ビジネス・アソシエイト契約（BAA）の必須要件

契約当事者

対象事業者（Covered Entity）とは、HIPAAのプライバシー規則の保護対象となる医療機関です。病院、在宅医療サービス、介護施設などが該当します。ビジネス・アソシエイト（Business Associate）は、対象事業者の保護対象情報（PHI）にアクセスする外部組織や個人です。コンサルタント、請求業者、診断コード付与業者などが含まれます。契約書の冒頭でこの関係を明確に定義します。

連邦規制

ビジネス・アソシエイト契約は、適用される法令を明示しなければなりません。対象となる法令は「個人識別可能な健康情報のプライバシー基準（45 CFR Part 160、Part 164 Subpart A と E）」です。規制を正確に記載しないと、相手側が契約の意図を争う余地が生じます。

対象となるPHI（保護対象情報）

契約書では、PHI の具体的な範囲や取り扱い手順を詳細に記載します。たとえば、病院が外部ベンダーに診断コード付与を委託する場合、コード付与に関わらないベンダー従業員が患者情報にアクセスしないよう明示します。

契約期間・条件

ビジネス・アソシエイトが PHI にアクセスできる時期、保存期間、アクセス方法（対象事業者の立ち会いが必要か等）を明記します。また、契約終了時の PHI の取り扱い（返却・破棄）についても規定します。

弁護士によるレビュー

PHI に関わる条項は必ず弁護士のチェックを受け、PHI 以外の契約内容も法的に問題がないか確認します。必要に応じて契約書の改訂も弁護士に依頼してください。

まとめ

HIPAA に準拠したビジネス・アソシエイト契約は、対象事業者と外部組織の関係、適用法令、PHI の範囲、契約期間・終了時の処理、そして法的レビューの5つの要素を網羅することが求められます。これらを正確に記載することで、保護対象情報の漏洩リスクを最小限に抑えることができます。