HIPAAの管理簡素化規則

HIPAAの管理簡素化規則は、個人の健康情報（PHI）を電子的に保存・管理する際の標準化と、患者プライバシー保護のための厳格なセキュリティ基準を定めたものです。HIPAAが対象とする医療機関（医療提供者や保険者など）は、法的にこれらの基準に従う必要があります。

必須コードセット

HIPAA規則では、すべての電子請求およびクレーム提出に対し、2011年10月までにICD-10コードの使用が義務付けられました。ICD-10はICD-9に比べ、診断や手技をより細かく表現でき、アルファベットと数字の組み合わせ（英数字）で構成されています。

EDI（電子データ交換）標準

対象となるすべての組織は、2012年1月1日までにANSI X12 Version 5010を使用することが求められます。Version 5010は従来の4010/4010A1に代わり、フィールドサイズが拡大され、ICD-10の英数字コードに対応できるようになりました。また、保険請求書に記載できる診断コード数も増加します。薬剤やサービス請求に関しては、同日からNCPDP Version D Release 0が標準となります。

固有識別子

雇用者識別番号（EIN）はIRSが付与するもので、すべてのEDI取引で使用しなければなりません。医療機関には全国プロバイダー識別子（NPI）が付与され、10桁の番号として請求やクレームで共有されます。

プライバシー

電子的に保存されたPHIは、書面や口頭の情報と同等のプライバシー保護が適用されます。患者は自分の医療記録を閲覧し、PHIの利用目的や共有先の書面説明を受ける権利があります。患者が異議を唱えない限り、PHIは治療を行う他の医療提供者、保健所、法執行機関、患者の家族と共有できます。ただし、マーケティング目的や患者の雇用主への提供は禁じられています。

セキュリティ

対象組織は、無許可のアクセスを防止する管理手順を策定・実施しなければなりません。セキュリティ・機密保持ポリシーは全従業員に周知し、遵守を徹底します。技術的保護策として、パスワード、ファイアウォール、暗号化が必須です。また、PHIが保管されている施設への入退室管理や、データ持ち出し防止策といった物理的保護も求められます。