hipaa-baa-management

HIPAA 业务伙伴协议管理 — §164.502(e)、§164.504(e)

概述

HIPAA 隐私规则和安全规则要求受监管实体从业务伙伴处取得令人满意的保证，确保其会妥善保护 PHI。这些保证通过业务伙伴协议（BAA）予以记录。2009 年《HITECH 法案》和 2013 年《综合规则》从根本上改变了业务伙伴格局：业务伙伴须直接对遵守 HIPAA 安全规则及部分隐私规则条款承担责任，并且 BAA 链条延伸至分包商。BAA 不只是合同手续，而是一项监管要求；在规定情况下未签订 BAA 本身就是 HIPAA 违规行为，可能受到执法处罚。

谁属于业务伙伴 — §160.103

定义

业务伙伴是指符合以下任一条件的个人或实体：

1. 代表受监管实体或另一业务伙伴，为 HIPAA 行政简化规则所监管的职能或活动创建、接收、维护或传输 PHI，包括理赔处理、数据分析、利用审查、质量保证、账单处理、福利管理、诊所管理和重新定价；或
2. 向受监管实体提供法律、精算、会计、咨询、数据汇总、管理、行政、认证或金融服务，且提供服务涉及披露 PHI

不属于业务伙伴的对象

实体	不属于业务伙伴的原因	参考依据
受监管实体的工作人员	在其直接控制下的员工、志愿者、实习人员属于工作人员，而非业务伙伴	§160.103 中的工作人员定义
为治疗目的交换 PHI 的另一受监管实体	受监管实体之间为治疗目的披露信息不会形成业务伙伴关系	§164.502(e)(1)(i)
仅接收汇总健康信息或参保／退保信息的健康计划发起方	计划发起方有限职能的豁免	§164.504(f)
仅转运 PHI、且访问范围不超出传输所需内容的中介机构	邮政服务、互联网服务提供商、短暂接触 PHI 的快递公司	OCR 关于中介机构例外的指南
处理仅含最低限度必要人口统计信息的金融交易的银行机构	支付处理例外	OCR 关于金融机构的常见问题
职能不涉及使用或披露 PHI 的个人或实体	保洁服务、管道服务、电气承包商	§160.103

Asclepius Health Network 的常见业务伙伴类别

业务伙伴类别	示例	PHI 访问级别
EHR／IT 供应商	Epic 托管、云基础设施（Azure）	可全面访问 ePHI — 存储、维护、支持
收入周期管理	第三方账单公司、催收机构	人口统计信息、保险信息、诊断／操作代码、服务日期
转录服务	医疗转录供应商	口述的临床记录、患者标识信息
法律／会计	医疗法律事务所、外部审计人员	诉讼涉及的 PHI、审计抽样数据
数据分析	人群健康分析供应商	去标识化或有限数据集；若代表 CE 执行分析，则可访问完整 PHI
健康信息交换	区域 HIE 运营方	ADT、CCD 文档、化验结果
碎纸／销毁	文件销毁供应商	销毁过程中含 PHI 的纸质记录
认证	Joint Commission 调查员	调查期间查阅的病历中的 PHI
咨询	隐私／安全顾问、合规公司	评估期间访问的 PHI
云服务	电子邮件托管、云存储、SaaS 平台	存储或处理于云环境中的 ePHI

BAA 必备条款 — §164.504(e)(2)

强制性合同条款

BAA 必须包含以下条款：

1. 允许和要求的使用及披露

BAA 必须明确业务伙伴对 PHI 的允许和要求使用及披露情形。除 BAA 允许或要求的情形，或法律要求的情形外，BA 不得使用或披露 PHI。

Asclepius Health Network BAA 条款：“业务伙伴不得使用或披露受保护健康信息，但本协议允许或要求的情形、法律要求的情形，或 45 CFR §164.504(e) 另行允许的情形除外。”

2. 禁止未经授权的使用或披露

BAA 不得授权 BA 以受保护实体使用或披露 PHI 时会违反《隐私规则》的方式使用或披露 PHI。

例外：BAA 可以允许 BA 将 PHI 用于：

• BA 的适当管理和行政管理
• 履行其法律责任
• 数据汇总服务（如经明确授权）

3. 适当的保障措施

BA 必须采取适当的保障措施并遵守《安全规则》，以防止未经授权的使用或披露。

Asclepius Health Network BAA 条款：“业务伙伴应依照 45 CFR Part 164, Subpart C，实施行政、物理和技术保障措施，合理且适当地保护其代表受保护实体创建、接收、维护或传输的电子受保护健康信息的机密性、完整性和可用性。”

4. 违规报告

BA 必须向受保护实体报告 BAA 未规定的任何 PHI 使用或披露，包括按照 §164.410 的要求报告未加密 PHI 的违规事件。

Asclepius Health Network BAA 条款：“业务伙伴应向受保护实体报告其知悉的、本协议未规定的任何受保护健康信息使用或披露，包括按照 45 CFR §164.410 的要求报告任何未加密受保护健康信息违规事件。报告应无不合理延迟，且在任何情况下不得晚于发现违规事件后的五（5）个工作日。”

5. 分包商要求

BA 必须确保任何代表 BA 创建、接收、维护或传输 PHI 的分包商同意遵守适用于 BA 的相同限制和条件，包括与分包商签订 BAA。

6. 访问权

BA 必须向受保护实体（或在 BAA 中指定时，直接向个人）提供 PHI，以满足个人根据 §164.524 享有的访问权。

Asclepius Health Network BAA 条款：“业务伙伴应在收到请求后的十五（15）个工作日内，向受保护实体提供指定记录集中的受保护健康信息，或根据受保护实体的指示直接向个人提供该信息，以满足受保护实体根据 45 CFR §164.524 承担的义务。”

7. 修订权

BA 必须提供 PHI 以供修订，并按照受保护实体根据 §164.526 作出的指示纳入修订内容。

8. 披露记录

BA 必须提供根据 §164.528 编制披露记录所需的信息。

9. HHS 访问权

BA 必须向 HHS 提供与 PHI 使用和披露相关的内部做法、账簿和记录，以供其确定合规情况。

10. 返还或销毁 PHI

BAA 终止时，BA 必须返还或销毁从受保护实体收到或代表受保护实体创建的所有 PHI。如果无法返还或销毁，BA 必须在其持有 PHI 的整个期间延续 BAA 的保护措施。

Asclepius Health Network BAA 生命周期管理

阶段	活动	责任方	时间安排
识别	通过 PHI 访问评估问卷，确定供应商关系是否需要签署 BAA	隐私办公室 + 采购部	合同签署前
风险评估	通过问卷、SOC 2 审查和安全评估，评估供应商的安全状况	信息安全部门	15-30 个工作日
谈判	使用 Asclepius 标准模板签署 BAA；经法律审查后协商偏离条款	法务 + 隐私办公室	与主服务协议同步进行
签署	由获授权的签署人签署最终版 BAA；在 BAA 跟踪系统中登记	法务 + 合规部门	开始访问 PHI 前
监控	每年开展安全评估问卷调查；审查 SOC 2 报告；跟踪事件	信息安全部门 + 隐私部门	每年一次，并在触发事件发生时进行
续签/修订	在主协议续签时审查 BAA；根据法规变更进行更新	法务 + 隐私办公室	MSA 续签时或法规变更时
终止	验证 PHI 已返还/销毁；获取销毁证明；更新 BAA 跟踪系统	隐私办公室 + IT	终止后 60 天内

业务伙伴与分包商的义务

HITECH/全包规则下的直接责任

自 2013 年全包规则颁布以来，业务伙伴直接承担以下责任：

义务	BA 直接承担责任	分包商直接承担责任
遵守安全规则（所有标准）	是 — §164.306、308、310、312、314、316	是 — 通过 BA-分包商 BAA
隐私规则下不允许的使用/披露	是 — §164.502(a)(3)	是 — 通过 BA-分包商 BAA
向受保实体报告违规事件	是 — §164.410	是 — 通知 BA，由 BA 通知 CE
最低必要标准	是 — §164.502(b)	是 — 通过 BAA 链
个人权利（访问、更正、披露记录）	是 — 按委托范围承担	是 — 按 BAA 链中的委托范围承担
民事和刑事处罚	是 — OCR 可直接执行	是 — OCR 可直接执行

分包商 BAA 链

Covered Entity
  └── BAA → Business Associate
                └── BAA → Subcontractor (Level 1)
                              └── BAA → Subcontractor (Level 2)
                                            └── ...continues downstream

链中的每个环节都必须签署 BAA。Asclepius Health Network 要求主要 BA：

1. 维护可访问 PHI 的分包商名册
2. 根据要求向 Asclepius 提供该名册
3. 确保分包商 BAA 中的条款限制性不低于主要 BAA
4. 通过主要 BA 报告分包商的违规事件

违规事件链式通知流程

分包商发生违规事件时：

1. 分包商 发现违规事件 → 在分包商 BAA 规定的时限内通知 BA（Asclepius 标准：24 小时）
2. 业务伙伴 核实并记录 → 在 BAA 规定的时限内通知受保实体（Asclepius 标准：BA 发现违规事件后 5 个工作日内）
3. 受保实体 开展四因素风险评估 → 确定是否需要向个人/HHS/媒体/AG 发出违规事件通知
4. 受保实体 履行通知义务（或根据 BAA 委托 BA 履行）

终止补救措施 — §164.504(e)(2)(iii)

实质性违约

如果受保护实体得知业务伙伴存在构成对 BAA 的实质性违约或违规的活动或做法模式，则：

1. 补救：给予业务伙伴补救违约或终止违规行为的机会
2. 终止：如果未能成功补救，在可行的情况下终止合同
3. 向 HHS 报告：如果无法终止，则向 HHS OCR 报告问题

Asclepius Health Network 终止流程：

• 以书面形式通知实质性违约，并给予 30 天补救期
• 如果未能在 30 天内补救，则发出终止通知，并设置 60 天的收尾期
• 收尾期间：将 PHI 访问限制在过渡所需的最低限度
• 终止时：业务伙伴必须在终止后 30 天内返还所有 PHI，或认证已将其销毁
• 如果无法返还或销毁，业务伙伴必须提供书面证明，确认会继续保护 PHI

PHI 返还／销毁核验

Asclepius Health Network 要求：

• 业务伙伴须在终止后 30 天内提供 PHI 销毁书面证明
• 电子介质的销毁必须符合 NIST SP 800-88 Rev. 1
• 纸质记录须通过交叉切割碎纸或焚烧销毁
• Asclepius 保留审核销毁合规情况的权利

常见 BAA 缺陷

缺陷	风险	缓解措施
与符合条件的供应商关系未签订 BAA	直接违反 HIPAA；缺少合同保护时，CE 须对业务伙伴的行为负责	采购前评估 PHI；签署 BAA 前不得访问 PHI
BAA 未包含违规通知条款	CE 可能无法及时获知违规情况；错过通知期限	使用包含强制违规报告要求的标准模板，报告时限为 5 天内
BAA 允许业务伙伴将 PHI 用于自身目的（营销、分析）	不允许使用 PHI；可能构成出售 PHI 违规	限制业务伙伴仅为 CE 提供服务而使用 PHI；禁止独立使用
未要求将条款传递给分包商	下游实体处理 PHI，却不承担 HIPAA 义务	要求业务伙伴约束分包商遵守同等的 BAA 条款
未规定 PHI 的返还／销毁条款	前业务伙伴在缺少保护措施的情况下无限期保留 PHI	强制要求返还／销毁条款并提供证明
BAA 过时，未根据综合规则更新	缺少必需条款（分包商、违规通知、承认直接责任）	定期审查 BAA，并与 MSA 续签同步

执法行动

• North Memorial Health Care（2016 年）：罚款 155 万美元——未与可访问 289,904 人 ePHI 的主要承包商签订 BAA；未开展全组织风险分析
• Care New England Health System（2019 年）：罚款 40 万美元——未与发生违规事件的业务伙伴签订 BAA；披露 PHI 时，BAA 尚在协商中且未签署
• UMMC（University of Mississippi Medical Center）（2016 年）：罚款 275 万美元——存在多项安全规则违规，包括未能妥善管理业务伙伴关系

集成点

• hipaa-privacy-rule：BAA 要求源自隐私规则 §164.502(e)；业务伙伴的允许用途与隐私规则条款一致
• hipaa-security-rule：业务伙伴必须独立遵守安全规则；BAA 必须要求采取适当的保护措施
• hipaa-breach-notify：BAA 中的违规通知链路是 CE 及时通知以及向个人发出通知的关键路径
• hipaa-minimum-necessary：业务伙伴的披露必须符合最低必要标准