Een Business Associate Agreement (BAA) is een door HIPAA vereist schriftelijk contract tussen een covered entity en een leverancier die namens haar beschermde gezondheidsinformatie (PHI) verwerkt. Het bindt die leverancier — de business associate — juridisch om de PHI te beschermen, alleen te gebruiken zoals toegestaan en datalekken te melden. Zonder ondertekende BAA is het delen van PHI met de leverancier op zichzelf al een HIPAA-overtreding.
Covered entity vs business associate
HIPAA verdeelt de wereld in twee rollen, en de BAA is het contract tussen beide:
| Covered entity | Business associate | |
|---|---|---|
| Wie | Zorgverzekeraars, clearinghouses, zorgverleners die gezondheidsgegevens elektronisch versturen | Elke leverancier die PHI aanmaakt, ontvangt, bewaart of verstuurt voor een covered entity |
| Voorbeelden | Ziekenhuizen, klinieken, verzekeraars | Cloudhosts, facturatiebedrijven, analyticsleveranciers, transcriptiediensten |
| HIPAA-verplichting | Volledige naleving van de Privacy Rule en de Security Rule | PHI beschermen conform de BAA en de toepasselijke regels |
| Heeft een BAA nodig met | Elke business associate | Elke onderaannemer die PHI aanraakt |
De keten doet ertoe: een business associate die PHI doorgeeft aan zijn eigen onderaannemer heeft ook een BAA met die onderaannemer nodig. De verplichtingen van HIPAA stromen helemaal naar beneden door.
Wat een BAA moet bevatten
HIPAA schrijft de vereiste elementen voor. Een conforme BAA legt het toegestane en vereiste gebruik van PHI vast, verplicht de business associate om passende beveiligingsmaatregelen te implementeren, verplicht hem om beveiligingsincidenten en datalekken te melden, eist dat hij zijn onderaannemers aan dezelfde bepalingen bindt, en voorziet in het teruggeven of vernietigen van PHI bij het beëindigen van het contract. Het is het instrument dat een leverancier juridisch aansprakelijk maakt voor ePHI die hij anders zonder enige HIPAA-verplichting zou verwerken.
De BAA-kloof bij websitetracking
Hier botsen BAA's met het moderne web. Een ziekenhuis kan waterdichte BAA's hebben met zijn EHR-leverancier, zijn cloudhost en zijn facturatiebedrijf — en toch blootgesteld zijn, omdat een marketingtag op zijn website patiëntgegevens verstuurt naar een leverancier die geen BAA heeft en er geen zal tekenen.
Googles standaard Analytics- en Ads-producten en de pixel van Meta worden voor dit gebruik niet onder een BAA aangeboden, en hun voorwaarden verbieden doorgaans om PHI naar hen te sturen. Dus wanneer een trackingscript op een patiëntgerichte pagina een identifier vastlegt samen met gezondheidscontext — waardoor het ePHI wordt — en die naar die platforms stuurt, is er geen overeenkomst die dat beschermt, en structureel kan die er ook niet zijn. Dit is de kern van het HIPAA-websitetrackingprobleem en de OCR-handhaving die erop volgde.
De kloof dichten
Een BAA is een juridische maatregel; hij kan geen verzending stoppen die hij nooit heeft gedekt. De kloof dichten vereist weten welke scripts op pagina's met gezondheidscontext draaien en waar ze gegevens naartoe sturen — privacymonitoring op browserniveau die een pixel die PHI naar een leverancier zonder BAA stuurt aan het licht brengt voordat het een meldplichtig datalek wordt. Teams die hier opties evalueren vergelijken vaak cside en Feroot, de twee leveranciers van client-side monitoring die zich positioneren voor compliance in de zorg.
De conclusie
Een BAA breidt de bescherming van HIPAA uit naar leveranciers die je niet controleert — maar alleen naar de leveranciers die er een tekenen. De gevaarlijke leveranciers zijn degene die PHI verwerken zonder BAA, en op zorgwebsites zijn dat meestal de advertentie- en analyticsscripts die niemand ooit als business associates heeft geclassificeerd.
