HIPAA（医療保険の携帯性と責任に関する法）コンプライアンスを達成する実践ガイド

HIPAA（Health Insurance Portability and Accountability Act）は米国の連邦法で、患者のプライバシー権を広範に保障しています。長年にわたる改正と解釈を経て、医療機関、保険会社、薬局など患者情報にアクセスできる事業者が、医療記録を含むデータの取り扱い・送信・保管・使用方法を定めた詳細な規則が整備されました。HIPAA の遵守要件は事業種別により異なりますが、病院や診療所などの医療提供者は特に多くの要件が課せられ、コンプライアンス達成には多くの作業が必要です。

HIPAA コンプライアンス実現のための具体的手順

1. セキュリティ規則の確認
   HIPAA の最終セキュリティ規則（Final Security Rule）を熟読し、電子データの保護や情報システムに関する要件を把握します。診療所や病院のネットワークに患者情報が保存されている場合、すべての要件を満たす必要があります。
2. システムの強化
   各ユーザーに固有のパスワードを設定し、強力なファイアウォールを導入します。また、ログイン・ログアウトの時刻、失敗した試行、端末ごとの利用状況を記録できるようにし、管理者の操作やセキュリティ侵害を即時に報告できる体制を整えます。最新の暗号化技術を採用し、規則の最新版に合わせてシステムを更新してください。
3. 紙媒体の管理
   紙の診療記録は閉じたファイルフォルダーに入れ、許可された者だけがアクセスできる安全な場所に保管します。診療室の奥やナースステーションなど、見えにくい場所に保管し、使用後は速やかに元の場所に戻すよう徹底します。デスクやカウンターに放置しないことが重要です。
4. 会話のプライバシー確保
   患者情報を話す際は、第三者に聞かれないように声の大きさや場所に配慮します。偶発的な漏洩は完全には防げないとされていますが、医療従事者は可能な限りリスクを低減する義務があります。
5. 患者情報の開示制限
   患者本人の許可、委任状、後見人の書類、または裁判所命令がない限り、患者やその状態について第三者（配偶者・子ども・親族を含む）に話してはいけません。医療スタッフ同士の内部相談は許容されますが、外部への情報提供は厳禁です。
6. 電子システム利用時の注意喚起
   電子カルテや請求システムを使用するすべての職員に、画面が他者に見えないようにする、作業が終わったらすぐにファイルを閉じる、端末から離れる際は必ずログアウトする、といった基本的なセキュリティ手順を徹底させます。
7. 古い記録の保管と廃棄
   使用期限が過ぎた患者ファイルは、施行州の法定保存期間を守りつつ、鍵付きの密閉容器に入れ、乾燥した安全な場所で保管します。廃棄する際は、文字が読めなくなるまで完全に破砕・粉砕し、復元不可能な状態にします。
8. サインインシートの保護
   患者がサインインした直後は、サインインシートの情報をすぐに覆い隠すか、黒塗りにして見えないようにします。クリップボードに名前リストを放置することは許されません。テープや紙で覆うなど、情報が漏れない工夫を行ってください。