HIPAA違反した従業員に科される罰則は？

目的

HIPAAは、医療費支払いの円滑化や医療機関と保険者の効率的連携を目的に、企業・医師・雇用主・保険会社が個人の健康情報を電子的に交換できるようにする法律です。健康情報の不適切な取り扱いには行政・民事・刑事の罰則が設けられています。

雇用決定における使用禁止

HIPAAの規定により、雇用主は従業員の個人健康情報（PHI）を雇用に関する判断材料として使用することは明確に禁じられています。PHIは保険請求の支払い、医療上必要な治療、または「医療業務」に関連する場合に限り、本人の許可がある場合にのみ開示が許されます。

報復の禁止

従業員が雇用主のPHI開示違反を訴えた場合、雇用主がその従業員に対して報復することはHIPAAで禁止されています。ただし、具体的な罰則や民事訴訟権は規定されていません。違反が疑われる場合は、180日以内に書面でOCR（Office for Civil Rights）に苦情を申し立てる必要があります。

刑事罰

• 他の従業員のPHIを不正に取得または開示した場合、最大5万ドルの罰金、1年以下の懲役、またはその両方が科せられます。
• 「故意に」HIPAAに違反した場合は、最大10万ドルの罰金、5年以下の懲役、または両方。
• PHIを販売したり商業的利益のために使用した「故意の」違反は、最大25万ドルの罰金、10年以下の懲役、または両方が適用されます。

民事罰

違反が認められた場合、Office for Civil Rightsは1件あたり最大100ドル、同一違反の別件については最大2万5千ドルの罰金を課すことができます。ただし、違反が「故意でない」かつ「合理的な注意を払っていた」場合、または違反が是正され30日以内に行われた場合は罰金が免除されることがあります。