歯科医師向けHIPAAプライバシー要件

保護対象医療情報（PHI）

HIPAAは個人の健康情報（PHI）の利用を規制します。PHIは個人を直接特定できる情報で、氏名、社会保障番号、生年月日（年を除く）、メールアドレス、住所などが含まれます。また、保険請求番号や受給者番号といった保険に固有の情報もPHIに該当します。

対象事業者（Covered Entities）

HIPAAの規制対象となるのは「対象事業者」と呼ばれる医療提供者のみです。歯科医師が電子的にPHIを送信（直接またはベンダー・請求サービス経由）する場合、対象事業者に該当します。送信内容には請求書、事前審査、保険適用確認、紹介状に関するコンピュータ通信などが含まれますが、単なるメールやFAXで患者情報を送るだけでは対象事業者とはみなされません。

対象事業者である歯科医師は、スタッフに対して患者情報の適切な取扱いを教育する義務があります。HIPAA違反が確認された場合、1件につき最大100ドルの罰金が科され、繰り返し違反すれば年間最大25,000ドルの上限が設定されます。個人情報の販売など重度の違反は懲役刑が科されることもあります。

プライバシー担当者

対象事業者である歯科医師は、HIPAAセキュリティ規則の4つの主要領域（管理手続き、物理的保護、技術的安全対策、技術的保護手段）を遵守しなければなりません。多くの歯科医院では、これらのポリシーを文書化・実施する責任者として「プライバシー担当者」または「セキュリティ担当者」を任命しています。

対象外事業者の対策

米国歯科医師会（ADA）は、HIPAAの対象外であっても、可能な範囲で同様のプライバシー保護措置を導入することを推奨しています。患者は他の医療提供者がHIPAAを遵守しているのを見ているため、歯科医院でも同様の対策を取ることで安心感を提供できます。また、将来的により厳しいプライバシー法が制定された場合にも、既に準備が整っていることになります。