hipaa-baa-management

HIPAA 業務提携者契約（BAA）の管理 — §164.502(e)、§164.504(e)

概要

HIPAA のプライバシー規則およびセキュリティ規則では、対象事業体に対し、業務提携者が PHI を適切に保護することについて、十分な保証を得るよう求めています。こうした保証は、業務提携者契約（BAA）を通じて文書化されます。2009 年の HITECH 法および 2013 年の包括規則により、業務提携者が HIPAA セキュリティ規則への準拠およびプライバシー規則の特定の条項について直接責任を負うようになり、BAA の連鎖が再委託先にまで拡大するなど、業務提携者を取り巻く状況は根本的に変わりました。BAA は単なる契約上の形式ではありません。規制上の要件であり、必要な場合に BAA を締結しないこと自体が、執行の対象となる HIPAA 違反です。

業務提携者とは — §160.103

定義

業務提携者とは、次のいずれかに該当する個人または事業体です。

1. 対象事業体または別の業務提携者に代わって、HIPAA の行政簡素化規則の対象となる機能または活動に関して PHI を作成、受領、維持、または送信する者。これには、請求処理、データ分析、利用審査、品質保証、請求、給付管理、診療管理、価格再設定などが含まれます。または
2. サービスの提供に PHI の開示が伴う場合に、対象事業体に対して、または対象事業体のために、法律、保険数理、会計、コンサルティング、データ集約、管理、事務、認定、または金融サービスを提供する者

業務提携者に該当しない者

事業体	業務提携者に該当しない理由	参照先
対象事業体の職員	直接の管理下にある従業員、ボランティア、研修生は職員であり、業務提携者ではありません	職員の定義 §160.103
治療目的で PHI を交換する別の対象事業体	対象事業体間で治療目的の開示を行っても、業務提携者関係は成立しません	§164.502(e)(1)(i)
要約健康情報または加入・脱退情報のみを受領する医療プランのスポンサー	プランスポンサーの限定的な機能に対する適用除外です	§164.504(f)
PHI を輸送するだけで、輸送に必要な範囲を超えてアクセスしない媒介事業者	郵便事業者、インターネットサービスプロバイダー、一時的にアクセスする宅配業者	媒介事業者の例外に関する OCR のガイダンス
必要最小限の人口統計情報のみを含む金融取引を処理する銀行機関	決済処理に関する例外です	金融機関に関する OCR の FAQ
業務に PHI の使用または開示が伴わない個人または事業体	清掃サービス、配管業者、電気工事業者	§160.103

Asclepius Health Network における一般的な業務提携者のカテゴリー

業務提携者のカテゴリー	例	PHI へのアクセスレベル
EHR／IT ベンダー	Epic のホスティング、クラウドインフラストラクチャ（Azure）	ePHI への完全なアクセス — 保管、保守、サポート
レベニューサイクル管理	第三者の請求会社、債権回収機関	人口統計情報、保険情報、診断・処置コード、サービス提供日
文字起こしサービス	医療文字起こしベンダー	口述された臨床記録、患者識別情報
法務／会計	医療法法律事務所、外部監査人	訴訟に関係する PHI、監査用サンプル
データ分析	集団医療分析ベンダー	匿名化済みまたは限定データセット。対象事業体に代わって分析を行う場合は、完全な PHI
医療情報交換	地域 HIE 運営者	ADT、CCD 文書、検査結果
シュレッダー処理／廃棄	文書廃棄ベンダー	廃棄中の PHI を含む紙の記録
認定	Joint Commission の調査員	調査中に確認する医療記録内の PHI
コンサルティング	プライバシー／セキュリティコンサルタント、コンプライアンス企業	評価中にアクセスする PHI
クラウドサービス	メールホスティング、クラウドストレージ、SaaS プラットフォーム	クラウド環境に保管または処理される ePHI

必須の BAA 条項 — §164.504(e)(2)

必須契約条項

BAA には、以下の条項を含める必要があります。

1. 許可および義務付けられる使用・開示

BAA では、ビジネスアソシエイトによる PHI の許可および義務付けられる使用・開示を定める必要があります。BA は、BAA で許可または義務付けられている場合、あるいは法律で義務付けられている場合を除き、PHI を使用または開示してはなりません。

Asclepius Health Network の BAA 文言：「ビジネスアソシエイトは、本契約で許可または義務付けられている場合、法律で義務付けられている場合、または 45 CFR §164.504(e) により別途許可されている場合を除き、保護対象保健情報を使用または開示してはなりません。」

2. 許可されていない使用または開示の禁止

BAA では、対象事業体が行った場合にプライバシールールに違反するような方法で、BA が PHI を使用または開示することを許可してはなりません。

例外：BAA では、BA が以下の目的で PHI を使用することを許可できます。

• BA の適切な管理および運営
• BA の法的責任の履行
• データ集計サービス（明示的に許可されている場合）

3. 適切な保護措置

BA は、適切な保護措置を講じ、不正な使用または開示を防ぐためにセキュリティルールを遵守する必要があります。

Asclepius Health Network の BAA 文言：「ビジネスアソシエイトは、対象事業体に代わって作成、受領、維持、または送信する ePHI の機密性、完全性、および可用性を合理的かつ適切に保護するため、45 CFR Part 164, Subpart C に従って、管理的、物理的、および技術的な保護措置を講じるものとします。」

4. 漏えいの報告

BA は、BAA で定められていない PHI の使用または開示について、§164.410 で義務付けられている、セキュリティ対策が施されていない PHI の漏えいを含め、対象事業体に報告する必要があります。

Asclepius Health Network の BAA 文言：「ビジネスアソシエイトは、本契約で定められていない保護対象保健情報の使用または開示を認識した場合、45 CFR §164.410 で義務付けられているセキュリティ対策が施されていない保護対象保健情報の漏えいを含め、不合理な遅延なく、かつ、いかなる場合も漏えいの発見から 5 営業日以内に、対象事業体に報告するものとします。」

5. 再委託先に関する要件

BA は、BA に代わって PHI を作成、受領、維持、または送信する再委託先が、BA に適用されるのと同じ制限および条件に同意するよう徹底する必要があります。これには、再委託先との BAA 締結が含まれます。

6. アクセス権

BA は、§164.524 に基づく個人のアクセス権を満たすため、対象事業体（または BAA で指定されている場合は個人）に PHI を提供できるようにする必要があります。

Asclepius Health Network の BAA 文言：「ビジネスアソシエイトは、対象事業体の §164.524 に基づく義務を満たすため、請求から 15 営業日以内に、指定記録セット内の保護対象保健情報を対象事業体に、または対象事業体の指示により個人に直接、提供できるようにするものとします。」

7. 修正権

BA は、§164.526 に基づき、対象事業体の指示に従って PHI を修正できるようにし、修正を反映する必要があります。

8. 開示記録の提供

BA は、§164.528 に基づく開示記録の提供に必要な情報を利用可能にする必要があります。

9. HHS によるアクセス

BA は、コンプライアンスを判断するため、PHI の使用および開示に関する内部慣行、帳簿、および記録を HHS が利用できるようにする必要があります。

10. PHI の返却または破棄

BAA の終了時に、BA は対象事業体から受領した、または対象事業体に代わって作成したすべての PHI を返却または破棄する必要があります。返却または破棄が現実的でない場合、BA は PHI を保持する期間、BAA による保護を継続する必要があります。

Asclepius Health Network の BAA ライフサイクル管理

フェーズ	活動	責任者	期間
特定	PHI へのアクセス評価アンケートを通じて、ベンダーとの関係に BAA が必要かどうかを判断します	プライバシーオフィス + 調達部門	契約締結前
リスク評価	アンケート、SOC 2 レビュー、セキュリティ評価を通じて、ベンダーのセキュリティ態勢を評価します	情報セキュリティ部門	15～30 営業日
交渉	Asclepius の標準テンプレートを使用して BAA を締結します。変更箇所については法務レビューを経て交渉します	法務部門 + プライバシーオフィス	マスターサービス契約と並行
締結	権限を持つ署名者が最終版 BAA に署名し、BAA 追跡システムに記録します	法務部門 + コンプライアンス部門	PHI へのアクセス開始前
監視	年次セキュリティ評価アンケート、SOC 2 レポートのレビュー、インシデントの追跡を行います	情報セキュリティ部門 + プライバシー部門	毎年およびトリガーとなる事象の発生時
更新／修正	マスター契約の更新時に BAA を見直し、規制の変更に合わせて更新します	法務部門 + プライバシーオフィス	MSA の更新時または規制の変更時
終了	PHI の返却／破棄を確認し、破棄証明書を取得して、BAA 追跡システムを更新します	プライバシーオフィス + IT	契約終了から 60 日以内

ビジネスアソシエイトと下請け業者の義務

HITECH／Omnibus Rule に基づく直接責任

2013 年の Omnibus Rule 以降、ビジネスアソシエイトは次の事項について直接責任を負います。

義務	BA の直接責任	下請け業者の直接責任
セキュリティルールの遵守（すべての基準）	はい — §164.306、308、310、312、314、316	はい — BA と下請け業者間の BAA を通じて
プライバシールールに基づく許可されない使用／開示	はい — §164.502(a)(3)	はい — BA と下請け業者間の BAA を通じて
対象事業体への侵害通知	はい — §164.410	はい — BA に通知し、BA が CE に通知
必要最小限の基準	はい — §164.502(b)	はい — BAA の連鎖を通じて
個人の権利（アクセス、修正、記録の確認）	はい — 委任された範囲で	はい — BAA の連鎖で委任された範囲で
民事罰および刑事罰	はい — OCR による直接執行の対象	はい — OCR による直接執行の対象

下請け業者の BAA 連鎖

Covered Entity
  └── BAA → Business Associate
                └── BAA → Subcontractor (Level 1)
                              └── BAA → Subcontractor (Level 2)
                                            └── ...continues downstream

連鎖内の各当事者は BAA を締結している必要があります。Asclepius Health Network は、主要な BA に次の対応を求めています。

1. PHI へのアクセス権を持つ下請け業者の登録簿を維持する
2. 要請に応じて、登録簿を Asclepius に提供する
3. 下請け業者の BAA に、主要な BAA と同等以上に厳格な条項が含まれるようにする
4. 下請け業者で発生した侵害を、主要な BA を通じて報告する

侵害発生時の連鎖通知フロー

下請け業者で侵害が発生した場合：

1. 下請け業者が侵害を発見 → サブ BAA で定められた期間内（Asclepius の標準：24 時間）に BA へ通知します
2. ビジネスアソシエイトが検証して記録 → BAA で定められた期間内（Asclepius の標準：BA の発見から 5 営業日以内）に対象事業体へ通知します
3. 対象事業体が 4 要素のリスク評価を実施 → 個人／HHS／メディア／AG への侵害通知が必要かどうかを判断します
4. 対象事業体が通知義務を果たします（または BAA に基づき BA に委任します）

終了時の救済措置 — §164.504(e)(2)(iii)

重大な違反

対象事業体が、BAによる活動または業務慣行が重大な違反もしくはBAA違反に該当するパターンを把握した場合：

1. 是正：BAに違反を是正する、または違反行為を終了する機会を与えます
2. 契約解除：是正が成功しない場合、可能であれば契約を解除します
3. HHSへの報告：契約解除が可能でない場合、問題をHHS OCRに報告します

Asclepius Health Networkの契約解除プロセス：

• 重大な違反について書面で通知し、30日間の是正期間を設けます
• 30日以内に是正されない場合、60日間の終了移行期間を設ける契約解除通知を送付します
• 終了移行期間中：PHIへのアクセスは、移行に必要な最小限に制限されます
• 契約解除時：BAは契約解除後30日以内に、すべてのPHIを返却するか、破棄したことを証明しなければなりません
• 返却または破棄が実行不可能な場合、BAは継続的な保護について書面で証明しなければなりません

PHIの返却／破棄の確認

Asclepius Health Networkは、次のことを義務付けています：

• BAは契約解除後30日以内に、PHIを破棄したことを書面で証明します
• 電子媒体の破棄はNIST SP 800-88 Rev. 1に準拠しなければなりません
• 紙の記録はクロスカットシュレッダーまたは焼却で破棄します
• Asclepiusは、破棄への準拠状況を監査する権利を留保します

BAAでよく見られる不備

不備	リスク	軽減策
該当するベンダーとの関係についてBAAが締結されていない	HIPAAへの直接的な違反。契約上の保護がないままCEがBAの行為に対する責任を負います	調達前にPHIの評価を実施します。BAA締結前のPHIへのアクセスを禁止します
BAAに違反通知条項が含まれていない	CEが違反を適時に把握できず、通知期限を逃すおそれがあります	5日以内の違反報告を必須とする標準テンプレートを使用します
BAAでBA自身の目的（マーケティング、分析）のためのPHIの使用が認められている	PHIの許可されない使用、およびPHIの販売に関する違反のおそれがあります	BAによる使用をCEのために提供するサービスに限定し、独自の使用を禁止します
下請業者への義務の引き継ぎ要件がない	下流の事業体がHIPAA上の義務を負わずにPHIを取り扱います	BAに対し、下請業者を同等のBAA条項で拘束するよう求めます
PHIの返却／破棄に関する契約解除条項がない	元BAが安全対策のないままPHIを無期限に保持します	証明を義務付ける、PHIの返却／破棄に関する条項を設けます
Omnibus Ruleに合わせてBAAが更新されていない	必須条項（下請業者、違反通知、直接責任の承認）が欠落しています	MSA更新に合わせて定期的にBAAを見直します

執行措置

• North Memorial Health Care（2016年）：155万ドル — ePHIにアクセスできる主要な請負業者とのBAAを締結せず、289,904人分の情報が対象となりました。また、組織全体のリスク分析も実施していませんでした
• Care New England Health System（2019年）：40万ドル — 違反が発生したBAとのBAAを締結していませんでした。PHIが開示された時点でBAAは交渉中でしたが、未署名でした
• UMMC（University of Mississippi Medical Center）（2016年）：275万ドル — BAとの関係の適切な管理を怠ったことを含む、複数のSecurity Rule違反がありました

統合ポイント

• hipaa-privacy-rule：BAAの要件はPrivacy Rule §164.502(e)に由来します。BAに許可される使用はPrivacy Ruleの規定に準じます
• hipaa-security-rule：BAはSecurity Ruleを独立して遵守しなければなりません。BAAでは適切な安全対策を義務付ける必要があります
• hipaa-breach-notify：BAAに基づく違反通知の連携は、CEへの適時の通知および個人への通知に不可欠な経路です
• hipaa-minimum-necessary：BAによる開示は、最小限必要な基準に準拠しなければなりません