医療保険の携行性と責任に関する法律

1996年医療保険の携行性と責任に関する法律

その他の短いタイトル	カセバウム＝ケネディ法、ケネディ＝カセバウム法
長いタイトル	1986 年の内国歳入法典を改正し、団体市場および個人市場における健康保険の可搬性と継続性を改善し、健康保険および医療提供における無駄、詐欺、乱用を防止し、医療貯蓄口座の利用を促進し、長期介護サービスおよび保険へのアクセスを改善し、健康保険の管理を簡素化し、その他の目的を達成するための法律。
頭字語 （口語）	HIPAA (発音/ ˈ h ɪ p ə / HIP -uh )
制定者	第104回米国議会
引用
公法	出版L.ツールチップ公法（米国） 104–191（テキスト）（PDF）
法令全般	110   1936年法令
立法の歴史
1996年3月18日、ビル・アーチャー（テキサス州共和党議員）により下院でHR3103として提出された。 下院歳入委員会による審議 1996年3月28日に下院を通過（267対151） 1996年4月23日に上院を通過 （100対0、S.1028に代わる） 1996年7月31日に合同協議委員会により報告され、 1996年8月1日に下院（421対2）で、 1996年8月2日に上院（98対0）で承認された。 1996年8月21日にビル・クリントン大統領によって法律として署名された。

1996年医療保険の携行性と責任に関する法律（HIPAAまたはケネディ・カセバウム法[ ^{1] [2] ）は、}第104回米国議会で制定され、 1996年8月21日にビル・クリントン大統領によって法律として署名された米国議会法である。 ^[3]この法律は、医療情報の転送を変更することを目的としており、医療および医療保険業界が保持する個人情報を詐欺や盗難から保護するためのガイドラインを規定し、 ^[4]医療保険の適用範囲に対するいくつかの制限に対処した。この法律は一般に、医療提供者および対象事業体と呼ばれる企業が、患者および患者の許可された代理人以外の者に、患者の同意なしに保護情報を開示することを禁止している。この法案は、患者が自分自身の情報を受け取ることを制限していない（限られた例外を除く）。^[5]さらに、患者が自分の健康情報を自発的に共有することを禁止しておらず、患者が家族、友人、または対象事業体の従業員以外の個人に医療情報を開示する場合の守秘義務も要求していない。

この法律は5つのタイトルから構成されています:

1. タイトルIは、労働者とその家族が転職したり失業したりした場合に健康保険の適用範囲を保護します。 ^[6]
2. 行政簡素化（AS）条項として知られるタイトルIIは、電子医療取引に関する国家標準と、医療提供者、健康保険プラン、雇用者のための国家識別子の確立を義務付けている。^[7]
3. タイトル III は、税引き前の医療費口座に関するガイドラインを定めています。
4. タイトル IV は、団体健康保険プランのガイドラインを定めています。
5. タイトル V は、企業所有の生命保険契約を規定します。

この法律にはタイトルと呼ばれる 5 つのセクションがあります。

HIPAA のタイトル I は、団体健康保険プランと特定の個人健康保険の利用可能性と範囲を規制しています。この法律は、従業員退職所得保障法、公衆衛生サービス法、および内国歳入法を改正しました。さらに、タイトル I は、健康保険を失うため従業員が仕事を辞めることができない「ジョブ ロック」の問題に対処しています。^[8]ジョブ ロックの問題に対処するため、タイトルは、従業員とその家族が職を失ったり転職したりした場合に健康保険の適用範囲を保護します。^[9]

タイトル I は、既往症に対する給付の適用を義務付けるとともに、団体健康保険が適用できる制限も制限しています。団体健康保険は、プラン加入後 12 か月間、または加入が遅れた場合は 18 か月間、既往症に関する給付を拒否することができます。^[10]タイトル I では、個人がプラン加入前に「信用できる保険」に加入していた期間と、保険の「重大な中断」があった期間に応じて除外期間を短縮することができます。^[11]「信用できる保険」の定義は非常に広く、ほぼすべての団体および個人健康保険、メディケア、メディケイドが含まれます。^[12]「重大な中断」とは、信用できる保険に加入していない 63 日間の期間と定義されます。^[13]例外を除き、雇用主は保険料または共同支払金をタバコの使用または体格指数に結び付けることができます。

タイトル I では、保険会社は、継続的かつ信頼できる保険を維持している限り、団体健康保険を離れる個人に対して除外条項のない保険証書を発行しなければならないと規定しています。(上記参照) 18 か月を超え、^[14]健康状態に関係なく、保険会社が除外条項なしで市場に留まる限り、提供されている限り個人保険証書を更新するか、廃止されたプランの代替案を提供します。

一部の医療プランは、タイトル I の要件から免除されています。たとえば、長期医療プランや、一般医療プランとは別に提供される歯科または視力プランなどの限定範囲のプランなどです。ただし、そのような給付が一般医療プランの一部である場合、そのような給付には HIPAA が依然として適用されます。たとえば、新しいプランが歯科給付を提供する場合、歯科給付の除外期間に、古い医療プランでのクレジット可能な継続的補償をカウントする必要があります。

タイトル I に基づく健康保険プランでは、クレジット可能な継続補償を計算する別の方法が利用できます。つまり、歯科および視力補償を含む 5 つの健康保険カテゴリを個別に考慮できます。これら 5 つのカテゴリに該当しないものについては、一般的な計算を使用する必要があります (たとえば、受益者は申請日の 6 か月前まで歯科をカバーする一般的な健康保険プランに加入していなかったため、一般的な補償は 18 か月とカウントされますが、歯科補償は 6 か月とカウントされます)。限定補償プランは HIPAA 要件の対象外であるため、一般的なグループ健康保険プランの申請者が、歯科などの独立した限定範囲プランのクレジット可能な継続補償証明書を取得できず、それらの補償を含む新しいプランの除外期間に適用できないという奇妙なケースがあります。

隠れた除外期間はタイトル I では無効です (例: 「補償対象となる事故は、受給者がこの健康保険契約に加入している間に発生したものでなければなりません」)。このような条項は健康保険プランによって実行されてはいけません。また、HIPAA に準拠できるように書き直す必要があります。^[15]

HIPAA のタイトル II は、個人を特定できる医療情報のプライバシーとセキュリティを維持するためのポリシーと手順を確立し、医療に関連する多数の違反行為を概説し、違反に対する民事および刑事罰を規定しています。また、医療システム内の詐欺や不正行為を抑制するためのいくつかのプログラムも作成しています。^{[16] [17] [18] [19]}しかし、タイトル II の最も重要な規定は、その管理簡素化規則です。タイトル II は、保健福祉省(HHS) に、医療情報の使用と配布に関する基準を作成することで、医療システムの効率性を高めることを要求しています。^[19]

これらの規則は、HIPAAとHHSによって定義された「対象事業体」に適用されます。対象事業体には、健康保険、医療情報センター（請求サービスやコミュニティ医療情報システムなど）、およびHIPAAによって規制された方法で医療データを送信する医療提供者が含まれます。^[20]

タイトルIIの要件に従い、HHSは行政の簡素化に関する5つの規則を公布しました。プライバシー規則、トランザクションおよびコードセット規則、セキュリティ規則、一意の識別子規則、および施行規則です。^[21]

HIPAAプライバシー規則は、 「対象事業体」（一般的には医療クリアリングハウス、雇用主が後援する健康保険、医療保険会社、および特定の取引に従事する医療サービス提供者）による医療治療、支払い、および運営における保護対象医療情報（PHI）の使用と開示に関する国家規制で構成されています。^[22]

プライバシー ルールは 2003 年 4 月 14 日に発効し、特定の「小規模プラン」については 1 年間の延長が認められました。HHS は規則により、HIPAA プライバシー ルールを「ビジネス アソシエイト」の定義に該当する対象事業体の独立請負業者にまで拡大しました。^[23] PHI とは、対象事業体が保有する健康状態、医療の提供、または医療費の支払いに関するあらゆる個人に結び付けられる情報です。^{[20]これはかなり広く解釈されており、個人の}医療記録や支払い履歴のあらゆる部分が含まれます。対象事業体は、要求があった場合 30 日以内に個人に PHI を開示する必要があります。^[24]また、州の児童福祉機関に児童虐待の疑いを報告するなど、法律で義務付けられている場合にも PHI を開示する必要があります。 ^[25]

対象事業体は、法律（裁判所命令、裁判所命令による令状、召喚状を含む）および行政上の要請により法執行の目的で、または容疑者、逃亡者、重要証人、行方不明者を特定または所在確認するために、保護対象健康情報を法執行官に開示する場合があります。^[26]

対象事業体は、患者の明示的な書面による許可なく、治療、支払い、または医療業務を円滑にするために、特定の当事者にPHIを開示することができます。 ^[27] PHIのその他の開示については、対象事業体が開示について個人から書面による許可を得る必要があります。^[28]いずれの場合も、対象事業体がPHIを開示する場合は、目的を達成するために必要な最小限の情報のみを開示するよう合理的な努力を払わなければなりません。^[29]

プライバシー規則は、個人に、不正確なPHIを訂正するよう対象事業体に要求する権利を与えています。^[30]また、対象事業体には、個人との通信の機密性を確保するための合理的な措置を講じることが義務付けられています。^[31]たとえば、個人は自宅や携帯電話の番号ではなく、勤務先の電話番号で電話をかけてもらうように依頼することができます。

プライバシー規則では、対象事業体は個人にPHIの使用について通知することを義務付けています。^[32]対象事業体はPHIの開示を追跡し、プライバシーに関するポリシーと手順を文書化する必要があります。^[33]対象事業体は、苦情を受け付けるプライバシー担当者と連絡担当者^[34]を任命し、従業員全員にPHIに関する手順を教育する必要があります。^[35]

プライバシー規則が遵守されていないと考える個人は、保健福祉省公民権局（OCR）に苦情を申し立てることができる。^{[36] [37]} 2006年にウォールストリートジャーナルは、 OCRが長いバックログを抱え、ほとんどの苦情を無視していると報じた。「プライバシー侵害の苦情は保健福祉省に山積している。2003年4月から2006年11月の間に、同局は医療プライバシー規則に関連する23,886件の苦情を処理したが、規則違反に対して病院、医師、保険会社、その他の誰に対してもまだ強制措置を講じていない。同局のスポークスマンは、違反が見つからなかったか、関係者に非公式のガイダンスを提供した後、苦情の4分の3を解決したと述べている。」^[38]しかし、2011年7月、カリフォルニア大学ロサンゼルス校は、潜在的なHIPAA違反に関する和解金として865,500ドルを支払うことに同意した。 HHS公民権局の調査によると、2005年から2008年にかけて、権限のない職員が正当な理由もなく、UCLAHSの多数の患者の電子医療情報を何度も閲覧していたことが判明した。^[39]

プライバシー規則により、雇用主や企業から要請があった場合、個人が健康情報（慢性疾患や予防接種記録など）の開示を拒否する権利が創出されるというのは誤解である。HIPAAプライバシー規則の要件は、記録の開示を要求された個人の同意なしに、対象事業体とそのビジネス関係者が開示することを制限するだけであり、情報の対象者から直接健康情報を要求することを制限するものではない。^{[40] [41] [42]}

2013年1月、HIPAAは最終包括規則によって更新されました。^[43]この更新には、HITECH法のセキュリティ規則と侵害通知の部分の変更が含まれていました。最も重要な変更は、当初は対象となる事業体のみが法律のこれらのセクションを遵守するとされていた要件をビジネスアソシエイトにまで拡大したことに関連していました。^[要出典]

さらに、侵害の分析における個人に対する「重大な損害」の定義が更新され、これまで報告されていなかった侵害を明らかにする目的で、対象組織に対する監視が強化されました。以前は、組織は損害が発生したことを証明する必要がありましたが、現在は損害が発生していないことを証明する必要があります。

PHIの保護期間は無期限から死後50年に変更されました。PHIのプライバシー要件違反に対するより厳しい罰則も承認されました。^[44]

HIPAAプライバシー規則は災害時には免除される可能性がある。2017年のハリケーン・ハービーのようなケースでは限定的な免除が出された^。[45]

経済的および臨床的健全性のための医療情報技術に関する法律( HITECH 法)のプライバシー セクションを参照してください。

プライバシー規則では、医療提供者は個人にPHIへのアクセスを許可することが義務付けられています。^[46]個人が書面で情報を要求した後（通常、この目的で提供者のフォームを使用）、提供者は最大30日以内に情報のコピーを個人に提供します。個人は電子形式またはハードコピーで情報を要求することができ、提供者は要求された形式に準拠するよう努める義務があります。CEHRT（認定電子健康記録技術）基準を使用して認定された電子健康記録（EHR）システムを使用している提供者の場合、個人は電子形式でPHIを取得できるようにする必要があります。提供者は、特に電子記録の要求の場合、情報を迅速に提供することが推奨されます。

個人は、医療記録、メモ、画像、検査結果、保険や請求情報など、健康関連情報にアクセスする広範な権利を有します。^[47]医療提供者の個人的な心理療法メモや、医療提供者が訴訟防御のために収集した情報は明示的に除外されます。^[48]

プロバイダーは、コピーを提供するコストに関連する妥当な金額を請求できますが、認証に必要な「表示、ダウンロード、転送」機能を使用して認証されたEHRから電子的にデータを提供する場合は、料金を請求できません。電子形式で個人に配信される場合、個人は、暗号化または暗号化されていない電子メール、メディア (USB ドライブ、CD など、料金が発生する場合があります) を使用した配信、ダイレクト メッセージング (医療業界で一般的に使用されている安全な電子メール技術)、またはその他の方法による配信を承認できます。暗号化されていない電子メールを使用する場合、個人はこの技術を使用したプライバシーのリスクを理解し、受け入れる必要があります (情報は他の人に傍受され、調査される可能性があります)。配信技術に関係なく、プロバイダーは、システム内にある間は PHI を完全に保護し続けなければならず、システム内にある間に PHI に追加のリスクをもたらす場合は、配信方法を拒否できます。^[49]

個人は、自分の PHI を家族介護者などの指定された第三者に提供することを（書面で）要求することもできます。

個人は、医療提供者が個人健康記録アプリケーションなどの記録の収集や管理に使用される指定サービスに PHI を送信するよう (書面で) 要求することもできます。たとえば、患者は、産婦人科医療提供者に、最新の出生前診察の記録を携帯電話にインストールされている妊娠セルフケア アプリにデジタルで送信するよう書面で要求できます。

HIPAAの解釈によれば、病院は入院患者の親族に電話で情報を明かさない。このため、行方不明者の所在が特定できないケースもある。アシアナ航空214便サンフランシスコ墜落事故後、一部の病院は治療中の乗客の身元を明かすことに消極的だったため、アシアナ航空と親族が乗客の所在を特定するのが困難になった。^[50]ワシントン州のある男性は、負傷した母親に関する情報を入手できなかった。^[51]

擁護団体ヘルス・プライバシー・プロジェクトのディレクター、ジャンロリ・ゴールドマン氏は、一部の病院は「用心深く」なり、法律を誤って適用していると述べたと、タイムズ紙は伝えている。メリーランド州ベセスダのサバーバン病院は、病院の名簿への掲載を患者が拒否できるようにすることを求める連邦規則を、患者が特に断らない限り名簿に掲載されたくないと望んでいるという意味だと解釈している。その結果、患者が意識不明であったり、名簿への掲載を選べなかったりすると、親戚や友人が患者を見つけることができない可能性があるとゴールドマン氏は述べた。^[52]

HIPAAは、医療取引を標準化することで、米国の医療制度をより効率的にすることを目的としていました。HIPAAは、社会保障法第11編に「行政の簡素化」と題する新しいパートCを追加しました。^[53]これは、すべての健康保険制度に標準化された方法で医療取引を行うことを義務付けることで、医療取引を簡素化することを目指しています。

HIPAA/EDI（電子データ交換）規定は、特定の「小規模プラン」に対して1年間の延長を条件に、2003年10月16日から発効する予定でした。しかし、この規則の実施に混乱が広がり困難を極めたため、メディケア・メディケイドサービスセンター（CMS）はすべての関係者に1年間の延長を認めました。^[54] 2012年1月1日、新しいバージョンのASC X12 005010とNCPDP D.0が発効し、以前のASC X12 004010とNCPDP 5.1の義務化に取って代わりました。^{[55] ASC X12 005010バージョンでは、} ICD-10-CMの使用を可能にするメカニズムやその他の改善が提供されています。

HIPAA に基づき、HIPAA の対象となる健康保険プランは、標準化された HIPAA 電子取引を使用することが義務付けられています。42 USC § 1320d-2 および 45 CFR Part 162 を参照してください。この情報は、HIPAA 電子取引標準の最終規則 (74 Fed. Reg. 3296、2009 年 1 月 16 日の連邦官報に掲載) および CMS の Web サイトで確認できます。^[56]

EDI 医療請求トランザクション セット(837) は、小売薬局請求 (EDI 小売薬局請求トランザクションを参照) を除き、医療請求の請求情報、診療情報、またはその両方を送信するために使用されます。このトランザクション セットは、医療サービスの提供者から支払者に直接、または中間請求者や請求クリアリング ハウスを介して送信できます。また、給付の調整が必要な場合に異なる支払い責任を持つ支払者間で医療請求と請求支払い情報を転送したり、特定の医療/保険業界セグメント内で医療サービスの提供、請求、および/または支払いを監視するために支払者と規制機関間で医療請求と請求支払い情報を転送したりするためにも使用できます。

たとえば、州の精神保健機関がすべての医療請求を義務付ける場合、専門的な (医療) 医療請求を電子的に取引するプロバイダーと健康保険は、請求を送信するために 837 医療請求: 専門家標準を使用する必要があります。医療請求にはさまざまなビジネス アプリケーションがあるため、機関、専門家、カイロプラクター、歯科医などの固有の請求を含む請求をカバーするために、若干の派生が行われることがあります。

EDI 小売薬局請求トランザクション ( NCPDP通信)は、薬剤を調剤する医療専門家が、直接または中間請求者や請求クリアリングハウスを介して支払者に小売薬局請求を提出するために使用されます。また、給付の調整が必要な場合に異なる支払い責任を持つ支払者間で小売薬局サービスの請求と請求支払い情報を送信したり、薬局医療/保険業界セグメント内で小売薬局サービスの提供、請求、および/または支払いを監視するために支払者と規制機関間で使用することもできます。

EDI医療請求支払/通知トランザクション セット(835) は、医療保険会社から医療提供者に直接または金融機関経由で支払いを行う、給付明細書 (EOB) を送信する、支払明細書 (EOP)送金通知を送信する、または支払いを行って EOP 送金通知を送信する場合に使用できます。

EDI給付登録および維持セット(834) は、雇用主、組合、政府機関、協会、または保険代理店がメンバーを支払人に登録するために使用できます。支払人とは、請求の支払い、保険、給付、または製品の管理を行う医療機関です。支払人の例としては、保険会社、医療専門家 (HMO)、優先提供者組織 (PPO)、政府機関 (メディケイド、メディケアなど)、またはこれらのグループのいずれかと契約している可能性のある組織などがあります。

EDI給与天引き、および別のグループである保険商品の保険料支払い（820）は、保険商品の保険料の支払いを行うためのトランザクションセットです。金融機関に支払先への支払いを指示するために使用できます。

EDI 医療資格/給付照会(270) は、加入者または扶養家族に関連付けられた医療給付および資格について照会するために使用されます。

EDI 医療資格/給付応答(271) は、加入者または扶養家族に関連付けられた医療給付および資格に関する要求照会に応答するために使用されます。

EDI 医療請求ステータス要求(276) は、医療製品またはサービスのプロバイダー、受領者、またはその認定代理人が医療請求のステータスを要求するために使用できるトランザクション セットです。

EDI 医療請求ステータス通知(277) は、医療保険支払者または認定代理人が医療請求または診療のステータスについてプロバイダー、受取人または認定代理人に通知したり、医療請求または診療に関する追加情報をプロバイダーに要求したりするために使用できるトランザクション セットです。このトランザクション セットは、医療請求支払い/通知トランザクション セット (835) を置き換えることを意図したものではないため、アカウント支払いの投稿には使用されません。通知は、概要またはサービス ラインの詳細レベルです。通知は、要請されたものでも、要請されていないものでもかまいません。

EDI 医療サービスレビュー情報(278) は、医療サービスレビューの結果のレビュー、認証、通知、または報告の要求を目的として、加入者、患者、人口統計、診断、または治療データなどの医療サービス情報を送信するために使用できるトランザクション セットです。

EDI 機能確認トランザクション セット(997) は、電子的にエンコードされたドキュメントの構文解析の結果を示す確認のセットの制御構造を定義するために使用できるトランザクション セットです。HIPAA 法や最終規則では具体的には指定されていませんが、X12 トランザクション セットの処理には必要です。エンコードされたドキュメントは、機能グループにグループ化されたトランザクション セットであり、ビジネス データ交換のトランザクションを定義するために使用されます。この標準では、トランザクション セットにエンコードされた情報のセマンティックな意味はカバーされていません。

1. トランザクション セット (997) は、トランザクション セット (999)「確認レポート」に置き換えられます。
2. 多くのフィールド（セグメント要素）のサイズが拡張されるため、すべての IT プロバイダーが対応するフィールド、要素、ファイル、GUI、紙媒体、データベースを拡張する必要が生じます。
3. 既存のトランザクション セットから一部のセグメントが削除されました。
4. 既存のトランザクション セットに多くのセグメントが追加され、コストと患者の診療の追跡とレポート作成が強化されました。
5. 「国際疾病分類」第9版（ICD-9）と第10版（ICD-10-CM）の両方を使用できる機能が追加されました。^{[57] [58]}

セキュリティ基準に関する最終規則は、2003 年 2 月 20 日に発行されました。セキュリティ規則はプライバシー規則を補完するものです。プライバシー規則は紙と電子を含むすべての保護対象医療情報 (PHI) に関係しますが、セキュリティ規則は電子保護対象医療情報 (EPHI) に特化しています。この規則では、コンプライアンスに必要な 3 種類のセキュリティ保護手段 (管理、物理、技術) を規定しています。^[59]これらの各種類について、規則ではさまざまなセキュリティ基準が特定されており、各基準について、必須の実装仕様とアドレス指定可能な実装仕様の両方が示されています。必須の仕様は、規則で規定されているとおりに採用および管理する必要があります。アドレス指定可能な仕様はより柔軟です。個々の対象エンティティは、自分の状況を評価し、アドレス指定可能な仕様を実装する最善の方法を決定できます。プライバシー擁護者の中には、この「柔軟性」が対象エンティティに与えすぎる自由を与える可能性があると主張する人もいます。^[60]対象エンティティのリスク分析と修復追跡を支援するソフトウェア ツールが開発されています。標準と仕様は次のとおりです。

• 行政上の安全策 – 組織が法律にどのように準拠するかを明確に示すために設計されたポリシーと手順
  • 対象となる事業体（HIPAA 要件に準拠する必要がある事業体）は、書面による一連のプライバシー手順を採用し、必要なすべてのポリシーと手順の開発と実装を担当するプライバシー担当者を任命する必要があります。
  • ポリシーと手順には、文書化されたセキュリティ制御への準拠に対する経営陣の監視と組織の賛同が明記されている必要があります。
  • 手順では、電子的に保護された医療情報 (EPHI) にアクセスできる従業員または従業員のクラスを明確に識別する必要があります。EPHI へのアクセスは、職務を遂行するためにそれを必要とする従業員のみに制限する必要があります。
  • 手順では、アクセスの承認、確立、変更、および終了について説明しなければなりません。
  • 組織は、健康保険管理業務を遂行する従業員に対して、PHI の取り扱いに関する適切な継続的トレーニング プログラムが提供されていることを示す必要があります。
  • 一部のビジネス プロセスをサードパーティにアウトソースする対象エンティティは、ベンダーも HIPAA 要件に準拠するためのフレームワークを備えていることを確認する必要があります。企業は通常、ベンダーが対象エンティティに適用されるものと同じデータ保護要件を満たすことを規定する契約条項を通じてこの保証を得ます。ベンダーがデータ処理機能をさらに他のベンダーにアウトソースするかどうかを慎重に判断し、適切な契約と管理が実施されているかどうかを監視する必要があります。
  • 緊急事態に対応するために、緊急時対応計画を策定する必要があります。対象となる事業体は、データのバックアップと災害復旧手順の整備に責任を負います。計画には、データの優先順位と障害分析、テスト活動、変更管理手順を文書化する必要があります。
  • 内部監査は、潜在的なセキュリティ違反を特定することを目的として業務をレビューすることで、HIPAA コンプライアンスにおいて重要な役割を果たします。ポリシーと手順では、監査の範囲、頻度、手順を具体的に文書化する必要があります。監査は、日常的かつイベントベースで実施する必要があります。
  • 手順には、監査中または通常の業務の過程で特定されたセキュリティ侵害に対処し、対応するための指示を文書化する必要があります。
• 物理的保護 – 保護されたデータへの不適切なアクセスを防ぐために物理的なアクセスを制御する
  • ネットワークへのハードウェアとソフトウェアの導入と削除は、制御によって管理する必要があります。(機器を廃棄する場合は、PHI が危険にさらされないように適切に処分する必要があります。)
  • 健康情報を含む機器へのアクセスは、慎重に管理および監視される必要があります。
  • ハードウェアおよびソフトウェアへのアクセスは、適切に承認された個人に制限する必要があります。
  • 必要なアクセス制御は、施設のセキュリティ計画、保守記録、訪問者のサインインと付き添いから構成されます。
  • ワークステーションの適切な使用方法に対処するためのポリシーが必要です。ワークステーションは人通りの多い場所から移動し、モニター画面は一般の人の目に触れないようにする必要があります。
  • 対象となる事業体が請負業者または代理店を利用する場合、それらも物理的なアクセスの責任について十分なトレーニングを受ける必要があります。
• 技術的保護手段 - コンピュータ システムへのアクセスを制御し、対象となる事業体がオープン ネットワーク経由で電子的に送信される PHI を含む通信を、意図した受信者以外の第三者による傍受から保護できるようにします。
  • PHI を格納する情報システムは侵入から保護する必要があります。情報がオープン ネットワーク上を流れる場合は、何らかの形式の暗号化を使用する必要があります。クローズド システム/ネットワークを使用する場合は、既存のアクセス制御で十分であると見なされ、暗号化はオプションです。
  • 各対象事業体は、自社のシステム内のデータが不正な方法で変更または消去されていないことを確認する責任を負います。
  • データの整合性を保証するために、チェックサム、二重キー、メッセージ認証、デジタル署名などのデータ検証が使用される場合があります。
  • 対象となるエンティティは、通信するエンティティを認証する必要もあります。認証とは、エンティティが主張するとおりの人物であることを確認することです。確認の例としては、パスワード システム、2 ウェイ ハンドシェイクまたは 3 ウェイ ハンドシェイク、電話によるコールバック、トークン システムなどがあります。
  • 対象となる事業体は、コンプライアンスを判断するために、HIPAA の実践に関する文書を政府に提供する必要があります。
  • 情報技術ドキュメントには、ポリシーと手順、アクセス レコードに加えて、ネットワーク コンポーネントは複雑で、構成可能であり、常に変化するため、ネットワーク コンポーネントのすべての構成設定の書面による記録も含める必要があります。
  • 文書化されたリスク分析およびリスク管理プログラムが必要です。対象事業体は、この法律に準拠するシステムを実装する際に、業務のリスクを慎重に考慮する必要があります。(リスク分析およびリスク管理の要件は、この法律のセキュリティ要件が最低基準であり、PHI が医療目的以外で使用されるのを防ぐために必要なすべての合理的な予防措置を講じる責任を対象事業体に課すことを意味します。)

電子取引を行うプロバイダー、医療情報センター、大規模医療保険などの HIPAA 対象事業体は、2007 年 5 月 23 日までに、標準取引で対象医療プロバイダーを識別するために National Provider Identifier (NPI) のみを使用する必要があります。小規模医療保険は、2008 年 5 月 23 日までに NPI のみを使用する必要があります。2006 年 5 月 (小規模医療保険は 2007 年 5 月) から、電子通信を使用するすべての対象事業体 (医師、病院、医療保険会社など) は、単一の新しい NPI を使用する必要があります。NPI は、医療保険、メディケア、メディケイド、およびその他の政府プログラムで使用される他のすべての識別子に代わるものです。^[61]ただし、NPI はプロバイダーの DEA 番号、州のライセンス番号、または納税者番号に代わるものではありません。NPI は 10 桁 (英数字の場合もある) で、最後の桁はチェックサムです。NPI には、埋め込みインテリジェンスを含めることはできません。つまり、NPI は、それ自体に追加の意味を持たない単なる数字です。 NPI は一意かつ全国的なものであり、再利用されることはなく、機関を除き、プロバイダーが持つことができるのは 1 つだけです。機関は、独立した癌センターやリハビリ施設など、異なる「サブパート」に対して複数の NPI を取得する場合があります。

2006年2月16日、HHSはHIPAAの施行に関する最終規則を発行しました。これは2006年3月16日に発効しました。施行規則は、HIPAA規則に違反した場合の民事罰金を設定し、HIPAA違反の調査および審問の手順を確立しています。長年にわたり、違反に対する訴追はほとんどありませんでした。^[62]

500人未満の人員に影響するHIPAAセキュリティルール違反の疑いで罰金5万ドルを科された最初の団体として、ノースアイダホホスピス（HONI）に罰金が科されたことで、状況は変わったかもしれない。HHSの広報担当者レイチェル・シーガー氏は、「HONIは2005年から2012年1月17日まで、セキュリティ管理プロセスの一環として、ePHI（電子保護医療情報）の機密性に関する正確で徹底したリスク分析を行っていなかった」と述べた。この調査は、従業員の車両から441人の患者記録が入った暗号化されていないラップトップが盗まれたことから始まった。^[63]

Wikisource にはこの記事に関連する原文があります:

2009 年アメリカ復興・再投資法/A 部/タイトル XIII/サブタイトル D

2013 年 3 月現在、米国保健福祉省(HHS) は 19,306 件を超えるケースを調査し、プライバシー慣行の変更の要求または是正措置によって解決しました。HHS によって非準拠と判断された場合、事業体は是正措置を適用する必要があります。全国規模の薬局チェーン、大手医療センター、保険グループ、病院チェーン、その他の小規模プロバイダーなど、さまざまな種類のビジネスに対する苦情が調査されています。HHS の調査で HIPAA が正しく遵守されていたことが判明したケースは 9,146 件でした。HHS が強制執行の正当な理由を見つけられなかったケースは 44,118 件でした。たとえば、HIPAA の開始前に始まった違反、原告によって取り下げられたケース、または実際には規則に違反していない活動などです。

タイトル III は、税引き前の医療貯蓄口座に 1 人あたり貯蓄できる金額を標準化します。1997 年以降、医療貯蓄口座 (「MSA」) は、雇用主が後援する高額控除プランの対象となる従業員 (小規模雇用主および自営業者) が利用できるようになりました。

タイトル IV は、既往症のある人の保険適用に関する団体健康保険の条件を規定し、保険適用継続要件を修正します。また、保険適用継続要件を明確化し、COBRA の明確化も含まれています。

第5編には、会社所有の生命保険料を提供する雇用主に対する会社所有の生命保険に関する規定が含まれており、生命保険ローン、会社の基金、または会社に関連する契約の利子の税控除を禁止しています。また、利子配分規則に対する金融機関規則を廃止しています。最後に、米国市民権または永住権を放棄する人々に関する法律の規定を改正し、税務上の理由で米国のステータスを放棄したとみなされる人々に対して課される国外退去税を拡大し、国外退去を選択した個人の四半期刊行物の作成を通じて元市民の名前を公的記録の一部にしています。^[64]

プライバシーとセキュリティ規則の制定により、医師と医療センターの運営方法に大きな変化が生じた。HIPAA に関連する複雑な法的問題と厳しい罰則の可能性、および事務処理の増加と導入コストは、医師と医療センターの懸念の原因となった。2006 年 8 月のAnnals of Internal Medicine誌の記事では、HIPAA の導入と影響に関する懸念が詳細に述べられている。^[65]

研究者に対するHIPAAの制限は、研究者が遡及的かつカルテベースの研究を行う能力だけでなく、フォローアップのために患者に連絡して前向きに患者を評価する能力にも影響を与えています。ミシガン大学の研究では、HIPAAプライバシー規則の実施により、心臓発作後に追跡された研究患者が完了したフォローアップ調査の割合が96％から34％に低下したことが実証されています。^[66]がん予防に関する研究の募集に対するHIPAAの影響を詳述した別の研究では、HIPAAで義務付けられた変更により、患者登録が73％減少し、患者募集に費やされた時間が3倍になり、平均募集コストが3倍になったことが実証されています。^[67]

HIPAAでは、研究調査のためのインフォームドコンセントフォームには、保護された健康情報がどのように秘密に保たれるかを文書化する必要があるため、参加の障壁が高まる可能性がある。^[65]

これらのデータは、HIPAAのプライバシー規則が医療研究のコストと品質に悪影響を及ぼす可能性があることを示唆している。ミシガン大学内科教授のキム・イーグル博士は、 Annalsの記事で「プライバシーは重要ですが、医療を改善するには研究も重要です。私たちはこれを理解し、正しく実行したいと考えています」と述べたと引用されている。^[65]

HIPAA の複雑さと、違反者に対する厳しい罰則の可能性が組み合わさると、医師や医療センターは、情報を知る権利があるかもしれない人々から情報を隠してしまう可能性があります。米国政府監査院による HIPAA プライバシー ルールの実施状況の調査では、医療提供者は「法的プライバシー責任について確信が持てず、プライバシー ルールの遵守を確実にするために必要な以上に、情報開示に対して過度に慎重な姿勢で対応することが多かった」ことが判明しました。^[65]この不確実性に関する報告は続いています。^[68]

HIPAA プライバシーおよびセキュリティ法が施行される直前、医療センターと診療所は新しい要件に準拠する義務を負っていました。多くの診療所とセンターは、コンプライアンス支援のために民間のコンサルタントに頼りました。^[要出典]

医療従事者の教育と訓練は、HIPAAプライバシールールとセキュリティルールの両方を正しく実施するための要件です。^{[69] [70]}

HIPAAという頭字語は1996年の公法104-191「医療保険の携行性と責任に関する法律」の題名と一致しているが、HIPAAは誤ってHIPPAと呼ばれることもあり、「医療情報プライバシーと携行性に関する法律」^{[72]、[73]、}「医療情報プライバシー保護法」^[71]、「医療保険プライバシーと保護法」^{[74]などを指すとも言われている。HIPPA}のスペルミスはCOVID-19詐欺師の間で確認されている。^[75]

米国保健福祉省公民権局によると、2003年4月から2013年1月の間に、同局はHIPAA違反の苦情を91,000件受け、そのうち22,000件は様々な種類の強制措置（和解から罰金まで）につながり、521件は刑事訴訟として米国司法省に報告された。^[76]保護された情報の重大な侵害やその他のHIPAA違反の例には以下が含まれる。

• 2011年にバージニア州トライケアマネジメントが490万人に影響を及ぼした最大のデータ損失^[77]
• 最大の罰金は、2017年にメモリアルヘルスケアシステムズに対して115,143人の患者の機密情報にアクセスしたとして課せられた550万ドルと、2010年にメリーランド州のシグネットヘルスに対して患者が自分の記録のコピーを取得するという要求を無視し、連邦当局の調査を繰り返し無視したとして課せられた430万ドルである^[78]
• 最初の刑事告発は2011年にバージニア州の医師に対して行われたもので、この医師は「患者が公衆の安全に対する深刻かつ差し迫った脅威であるという虚偽の口実の下、実際には患者がそれほど脅威ではないことを知っていた」にもかかわらず、患者の雇用主に情報を提供した。^[要出典]

Koczkodaj et al., 2018 ^[79]によると、 2009年10月以降に影響を受けた人の総数は173,398,820人です。

民事罰と刑事罰の違いは次の表にまとめられています。

1994年、クリントン大統領は医療制度を改善する目標を表明した。しかし、彼の改革は成功しなかった。おそらくは支持が足りなかったためだ。^[80] 1996年の議会季刊年鑑には、ナンシー・カセバウム上院議員（共和党、カンザス州）とテッド・ケネディ上院議員（民主党、マサチューセッツ州）の2人が協力し、1995年医療保険改革法、通称カセバウム・ケネディ法案を作成した経緯が記されている。^[81]この法案は上院を通過したものの、停滞していた。1996年の一般教書演説でクリントンはこの問題を訴え、超党派の協力が実現した。^[80]多くの議論と交渉の後、元のカセバウム・ケネディ法案に修正が加えられ、ケネディと歳入委員会委員長ビル・アーチャーの間の妥協案が受け入れられると、勢いが変わった。^[82]その後すぐに、この法案はクリントン大統領によって署名され、1996年医療保険の携行性と責任に関する法律（HIPAA）と名付けられました。

• 出版L.ツールチップ公法（米国） 104–191 (テキスト) (PDF)、110 法令 1936
• HR 3103; H. レポート 104–469、パート 1; H. レポート 104-736
• S. 1028; S. 1698; S報告書104-156
• HHSセキュリティ基準、45 CFR 160、45 CFR 162、および45 CFR 164
• 個人を特定できる健康情報のプライバシーに関する HHS 基準、45 CFR 160および45 CFR 164

• カリフォルニア州 HIPAA 実施局(CalOHI) 2012-11-01 にWayback Machineでアーカイブ
• 「HIPAA」、メディケア・メディケイドサービスセンター（CMS）
• HIPAAに関する議会調査局（CRS）の報告書、ノーステキサス大学図書館
• 医療保険の携行性と責任に関する法律の全文（PDF/TXT）米国政府印刷局
• HIPAA に関する公民権局のページ