HIPAA基準の規制方法
1996年に制定された医療保険の携行性と責任に関する法律（HIPAA）は、米国保健福祉省が雇用者、医療提供者、保険プラン、医療取引に対する全国的な基準を策定することを求めています。HIPAAは大きく「タイトル I（保険の継続性）」と「タイトル II（取引の簡素化・電子化）」の2部に分かれます。本稿では、両タイトルの主要な規制手順と違反時の対応について解説します。
タイトル I（保険継続性）の規制手順
- 加入者が入社後12か月以内に既往症がカバーされているか、団体健康保険プランを確認する。
- 新たに加入した者が過去に団体健康保険に加入していた場合は、除外期間（12か月）を短縮し、過去のカバレッジ分をクレジットとして適用する手続きを行う。
- 既存従業員が退職・解雇・転職した場合でも、同一保険者から延長保険を購入できるかを確認し、必要に応じて手続きを支援する。
タイトル II（取引簡素化・電子化）の規制手順
- 個人情報と医療情報はすべて機密保持し、支払履歴・保険プラン・社会保障番号・健康履歴・診療情報・電話番号など、保護対象情報（PHI）を適切に管理する。
- 個人からの情報開示請求には30日以内に対応し、法的に必要な場合を除き、PHI を第三者に提供しない。
- 誤った情報は本人の要請に応じて速やかに訂正し、情報の利用目的を本人に通知する。
- プライバシー担当官を任命し、プライバシー・セキュリティ違反に関する書面手順を整備。PHI にアクセスできる従業員を業務上必要最小限に限定する。
- 電子データへのアクセスはログインIDとパスワードで管理し、作業スペースはプライベートに保ち、PHI は鍵付きキャビネット等で安全に保管する。
- ネットワークや電子データに対してウイルス対策・暗号化を実施し、ファイアウォール等のセキュリティシステムは定期的に評価・更新する。
違反時の執行手続き
- HIPAA 違反が疑われる場合は、保健福祉省民権局（Office of Civil Rights）へ報告し、調査に備える。
- 違反が確認されたら是正措置を講じ、課された罰金を支払う。違反内容に不服がある場合は、行政法判事による審理を求めることができる。
- 全従業員に対し年1回程度の HIPAA 教育を実施し、基準を掲示して誰でも閲覧・理解できるようにする。
以上の手順を遵守することで、組織は HIPAA の要件を満たし、患者のプライバシーとデータセキュリティを確保できます。