Form builder HIPAA: chi firma un BAA?

Ogni studio sanitario che si mette alla ricerca di uno strumento per moduli online finisce sulle stesse due domande. La prima è « è conforme HIPAA? » La seconda « firmeranno un BAA? » Le pagine di marketing rispondono a entrambe con un sì sicuro e, così facendo, confondono in sordina il fatto che si tratta di due domande diverse con due tipi di risposta diversi — una su un contratto legale, una su una proprietà dell'intero programma di conformità.

Questo confronto districa le due, poi passa fornitore per fornitore in rassegna gli strumenti per moduli che gli studi statunitensi mettono davvero in lista ristretta — Google Forms, Microsoft Forms, JotForm, Cognito Forms e Formstack — e mostra, per ciascuno, se un Business Associate Agreement (BAA) è disponibile, quale piano richiede, com'è davvero il modello di crittografia, e la domanda che la maggior parte delle pagine di confronto salta del tutto: il fornitore può tecnicamente leggere le tue Protected Health Information (PHI)? Schweizerform è anch'esso nella tabella, e siamo onesti su dove esattamente si inserisce e dove no.

Cos'è davvero un BAA (e cosa non è)

Un Business Associate Agreement è un contratto. Sotto HIPAA, quando un fornitore crea, riceve, conserva o trasmette PHI per conto di una covered entity, quel fornitore è un « business associate », e la covered entity deve avere un BAA con esso. Il BAA obbliga il fornitore a implementare le tutele della Security Rule, limita come può usare e divulgare le PHI, richiede che segnali le violazioni e che trasferisca gli stessi obblighi ai propri subappaltatori che toccano PHI.

Cosa non è un BAA: non è un certificato, non è un controllo tecnico e non è ciò che ti rende conforme. Non esiste alcun ente pubblico che rilasci un timbro « conforme HIPAA » a un prodotto. « Conforme HIPAA » è una proprietà dell'intero programma — la tua analisi della Privacy Rule, le tue tutele della Security Rule, il tuo piano di notifica delle violazioni e sì, i tuoi BAA — non un'etichetta che un prodotto porta con sé. Un fornitore può consegnarti un BAA perfettamente valido e lasciare comunque il tuo programma non conforme se il resto delle tutele non è in atto.

Specifiche required vs addressable in 60 secondi

La Security Rule divide le sue specifiche di implementazione in due tipi: « required » e « addressable ». Questa singola distinzione è all'origine di più cattivo marketing HIPAA di quasi qualsiasi altra cosa, quindi vale la pena chiarirla prima che un fornitore ti dica cosa deve e non deve fare.

• Required significa: devi implementarla. Nessuna discrezione.
• Addressable NON significa opzionale. Significa: implementa la specifica, OPPURE documenta perché non è ragionevole nel tuo ambiente e quale tutela equivalente hai messo in atto al suo posto.
• La crittografia — sia in transito sia a riposo — è una specifica addressable. Dall'Omnibus Rule del 2013 e da una lunga serie di azioni di applicazione dell'HHS, i regolatori trattano la crittografia come l'aspettativa predefinita e hanno sanzionato le entità che l'hanno saltata senza un'analisi scritta difendibile.

Approfondiamo le Privacy, Security e Breach Notification Rule molto più a fondo nel nostro articolo di accompagnamento sulla raccolta di moduli conforme HIPAA — questa pagina dà per acquisite le basi e si concentra specificamente sulla domanda BAA-e-crittografia. In breve: la crittografia non è tecnicamente obbligatoria, ma in pratica la implementi o scrivi una spiegazione molto buona del perché non l'hai fatto.

Chi firma un BAA — fornitore per fornitore

Ecco la realtà pratica per gli strumenti per moduli che gli studi statunitensi mettono più spesso in lista ristretta. Per ciascuno, le domande che contano sono: è disponibile un BAA, su quale piano, qual è il modello di crittografia e chi può tecnicamente raggiungere le PHI in chiaro.

Google Forms / Google Workspace

Google offre un BAA che copre i servizi principali di Google Workspace, incluso Google Forms — ma solo per gli account Workspace a pagamento, e l'amministratore deve attivamente esaminare e accettare il BAA nella console di amministrazione. Il prodotto consumer gratuito Google Forms (un account Gmail personale che raccoglie un questionario sanitario) non è coperto da alcun BAA, punto. Questo è l'errore più comune e più costoso di tutto questo ambito: uno studio usa « Google Forms gratuito », presume che, dato che Google è un'azienda seria, debba andare bene, e scopre durante un audit che il prodotto consumer non è mai stato idoneo al BAA.

Modello di crittografia: Google cifra i dati in transito (TLS) e a riposo sulla propria infrastruttura, e Google detiene le chiavi. Le risposte ai moduli sono leggibili dai sistemi di Google. Chi può tecnicamente raggiungere le PHI: l'infrastruttura di Google e qualsiasi parte in grado di obbligare Google secondo il diritto statunitense. La localizzazione predefinita dei dati sono gli Stati Uniti, configurabile sui piani enterprise ma con margine di trattamento mantenuto da Google.

Microsoft Forms / Microsoft 365

Microsoft include termini di BAA per i suoi servizi coperti tramite i Product Terms e il Business Associate Agreement HIPAA che fa parte della sua licenza commerciale per gli abbonamenti Microsoft 365 / Office 365 idonei. Per gli studi già standardizzati su Microsoft 365, Microsoft Forms all'interno di un tenant coperto può rientrare in quel quadro di BAA — ma, come sempre, l'idoneità è legata alla licenza e alla configurazione del tenant, non al prodotto consumer, e devi confermare che il servizio specifico rientri nell'ambito.

Modello di crittografia: TLS in transito, crittografia a riposo con chiavi detenute da Microsoft (esistono opzioni di chiavi gestite dal cliente su alcuni servizi, ma la piattaforma del fornitore può comunque trattare i dati). Chi può tecnicamente raggiungere le PHI: la piattaforma di Microsoft e le parti in grado di obbligarla secondo il diritto statunitense. La localizzazione dei dati dipende dalle impostazioni di regione del tenant.

JotForm

JotForm offre account abilitati HIPAA con un BAA, disponibili sui suoi piani a pagamento superiori (Silver, Gold ed Enterprise, con le funzionalità HIPAA sbloccate dai piani superiori). Quando abiliti la modalità HIPAA, JotForm applica controlli aggiuntivi e firmerà un BAA. È un'offerta reale e utilizzabile, e una scelta comune per gli studi statunitensi che vogliono ampiezza di funzionalità più un BAA.

Modello di crittografia: TLS in transito e crittografia a riposo, con JotForm che detiene le chiavi. Chi può tecnicamente raggiungere le PHI: i server di JotForm — e quindi il personale di JotForm e qualsiasi parte con accesso a livello applicativo o una richiesta legale — possono leggere le sottomissioni in chiaro. Il BAA ripartisce la responsabilità di quell'accesso; non rimuove l'accesso. La localizzazione dei dati è principalmente gli Stati Uniti, con opzioni UE sui piani superiori.

Cognito Forms

Cognito Forms è lo strumento che molti cercano specificamente quando digitano « cognito forms hipaa compliance baa », quindi merita una risposta accurata ed equa. Cognito Forms offre funzionalità HIPAA e firmerà un BAA sui suoi piani superiori (Pro e oltre, con abilitazione HIPAA sui piani superiori). Ha anche un differenziatore davvero utile che alla maggior parte dei costruttori generici manca: una funzionalità « Encrypted Fields », che ti permette di contrassegnare campi specifici come cifrati così che quei valori siano memorizzati cifrati a riposo anziché in chiaro.

È una funzionalità reale e notevolmente migliore degli strumenti che memorizzano tutto in chiaro. Ma è importante capire con precisione cos'è e cosa non è. Encrypted Fields è crittografia lato server, gestita dal fornitore: Cognito detiene l'infrastruttura delle chiavi, e i server di Cognito vedono il testo in chiaro durante l'elaborazione della sottomissione e decifrano il campo quando tu, il proprietario del modulo, visualizzi la sottomissione. Non è crittografia end-to-end. La risposta onesta alla query di ricerca è quindi: sì, Cognito Forms offre funzionalità HIPAA e un BAA sui piani superiori, e i suoi Encrypted Fields alzano l'asticella sulla protezione a riposo — ma Cognito può comunque tecnicamente accedere alle PHI, perché detiene le chiavi. Il BAA è ciò che ripartisce la responsabilità legale di quell'accesso.

Formstack

Formstack è una piattaforma di workflow enterprise orientata alla conformità (moduli, documenti, firma elettronica) che offre un piano conforme HIPAA con un BAA sui suoi piani superiori. Per i team mid-market ed enterprise che vogliono moduli più generazione di documenti ed e-sign presso un unico fornitore con un BAA, è una scelta standard e credibile.

Modello di crittografia: TLS in transito e crittografia a riposo, con Formstack che detiene le chiavi. Chi può tecnicamente raggiungere le PHI: l'infrastruttura di Formstack, il suo personale autorizzato, le integrazioni e qualsiasi parte con una richiesta legale possono raggiungere i dati in chiaro. Anche qui il BAA ripartisce la responsabilità; non cambia il fatto che i sistemi del fornitore possano leggere i dati. La localizzazione dei dati è principalmente gli Stati Uniti.

La tabella comparativa

Leggi insieme le ultime due colonne. « BAA disponibile » ti dice se un fornitore accetta la responsabilità legale per le PHI. « Il fornitore può tecnicamente leggere le PHI? » ti dice se quella responsabilità è l'unica cosa tra i dati dei tuoi pazienti e il personale del fornitore. Sono assi diversi, e la differenza è l'intero punto di questa pagina.

Un BAA non è una strategia di crittografia

Questa è la sezione a cui la tabella comparativa punta davvero. Un BAA e la crittografia end-to-end (E2EE) riducono entrambi il rischio, ma svolgono compiti completamente diversi e non sono sostituti l'uno dell'altro.

Un BAA è una ripartizione legale di responsabilità. Quando avviene una violazione, il BAA determina chi deve notificare chi, chi porta quali obblighi e come la responsabilità è condivisa tra la covered entity e il business associate. È uno strumento di carta. Di per sé non fa nulla per prevenire la violazione o rendere illeggibili i dati esposti. Ogni fornitore affermato che firma un BAA può tecnicamente accedere alle PHI — la sua crittografia a riposo usa chiavi che il fornitore detiene, il che significa che i sistemi, il personale e le integrazioni del fornitore, così come chiunque possa obbligarlo legalmente, possono in linea di principio raggiungere il testo in chiaro. Il BAA dice « promettiamo di gestire quell'accesso responsabilmente e di avvisarti se qualcosa va storto ».

La crittografia end-to-end è un controllo architetturale. Con una vera E2EE a conoscenza zero, i dati sono cifrati sul dispositivo del rispondente prima ancora di raggiungere il fornitore, e il fornitore non detiene mai le chiavi. In una violazione, ciò che un attaccante — o un mandato — ottiene è testo cifrato senza percorso di decifratura. La differenza è la differenza tra « autorizzato a detenere PHI leggibili, e contrattualmente tenuto a gestirle bene » e « non può detenere affatto PHI leggibili ».

Un BAA decide chi è responsabile quando PHI leggibili vengono esposte. La crittografia end-to-end decide se esistano addirittura PHI leggibili da esporre. I programmi migliori non scelgono tra i due — capiscono quale dei due ogni strumento dà loro realmente.

Dove Schweizerform si colloca onestamente

È ora di essere diretti sul nostro prodotto, perché l'intero valore di questa pagina ne dipende. Schweizerform non offre un Business Associate Agreement HIPAA e non è posizionato come fornitore HIPAA. Se la tua checklist di approvvigionamento ha una riga ferma che recita « il fornitore deve firmare un BAA », Schweizerform non soddisfa quella riga oggi, e non fingeremo il contrario.

Ciò che Schweizerform ha è la proprietà architetturale di cui tratta l'intera colonna « il fornitore può tecnicamente leggere le PHI? ». Ogni sottomissione — inclusi gli allegati — è cifrata nel browser del rispondente con AES-256-GCM, con la chiave per sottomissione avvolta dalla chiave pubblica RSA-OAEP-2048 del modulo. La chiave privata del proprietario è protetta da una Master Key derivata dal suo Access Code, che non lascia mai il suo dispositivo. I nostri server, ospitati esclusivamente in Svizzera presso Infomaniak, memorizzano solo testo cifrato. Non deteniamo chiavi. Non possiamo decifrare le sottomissioni — né per il supporto, né per l'analitica, né sotto una richiesta legale svizzera. Questo cambia la conversazione sul rischio: dalla nostra parte non c'è alcuna PHI leggibile su cui un BAA dovrebbe ripartire la responsabilità, perché dalla nostra parte non c'è affatto alcuna PHI leggibile.

C'è anche un secondo pubblico che questa pagina non dovrebbe perdere. Per le organizzazioni sanitarie e affini fuori dagli Stati Uniti — in Svizzera, nell'UE e nel più ampio SEE — HIPAA semplicemente non è il quadro operativo. I regimi rilevanti sono la nLPD svizzera e il GDPR (incluse le regole dell'articolo 9 per i dati sanitari di categoria particolare). Questo è terreno di casa per Schweizerform: hosting svizzero, giurisdizione svizzera fuori dalla portata del CLOUD Act statunitense, nessun subfornitore statunitense nel percorso dati delle sottomissioni, e crittografia a conoscenza zero su ogni piano incluso quello gratuito. Per questi acquirenti, la domanda sul BAA è un falso problema, e la domanda crittografia-e-sovranità è quella che conta.

Un quadro decisionale

Esegui questi cinque passi in ordine e la domanda sul fornitore di solito si risolve da sé.

In conclusione

« È conforme HIPAA? » e « firmeranno un BAA? » sono due domande, e la risposta onesta mainstream è coerente tra Google Workspace, Microsoft 365, JotForm, Cognito Forms e Formstack: sì, un BAA è disponibile al piano a pagamento o enterprise appropriato, e sì, il fornitore può comunque tecnicamente leggere le tue PHI, perché è così che funziona la crittografia con chiavi detenute dal fornitore. Il BAA è il controllo che governa quell'accesso. Per le covered entity statunitensi, questo modello è ben collaudato e spesso esattamente quello giusto — verifica solo che copra il prodotto e il piano che usi realmente.

Il punto per cui questa pagina esiste è che un BAA non è una strategia di crittografia. Ripartisce la responsabilità per le PHI leggibili; non rende le PHI illeggibili. La crittografia end-to-end a conoscenza zero è l'alternativa architetturale — il fornitore non può leggere le PHI affatto — ed è una postura davvero diversa, anche se, nel caso di Schweizerform, arriva senza BAA e non è un pacchetto HIPAA statunitense chiavi in mano. Scegli la via che corrisponde ai tuoi obblighi, verifica l'affermazione per iscritto e documenta perché.