# BA 계약 (Business Associate Agreement)

## 1. 개요
**BA 계약(Business Associate Agreement, 이하 BAA)**은 보건 의료 정보의 보호 및 보안을 위해 '커버드 엔티티(Covered Entity, 의료기관 등)'와 '비즈니스 파트너(Business Associate, 데이터 처리 업체 등)' 간에 체결하는 법적 계약입니다.

이 계약은 주로 미국의 **HIPAA(Health Insurance Portability and Accountability Act)** 법령에 근거하며, 민감한 건강 정보인 보호 건강 정보(PHI, Protected Health Information)를 다루는 외부 업체가 해당 데이터를 안전하게 관리하고 보호할 의무가 있음을 명시하는 데 목적이 있습니다.

## 2. 주요 포함 사항
BAA는 데이터 유출 방지와 법적 책임 소재를 명확히 하기 위해 다음과 같은 핵심 구성 요소를 포함해야 합니다.

### 2.1 책임 범위 및 의무
*   **PHI 사용 및 공개 제한:** 계약된 목적 외에 PHI를 사용하거나 제3자에게 공개하는 것을 엄격히 금지합니다.
*   **보안 조치 이행:** HIPAA의 보안 규칙(Security Rule) 및 개인정보 보호 규칙(Privacy Rule)을 준수하여 기술적, 물리적, 행정적 보호 조치를 취해야 합니다.
*   **하위 계약자 관리:** BAA를 체결한 업체가 다시 하위 업체에 데이터를 위탁할 경우, 동일한 수준의 보호 의무를 부과하는 계약을 체결해야 합니다.

### 2.2 데이터 보호 및 사고 대응
*   **침해 사고 통지:** 데이터 유출이나 보안 사고 발생 시, 즉시 커버드 엔티티에 통지해야 하는 기한과 절차를 명시합니다.
*   **데이터 반환 및 파기:** 계약 종료 시, 보유하고 있던 모든 PHI를 안전하게 반환하거나 복구 불가능한 방법으로 파기해야 합니다.

### 2.3 계약 기간 및 위반 시 조치
*   **계약 효력:** 계약의 시작일과 종료일, 그리고 갱신 조건을 정의합니다.
*   **위반 시 조치:** 계약 조항 위반 시 계약 해지 권한 및 법적 손해 배상 책임에 대해 서술합니다.

## 3. 체결 절차
BA 계약은 일반적으로 다음과 같은 단계로 진행됩니다.

1.  **파트너 식별:** PHI에 접근하거나 이를 처리하는 외부 서비스 제공업체(클라우드 서비스, 소프트웨어 벤더 등)를 식별합니다.
2.  **보안 역량 평가:** 해당 업체가 HIPAA 준수 능력을 갖추었는지 보안 감사 및 체크리스트를 통해 검토합니다.
3.  **계약서 초안 작성 및 협의:** 표준 BAA 양식을 바탕으로 양사 간의 책임 범위와 특약 사항을 협의합니다.
4.  **서명 및 체결:** 법적 검토를 마친 후 양측 권한 있는 서명자의 날인을 통해 계약을 확정합니다.
5.  **사후 모니터링:** 정기적인 감사나 보고서를 통해 계약 내용이 실제로 이행되고 있는지 확인합니다.

## 4. 주의 사항 및 리스크
BAA 체결 시 다음 사항을 반드시 점검해야 합니다.

*   **체크리스트:**
    *   [ ] 모든 PHI 처리 경로가 계약 범위에 포함되었는가?
    *   [ ] 사고 통지 기간이 법적 요구 사항 및 내부 정책과 일치하는가?
    *   [ ] 데이터 파기 방법이 구체적으로 명시되었는가?
    *   [ ] 하위 계약자에 대한 관리 감독 책임이 명확한가?

### 표준 항목 vs 실제 적용 사례 비교

| 구분 | 표준 BAA 항목 | 실제 적용 사례 (예: 클라우드 서비스) |
| :--- | :--- | :--- |
| **데이터 저장** | PHI의 안전한 저장 및 관리 | 암호화된 스토리지 사용 및 접근 제어 설정 |
| **접근 권한** | 최소 권한 원칙 적용 | IAM(Identity and Access Management)을 통한 역할 기반 제어 |
| **사고 통지** | 유출 발견 시 즉시 통지 | 72시간 이내에 관리자 이메일 및 대시보드로 알림 송신 |
| **데이터 파기** | 계약 종료 후 데이터 삭제 | 논리적 삭제 후 물리적 디스크 덮어쓰기 및 파기 증명서 발행 |