HIPAAのデータ要件と保護指針

個人の健康情報は機密情報です。米国保健福祉省が定めた『医療保険の携帯性と責任に関する法（HIPAA）』は、個人の健康情報を保護する基準を強制するプログラムです。医療情報が電子的に保存・送信される機会が増える中、HIPAAは電子医療情報の保護にも規定を設けています。一般に、HIPAAは保護対象データとその保護要件を定義しています。

保護対象データの定義

医師や看護師など医療提供者が診療記録に記載するすべての情報、医療従事者間の会話、請求情報、保険会社が保有する情報はすべて「保護対象健康情報（PHI）」に該当します。PHI には、社会保障番号、住所、電話番号、生年月日といった個人識別情報も含まれ、過去・現在・将来の身体的・精神的健康状態に関する情報が保護対象となります。

データ保護の指針

診療記録を保有する医師事務所や病院は「カバードエンティティ（対象事業者）」と呼ばれます。HIPAA の規則に従い、対象事業者は個人の健康情報を保護するための手段を確立し、情報開示は合理的な範囲に限定しなければなりません。また、外部委託先や提携先も同等の基準で情報を保護する義務があります。データ保護手順の策定と従業員への研修を行い、無許可の者がアクセスできないようにします。

紙媒体の記録については、アクセスが制限されたエリアに保管し、物理的な侵入防止策を講じる「施設へのアクセスと管理」も求められます。

電子データに関する要件

電子医療記録（e‑PHI）については、HIPAA の「セキュリティ規則」で別途規定されています。対象事業者は、電子データの完全性、機密性、可用性を確保し、合理的に予測される脅威から守る必要があります。具体例としては、ハードウェアによるバックアップ、ファイアウォール、アクセス用パスワードの設定などが挙げられます。

データに関する一般的なポリシー

医療機関や保険会社は、物理的・電子的なデータに誰がアクセスしたかを把握できるポリシーと手順を策定しなければなりません。違反が発生した場合は、合理的な手段で是正し、再発防止策を講じます。策定したポリシーは、効力が最後に発生した日から6 年間保存する義務があります。