Business Associate Agreement (HIPAA)

Définition

Le Business Associate Agreement, désigné par l'acronyme BAA, est le contrat que le Health Insurance Portability and Accountability Act américain impose de conclure entre une entité couverte, comme un établissement de soins ou un assureur santé, et tout partenaire commercial, dit business associate, traitant des informations de santé protégées pour son compte, jouant un rôle comparable à celui de l'accord de sous-traitance exigé par l'article 28 du RGPD entre un responsable de traitement et son sous-traitant. Ce contrat doit préciser les usages autorisés et interdits des informations de santé protégées par le partenaire, imposer à ce dernier de mettre en œuvre des garanties de sécurité appropriées conformes à la HIPAA Security Rule, définir les obligations de notification en cas de violation constatée par le partenaire, et encadrer le sort des informations à l'issue de la relation contractuelle, notamment leur restitution ou leur destruction. Un prestataire américain de services cloud ou d'hébergement souhaitant travailler avec des acteurs du secteur de la santé doit être en mesure de signer un tel accord, ce qui exclut de facto certains fournisseurs grand public non préparés à assumer ce niveau d'engagement contractuel spécifique. Pour les entreprises européennes du secteur de la santé numérique visant le marché américain, la capacité à négocier et signer un Business Associate Agreement constitue souvent un prérequis commercial incontournable pour accéder à ce marché.