研究所におけるHIPAA規制の概要
機密保持
全ての従業員（研究所スタッフを含む）は、患者情報の機密保持手順に関する研修を受ける必要があります。研修は必ず記録し、コンプライアンスを証明できるように保管します。保護された健康情報（PHI）は、法令で求められた場合は30日以内に開示し、治療・支払・医療業務のため、または患者の同意がある場合に限り開示できます。誤ったPHIは、患者のプライバシーを損なわない方法で訂正し、開示の記録は保存します。患者にはHIPAAに基づくプライバシー権があることを通知します。
保護された健康情報（PHI）
HIPAAでは、個人が特定できる健康情報はPHIとみなされます。研究所におけるPHIは、検査結果、保険請求情報、検査結果の医師への開示、その他の相談情報などです。PHIの開示形態は電子、紙、口頭のいずれでも構いませんが、全て機密として保護しなければなりません。
全国プロバイダー識別子（NPI）
HIPAAの行政簡素化基準により、全国プロバイダー識別子（NPI）が導入されました。すべての医療提供者、保険プラン、クリアリングハウスは、HIPAA取引においてNPIを使用する必要があります。研究所もPHIを扱う際はNPIを使用します。NPIは10桁の数字だけで構成され、提供者の州や専門分野を示す情報は含まれません。従来の識別子はNPIに置き換えられました。
コンプライアンスの方法
研究所は検査結果を他機関へ提供する際、PHIの機密性を保護しなければなりません。主な方法は次の3つです。
- 医師側がコンプライアンス基準を遵守し、PHIを適切に管理すると信頼して任せる（リスクあり）。
- 研究所がPHIの受領から提供までの全責任を負う。
- 責任を分担する「信頼チェーン契約」を締結し、PHIの転送時点で医師に責任を移す。口頭、紙、電子、インターネット取引すべてを対象にした転送合意書が必要です。
留意点
CLIA（臨床検査室改善法）により、州法で許可されていない限り、検査結果は医師以外には開示できません。HIPAAと州法が矛盾する場合は、より厳しい法規が優先されます。医師への情報開示は許可されていますが、アクセス権限や情報管理に関するポリシーを整備し、従業員向けにセキュリティや管理手順の研修を実施する必要があります。また、PHIへの全アクセス履歴を監査できる体制を整えておくことが求められます。