hipaa-privacy-rule

HIPAA プライバシールール — 45 CFR §164.500-534

概要

HIPAA プライバシールールは、対象事業者およびそのビジネスアソシエイトが保有する、個人を特定できる健康情報（保護対象保健情報、PHI）の保護に関する全米基準を定めています。1996 年の医療保険の相互運用性と説明責任に関する法律に基づいて制定され、2000 年のプライバシールールで最終決定されたこのルールは（HITECH 法／オムニバスルールに基づき、2002 年と 2013 年に大幅な改正が行われました）、患者のプライバシー権と医療提供における実務上の必要性のバランスを取っています。プライバシールールは、HIPAA の対象となる取引に関連して、健康情報を電子的に送信する健康保険プラン、医療情報交換機関、および医療提供者に適用されます。

対象事業者およびビジネスアソシエイト

対象事業者とは

45 CFR §160.103 に基づき、対象事業者には以下が含まれます。

事業者の種類	定義	例
医療提供者	HIPAA の対象となる取引に関連して、健康情報を電子的に送信する医療提供者	病院、医師の診療所、薬局、検査機関、歯科医、カイロプラクター
健康保険プラン	医療を提供する、または医療費を支払う個人または団体のプラン	健康保険会社、HMO、雇用主が提供する健康保険プラン、政府プログラム（Medicare、Medicaid、TRICARE）
医療情報交換機関	標準化されていない健康情報を標準形式に処理する事業者	請求サービス、価格再設定会社、地域保健管理情報システム

Asclepius Health Network の例

Asclepius Health Network は、12 の病院、85 の外来診療所、および関連する健康保険プランから成る対象事業者として運営されています。主治医から受付スタッフまで、すべての職員がプライバシールールを遵守しなければなりません。Asclepius は、全施設におけるルールの実施を管理するため、最高プライバシー責任者を任命しています。

保護対象保健情報（PHI）

定義

PHI とは、対象事業者またはビジネスアソシエイトが、いかなる形式または媒体で送信または保管する、個人を特定できる健康情報です。45 CFR §160.103 に基づき、個人を特定できる健康情報とは、次の情報を指します。

1. 医療提供者、健康保険プラン、雇用主、または医療情報交換機関が作成または受領した情報
2. 個人の過去、現在、または将来の身体的もしくは精神的な健康状態、個人への医療提供、または医療費の支払いに関連する情報
3. 個人を特定する情報、または個人が特定されると合理的に判断できる根拠となる情報

PHI に含まれる情報

PHI は、電子情報（ePHI）、紙媒体、口頭など、あらゆる形式の情報を含みます。§164.514(b)(2) で定義される 18 種類の識別子は、次のとおりです。

1. 氏名
2. 州よりも詳細な地理データ（住所、市、郡、ZIP コード。ただし、人口が 20,000 人を超える場合は最初の 3 桁のみであれば使用できます）
3. 個人に関連する日付（出生、入院、退院、死亡。ただし、年のみであれば使用できます）
4. 電話番号
5. ファクス番号
6. メールアドレス
7. 社会保障番号
8. 医療記録番号
9. 健康保険プランの加入者番号
10. 口座番号
11. 証明書／免許番号
12. ナンバープレートを含む車両識別番号およびシリアル番号
13. デバイス識別番号およびシリアル番号
14. Web URL
15. IP アドレス
16. 生体識別情報（指紋、声紋）
17. 顔全体が写った写真および同等の画像
18. その他の一意な識別番号、特徴、またはコード

除外事項

PHI には、以下は含まれません。

• FERPA の対象となる教育記録
• 対象事業者が雇用主としての立場で保有する雇用記録
• §164.514(a)-(b) の基準を満たす匿名化データ

PHI の利用および開示

個人の承認なしに許可される利用

プライバシールールでは、次の状況において、個人の承認なしに PHI を利用および開示することが認められています。

治療、支払い、医療運営（TPO）— §164.506

TPO は、日常的な医療の提供を可能にする主な例外です。

治療（§164.501）：1 人以上の医療提供者による、医療および関連サービスの提供、調整、または管理を指します。医療提供者間の相談、紹介、および患者に関する医療提供者間の連絡が含まれます。

Asclepius Health Network では、心臓専門医が患者の心エコー検査結果を紹介元のかかりつけ医と共有することは治療に該当するため、患者の承認を必要としません。

支払い（§164.501）：対象事業体またはその業務委託先が、医療の費用を得る、または償還を行うための活動を指します。資格の判定、請求、保険請求の管理、利用審査、回収活動が含まれます。

Asclepius Health Network の請求部門は、患者の承認を得ずに、保険請求の審査のため、患者の診断コードと処置コードを患者の健康保険会社に提出できます。

医療運営（§164.501）：品質評価、能力の保証、医療審査の実施または手配、法務サービス、監査、事業計画、カスタマーサービス、内部の苦情への対応、コンプライアンス活動、および限定的な匿名化データの分析などの活動を指します。

公益および利益のための活動 — §164.512

活動	CFR セクション	要件
法律で義務付けられている場合	§164.512(a)	法令、規則、または裁判所命令によって強制される開示
公衆衛生	§164.512(b)	疾病予防、FDA への報告、職場の安全のために公衆衛生当局に開示
虐待・ネグレクトの被害者	§164.512(c)	報告を受ける権限を有する政府機関への開示
医療監督	§164.512(d)	監査、調査、検査のために医療監督機関に開示
司法手続き	§164.512(e)	裁判所命令、または召喚状を伴う適格な保護命令に応じた開示
法執行	§164.512(f)	法的手続きに従う場合、または限定的な状況（身元確認、施設内での犯罪、緊急事態）での開示
死亡者	§164.512(g)	検視官、監察医、葬儀担当者への開示
臓器提供	§164.512(h)	臓器提供機関への開示
研究	§164.512(i)	IRB／プライバシー委員会による承認の免除、研究準備、または死亡者に関する研究に基づく開示
重大な脅威	§164.512(j)	健康または安全に対する重大かつ差し迫った脅威を防止または軽減するための開示
政府の重要な機能	§164.512(k)	軍、退役軍人、国家安全保障、情報機関、保護サービス
労働者災害補償	§164.512(l)	労働者災害補償法で認められる範囲での開示

承認が必要な利用および開示 — §164.508

次の場合は承認が必要です。

• 精神療法記録の利用および開示（§164.508(a)(2)）
• マーケティング目的での利用および開示（§164.508(a)(3)）
• PHI の販売（§164.508(a)(4)）
• プライバシールールで別途許可または義務付けられていない利用または開示

有効な承認の要件

§164.508(c) に基づく有効な承認には、次の内容を含める必要があります。

1. 利用または開示する情報について、具体的かつ明確な説明
2. 利用または開示を行う権限を与えられた者の氏名または具体的な特定
3. 開示先となる者の氏名または具体的な特定
4. 利用または開示の各目的の説明（「個人の要請による」とするだけでも十分です）
5. 有効期限または終了事由
6. 個人の署名と日付
7. 個人の代理人が署名する場合は、その代理人の権限の説明

承認書に記載が必要な事項：

• 書面で承認を撤回する権利
• 承認を条件として治療、支払い、加入、または資格判定を行うかどうか
• 受領者によって再開示される可能性（再開示後は HIPAA による保護の対象外）

最小限必要な基準 — §164.502(b)

一般要件

対象事業者は、使用、開示、または要求の目的を達成するために必要な最小限の範囲にPHIを制限するよう、合理的な努力を払わなければなりません。これは、最も頻繁に引用され、執行される規定の一つです。

最小限必要な基準の例外

最小限必要な基準は、以下には適用されません。

1. 治療目的で医療提供者に対して行う開示、または医療提供者からの要求
2. PHIの対象者本人に対する開示
3. 有効な承認に基づいて行われる使用または開示
4. コンプライアンス調査または執行のためにHHSに対して行う開示
5. 法律で義務付けられている使用または開示
6. HIPAA管理簡素化への準拠に必要な使用または開示

Asclepius Health Networkにおける実施

Asclepius Health Networkは、以下を通じて最小限必要な基準を実施しています。

職員のアクセス：職員の各役割に必要なPHIのカテゴリーを定める、役割ベースのアクセス制御を導入しています。救急部門の看護師は、現在の受診記録、バイタルサイン、アレルギー、投薬リストにアクセスします。請求担当者がアクセスできるのは、患者の基本情報、保険の詳細、診断コード、処置コードであり、臨床記録にはアクセスできません。

定型的な開示：定型的かつ反復的な開示については、提供する情報を制限する標準プロトコルを維持しています。保険資格の確認では、患者の氏名、生年月日、保険ID、依頼されたサービスの日付のみを送信します。

非定型的な開示：非定型的な開示については、各要求をプライバシーオフィスが個別に審査します。審査担当者は最小限必要な原則を適用し、開示範囲の根拠を記録します。

個人の権利

アクセス権 — §164.524

個人は、指定記録セットに保持されているPHIを閲覧し、そのコピーを取得する権利を有します。ただし、限定的な例外があります。

• 期限：対象事業者は、要求を受けてから30日以内に対応しなければなりません（書面による説明があれば、30日の延長が1回認められます）
• 形式：要求された場合、容易に作成できるなら、PHIは電子形式で提供しなければなりません
• 手数料：コピー作成の労務費、消耗品、郵送料に対する合理的な実費ベースの手数料に限られます（検索や探索の費用は対象外です）
• 拒否事由：心理療法記録、法的手続きのために収集された情報、CLIAの対象となる検査結果、アクセスが健康または安全を脅かす場合の受刑者、参加登録時に合意していた場合の研究期間中の研究参加者

Asclepius Health Networkは、患者ポータルから電子医療記録にアクセスできるようにしています。追加の記録を要求した患者には、15営業日以内に提供します。電子コピー1件につき6.50ドルを請求します（労務費と送信費を含む定額料金）。

訂正を求める権利 — §164.526

個人は、指定記録セットに含まれるPHIの訂正を要求できます。対象事業者は、情報が以下に該当する場合、要求を拒否できます。

• 対象事業者が作成したものではない（ただし、作成者が利用できなくなっている場合を除く）
• 指定記録セットの一部ではない
• §164.524に基づくアクセスの対象にならない
• 正確かつ完全である

拒否された場合、個人は記録に添付する異議申し立ての声明を提出できます。

開示記録の取得権 — §164.528

個人は、要求前の6年間に対象事業者が行った開示の記録を受け取る権利を有します。例外となる開示には、以下が含まれます。

• 治療、支払い、または医療運営のための開示
• 本人への開示
• 承認に基づく開示
• 施設の名簿への掲載、またはケアに関与する人への開示
• 国家安全保障または情報活動の目的での開示
• 拘禁下の状況における矯正施設または法執行機関への開示
• 限定データセットの一部である開示
• プライバシールールの遵守期限より前に行われた開示

制限を求める権利 — §164.522(a)

個人は、TPO を目的とする使用および開示に制限を求めることができます。対象事業者はその制限に同意する義務はありません。ただし、次の場合を除きます。

• 必須の制限：個人が医療項目またはサービスの費用を全額自己負担した場合、対象事業者は、支払いまたは医療業務を目的とする健康保険プランへの開示を制限することに同意しなければなりません（HITECH §13405(a) により追加）

秘密保持に配慮した連絡を求める権利 — §164.522(b)

個人は、連絡を別の手段または別の場所に送るよう求めることができます。医療提供者は、合理的な要請に応じなければなりません。健康保険プランは、開示によって危険にさらされる可能性があると個人が述べた場合、その要請に応じなければなりません。

プライバシー慣行通知を受け取る権利 — §164.520

対象事業者は、以下を説明するプライバシー慣行通知（NPP）を提供しなければなりません。

• PHI の使用および開示方法
• PHI に関する個人の権利
• 対象事業者の法的義務
• 詳細情報の問い合わせ先
• 苦情の申し立て方法

配布：直接の治療関係にある医療提供者は、初回のサービス提供時に NPP を提供し、書面による受領確認を誠実に取得するよう努めなければなりません。健康保険プランは、加入時および重要な改訂から 60 日以内に提供しなければなりません。

施設名簿への掲載拒否 — §164.510(a)

施設名簿を管理する対象事業者は、名簿への掲載を目的として、限定的な PHI（患者名、施設内の所在地、全般的な状態、宗教上の所属）を含めることができます。個人には、次の機会が与えられなければなりません。

1. 掲載する PHI について事前に説明を受ける
2. 一部またはすべての使用を制限または禁止する機会を与えられる
3. 完全に掲載を拒否できる

個人が意思表示できない状態にある、または連絡が取れない場合、対象事業者は、本人が以前に示した希望に反せず、かつ専門的判断に基づいて開示が本人の最善の利益になると判断される場合に、名簿情報を含めることができます。

Asclepius Health Network では、患者は登録時に施設名簿への掲載を希望するか尋ねられます。掲載を拒否した患者には入院管理システムでフラグが付けられ、すべての職員に対し、電話の相手や訪問者に情報を提供しないよう指示されます。

個人代理人 — §164.502(g)

個人代理人が、適用法に基づき医療上の意思決定において本人を代理する権限を有する場合、プライバシー規則の適用上、個人代理人は本人として扱わなければなりません。

個人	個人代理人	権限の根拠
成人	医療に関する委任状を持つ者	州の医療に関する委任状法
未成年者（一般）	親、後見人、または親に代わって行動する者	親の権限に関する州法
未成年者（例外）	未成年者本人が代理人となる	未成年者の同意を認める州法（STI 治療、物質乱用、生殖医療）
死亡した個人	遺言執行者、遺産管理人、または遺産に関する法的権限を有する者	州の遺産検認法
判断能力を欠く成人	裁判所が任命した後見人、または州法に基づき権限を与えられた者	州の後見法

虐待・ネグレクトの例外：対象事業者は、本人が代理人から家庭内暴力、虐待、またはネグレクトを受けている、もしくは受ける可能性があると合理的に判断し、代理人として扱うことが本人の最善の利益にならない場合、その者を個人代理人として扱うことを拒否できます。

執行と罰則

OCR による執行

米国保健福祉省（HHS）の公民権局（OCR）は、以下を通じてプライバシー規則を執行します。

• 苦情の調査
• コンプライアンス審査
• 技術支援とガイダンス

民事金銭制裁（HITECH による改正後）

Tier	Culpability Level	Per Violation	Annual Maximum
1	知らなかった（合理的な注意を払っても知り得なかった）	$137–$68,928	$2,067,813
2	合理的な理由がある、故意の怠慢ではない	$1,379–$68,928	$2,067,813
3	故意の怠慢があったが、30 日以内に是正	$13,785–$68,928	$2,067,813
4	故意の怠慢があり、是正されなかった	$68,928–$2,067,813	$2,067,813

制裁金額は、45 CFR §160.404 に基づき、インフレに応じて毎年調整されます。

主な執行措置

• Anthem Inc.（2018 年）：1,600 万ドルで和解。78.8 百万人に影響した侵害に対する、HIPAA 史上最大の和解です。調査では、アクセス制御の不備と、全社的なリスク分析を実施しなかったことが指摘されました。
• Premera Blue Cross（2020 年）：リスク分析の実施と適切なセキュリティ制御の導入を怠ったため、1,040 万件の記録が侵害され、685 万ドルで和解しました。
• Banner Health（2023 年）：281 万人以上に影響した侵害に対し、125 万ドルで和解しました。OCR は、正確なリスク分析の実施と監査制御の導入を怠ったと判断しました。

統合ポイント

• hipaa-security-rule：プライバシールールの ePHI 保護を実装する技術的保護措置
• hipaa-minimum-necessary：必要最小限の基準の詳細な実装
• hipaa-breach-notify：プライバシールール違反によって不正開示が生じた場合の侵害通知義務
• hipaa-baa-management：プライバシールールに基づく業務提携者の義務
• hipaa-deidentification：PHI を非識別化し、プライバシールールの適用範囲から除外する方法