hipaa-research-privacy

HIPAA 研究におけるプライバシー — 45 CFR §164.512(i)

概要

HIPAA プライバシールールでは、対象事業者が複数の経路を通じて、研究目的で PHI を使用および開示することが認められています。主な仕組みは、（1）§164.508 に基づく個人の承認、（2）§164.512(i) に基づく IRB またはプライバシーボードによる承認の免除または変更、（3）§164.514(e) に基づくデータ使用契約を伴う限定データセットの使用、（4）§164.514(a)-(b) に基づく非識別化データの使用、（5）§164.512(i)(1)(ii) に基づく研究準備レビュー、（6）§164.512(i)(1)(iii) に基づく死亡者情報に関する研究です。研究者および対象事業者は、ヒトを対象とする研究を独立して規制する HIPAA とコモンルール（45 CFR Part 46）の相互関係を理解する必要があります。

規制の枠組み

研究に関する承認 — §164.508

• §164.508(a)：対象事業者は、§164.508 の要件を満たす承認なしに PHI を使用または開示することはできません。ただし、別途認められている場合を除きます
• §164.508(b)(3)：研究に特化した承認の要素：
  • 個人が使用または開示される PHI を理解できるよう十分であれば、使用または開示する PHI を具体的または一般的な方法で記載できます
  • 特定の研究での PHI の使用または開示を対象とすることも、承認で目的が十分に説明されていれば、将来の特定されていない研究を対象とすることもできます
  • 承認に「研究の終了時」または「なし」などの文言が記載されている場合、有効期限を定める必要はありません

承認の免除 — §164.512(i)(1)(i)

対象事業者は、IRB またはプライバシーボードが以下のすべての基準を満たす承認の免除（または変更）を承認したことを示す文書を取得すれば、承認なしで研究のために PHI を使用または開示できます。

1. 個人のプライバシーに対するリスクが最小限であること。これは、以下に基づいて判断されます：

   • 識別情報の不適切な使用および開示を防ぐための適切な計画
   • 研究に即した最も早い機会に識別情報を破棄するための適切な計画（ただし、健康上または研究上の理由により保持する場合、または法律で保持が義務付けられている場合を除く）
   • 法律で義務付けられている場合、研究に対する認可された監督のため、または使用または開示が認められる他の研究のためを除き、PHI を他の個人または組織に再利用または開示しないことを示す、適切な書面による保証

2. 免除または変更なしでは、研究を実際上実施できないこと

3. PHI へのアクセスおよびその使用なしでは、研究を実際上実施できないこと

限定データセット — §164.514(e)

限定データセットには、§164.514(e)(2) に記載された 16 種類の直接識別子は含まれませんが、以下を含めることができます：

• 日付（入院、退院、出生、死亡、サービス）
• 市、州、5 桁の ZIP コード
• 年齢（90 歳以上のカテゴリーに集約されていない場合は、89 歳を超える年齢を含む）

以下を定めたデータ使用契約（DUA）が必要です：

• 許可される使用および開示
• 限定データセットを使用または受領できる者
• 再識別または個人への連絡の禁止
• 適切な保護措置に関する取り組み
• 違反の報告

研究準備 — §164.512(i)(1)(ii)

対象事業者は、以下の表明を取得すれば、研究準備のためのレビューに PHI を使用または開示できます。

1. 使用または開示は、研究プロトコルの準備または研究準備に関する同様の目的のために必要な PHI のレビューのみを目的として求められている
2. レビュー中に、PHI が対象事業者の外部へ持ち出されない
3. PHI が研究目的に必要である

死亡者に関する研究 — §164.512(i)(1)(iii)

対象事業者は、以下の条件を満たせば、死亡者の PHI を研究のために使用または開示できます。

1. 使用または開示が死亡者の PHI に関する研究のみを目的としている旨の表明を取得する
2. 求める PHI が研究に必要である
3. 要求に応じて死亡を証明する文書が提供される

HIPAA と Common Rule

要件	HIPAA プライバシールール	Common Rule（45 CFR Part 46）
規制対象	対象事業者および業務提携先による PHI の使用・開示	人を対象とする研究の参加者の保護
執行機関	OCR（HHS）	OHRP（HHS）および各機関の IRB
承認／同意	HIPAA の承認（§164.508）	インフォームドコンセント（§46.116）
免除	IRB／プライバシーボードによる承認の免除（§164.512(i)）	IRB によるインフォームドコンセントの免除（§46.116(f)）
非識別化	18 項目の識別子によるセーフハーバーまたは専門家による判定	IRB 審査の代替にはならない
適用対象	対象事業者および業務提携先が保有する PHI	連邦政府の資金提供を受ける機関で行われる、すべての人を対象とする研究
重複適用	同じ研究に両方が適用される場合があります — 両方への準拠が必要です	同じ研究に両方が適用される場合があります — 両方への準拠が必要です

執行事例

• Lurie Children's Hospital（2024年、345万ドル）：主にサイバーセキュリティに関する和解でしたが、OCR は PHI を含む研究データが侵害された記録に含まれていたと指摘し、研究に関する PHI を保護する義務を強調しました
• Memorial Sloan Kettering（NYS AG、2023年）：第三者との遺伝データ共有に関する研究同意慣行が不十分であったとして、州による執行が行われました
• University of Mississippi Medical Center（2016年、275万ドル）：OCR は、研究データリポジトリに影響を及ぼすリスク分析およびアクセス制御の全社的な不備を認定しました

統合ポイント

• hipaa-privacy-rule：研究での使用と開示はプライバシールールに従います
• hipaa-deidentification：非識別化により、研究での使用に関する HIPAA の制限がなくなります
• hipaa-minimum-necessary：免除のもとで研究データを開示する場合、最小限必要な範囲の原則が適用されます（個人によるアクセスまたは承認済みの開示には適用されません）
• hipaa-baa-management：研究協力者は、PHI を作成、受領、維持、または送信する場合、業務提携先となる可能性があります
• hipaa-breach-notification：研究データの侵害にも同じ通知義務が適用されます