HIPAAの3つの規則とは？包括的なガイド

医療保険の携行性と責任に関する法律（HIPAA）は、米国の医療規制の基礎です。HIPAAは、機密性の高い患者の健康情報（PHI）を保護するように設計されており、医療機関およびその関係者が従う必要のある規則を定めています。HIPAAの規則とは何ですか？これらの規則を遵守する必要があるのはなぜですか？これらの規則は、オンラインでドキュメントをファックスまたは署名する場合に何を意味しますか？

​

HIPAAの中心となるのは、プライバシールール、セキュリティルール、および違反通知ルールの3つの主要なルールです。

​

このガイドでは、これらの規則が重要な理由、誰が従う必要があるか、およびそれらが健康情報を安全に保つためにどのように役立つかについて説明します。

​

PHIを含むドキュメントを電子署名またはファックスする必要がある場合は、HIPAAの3つの主要なルールを理解することが不可欠です。

​

HIPAAの3つのルールが重要な理由

HIPAAは、人々の医療情報を保護するために設計された法律です。その主な目的は、この情報を安全に保ち、患者の治療や医療機関の運営方法の改善など、重要な目的のために安全に使用できるようにすることです。3つのルールは集合的に、以下を保証するための包括的なシステムを提供します。

1. PHIの保護: HIPAAで義務付けられている適切なポリシー、保護手段、および手順を通じて、患者データが不正なアクセス、使用、または開示から保護されるようにします。‍
2. コンプライアンスの保証: 医療提供者および関連団体に対する明確な基準を確立します。‍
3. 信頼と説明責任:患者の個人情報を保護するというコミットメントを示すことで、信頼を構築し、医療機関内での説明責任を促進します。

​

これらのルールに従わない場合、罰金、評判の低下、患者からの信頼の喪失など、深刻な問題を引き起こす可能性があります。そのため、すべての対象となる事業体およびBusinessアソシエイトは、これらのルールを遵守する必要があります。

​

HIPAAの3つの主要なルールについて

HIPAAの3つの主要な部分は、医療情報の保護、セキュリティ、および報告に対処します。

The three rules commonly discussed together are the Privacy Rule, Security Rule and Breach Notification Rule. HIPAA’s wider framework also includes enforcement and other provisions; the 2013 Omnibus Final Rule amended several existing HIPAA rules.

​

The HIPAA Privacy Rule

プライバシールールは、患者の医療情報を安全に保つためのルールを定めており、それが書面であろうと、コンピューターに保存されていようと、口頭で伝えられていようと関係ありません。PHIがどのように使用、開示、およびアクセスされるかを管理します。

​

主要な構成要素:

1. 保護対象医療情報（PHI)の保護: プライバシールールは、個人医療情報（PHI）を、それを見るべきでない人々から安全に保つのに役立ちます。同時に、医師や医療従事者があなたを助けたり、支払いを受けたり、医療サービスを管理したりする際に、重要な情報を共有できるようにします。‍
2. Permitted uses and disclosures: HIPAA permits certain uses and disclosures without individual authorization, including treatment by healthcare providers. The minimum necessary standard generally limits PHI to the intended purpose, but does not apply to disclosures to, or requests by, a healthcare provider for treatment. Other exceptions also apply; reasonable safeguards remain relevant.
3. 患者の権利: 患者は、自分の医療記録にアクセスし、不正確な点の修正を要求し、許可された範囲内で自分の情報がどのように共有されるかを制限する権利を有します。

​

患者は、HIPAAプライバシールールに概説されているように、自分の医療情報にアクセスし、不正確な点の修正を要求し、特定の開示に制限を設ける権利を有します。

​

The HIPAA Security Rule

The Security Rule protects electronic PHI through reasonable and appropriate administrative, physical and technical safeguards. For online fax, assess access to electronic records, storage, transmission and connected services. A product’s encryption feature does not establish that every part of the document workflow complies.

​

主要な保護手段:

​

1. ​管理上の保護手段:
   1. セキュリティポリシーと手順の実装。
   2. HIPAAコンプライアンスに関する定期的な従業員トレーニングの実施。
   3. 脆弱性を特定して対処するためのリスク評価の実施。‍‍
2. ​物理的な保護手段:
   1. 物理的な施設およびデバイスへのアクセス制御。
   2. ePHIを含むハードウェアの安全な保管と廃棄の確保。
   3. IDバッジや監視カメラなどのアクセス制御の使用。‍
3. 技術的保護措置:
   1. 不正アクセスを防ぐためのePHIの暗号化。
   2. 固有のユーザーIDとパスワードなどのアクセス制御の実装。
   3. ePHIへのアクセスと変更を追跡するための監査ログの維持。

​

セキュリティ規則は、暗号化、ユーザー認証、安全なストレージプロトコルなど、ePHIを保護するために必要な管理上、物理的、および技術的な保護措置を規定しています。

​

The HIPAA Breach Notification Rule

違反通知規則は、保護されていないPHIの違反が発生した場合に必要な措置を概説しています。この規則は、被害を軽減し、透明性を維持するために、タイムリーな報告を保証します。

​

報告要件：

• Individual notice: Following a breach of unsecured PHI, notify affected individuals without unreasonable delay and no later than 60 days after discovery.
• HHS notice: For breaches affecting 500 or more individuals, notify HHS without unreasonable delay and no later than 60 days after discovery. Smaller breaches may be reported annually, no later than 60 days after the end of the calendar year in which they were discovered.
• Media notice: A breach affecting more than 500 residents of a state or jurisdiction also requires notice to prominent media outlets serving that area, without unreasonable delay and no later than 60 days after discovery.

​

データ侵害が発生した場合、通知では、インシデント、関与したPHI、違反に対処するために講じられた措置、および潜在的な損害を最小限に抑えるための個人への推奨事項を詳細に説明する必要があります。違反通知規則は、企業が責任を負い、状況を改善するのに役立つようにします。

​

誰がHIPAA規則および規制を遵守する必要がありますか？

HIPAAコンプライアンスは、対象事業体とBusinessアソシエイトの2つの主要なカテゴリに適用されます。

​

対象事業体

Covered entities include health plans, healthcare clearinghouses and healthcare providers that transmit health information electronically in connection with a transaction for which HHS has adopted a standard. Handling health information alone does not establish covered-entity status.

​

Businessアソシエイト

Businessアソシエイトは、PHIへのアクセスを伴う対象事業体に対してサービスを提供するサードパーティ組織です。例としては、電子医療記録を管理するITサービスプロバイダーや請求会社などがあります。HIPAAでは、対象事業体が各BusinessアソシエイトとBusinessアソシエイト契約（BAA）を締結し、PHIを保護するための責任を概説する必要があります。例としては、以下のようなものがあります。

1. 電子医療記録（EHR）を管理するITプロバイダー。
2. 患者データを処理する請求会社。
3. PHIを伴うサービスを提供する法律事務所または会計事務所。

​

どちらのグループも、個人 স্বাস্থ্য情報を安全に保ち、法律違反を避けるために、これらの基本的なHIPAA規則に従う必要があります。

​

HIPAAに基づく報告義務のある違反と例外

An impermissible use or disclosure is presumed to be a breach unless a documented assessment establishes a low probability that PHI was compromised or an applicable exception applies.

• Unintentional acquisition, access or use by a workforce member or person acting under the authority of a covered entity or business associate, made in good faith and within the scope of authority, without further impermissible use or disclosure.
• Inadvertent disclosure between persons authorized to access PHI within the same covered entity, business associate or qualifying organized healthcare arrangement, without further impermissible use or disclosure.
• A good-faith belief that the unauthorized recipient would not have been able to retain the information.

Quick correction or a belief that information is not sensitive does not by itself resolve the assessment.

​

​

これらの例外を理解することで、組織は適切に対応し、不必要な報告を避けることができます。

​

HIPAA違反の一般的な原因

HIPAA違反は、多くの場合、安全対策の不備または意図しないエラーによって発生します。米国保健福祉省によると、一般的な原因は次のとおりです。

​

1. 不正アクセス：従業員が好奇心、個人的な理由、または正当なBusiness目的なくPHIにアクセスすること。同僚、家族、または著名人に関する情報を調べることなどが含まれます。‍
2. 不十分なセキュリティ対策：ePHIの暗号化、物理記録の安全な廃棄、アクセス制御のための多要素認証など、重要な保護手段が不足していると、違反に対する脆弱性が高まります。‍
3. 不適切な開示：適切な患者の承認または正当な理由なくPHIを共有すること。たとえば、誤った受信者に情報を送信したり、安全でない通信中に詳細を明らかにしたりすることなどです。‍
4. 紛失または盗難されたデバイス：暗号化されていないePHIを含むモバイルデバイス、ラップトップ、またはUSBドライブは、盗難や偶発的な紛失の影響を受けやすく、データ侵害の重大なリスクが生じます。

​

組織は、一般的な落とし穴に対処することで、HIPAA違反の可能性を大幅に減らすことができます。これには、定期的なスタッフ研修、堅牢なセキュリティ技術の実装、リスク評価の実施、およびPHIを処理するすべてのサードパーティサービスプロバイダーとの間でBusiness Associate Agreements（BAA）を締結することが含まれます。

​

違反を回避するためのヒント：

1. PHIを送信するには、HIPAA準拠サービスとアクセス制御を使用してください。
2. HIPAA規則とデータ保護の実践について、スタッフを定期的にトレーニングします。
3. 脆弱性を特定して軽減するために、定期的なリスク評価を実施します。
4. PHIを保護するための義務を明確にするために、すべてのサードパーティサービスプロバイダーとBAAを確立していることを確認します。

​

HIPAAコンプライアンスに関する最終的な考察

HIPAA’s three rules, the Privacy Rule, Security Rule, and Breach Notification Rule, form a comprehensive framework to ensure the confidentiality, integrity, and availability of protected health information. By following these HIPAA rules, healthcare organizations can keep patient data safe, avoid expensive fines, and gain trust from patients and partners.

​

HIPAAコンプライアンスは、法的要件以上のものです。倫理的な医療提供に不可欠です。コンプライアンスを優先することで、組織は患者のプライバシーを保護し、業務効率を改善し、医療システムへの信頼を維持できます。

​

For organizations looking for tools that follow HIPAA rules to handle sensitive information, services like Sign.Plus provides an electronic signature platform that meets HIPAA compliance rules and helps make document processes easier. Also, Fax.Plus offers safe and reliable cloud faxing solutions. Both of these tools assist healthcare organizations and their partners in following HIPAA guidelines efficiently.

​

これらの安全なソリューションに投資することで、組織は規則を遵守しやすくなります。これにより、より良いケアの提供に集中することもできます。

​

免責事項：この記事は情報提供のみを目的としており、法的助言を構成するものではありません。組織は、HIPAAへの完全な準拠を確保するために、資格のある専門家にご相談ください。