Luật đặt giới hạn tối đa: business associate báo cho covered entity không chậm trễ bất hợp lý và không quá 60 ngày kể từ khi phát hiện (164.410). Nhiều BAA đặt hạn ngắn hơn theo hợp đồng, và khi đã ký, bạn phải đáp ứng hạn đó.
Công ty Việt Nam có bị HHS phạt không?
Business associate chịu trách nhiệm trực tiếp với một số nghĩa vụ HIPAA, nên về nguyên tắc có thể bị HHS xử lý. Trên thực tế, rủi ro trực tiếp hơn với công ty Việt Nam thường là trách nhiệm hợp đồng với khách hàng Mỹ.
Ký BAA với AWS là đủ chưa?
Chưa. BAA với AWS chỉ bao phủ trách nhiệm của AWS với các dịch vụ đủ điều kiện HIPAA. Bạn vẫn phải chọn đúng dịch vụ, cấu hình an toàn và có BAA với khách hàng của mình.
Tài liệu tham khảo:
- HHS: Business Associates
- 45 CFR 164.504(e): Business associate contracts
- 45 CFR 164.410: Notification by a business associate
- HHS: Breach Notification Rule
- AWS: HIPAA compliance
