HIPAA（医療保険携行性・責任法）における通知要件と対象者別の義務
HIPAA（1996年制定）の目的は、個人が特定できる医療情報（PHI）を保護することです。医療提供者、保険会社、請求会社、雇用者などの「対象事業者（covered entity）」が対象となり、各事業者はPHIの取り扱い方法と従業員への教育義務を遵守しなければなりません。
患者への通知
患者が新しい医療機関を初めて受診する際、権利に関する書面通知を受け取る必要があります。通知に含まれる主な権利は以下の通りです。
- 書面のコピーを受け取る権利
- PHIへのアクセス制限を求める権利
- 医療情報の使用方法に関する質問権
- 機密性のあるコミュニケーションを受ける権利
- PHIの閲覧・コピー取得権
- PHIの訂正要求権
- PHIにアクセスした者の情報開示請求権
- PHIが侵害された場合の通知と苦情手続きの案内
この通知は診察室、待合室、事務所など患者が目にする場所に掲示することが求められます。
従業員への通知（人事部門）
雇用主は、従業員が職場で自分のPHIが保護されていることを知る権利があります。健康情報を取り扱う新規採用パッケージには、HIPAA通知を同封すべきです。薬物検査、定期健康診断、業務上の事故後の診療などで取得したPHIも対象となります。
人事担当者は、HIPAAの適用範囲と義務を正しく理解し、従業員に対して以下の方法で研修を実施する必要があります。
- オンライン研修
- 現場での対面研修
- 書面マニュアルの配布
医療機関への通知
すべての医療提供者・機関は、HIPAA遵守手順を記載した書面ポリシーを保有しなければなりません。具体的には、患者向けの情報提供・同意書、スタッフ向けの遵守研修、HIPAAコンプライアンス責任者の設置、患者情報保護手順、違反苦情の受付方法などが求められます。
多くの医療機関は、ファックス送信時に「誤送信の場合は文書を破棄し、直ちに連絡してください」といったHIPAA通知をカバーシートに記載しています。