ヘルスケアのセキュリティ：HIPAA コンプライアンスソリューション

HIPAA を遵守しなければならない事業体は、「対象事業体」および「事業提供者」として定義されます。対象となる事業体は、保健計画、医療事務処理会社、および保健情報を電子的に送信する医療提供者です。事業提供者とは、保護された保健情報の使用または開示を伴う特定の機能または活動を対象事業体に代わって実行する、またはサービスを提供する個人または企業です。

HIPAA は、対象事業体またはその事業提携者が保有または送信するすべての「個人を特定できる保健情報」を、電子、紙、または口頭のいずれかの形式または媒体で保護します。これは保護対象保健情報（PHI）と呼ばれます。例としては、名前、生年月日、医療記録、薬局の処方などが挙げられます。

HIPAA の主な構成要素は、個人を特定できる保健情報のプライバシーを保護するプライバシー規則、電子的に保護された保健情報のセキュリティ基準を設定するセキュリティ規則、および PHI の侵害後に対象事業体および事業提携者に通知を提出するこことを要求する違反通知規則です。

HIPAA プライバシー、セキュリティ、違反通知規則の要件を満たすポリシーと手順を導入することで、組織は HIPAA に準拠することができます。これには、リスク評価の実施、従業員のトレーニング、患者データの保護、インシデント対応手順の確立が含まれます。

HIPAA を遵守しないことに対する罰金は、1 件の違反に 100 ドルから 50,000 ドルの範囲で課せられ、最大では、1 件の違反に年間 150 万ドルの罰金が課せられます。正確な罰則は、違反の性質とその過失の程度によって異なります。

HIPAA は、患者に自身の保健情報に関する特定の権利を与えます。これには、保健記録の調査、コピーの取得、修正を要求する権利が含まれます。HIPAA コンプライアンスとは、患者がこれらの権利を行使できるようにするために医療事業者が採用する一連のポリシーと手順です。

HIPAA 違反とは、保護対象保健情報のセキュリティまたはプライバシーを侵害する、プライバシー規則下における不正な使用または開示です。対象事業体は、影響を受ける個人、米国保健社会福祉省（HHS）の長官、特定の状況ではメディアに違反通知を提出する必要があります。

HIPAA は、対象事業体および事業提供者の全従業員が必要かつ適切に職務を遂行するために、組織のプライバシーおよびセキュリティポリシーと手順に関するトレーニングを受けることを要求しています。特定の頻度は義務付けられていませんが、トレーニングは毎年、または規制や業務慣行に重大な変更がある場合に実施することが推奨されています。

はい。個人は、保健情報が HIPAA に準拠しない方法で使用または開示された、または保健情報へのアクセスが拒否されたと考える場合、米国保健福祉省公民権局（OCR）に苦情を申し立てることができます。