42-cfr-part-2

42 CFR Part 2 — 物質使用障害の記録

概要

42 CFR Part 2 は、物質使用障害（SUD）の治療を行う連邦政府の支援を受けたプログラムが作成する患者記録について、連邦政府による機密保護を定めています。1970年の包括的アルコール乱用・アルコール依存症予防、治療、リハビリテーション法および1972年の薬物乱用予防、治療、リハビリテーション法に基づいて当初制定された Part 2 は、SUD の記録が患者の刑事訴追やその他の差別に利用されないようにすることで、治療への障壁を取り除くことを目的としていました。Part 2 は HIPAA よりも意図的に厳格であり、ほとんどの情報開示に具体的な書面による同意を求め、受領者による再開示を禁止しています。CARES Act §3221（2020年3月制定）およびその後の2024年最終規則（89 FR 12472、2024年2月16日発効）により、Part 2 は大幅に改正され、患者に対する中核的な保護を維持しつつ、一部の規定が HIPAA と整合するようになりました。

適用対象 — 遵守が求められる対象者

Part 2 プログラム

Part 2 は、連邦政府の支援を受け、物質使用障害の診断、治療、または治療への紹介を提供すると公に掲げ、実際に提供しているあらゆる「プログラム」に適用されます。プログラムが連邦政府の支援を受けているとみなされるのは、次のいずれかに該当する場合です。

1. 米国のいずれかの省庁または機関（VA、IHS、軍）が実施している
2. 連邦政府からの免許、認定、登録、または許可に基づいて実施されている（オピオイド治療プログラムの DEA 登録など）
3. 連邦政府のいずれかの省庁または機関から資金援助を受けている（Medicare／Medicaid への参加も該当します）
4. 26 USC §501(c)(3) に基づく非課税資格を通じて IRS の支援を受けている
5. SUD プログラムに使用できる連邦資金を受け取っている州または地方政府が実施している（その資金が SUD に直接使用されていない場合も含みます）

Asclepius Health Network への適用：Asclepius は、SUD 治療を専門とする施設を3か所運営し、全12病院で SUD 治療サービスを提供しています。Asclepius は Medicare および Medicaid に参加しているため、すべての SUD 治療記録が Part 2 の記録に該当します。Asclepius は EHR 内で Part 2 の記録に対する個別の同意ワークフローを維持しています。

一般医療施設

一般医療施設（病院の救急部門など）が Part 2 プログラムとなるのは、SUD の診断、治療、または治療への紹介を提供すると公に掲げる特定の部門に限られます。ただし、2024年の改正では、一般医療記録に偶発的に含まれる SUD 情報（心臓疾患による入院中に記録された、患者にアルコール使用障害の既往歴があるという記載など）が Part 2 の対象となるのは、その情報が Part 2 プログラムから取得された場合に限られることが明確化されました。

保護対象となる記録 — §2.12

Part 2 は、次の記録を保護します。

1. 患者が物質使用障害を有している、または有していたことを特定できる記録
2. Part 2 プログラムが作成した（または Part 2 プログラムから受け取った）記録
3. SUD の診断、治療、または紹介に関する情報を含む記録

保護は、個人が SUD 患者である、または過去にそうであったことを特定できるあらゆる情報に適用されます。これには、その人物が Part 2 プログラムの患者である、または過去に患者であったという事実も含まれます。

同意要件 — §2.31

書面による同意が必要

同意なしで TPO を目的とした情報開示を認める HIPAA とは異なり、Part 2 では従来、ほぼすべての情報開示に具体的な書面による同意が必要でした。2024年の改正では、TPO に関して HIPAA と整合する一度限りの同意モデルが導入されましたが、重要な保護措置も設けられています。

2024年以前の同意要件（TPO以外の開示には引き続き適用）

有効なPart 2の同意には、以下のすべてを含める必要があります。

要素	要件
患者の氏名	患者の正式な氏名
Part 2プログラムの名称	開示を行う具体的なプログラム
受領者の氏名	開示先となる個人または組織の氏名、あるいは一般的な指定
目的	開示の目的を明記する必要があります
開示する情報	開示する情報の範囲と種類
患者の署名	患者（または権限を与えられた代理人）の署名
署名日	同意書に署名した日付
撤回可能性に関する声明	プログラムがすでに同意に依拠して行動している範囲を除き、同意はいつでも撤回可能である旨の声明
有効期限	同意が失効する日付、出来事、または条件（指定がない場合は、目的が達成された時点で失効する旨を同意書に記載する必要があります）
再開示禁止の通知	Part 2で許可されている場合を除き、同意に基づいて開示された情報をさらに開示してはならない旨の声明

2024年の改正 — TPOに関するHIPAA準拠の同意

2024年最終規則（89 FR 12472）により§2.33が導入され、治療、支払い、医療運営を目的とする将来のすべての使用および開示について、事前の書面による単一の同意が可能になりました。

§2.33の同意の主な特徴：

• 患者は、将来のTPO開示すべてを対象とする単一の書面による同意を提供できます
• 同意は、治療を行う医療提供者、支払者、医療運営を担う組織への開示を対象とします
• 同意書に個々の受領者を記載する必要はありません。受領者のカテゴリーを一般的に指定すれば十分です（例：「私の治療を担当する医療提供者」または「私の医療保険プラン」）
• 患者が撤回しない限り、同意は失効しません
• 患者はいつでも撤回する権利を保持します（撤回は将来に向かって効力を生じます）
• 受領者には、Part 2の差別禁止および使用・開示の制限が引き続き適用されます

Asclepius Health Networkでの実装：Asclepiusは、SUDプログラムの受け入れ時に、患者に§2.33のTPO同意書を提供します。TPO同意書に署名した患者のPart 2記録には、治療を担当する医療提供者および患者の医療保険プランとの許可された共有ができるよう、EHR上でフラグが設定されます。TPO同意を拒否した患者には、従来の開示ごとの同意手続きが適用されます。すべての同意に関する判断はEHRに記録されます。

再開示の禁止 — §2.32

Part 2の中核的な保護

Part 2の記録を開示する際は、毎回、以下の通知を添付する必要があります。

「あなたに開示されたこの記録は、連邦政府の機密保持規則（42 CFR Part 2）によって保護されています。連邦規則により、対象者が物質使用障害を有する、または有していたことを特定するこの記録内の情報について、書面による同意を行った本人の同意により明示的に許可されている場合、または42 CFR Part 2により別途許可されている場合を除き、直接的に、公に入手可能な情報を参照して、または他者による特定の確認を通じて、さらなる開示を行うことは禁止されています。医療情報その他の情報の公開に関する一般的な承認は、この目的には不十分です（§2.31を参照）。連邦規則は、§§2.12(c)(5)および2.65に定める場合を除き、物質使用障害のある患者に関する犯罪の捜査または訴追を目的とする情報の使用を制限しています。」

2024 年改正による再開示への影響

2024 年の改正により、§2.33 の TPO 同意に基づいて Part 2 の記録が開示された場合：

• HIPAA の対象事業者または業務提携先である受領者は、HIPAA の規則に従って記録をさらに使用および開示できます（TPO の目的では、実質的に HIPAA で保護される PHI として扱われます）。
• HIPAA の対象となる受領者については、標準的な HIPAA 認可の TPO 活動を認めるため、再開示の禁止が緩和されます。
• ただし、患者に対する民事、刑事、行政または立法上の手続きにおいて Part 2 の記録を使用することの禁止は維持されます（§2.12(d)）。
• HIPAA の対象ではない受領者には、従来の再開示禁止が引き続き適用されます。

裁判所命令の要件 — §2.64、§2.65

裁判所命令による開示の承認

同意が得られない、または適用されない場合、裁判所は「正当な理由」があると認定した場合に限り、開示を承認する命令を出すことができます。正当な理由とは、次の条件を満たすことを意味します。

1. 情報を入手する他の方法がない、または有効ではないこと
2. 開示による公益と必要性が、患者、医師と患者の関係、および治療サービスに及ぼす潜在的な損害を上回ること

申請手続き

裁判所命令の申請では、患者に仮名を使用しなければならず、患者自身が申請者でない限り、患者を特定できる情報を裁判所に開示してはなりません。申請書は封印して提出する必要があります。

刑事捜査 — §2.65

非常に限られた例外を除き、物質使用障害に関連する犯罪について患者を捜査または訴追するために、Part 2 の記録を使用することはできません。

• §2.65 に基づく裁判所命令では、犯罪が極めて重大である（死亡または重傷を引き起こす、またはその恐れがある）との追加認定が必要です。
• 命令では、目的の達成に必要不可欠な情報に開示を限定し、情報を必要とする者のみにアクセスを制限しなければなりません。

適格サービス組織契約 — §2.11(a)

Part 2 では、Part 2 プログラムにサービスを提供する組織に対し、QSOA（HIPAA の BAA に相当）を使用します。

QSOA の要件	説明
書面による契約	書面で作成し、両当事者が署名する必要があります
Part 2 の義務を認識	QSO は Part 2 の適用を受けることを認識します
許可される活動	データ処理、検査機関による分析、法律、医療、会計、その他の専門サービス
再開示の禁止	QSO は、Part 2 で許可される場合を除き、再開示しないことに同意します
強制手続きへの抵抗	QSO は、Part 2 で許可される場合を除き、患者の記録を求める司法手続きに抵抗することに同意します

2024 年改正：既存の QSOA は維持できますが、Part 2 の記録について HIPAA 形式の BAA を使用するようプログラムを移行できるようになりました。ただし、BAA に Part 2 固有の保護（差別の禁止、捜査または訴追における使用制限）が含まれている必要があります。

比較：Part 2 と HIPAA（2024年改正後）

項目	HIPAA	42 CFR Part 2（2024年改正後）
TPO に対する同意	不要	書面による同意が必要（§2.33 により単一の同意が可能）
同意の具体性	該当なし（TPO に対する同意は不要）	指定された要素を含める必要があります。TPO については、受領者を一般的に指定できます
再開示	HIPAA では、許可された使用・開示の範囲内で認められます	制限されています。HIPAA の対象事業体である受領者は、TPO について HIPAA に基づき使用できます。差別禁止の保護は維持されます
患者に対する法的手続きでの使用	禁止規定なし	特定の裁判所命令がある場合を除き禁止されています（§2.12(d)）
侵害通知	§164.400-414 に基づき必要です	HIPAA の侵害通知要件に準拠するよう改正されました（2024年改正）
罰則	HIPAA の民事罰および刑事罰	Part 2 の刑事罰（§2.4）に加え、対象事業体には HIPAA の罰則が適用されます（2024年改正）
執行	OCR	SAMHSA（Part 2 固有）および OCR（執行を統一、2024年改正）
患者のアクセス権	あり、§164.524	HIPAA に準拠するよう改正されました（2024年改正）

特別な対象者と状況

未成年者 — §2.14

• 未成年者が SUD 治療に同意できるかどうかは、州法で定められています
• 未成年者が法律上 SUD 治療に同意できる場合、開示に関する Part 2 の同意は未成年者が決定します
• 法律上治療に同意できない未成年者については、親または保護者が同意できますが、Part 2 プログラムは未成年者を保護するために、親のアクセスを拒否できます

医療上の緊急事態 — §2.51

真正な医療上の緊急事態において、緊急事態への対応に必要な範囲で、医療従事者に同意なしで開示することが認められます。プログラムは、受領者の氏名と所属、開示を承認した個人の氏名、開示日時、緊急事態の内容、開示した情報を記録しなければなりません。

監査および評価 — §2.53

連邦、州、地方政府機関および第三者支払機関は、再開示に関する制限と、刑事捜査または訴追での使用禁止に従うことを条件に、同意なしで監査および評価を目的として Part 2 の記録にアクセスできます。

Asclepius Health Network の Part 2 コンプライアンスプログラム

1. EHR のセグメンテーション：Part 2 の記録には機微性コードを付与し、アクセス制御によって Part 2 の認可を受けていないユーザーが閲覧できないようにします
2. 同意管理：専用の同意書を EHR で追跡管理し、同意状況（付与／撤回／未申請）を臨床スタッフが確認できるようにします
3. スタッフ研修：臨床、請求、HIM の全スタッフを対象に、Part 2 に特化した年次研修を実施します。SUD プログラムのスタッフには四半期ごとに復習研修を行います
4. HIE への参加：患者が §2.33 の TPO 同意書に署名していない限り、Part 2 の記録は自動 HIE フィードから除外されます
5. 侵害対応：Part 2 の侵害対応では、HIPAA の侵害通知手順に従い（2024年改正で準拠）、追加で SAMHSA への報告も行います

執行

刑事罰 — §2.4

Part 2 に違反した者は、次の罰則の対象となります。

• 初犯：500ドル以下の罰金
• 再犯：5,000ドル以下の罰金

2024年改正による罰則の統一

2024年最終規則により、対象事業体および業務提携者に対する HIPAA の罰則段階に Part 2 の執行が統一され、OCR は Part 2 違反に対して HIPAA と同水準の民事金銭罰を科すことが可能になりました。

統合ポイント

• hipaa-privacy-rule：HIPAA 対象事業体が保有する Part 2 の記録には、Part 2 と HIPAA の両方が適用されます。Part 2 の方がより厳格な基準です
• hipaa-breach-notify：Part 2 の侵害通知は、HIPAA の侵害通知要件に準拠するよう改正されました
• hipaa-minimum-necessary：Part 2 の同意では開示範囲を指定します。HIPAA では、別途、必要最小限の原則が適用されます
• hipaa-baa-management：QSOA は、BAA に相当する Part 2 の機能を果たします。2024年改正により、Part 2 に関する追加条項を設けたうえで BAA を使用できるようになりました