HIPAAに基づく書面プライバシーポリシーと必須要件

1996年に制定された医療保険の携帯性と責任に関する法（HIPAA）は、患者の健康情報を保護するための法律です。HIPAAは電子医療情報のセキュリティ、プライバシー、機密性に重点を置き、対象となる医療機関は書面によるプライバシーポリシーを策定し、管理体制を整えることが求められます。

行政要件

HIPAAはプライバシーとセキュリティの二つの柱を掲げ、組織の管理体制はこれらのセキュリティ規則に基づきます。具体的には、以下の項目が求められます。

• プライバシーポリシーは、医療情報の取り扱い、保管、従業員の役割、保護策を明文化した公式文書です。
• 従業員への定期的な研修、HIPAAセキュリティ責任者の任命、ポリシーの定期的な見直しを実施します。

アクセスと追跡の要件

書面ポリシーは、患者情報へのアクセス権限とその追跡方法を明示する必要があります。

• アクセス権限は、業務上必要な情報量に応じて職員を分類し、最小限の権限を付与します。
• 追跡要件として、患者記録への操作履歴を監視し、違反があった場合の罰則を定めます。
• 作業ステーションの設置場所やセキュリティ対策、業務提携先（ビジネスアソシエイト）との契約管理もポリシーに含めます。

リスク管理要件

リスク管理では、組織がセキュリティ違反を検知・是正・封じ込める手順を策定します。

• リスク評価に基づき、脆弱性や危険領域を特定し、対策を文書化します。
• 従業員へのセキュリティ意識向上のため、公式研修プログラムを実施します。
• システム障害、火災、ネットワーク停止時に患者情報にアクセスできる緊急対応計画（コンティンジェンシープラン）を含め、データのバックアップ・復旧手順を定めます。