HIPAAにおけるデータ分類と保護対象

HIPAA（Health Insurance Portability and Accountability Act）のプライバシールールは、医療情報のプライバシーを保護し、情報の利用・保管基準を定めた連邦法です。この法律では、データを以下の3つのカテゴリに分類しています。

健康情報（Health Information）

「健康情報」は、個人の医療ケアに関するすべての情報（過去・現在・将来）を指し、医療提供者、保険会社、雇用主、学校、公共保健機関（例：CDCや保健所）などが作成・保管するものが含まれます。最も広範なカテゴリであるため、HIPAAの対象外となります。

個人が特定できる健康情報（Individually Identifiable Health Information）

このカテゴリは「健康情報」のうち、情報が個人を直接識別できる、あるいは合理的に識別できると判断できるものを指します。つまり、名前や住所、社会保障番号などと結びつく情報が含まれます。

保護対象健康情報（Protected Health Information, PHI）

PHIはHIPAAが保護の対象と定めた情報で、個人が特定できる健康情報に加え、教育・雇用記録の一部を除いた全てが該当します（教育に関する情報はFERPAが適用）。PHIは厳格なプライバシー保護と取り扱い基準が求められます。