Acuerdos de socio comercial de HIPAA (BAA): cuándo se necesitan y qué deben decir

¿Qué es un contrato BAA según HIPAA?

Un consultorio solo puede dejar que un socio comercial cree, reciba, mantenga o transmita información de salud protegida (PHI) por cuenta suya si obtiene una garantía satisfactoria de que la va a proteger, documentada en un contrato u otro acuerdo por escrito que cumpla el 45 CFR 164.504(e) (164.502(e); para la PHI electrónica, 164.308(b) y 164.314(a)). Ese documento es el BAA.

El suplidor responde dos veces: por el contrato y directamente por HIPAA, que hace responder a los socios comerciales ante la OCR por diez obligaciones, entre ellas cumplir la Regla de Seguridad, avisarle a usted de una violación de datos, usar solo el mínimo necesario y firmar BAA con sus propios subcontratistas. Muchos se quedan cortos: en las auditorías de la OCR de 2016–2017, solo el 17 % de 41 socios comerciales cumplía en lo sustancial con su análisis de riesgos, y el 88 % no había implementado un manejo de riesgos apropiado (90 FR 915).

¿Quién es socio comercial según HIPAA?

Cualquier persona o empresa ajena a su personal que cree, reciba, mantenga o transmita PHI para una función suya (procesamiento de reclamaciones, facturación, administración del consultorio, análisis de datos, control de calidad, revisión de utilización), o que le preste servicios legales, actuariales, contables, de consultoría, de agregación de datos, de gestión, administrativos, de acreditación o financieros que involucren su PHI (45 CFR 160.103). Los subcontratistas de un socio comercial también cuentan, y una entidad cubierta puede ser socio comercial de otra. Si se trata de consultores, vea cuándo un consultor se convierte en su socio comercial.

Fuentes: 45 CFR 160.103; HHS-OCR, Business Associates y Guidance on HIPAA & Cloud Computing; 42 CFR 2.11.

Si un suplidor en particular cumple o no la definición es algo que debe consultar con su abogado.

¿Necesitan un BAA de HIPAA la nube cifrada o un simple conducto?

“No tener una clave de cifrado no exime a un proveedor de servicios en la nube de la condición de socio comercial ni de sus obligaciones según las reglas de HIPAA.”

El HHS llama al almacenamiento cifrado sin la clave un servicio “no-view”. La excepción del conducto no lo cubre: abarca solo la transmisión, como el correo postal, ciertas mensajerías y sus equivalentes electrónicos, con un almacenamiento apenas temporal, y quien accede a la PHI con regularidad para prestar un servicio no es un conducto. Los servidores fuera de Estados Unidos se permiten con un BAA, pero la OCR dice que hay que sopesar esos riesgos adicionales en su análisis de riesgos. La misma prueba aplica a las herramientas de rastreo del sitio web: si un proveedor de rastreo que cumple la definición no firma un BAA, no se le puede enviar PHI sin la autorización de los pacientes (cumplimiento en marketing).

¿Qué debe incluir un acuerdo de socio comercial de HIPAA?

El HHS numera diez requisitos (45 CFR 164.504(e)(2)). El contrato debe:

1. fijar los usos y divulgaciones de PHI que se le permiten y exigen al suplidor;
2. prohibir cualquier otro uso o divulgación, salvo lo que exija la ley;
3. exigir medidas de seguridad apropiadas y el cumplimiento de la Regla de Seguridad para la PHI electrónica;
4. exigir que reporte cualquier uso o divulgación que el contrato no permita, incluidas las violaciones de PHI no asegurada;
5. poner la PHI a disposición para las solicitudes de acceso, enmienda e informe de divulgaciones de los pacientes;
6. exigir que cumpla la Regla de Privacidad en cualquier obligación suya que el suplidor lleve a cabo;
7. abrir al HHS los libros y registros del suplidor sobre su PHI;
8. exigir que devuelva o destruya la PHI al terminar, si es posible, o que siga protegiendo lo que no se pueda devolver;
9. obligar a los subcontratistas a las mismas restricciones y condiciones;
10. permitirle a usted terminar el contrato si el suplidor incumple un término esencial.

La Regla de Seguridad agrega uno más: el suplidor reporta cualquier incidente de seguridad del que se entere (164.314(a)(2)(i)(C)). Las cláusulas de muestra del HHS (25 de enero de 2013) señalan entre corchetes lo que las partes pueden agregar:

• un plazo más corto para reportar una posible violación de datos;
• si el suplidor envía por usted los avisos de la violación a los pacientes, a la OCR y a los medios;
• cómo responde a las solicitudes de acceso, enmienda e informe de divulgaciones que le lleguen directamente;
• términos de desidentificación y de mínimo necesario;
• un plazo para corregir antes de terminar el contrato;
• la devolución, destrucción o entrega de la PHI a otro suplidor al final.

Las organizaciones de servicios de un programa de Part 2 agregan un acuerdo de organización de servicios calificada (QSO), en el que quedan plenamente obligadas por Part 2 (42 CFR 2.11; reglas de consentimiento de Part 2).

Propuesta, todavía no es ley. La propuesta de la Regla de Seguridad que el HHS publicó en enero de 2025 le exigiría obtener de cada socio comercial, por lo menos una vez cada 12 meses, una verificación por escrito de que tiene implementadas las medidas técnicas exigidas, y que el BAA lo obligue a reportar en 24 horas la activación de su plan de contingencia. La agenda federal apunta a julio de 2027.

¿Los subcontratistas también necesitan uno? Cumplimiento de HIPAA para socios comerciales

Sí, con su suplidor y no con usted. Un socio comercial debe firmar un BAA con su subcontratista antes de revelarle PHI, con las mismas restricciones y condiciones, y usted no tiene que obtener garantías de los subcontratistas de su suplidor (164.502(e)(1); 164.308(b)(1)).

Cada eslabón tiene la misma obligación. El consultorio que sabe de un patrón de actividad o práctica que constituye un incumplimiento esencial de su suplidor debe tomar medidas razonables para corregirlo y, si no funcionan, terminar el contrato si es posible; el suplidor debe hacer lo mismo con sus subcontratistas (164.504(e)(1)(ii)–(iii)). Un consultorio también puede responder, según el derecho común federal sobre la representación (agency), por un socio comercial que actúe como su representante (45 CFR 160.402(c)); si un suplidor es su representante es una pregunta para su abogado.

¿Qué pasa si su socio comercial sufre una violación de datos? Los 60 días de HIPAA y los 10 de Florida

• HIPAA: el suplidor le avisa sin demora injustificada y a más tardar 60 días calendario después de descubrirla, identifica en lo posible a cada paciente afectado y le envía lo que necesitan sus cartas a los pacientes, en ese momento o según lo vaya teniendo (164.410). El HHS dice que no debe retrasar el primer aviso para reunir esos datos.
• Quién avisa a los pacientes: el BAA puede encargarle al suplidor los avisos a los pacientes, al HHS y a los medios, pero el HHS dice que la entidad cubierta es, en última instancia, la responsable de que esos avisos se den.
• Florida: un “third-party agent” (un suplidor contratado para mantener, guardar o procesar información personal, incluidos el historial médico y los números de seguro médico) debe avisarle a más tardar 10 días después de determinar la violación, con toda la información que necesitan sus avisos. Si envía los avisos por usted y falla, esa falla cuenta como infracción suya, y el estado también puede actuar contra el suplidor por práctica comercial desleal o engañosa (s. 501.171(1), (6), (9)(a), F.S.). Cuál de los dos plazos rige el aviso de un suplidor es una pregunta para su abogado.
• Cuando sale mal: entre los hallazgos de la OCR contra una empresa de software de comunicación con pacientes estuvo no avisar a las entidades cubiertas afectadas por su violación de datos de diciembre de 2020; su acuerdo del 5 de marzo de 2026 le costó $10,000 y un plan de acción correctiva de 3 años.

¿Qué pasa si no hay BAA? Casos de HIPAA

Los suplidores también pagan sus propios acuerdos: una empresa de facturación de ambulancias y alojamiento de expedientes ($75,000, 585,621 personas, 30 de mayo de 2025) y un administrador de beneficios ($225,000, 136,539 personas, 23 de abril de 2026), los dos por no tener un análisis de riesgos.

Lo que puede hacer hoy

1. Haga la lista de cada suplidor que crea, recibe, guarda o envía información de pacientes, con la tabla de arriba y los ejemplos de socios comerciales del HHS (en inglés), sin olvidar la transcripción.
2. Busque el BAA firmado de cada uno y revise que tenga los diez términos y la cláusula de incidentes de seguridad.
3. Marque los que no lo necesitan (tratamiento, pago, conductos, acceso incidental) y anote por qué.
4. Pregúntele por escrito a cada suplidor si sus subcontratistas que tocan sus datos firmaron un BAA con él.
5. Hable con su abogado de dos términos: un plazo para reportar violaciones de datos más corto que 60 días, y quién envía los avisos a los pacientes.
6. Archive cada BAA durante 6 años después de la última fecha en que estuvo vigente, y pase la lista de suplidores a su análisis de riesgos y a su lista de cumplimiento de HIPAA.

Los servicios de cumplimiento de HIPAA de Advixor desarrollan, revisan y actualizan las políticas y los procedimientos que necesita un programa de suplidores; la redacción del BAA le toca a su abogado.