医療のセキュリティを確保するために

HIPAAに準拠すべき事業体は、「対象事業体（covered entities）」と「ビジネスアソシエイト（business associates）」として定義されています。
対象事業体には、健康保険プラン、医療情報のクリアリングハウス、そして電子的に健康情報を送信する医療提供者が含まれます。ビジネスアソシエイトとは、対象事業体の代わりに、または対象事業体にサービスを提供する過程で、PHIの使用や開示に関わる特定の機能や活動を行う個人または事業体を指します。

HIPAAは、対象事業体またはそのビジネスアソシエイトが保持または送信する、すべての「個人を特定できる健康情報」を保護します。これは電子、紙、口頭など、あらゆる形式や媒体に該当します。この情報は保護対象医療情報（PHI）と呼ばれます。例として、氏名、生年月日、医療記録、処方箋などが含まれます。

HIPAAの主要な構成要素は次のとおりです：

• プライバシー規則（Privacy Rule）：個人を特定できる健康情報のプライバシーを保護します。
• セキュリティ規則（Security Rule）：電子的な保護対象医療情報（ePHI）のセキュリティ基準を定めます。
• 漏えい通知規則（Breach Notification Rule）：保護されていないPHIの漏えいが発生した場合、対象事業体やビジネスアソシエイトに通知を義務付けます。

組織がHIPAA準拠を達成するには、HIPAAのプライバシー規則、セキュリティ規則、漏えい通知規則の要件を満たすポリシーと手順を導入する必要があります。これには、リスク評価の実施、スタッフトレーニング、患者データの保護、そしてインシデント対応手順の確立が含まれます。

HIPAAに準拠しない場合の罰則は、1件の違反につき100ドルから最大50,000ドルまでの範囲で科され、年間の最大罰金額は違反ごとに150万ドルとなります。具体的な罰則額は、違反の性質や過失の程度によって異なります。

HIPAAは、患者に自分の健康情報に関する一定の権利を付与しています。これには、医療記録を閲覧・コピーする権利や、修正を求める権利が含まれます。HIPAAコンプライアンスとは、患者がこれらの権利を行使できるよう、医療機関が採用するポリシーと手順のことになります。

HIPAA違反とは、プライバシー規則に基づく許可されない使用または開示であり、PHIのセキュリティやプライバシーを損なうものを指します。対象事業体は、違反が発生した場合、影響を受けた個人、米国保健福祉省（HHS）の長官、そして場合によってはメディアに通知する義務があります。

HIPAAは、対象事業体およびビジネスアソシエイトのすべての従業員に対し、組織のプライバシーおよびセキュリティに関するポリシーや手順について、職務を遂行するために必要かつ適切なトレーニングを受けることを求めています。具体的な頻度は規定されていませんが、年1回の実施、または規制や業務慣行に大きな変更があった際にトレーニングを行うことが推奨されています。

はい。個人は、保健情報が HIPAA に準拠しない方法で使用または開示された、または保健情報へのアクセスが拒否されたと考える場合、米国保健福祉省（HHS）の公民権局（OCR）に苦情を申し立てることができます。