HIPAAのプライバシー通知要件

対象となる組織（Covered Entities）

カバーエンティティとは、公共の利益に関わる組織や第三者を指します。例として米国疾病予防管理センター（CDC）が挙げられます。CDCは感染症の拡大防止のため、健康情報を収集・提供する義務があります。また、法執行機関もカバーエンティティに含まれます。たとえば、家庭内暴力や虐待で治療を受けた患者の情報は、警察に報告する義務があります。医療検査官や葬儀業者も、臓器提供者の医療歴を取得でき、書面による同意は不要です。カバーエンティティ同士は、必要な医療情報を相互に交換できます。

HIPAAに基づく情報開示

2003年4月14日以降、医療提供者は初診時に患者へプライバシー通知を提供しなければなりません。また、診療を受ける場所の目立つ場所に掲示する義務があります。緊急時には、患者の状態が安定した段階で速やかに通知を行います。

診療を直接・間接に行うすべての組織は、患者や加入者にプライバシー通知を提供する必要があります。多くの医療機関は、提携検査室と統一した通知様式を使用し、患者の要請に応じて提供します。カバーエンティティは、保険情報やカスタマーサービス用のウェブサイトでも同様の通知を掲載しなければなりません。さらに、医療機関はプライバシーポリシーを策定し、3年ごとに加入者へその利用可能性を通知します。

HIPAAが保障する患者の権利

患者は、自身の保護された健康情報がどのカバーエンティティに開示されたかを知る権利があります。この開示は、要請日からさかのぼって最大6年間の情報が対象です（治療・支払い情報や法執行・国家安全保障目的で取得された情報は除外されます）。

また、患者は自身の健康情報へのアクセスを制限する権利があります。カバーエンティティは必ずしも制限を受け入れる義務はありませんが、受け入れた場合は緊急時を除きその要求に従わなければなりません。