診療所職員向けHIPAAプライバシー規則の概要

HIPAA（Health Insurance Portability and Accountability Act）は、1996年に米国連邦政府が制定した法律で、医療情報の保護と保険の携帯性を目的としています。2003年4月14日に本格的に施行され、規模の小さい医療団体は2004年に対象となりました。
Privacy Rights Clearinghouseによると、HIPAAは「医療提供者、保険プラン、医療情報クリアリングハウスが保有し、電子的に送信する医療記録」にのみ適用されます。

コードセット要件

診断後、医師は適切な診断コードを選択します。

HIPAAに伴い、診断や臨床手技を請求書や診療記録で特定するためのコードセットが義務付けられました。米国メディケア・メディケイドサービスセンター（CMS）の情報シリーズによれば、コードセットは「請求書や診療記録上で診断や手技を識別するためのコード」です。コードセットは診療者、製品の種類、医療環境によって異なります。詳細は各専門ガイドラインをご参照ください。

執行体制

執行権は、司法省の協力を得たOCR（Office for Civil Rights）にあります。

米国保健福祉省（HHS）は、Office for Civil Rights（OCR）を通じてHIPAAのプライバシー規則とセキュリティ規則の施行を担当しています。プライバシー規則は個人が特定できる健康情報全体を保護し、セキュリティ規則は電子的に送信される情報の保護基準を定めています。

OCRが対象事業者に対して行う是正措置は、全体的なプライバシー保護の向上につながっています（HHS OCR報告）。

HIPAA違反の訴えは、事象発生から180日以内に提出する必要があります。OCRはプライバシーまたはセキュリティ規則の違反の有無を調査し、犯罪性が疑われる場合は司法省に共同で捜査を依頼します。

改正履歴

患者の電子医療記録は安全にロックされなければなりません。

2003年の施行後、執行が不十分との指摘がありました。そこで2009年2月、米国復興・再投資法（American Recovery and Reinvestment Act）第111-5号（いわゆる「刺激法」）により大幅な改正が行われ、執行の厳格化と違反者への罰則が強化されました。

適用範囲

法案が患者の郵便受けに届くまでに多くの手続きを経ます。

HIPAAの対象となる主な3つの事業体は、医療提供者、団体医療保険プラン、医療情報クリアリングハウスです。これらと取引するビジネスが患者の個人医療情報に触れる場合も、HIPAAの対象となります。典型的には医療請求業務を行う企業が該当します。