HIPAA に基づく電子医療記録の保護規定

電子個人健康情報（e‑PHI）とは

HIPAA（医療保険の携行性と責任に関する法令）の「セキュリティ規則」により、電子的に保存された個人の健康情報は厳格に保護されます。許可された医療機関や保険会社以外への開示は禁じられ、情報の閲覧・改ざん・破壊を防止する措置が求められます。

実装方法は施設ごとに異なり、地方の小規模診療所と全国展開する大病院では対策の形態が異なる点に留意が必要です。

物理的なアクセス制限（Facility Access and Control）

記録が保管されている場所や端末への不正アクセスを防止するため、施設全体でアクセス制御ポリシーを策定・実施します。医師の診療所や病院は、作業ステーションや電子メディア（例：USB メモリ、CD‑R/W）の使用・廃棄・再利用に関する手順を明文化し、従業員に周知させる義務があります。

電子的なセキュリティ対策

ハードウェア・ソフトウェア双方で、誰がいつ情報にアクセスしたかを記録する監査ログを取得し、定期的にレビューします。また、データの改ざん・消失を防ぐためにバックアップや暗号化を導入し、送信時も安全な通信プロトコル（例：TLS）を使用します。

事業者の責任（Business Responsibility）

万が一、許可されていない者が情報にアクセスした場合は、速やかに「合理的な手段」で被害を最小化し、再発防止策を講じる必要があります。アクセス制御や監査体制が不十分な場合は、HIPAA の違反として罰則対象となります。

記録の管理と保存期間

ポリシーや手順書、実施した是正措置は、作成日または最終更新日から最低 6 年間保存しなければなりません。医療記録自体の保存期間は HIPAA のセキュリティ規則では定められていませんが、州法や業界標準に従って管理する必要があります。