HIPAA（健康保険の携帯性と説明責任に関する法律）トレーニングガイド

はじめに

情報共有が日常化する現代において、個人のプライバシー保護はますます重要になっています。米国保健福祉省によれば、1996年に制定された Health Insurance Portability and Accountability Act（HIPAA） は、個人の医療情報に対する権利を保障し、情報へのアクセスや受領に関するルールを定めています。HIPAAは、保護対象健康情報（PHI）を扱うすべての組織に対し、情報漏洩防止のための厳格な管理とセキュリティ対策を義務付けています。

保護対象健康情報（PHI）とは？

University of Miami Miller School of Medicine の定義によれば、PHI は以下のような情報を指します。

• 医療提供者、保険プラン、公衆衛生機関、雇用主、生命保険会社、学校・大学、医療情報クリアリングハウスが作成または受領した、口頭・書面・電子いずれの形態でも構わない情報。
• 個人の過去・現在・将来の身体的・精神的健康状態、医療サービスの提供、または医療費の支払いに関する情報。

HIPAAは、医療提供者や保険会社に対し、これらの情報を法的に保護することを義務付けており、違反した場合は巨額の罰金や懲役刑が科される可能性があります。

導入の第一歩

HIPAA遵守を始めるには、まず法令の全体像と適用対象、PHI の定義を正しく理解することが不可欠です。組織内で以下の役割を設定しましょう。

• HIPAAコンプライアンス担当者（チャンピオン）を任命し、教育・監督を一元化する。
• 全従業員（清掃員から経営層まで）に対し、PHI が電子データ、紙媒体、口頭のいずれであっても保護対象であることを周知徹底する。

具体的なルール設定

コンプライアンス担当者は、以下のような実務的な安全対策を導入します。

• 無人のデスクや引き出し、キャビネットは必ず施錠する。
• 離席時はコンピュータ画面をロックし、パスワードは最低でも3か月ごとに変更する。
• 機密エリアへの立ち入りは許可された従業員のみに制限し、来客者は同伴させる。
• PHI を含む書類は裏返しに保管し、目に触れないようにする。
• 不要になったPHIは、裁断機で確実に廃棄する。

教育とテスト

PHI にアクセスできるすべての従業員は、HIPAAに準拠した教育を受け、理解度を確認するテストを受験する必要があります。違反時に「法律を知らなかった」ことを言い訳にできないよう、教育記録をしっかり保存しましょう。

非遵守のリスクと罰則

米国保健福祉省長官は、違反の種類と被害の程度に応じて罰金や刑事罰を決定します。主なペナルティは以下の通りです。

• 違反1件あたり最大50,000ドルの罰金（故意の無視の場合は上限なし）。
• 重大な違反は懲役刑の対象となることもある。
• 違反が判明した場合、30日以内に是正すれば民事罰は免除される（故意の無視は除く）。

従業員の違反は、雇用主自身が違反者として扱われる可能性があるため、組織全体でのコンプライアンス体制が不可欠です。