HIPAA（医療保険の相互運用性と責任法）遵守の手順

HIPAA（Health Insurance Portability and Accountability Act）は、1996 年に米国で制定された法律で、元々は転職時の健康保険喪失を防ぐために作られました。現在は 7 つのタイトルに分かれ、医療プランや医療機関に関わるさまざまな規定を網羅しています。特に広く知られているのは、患者の医療情報に関するプライバシーとセキュリティの保護です。米国保健福祉省（DHHS）が監督し、公式な「HIPAA認証」や認定機関は存在しませんが、対象となる「カバードエンティティ」は法令遵守が義務付けられています。

必要なもの

• HIPAA プライバシー・セキュリティツールキット

遵守手順

1. 1. カバードエンティティかどうかを確認する

   HIPAA は、医療保険プラン、医療提供者（診療報酬を受け取る者）、医療情報クリアリングハウス（情報のやり取りを仲介する組織）のいずれかに該当すれば適用されます。自社がこれらに該当する場合は、HIPAA の遵守が必須です。

2. 2. スタッフにプライバシーとセキュリティの違いを教育する

   HIPAA の第 II タイトル（行政簡素化）は、患者情報のプライバシー保護と電子情報のセキュリティ確保を目的としています。プライバシーは個人が特定できる健康情報の開示条件を定め、セキュリティは電子医療記録やメールなどの不正アクセスや漏洩から守ります。

3. 3. HIPAA オフィサーを任命する

   カバードエンティティは必ず「HIPAA オフィサー」を置き、ポリシー策定・実施・スタッフ研修・コンプライアンス全般の統括を行わせます。

4. 4. HIPAA の要件を精査する

   プライバシー要件では、保護対象情報（PHI）の開示条件と対象者を正確に把握し、最小限必要な情報だけを提供する「最小必要」原則を徹底します。セキュリティ要件では、サーバールームの施錠、パスワード管理、監査ログ、暗号化などで電子データを保護します。

5. 5. 罰則を理解する

   DHHS の民権局（OCR）が HIPAA の執行を担当し、民事・刑事の罰則を科します。故意の違反には最大 25,000 米ドルの罰金や最長 10 年の懲役が課されることがあります。

6. 6. 内部監査か外部評価かを決める

   公式な認証制度はありませんが、HIPAA 専門のコンサルティング会社に依頼すれば有料でポリシーや手順の評価を受けられます。自社で十分に理解している場合は内部監査で対応することも可能です。