カバードエンティティとビジネスアソシエイトの違いとは？

HIPAA（医療保険の携行性と責任に関する法令）では、カバードエンティティとビジネスアソシエイトはそれぞれ異なる義務と権限が定められています。本稿では両者の違いと、保護対象健康情報（PHI）の取り扱いについて解説します。

保護対象健康情報（PHI）

HIPAAプライバシー規則で保護される情報は「保護対象健康情報（Protected Health Information, PHI）」と呼ばれます。個人を特定できる健康情報全般、たとえば氏名、住所、生年月日、社会保障番号、診断名、治療歴、受診した医療機関や医師などが含まれます。

カバードエンティティ（Covered Entity）

HIPAAの対象となるカバードエンティティは、医療保険プラン、医療クリアリングハウス、または電子的に健康情報を送受信する医療提供者です。つまり、病院や診療所、医師、保険会社、州・連邦・民間の健康保険プランなどすべてがカバードエンティティに該当し、HIPAAプライバシー規則を遵守しなければなりません。

ビジネスアソシエイト（Business Associate）

ビジネスアソシエイトは、カバードエンティティの業務を代行し、PHIを使用する必要があるサービス提供者です。会計、データ管理、文書処理、請求、品質管理などが該当します。ビジネスアソシエイトはPHIにアクセスできるため、カバードエンティティはその保護体制を確認する義務があります。

契約と保証（Contracts and Assurances）

カバードエンティティとビジネスアソシエイトの関係がHIPAAに準拠するためには、両者間の契約（ビジネス・アソシエイト・アグリーメント）で、PHIの使用目的、許容範囲、保護措置を明示しなければなりません。ビジネスアソシエイトが契約に違反した場合、カバードエンティティは是正または契約解除の措置を取ります。