HIPAA準拠ファイル共有サービス

医療従事者および保護されるべき医療情報を扱うその他の人々へ

HIPAAとは？

医療保険の相互運用性と説明責任に関する法律（Health Insurance Portability and Accountability Act）、略称HIPAA。HIPAAの大前提は以下の通りである：

許可された個人および団体による、保護されるべき医療情報（PHI）の安全な共有、保管、および送信を可能にすること。
PHIの開示と使用の程度を管理し、監視する。
米国のヘルスケアシステムの有効性と効率性を向上させる。

考慮すべきもう一つの法律は、Health Information Technology for Economic and Clinical Health Act (HITECH)である。

HIPAAを遵守しなければならないのは誰か？

HIPPAは、対象事業者とビジネス・アソシエイトに適用されます。

対象事業者には以下が含まれます：

医師、看護師、心理学者、歯科医、カイロプラクターなどの医療提供者。
病院、介護施設、診療所、薬局などの医療サービスを提供する組織。
健康保険会社。
清算機関。

ビジネスアソシエイトは、対象事業体として定義されていない事業体または個人であり、対象事業体にサービスを提供したり、PHIに関わる活動を行ったりする。

HIPAA準拠の要件

HIPAAには、HIPAAに準拠したファイル共有サービスの利用に関連する多くの規則があり、そのうちの4つをこのセクションで取り上げます。

プライバシー規則

プライバシー規則は、PHIのプライバシーを保護するためにどのような保護措置を講じなければならないかを定めている。また、患者の許可なく行われるPHIの開示と使用に関する制限も定められている。

Privacy Ruleの中には多くの方針がありますが、その中でも特に注目したいのは、不正アクセスを防止し、許可されたアクセスを管理・監視するために、パスワードやその他の手段でePHIを保護することを義務付けるデータ保護措置です。

セキュリティ規則

セキュリティ・ルールには、管理的、技術的、物理的な保護措置に関する3つの部分があります。これら3つの部分を遵守することにより、電子PHI（ePHI）の機密性、安全性、完全性が確保される。

行政上の保護措置

セキュリティ管理プロセス

ePHIに対する潜在的なリスクを特定し、リスクを適切かつ合理的なレベルまで低減するための対策を講じる。

定期的な評価

導入した対策がセキュリティルールの遵守にどれだけ有効であるかを評価するために、導入した各種対策の定期的な評価を実施する。

情報アクセス管理

ePHIの開示を必要最低限に制限する個人情報保護規則に従い、この措置では、ePHIへのアクセスが許可される時期、ePHIへのアクセスが許可される人、ePHIの開示の程度を定義するポリシーの実施を要求する。

技術的セーフガード

ePHIと共に使用される技術によって達成されなければならない特定の要件。

アクセス・コントロール

許可された者のみがePHIにアクセスできるようにする措置を導入する。

監査統制

ePHIの開示、アクセス、使用に関する活動の詳細な監査可能な証跡を保管する。

インテグリティ・コントロール

ePHIは、不正な改ざんや破壊から保護されなければならない。

認証

ePHIにアクセスまたは使用しようとする個人または団体がその権限を有していることを確認する。

認証

ePHIは、不正な改ざんや破壊から保護されなければならない。

施行規則

施行規則では、Health and Human Services - Office for Civil Rightsに、対象事業者およびビジネス・アソシエイトを調査、審査、罰金する権限を付与し、プライバシーおよびセキュリティ規則を施行することを認めている。

情報漏えい通知規則

この規則は、データ侵害が発生した場合に、対象事業者およびビジネス・アソシエイトがどのように対応しなければならないかを規定しています。データ漏えいが発覚した場合、患者および保健医療サービス（HHS）に対して、定められた日数以内に通知する必要があります。情報漏えいを関係当局および関係者に通知する場合、含まれる情報のうち、誰がePHIにアクセスし、または使用したかが判明している場合は、その旨を記載する必要があります。