HIPAA違反に科される罰則とは

HIPAA（Health Insurance Portability and Accountability Act）は1996年に制定された米国の法律で、患者の健康情報の保護と、医療提供者や情報にアクセスできる者が情報を開示する際の患者の権利を定めています。情報の取り扱いや管理、保護に関するセキュリティ要件も規定されており、医師、保険会社、医療情報を取り扱う組織などが対象です。

HIPAAの監督機関

米国保健福祉省（HHS）がHIPAAの基準を策定・監督し、違反の有無を調査・審査します。HHSはプロバイダーが規則を正しく理解し、遵守できるよう支援しています。違反に対する罰則は民事罰と刑事罰の2種類があります。

民事罰

民事罰は違反の時期や違反者の認識・故意性などに応じて金額が決まります。2009年2月18日以前に起きた違反は1件あたり100ドル、年間最大25,000ドルが上限です。2009年2月18日以降の違反は1件あたり100ドルから50,000ドル以上、年間最大1,500,000ドルが上限となります。違反が故意でなく、30日以内に是正された場合や、すでに刑事罰が科された場合は民事罰は課されません。

刑事罰

刑事罰は米国司法省（DOJ）が管轄します。プライバシー規則に故意に違反した場合、最大1年の懲役と最大50,000ドルの罰金が科せられます。虚偽の前提で違反した場合は最大5年の懲役と最大100,000ドル、金銭目的や意図的な損害を伴う情報の転送に関わる場合は最大10年の懲役と最大250,000ドルの罰金が課されます。