HIPAAセキュリティルールとポリシー

1996年、米国の保健福祉省は、医療情報のプライバシーを保護するために、健康保険の携帯性および説明責任法を実施しました。 2005年のセキュリティルールは、電子情報の保護に関する追加の基準を確立しています。

1. セキュリティルール

   • セキュリティルールは、より多くの医療提供者が電子システムに移行するため、重要な考慮事項であるE-PHIとして知られる「電子保護された健康情報」の保護のみに焦点を当てています。 HHSのウェブサイトは、セキュリティルールの主要な目標は、「個人の健康情報のプライバシーを保護しながら、対応するエンティティが患者ケアの品質と効率を改善するために新しいテクノロジーを採用できるようにすること」であると述べています。セキュリティルールの対象となるエンティティは、医療情報を電子的に送信する医療提供者、計画、またはクリアリングハウスです。

   一般的な規則とポリシー

   • HHSのWebサイトは、セキュリティルールの対象となるエンティティが、E-PHIの保護のために「合理的かつ適切な管理、技術、および物理的保障措置」を実装および維持するために必要であることを指定しています。これは、エンティティが責任を負うE-PHIの整合性、可用性、機密性を確保できる必要があることを意味します。また、エンティティは、情報の「開示の不可解な使用」、ならびに情報のセキュリティまたは完全性に対する潜在的な脅威から保護するための措置を特定して実行することにより、E-PHIを保護する必要があります。 E-PHIへのアクセスを持つすべての従業員の教育とコンプライアンスを確保することは、重要な考慮事項です。コンプライアンス対策は、テクノロジーとヘルスケアの実践の変化のために定期的に文書化、評価、更新する必要があります。

   誰が強制しますか？

   • HHSのウェブサイトによると、公民権局は、「自発的なコンプライアンス活動と民事金の罰則」を通じてセキュリティルールを実施する責任があります。 OCRは、コンプライアンスを確保するために対象のエンティティの調査を実施する場合があります。