HIPAAの対象エンティティに関する規則

1996年に制定された医療保険の携帯性と責任に関する法（HIPAA）は、対象エンティティに対し患者の医療情報を保護し、機密性基準を遵守する義務を課しています。対象エンティティは医療情報ネットワーク、保険プラン、医療提供者などで、組織は患者のプライバシーとセキュリティを守るため、管理的手続きと技術的対策を導入しなければなりません。

プライバシー規則

米国保健福祉省は、HIPAAのプライバシー規則で対象エンティティに患者情報の利用方法や適切な開示手続きの指針を示しています。患者は医療記録を保護された健康情報（PHI）として扱われる権利を有し、医療提供者間での情報共有は質の高い治療を提供するために一定の柔軟性が認められています。米国保健福祉省の民権局（Office for Civil Rights）が規則の管理・執行を行い、違反があれば民事罰金が課されます。

セキュリティ規則

プライバシー規則で定められた基準を支えるのがセキュリティ規則です。電子形式の患者情報を取り扱う際の技術的プロトコルを定め、組織はシステムの防火壁、活動ログの記録、認可されたユーザーのみがアクセスできる制御などの技術的保護策を導入する必要があります。これにより、情報は組織内部だけでなく組織間の転送時にも安全に保護されます。

廃棄規則

HIPAAは患者情報をあらゆる形態で常に保護することを求めるため、不要になった情報の廃棄方法にも厳格な指針を設けています。紙媒体・電子媒体の両方に適用され、組織は適切な廃棄ポリシーと手順を策定し、廃棄作業に従事する従業員への教育を実施しなければなりません。具体的な方法としては紙のシュレッダー処理、処方薬容器の専用包装、保管された媒体の上書きや物理的破壊などがあります。