HIPAAにおける個人識別可能な健康情報

HIPAA Title II

HIPAAは1996年に制定された法律で、保険の継続性や医療詐欺防止、電子医療情報の標準化、患者情報のプライバシーとセキュリティなど多岐にわたります。中でも「Title II（行政簡素化）」は、保護された健康情報（PHI）のプライバシー規則とセキュリティ規則を定めており、個人が特定できる健康情報（IIHI）を対象としています。

IIHI（個人識別可能な健康情報）の定義

IIHIとは、患者を特定できる情報のことです。氏名（または一部）、住所、社会保障番号、郵便番号、生年月日、電話番号、診断・精神状態、勤務先、家族関係、請求情報など、組み合わせにより患者を識別できる情報が含まれます。

匿名化情報（De‑Identified Information）

IIHIを除去した情報は「匿名化情報」とみなされ、HIPAAの対象外となります。匿名化されたデータは、症例研究や学術研究など患者の許可なしに利用でき、教育や研究目的で自由に使用できます。

同意（Consent）と許可（Authorization）の違い

同意は日常の診療業務において患者情報を共有することを許すもので、診察予約などが暗黙の同意となります。一方、許可は診療以外の目的でPHIを開示する際に患者が書面で明示的に承認することを指し、開示範囲や目的を具体的に記載する必要があります。

IIHIの開示が許されるケース

HIPAAは、患者の許可や同意がなくてもIIHIを開示できる5つの例を定めています。

患者自身が自分の情報を閲覧する場合。
治療・支払い・運営（TPO）と呼ばれる通常の医療業務。
家族が患者を探すための医療機関ディレクトリへの掲載。
偶発的な情報漏洩が発生した場合。
公衆衛生上の利益や法的要請など、公共の利益に資する場合。