미국 건강보험 이동성 및 책임에 관한 법(HIPAA)은 미국 의료 규제의 초석입니다. HIPAA는 민감한 환자 건강 정보(PHI)를 보호하기 위해 마련되었으며, 의료 기관과 그 관계자가 반드시 따라야 할 규칙을 정하고 있습니다. HIPAA의 규칙에는 어떤 것이 있을까요? 이 규칙을 준수해야 하는 이유는 무엇일까요? 문서를 팩스로 보내거나 온라인으로 서명할 때 이 규칙은 무엇을 의미할까요?
HIPAA의 핵심은 개인정보 보호 규칙(Privacy Rule), 보안 규칙(Security Rule), 침해 통지 규칙(Breach Notification Rule)의 세 가지 주요 규칙입니다.
이 가이드에서는 이 규칙들이 왜 중요한지, 누가 따라야 하는지, 그리고 건강 정보를 안전하게 지키는 데 어떻게 도움이 되는지 살펴봅니다.
PHI가 포함된 문서를 전자 서명하거나 팩스로 보내야 한다면, HIPAA의 세 가지 핵심 규칙을 이해하는 것이 필수적입니다.
HIPAA의 3가지 규칙이 중요한 이유
HIPAA는 개인의 건강 정보를 보호하기 위해 만들어진 법입니다. 주된 목표는 이 정보를 안전하게 지키는 동시에, 환자 치료나 의료 기관 운영 개선과 같은 중요한 목적을 위해 안전하게 사용할 수 있도록 하는 것입니다. 세 가지 규칙은 함께 다음을 보장하는 포괄적인 체계를 이룹니다.
- PHI 보호: HIPAA가 요구하는 적절한 정책, 보호 조치, 절차를 통해 환자 데이터를 무단 접근, 사용 또는 공개로부터 보호합니다.
- 규정 준수 보장: 의료 서비스 제공자와 관련 기관을 위한 명확한 기준을 마련합니다.
- 신뢰와 책임: 환자의 개인 정보를 보호하겠다는 의지를 보여 주면 신뢰가 쌓이고 의료 기관 내 책임 의식이 높아집니다.
이 규칙을 지키지 않으면 벌금, 평판 훼손, 환자의 신뢰 상실과 같은 심각한 문제가 발생할 수 있습니다. 그래서 모든 적용 대상 기관(covered entities)과 비즈니스 제휴자(business associates)는 이 규칙을 반드시 준수해야 합니다.
HIPAA의 3가지 주요 규칙 알아보기
HIPAA의 세 가지 주요 부분은 건강 정보의 보호, 보안, 보고를 다룹니다.
흔히 함께 논의되는 세 가지 규칙은 개인정보 보호 규칙, 보안 규칙, 침해 통지 규칙입니다. HIPAA의 더 넓은 체계에는 집행 및 기타 조항도 포함되며, 2013년 옴니버스 최종 규칙(Omnibus Final Rule)은 기존 HIPAA 규칙 여러 개를 개정했습니다.
HIPAA 개인정보 보호 규칙
개인정보 보호 규칙은 환자의 건강 정보가 서면으로 기록되었든, 컴퓨터에 저장되었든, 구두로 전달되든 안전하게 보호하기 위한 규칙을 정합니다. PHI를 어떻게 사용하고, 공개하고, 접근할 수 있는지를 규정합니다.
주요 구성 요소:
- 보호 대상 건강 정보 보호 (PHI): 개인정보 보호 규칙은 개인 건강 정보(PHI)를 열람해서는 안 되는 사람들로부터 안전하게 지키도록 돕습니다. 동시에 의사와 의료 종사자가 진료, 비용 청구, 의료 서비스 관리와 같은 업무를 수행할 때 중요한 정보를 공유할 수 있도록 허용합니다.
- 허용되는 사용 및 공개: HIPAA는 의료 서비스 제공자의 치료를 포함해 일정한 경우 개인의 승인 없이도 사용 및 공개를 허용합니다. 최소 필요 기준(minimum necessary standard)은 일반적으로 PHI를 의도된 목적에 필요한 범위로 제한하지만, 치료를 위해 의료 서비스 제공자에게 공개하거나 의료 서비스 제공자가 요청하는 경우에는 적용되지 않습니다. 그 밖의 예외도 적용되며, 합리적인 보호 조치는 여전히 중요합니다.
- 환자의 권리: 환자는 자신의 건강 기록을 열람하고, 부정확한 내용의 정정을 요청하며, 허용되는 범위 내에서 자신의 정보가 공유되는 방식을 제한할 권리가 있습니다.
HIPAA 개인정보 보호 규칙에 명시된 대로, 환자는 자신의 건강 정보를 열람하고, 부정확한 내용의 정정을 요청하며, 특정 공개에 대해 제한을 둘 권리가 있습니다.
HIPAA 보안 규칙
보안 규칙은 합리적이고 적절한 관리적, 물리적, 기술적 보호 조치를 통해 전자 PHI를 보호합니다. 온라인 팩스의 경우 전자 기록 접근, 저장, 전송, 연결된 서비스를 모두 평가해야 합니다. 제품에 암호화 기능이 있다고 해서 문서 워크플로의 모든 부분이 규정을 준수한다고 볼 수는 없습니다.
주요 보호 조치:
- 관리적 보호 조치:
- 보안 정책 및 절차를 시행합니다.
- HIPAA 규정 준수에 관한 직원 교육을 정기적으로 실시합니다.
- 위험 평가를 수행하여 취약점을 파악하고 해결합니다.
- 물리적 보호 조치:
- 물리적 시설과 기기에 대한 접근을 통제합니다.
- ePHI가 담긴 하드웨어를 안전하게 보관하고 폐기합니다.
- ID 배지, 보안 카메라 등의 접근 통제 수단을 사용합니다.
- 기술적 보호 조치:
- ePHI를 암호화하여 무단 접근을 방지합니다.
- 고유한 사용자 ID와 비밀번호 같은 접근 제어를 구현합니다.
- ePHI에 대한 접근 및 수정 내역을 추적하기 위해 감사 로그를 유지합니다.
보안 규칙은 암호화, 사용자 인증, 보안 저장 프로토콜 등 ePHI를 보호하는 데 필요한 관리적, 물리적, 기술적 보호 조치를 규정합니다.
HIPAA 침해 통지 규칙
침해 통지 규칙은 보호되지 않은 PHI의 침해가 발생했을 때 취해야 할 조치를 규정합니다. 이 규칙은 피해를 줄이고 투명성을 유지하기 위해 신속한 보고를 보장합니다.
보고 요건:
- 개인 통지: 보호되지 않은 PHI의 침해가 발생한 후에는 부당한 지연 없이, 늦어도 발견 후 60일 이내에 영향을 받은 개인에게 통지해야 합니다.
- HHS 통지: 500명 이상에게 영향을 미치는 침해의 경우, 부당한 지연 없이 늦어도 발견 후 60일 이내에 HHS에 통지해야 합니다. 이보다 규모가 작은 침해는 발견된 연도가 끝난 후 60일 이내에 연 1회 보고할 수 있습니다.
- 언론 통지: 한 주 또는 관할 지역의 주민 500명을 초과하는 침해가 발생한 경우, 해당 지역을 대상으로 하는 주요 언론 매체에도 부당한 지연 없이 늦어도 발견 후 60일 이내에 통지해야 합니다.
데이터 침해가 발생한 경우, 통지에는 사고 내용, 관련된 PHI, 침해에 대응하기 위해 취한 조치, 그리고 잠재적 피해를 최소화하기 위한 개인별 권고 사항이 상세히 포함되어야 합니다. 침해 통지 규칙은 기업이 책임을 지도록 하고 상황을 바로잡는 데 도움이 됩니다.
HIPAA 규칙과 규정을 준수해야 하는 대상은 누구인가요?
HIPAA 준수는 크게 적용 대상 기관과 비즈니스 제휴자의 두 범주에 적용됩니다.
적용 대상 기관
적용 대상 기관에는 HHS가 표준을 채택한 거래와 관련하여 건강 정보를 전자적으로 전송하는 건강 보험 계획, 의료 정보 처리 기관, 의료 서비스 제공자가 포함됩니다. 건강 정보를 취급한다는 사실만으로 적용 대상 기관의 지위가 성립되지는 않습니다.
비즈니스 제휴자
비즈니스 제휴자는 PHI에 접근하는 업무를 수행하며 적용 대상 기관을 위해 서비스를 제공하는 제3자 조직입니다. 전자 건강 기록을 관리하는 IT 서비스 제공업체나 청구 대행 업체 등이 그 예입니다. HIPAA는 적용 대상 기관이 각 비즈니스 제휴자와 PHI 보호에 대한 책임을 명시한 Business Associate Agreement(BAA)를 체결하도록 요구합니다. 예시는 다음과 같습니다.
- 전자 건강 기록(EHR)을 관리하는 IT 제공업체.
- 환자 데이터를 처리하는 청구 대행 업체.
- PHI와 관련된 서비스를 제공하는 법률 또는 회계 법인.
두 그룹 모두 개인 건강 정보를 안전하게 보호하고 법 위반을 피하기 위해 이러한 기본적인 HIPAA 규칙을 준수해야 합니다.
HIPAA상 보고 대상 침해 및 예외
허용되지 않는 사용 또는 공개는 PHI가 손상될 가능성이 낮다는 점을 문서화된 평가로 입증하거나 해당되는 예외가 적용되지 않는 한 침해로 추정됩니다.
- 직원 또는 적용 대상 기관이나 비즈니스 제휴자의 권한 하에 활동하는 사람이 선의로, 그리고 권한 범위 내에서 의도치 않게 정보를 취득, 접근 또는 사용했으며, 이후 추가적인 허용되지 않는 사용이나 공개가 없는 경우.
- 동일한 적용 대상 기관, 비즈니스 제휴자 또는 요건을 충족하는 조직화된 의료 약정 내에서 PHI에 접근할 권한이 있는 사람 간에 부주의로 공개되었으며, 이후 추가적인 허용되지 않는 사용이나 공개가 없는 경우.
- 권한 없는 수령인이 해당 정보를 보유할 수 없었을 것이라는 선의의 믿음이 있는 경우.
신속하게 바로잡았거나 정보가 민감하지 않다고 생각한다는 사실만으로는 평가가 끝나지 않습니다.
이러한 예외를 이해하면 조직이 적절하게 대응하고 불필요한 보고를 피하는 데 도움이 됩니다.
HIPAA 위반의 일반적인 원인
HIPAA 위반은 보호 조치의 허점이나 의도치 않은 실수에서 비롯되는 경우가 많습니다. 미국 보건복지부에 따르면 일반적인 원인은 다음과 같습니다.
- 무단 접근: 직원이 호기심이나 개인적인 이유로, 또는 정당한 업무 목적 없이 PHI에 접근하는 경우입니다. 동료, 가족 또는 유명 인사의 정보를 조회하는 것이 그 예입니다.
- 부적절한 보안 조치: ePHI 암호화, 물리적 기록의 안전한 폐기, 접근 제어를 위한 다단계 인증과 같은 핵심 보호 조치가 부족하여 침해에 대한 취약성이 높아집니다.
- 부적절한 공개: 환자의 적절한 승인이나 타당한 사유 없이 PHI가 공유되는 경우로, 잘못된 수신자에게 정보를 보내거나 안전하지 않은 통신 중에 세부 정보를 노출하는 것이 그 예입니다.
- 분실 또는 도난된 기기: 암호화되지 않은 ePHI가 들어 있는 모바일 기기, 노트북 또는 USB 드라이브는 도난이나 우발적인 분실에 특히 취약하여 데이터 침해의 심각한 위험을 초래합니다.
조직은 흔한 함정을 해결함으로써 HIPAA 위반 가능성을 크게 줄일 수 있습니다. 여기에는 정기적인 직원 교육, 강력한 보안 기술 도입, 위험 평가 실시, PHI를 취급하는 모든 제3자 서비스 제공업체와 Business Associate Agreement(BAA)를 체결하는 것이 포함됩니다.
위반을 방지하기 위한 팁:
- HIPAA를 준수하는 서비스와 접근 제어를 사용하여 PHI를 전송하세요.
- 직원들에게 HIPAA 규정과 데이터 보호 관행에 대해 정기적으로 교육하세요.
- 정기적으로 위험 평가를 실시하여 취약점을 파악하고 완화하세요.
- 모든 외부 서비스 제공업체와 BAA를 체결하여 PHI 보호에 대한 이들의 의무를 공식화하세요.
HIPAA 준수에 대한 마무리 생각
HIPAA의 세 가지 규칙인 개인정보 보호 규칙, 보안 규칙, 침해 통지 규칙은 보호 대상 건강 정보의 기밀성, 무결성, 가용성을 보장하기 위한 포괄적인 체계를 이룹니다. 이러한 HIPAA 규칙을 따르면 의료 기관은 환자 데이터를 안전하게 지키고, 값비싼 과태료를 피하며, 환자와 파트너의 신뢰를 얻을 수 있습니다.
HIPAA 준수는 법적 요건 그 이상으로, 윤리적인 의료 서비스 제공에 필수적입니다. 규정 준수를 우선시함으로써 조직은 환자의 개인정보를 보호하고, 운영 효율성을 높이며, 의료 시스템에 대한 신뢰를 유지할 수 있습니다.
민감한 정보를 처리하기 위해 HIPAA 규칙을 따르는 도구를 찾는 조직에는 Sign.Plus와 같은 서비스가 HIPAA 준수 규정을 충족하는 전자 서명 플랫폼을 제공하여 문서 업무를 더 쉽게 만들어 줍니다. 또한 Fax.Plus는 안전하고 신뢰할 수 있는 cloud 팩스 솔루션을 제공합니다. 이 두 도구는 의료 기관과 파트너가 HIPAA 지침을 효율적으로 따르도록 지원합니다.
이러한 안전한 솔루션에 투자하면 조직이 규정을 더 쉽게 준수할 수 있습니다. 또한 더 나은 의료 서비스를 제공하는 데 집중할 수 있습니다.
면책 조항: 이 문서는 정보 제공을 목적으로 하며 법률 자문에 해당하지 않습니다. 조직은 HIPAA를 완전히 준수하기 위해 자격을 갖춘 전문가와 상담해야 합니다.
추천 문서
모두 보기
지금 시작하기
스위스 연방
스위스 연방
스위스 연방
스위스 연방
Innosuisse - 스위스 혁신청
