Acuerdos con asociados de negocio

El acuerdo de asociado de negocio (45 CFR 164.504(e) y 164.314(a)) es el contrato por el cual el tercero se obliga a usar los datos solo para lo pactado, a protegerlos con salvaguardas, a avisar de los incidentes y las brechas, a hacer que sus subcontratistas acepten las mismas condiciones, a dejar sus prácticas y registros a disposición de la autoridad y a devolver o destruir los datos al terminar.

Se necesita con quien crea, recibe, guarda o envía datos por cuenta de la entidad y no presta atención de salud. No se necesita con quien no ve datos (la lavandería, los jardines) ni con otro prestador que recibe los datos para tratar al paciente.

El cruce básico de este tipo de revisión es la tabla de terceros contra la política: quién ve datos de pacientes, quién presta atención y quién tiene un acuerdo firmado. En terceros, la columna acuerdo_firmado trae «—» cuando no hay ninguno. Un tercero que no ve datos sin acuerdo no es hallazgo; uno que presta atención tampoco.

Tener un acuerdo firmado no basta: hay que leerlo. La tabla clausulas_por_acuerdo resume la revisión de las seis cláusulas obligatorias de la política: Si si el acuerdo la trae, No si falta. Una cláusula que falta no se arregla con buena voluntad del tercero; se arregla con una adenda firmada.

Una cláusula pesa mucho en la práctica: la que obliga al asociado a avisar a la clínica cuando ocurra un incidente de seguridad o una brecha, porque sin ese aviso la clínica no se entera de que sus propios plazos ya corren.

Un acuerdo con la fecha de vigencia pasada deja de ser un acuerdo: la política dice que no cuenta. El corte de esta revisión es el 30 de septiembre de 2027. Comparar vigente_hasta con el corte da el número de terceros que hoy operan sin papel válido, aunque tengan uno firmado en un cajón.

Cuando el asociado descubre una brecha de información sin cifrar que afecta a pacientes de la clínica, debe avisar a la clínica sin demora irrazonable y como máximo 60 días naturales después del descubrimiento (45 CFR 164.410). Ese es el tope de la regla; el contrato puede fijar un plazo menor, y suele hacerlo, porque la clínica tiene sus propios plazos para avisar a las personas.