HIPAAとは？対象となる組織・企業や主なルール、罰則を解説
HIPAAとは、患者のプライバシー保護などを目的としたアメリカにおける法律のことです。本記事では、HIPAAの概要と主要な4つのルールやコンプライアンス達成に向けたステップ、HIPAA以外の個人情報保護に関する法規制について詳しく解説します。
目次
HIPAAとは、患者のプライバシー保護などを目的としたアメリカにおける法律のことです。医療関係者や保健所など医療情報にアクセスできる会社や組織を対象に、セキュリティ対策として実施すべきことや罰則が定められています。
本記事では、HIPAAの概要と主要な4つのルールやコンプライアンス達成に向けたステップ、HIPAA以外の個人情報保護に関する法規制について詳しく解説します。HIPAAの概要や対応方法を知りたい方は、ぜひ参考にしてください。
HIPAAとは
HIPAA（Health Insurance Portability and Accountability Act：医療保険の携行性と責任に関する法律）とは、アメリカの医療情報に関する法律のことです。1996年にビル・クリントン政権下のアメリカ連邦議会で承認されました。
患者の個人情報を保有する医療機関・企業は、プライバシーや情報の完全性を保たなければなりません。要件を遵守しなかった場合の罰則も定められています。
HIPAAが求められる背景
HIPAAが求められる背景には以下があります。
- プライバシーの保護
- 医療データにおける電子化の促進
- 医療保険の継続
HIPAAは医療情報を保護してプライバシーを確保することを目的にしています。また、効率的な管理や通信ができる医療データを電子化するための基準が定められており、電子化を促進する役割も担っています。さらに、転職や失業時に医療保険を継続することも役割の一つです。
HIPAAの対象になる企業や組織とデータ
続いて、HIPAAの以下について解説します。
- 対象となる企業や組織
- 対象となるデータの種類
対象となる企業や組織
HIPAAの対象となる企業や組織は、主に以下の2つです。
| 種類 | 具体的な対象例 |
|---|---|
| 医師とその診療所 |
|
| ビジネス・アソシエイト |
|
HIPAAが施行された当初は医師や看護師、保険会社などのみがHIPAAの対象でした。ただ、PHIにアクセスできる事業者が増加したため、2013年の改訂で対象者が拡大しました。
HIPAAが日本企業へ及ぼす影響
HIPAAはアメリカ国内の法律であるため、日本国内で活動している病院や企業が直接的な影響を受けることはありません。ただ、アメリカでサービス提供している病院や企業はHIPAAへの準拠が求められます。
また、HIPAAは医療情報のプライバシーとセキュリティに関する世界的な基準となっています。今後、日本国内でもHIPAAに基づく法律が制定される可能性があるでしょう。海外にはHIPAAを基に制定された法律があるため、グローバル進出する企業は確認が欠かせません。
対象となるデータの種類
HIPAAでは、患者や顧客を識別する人口統計情報がPHI（保護対象保健情報）として扱われ、保護の対象になります。具体的なデータは以下の18種類です。
- 氏名
- 住所
- 主な日程
- 社会保障番号
- 電話番号
- アドレス
- FAX番号
- 健康保険の受取人番号
- カルテ番号
- 証明書/ライセンス番号
- 口座番号、財務情報
- 車両識別番号、シリアル番号もしくはナンバープレート番号
- デバイス識別子またはシリアル番号
- IPアドレス
- Web URL
- 顔写真
- 指紋や声紋などの生体認証識別子
- その他一意の識別番号、特性もしくはコード
HIPAAにおける主要な4つのルール
HIPAAは主に以下4つのルールで成り立っています。
- プライバシー規則
- セキュリティルール
- 違反通知ルール
- オムニバスルール
ここからは、上記の各ルールについて解説します。
プライバシー規則
患者の医療情報やプライバシー保護を目的に、データの使用と開示条件を定めています。患者の同意があった場合か、法律で定められた条件を満たしている場合を除き、PHIの使用や開示が禁止されています。また、患者は自分の情報閲覧や修正の要求、使用・開示に関する説明を受けることが可能です。
セキュリティルール
ePHI（電子的な保護対象保健情報）を確実に保護するための技術的・物理的・管理的なセキュリティ対策を定めています。セキュリティルールの主な要素は以下の通りです。
- 全ePHIの機密性・完全性・可用性を確保する
- 予測されるセキュリティインシデントの検出と情報の保護を行う
- 許容範囲外の使用法や公表に対する保護を行う
- 従業員がコンプライアンスを遵守する体制を整える
具体的には以下が求められます。
| 種類 | 具体的な実施事項 |
|---|---|
| 技術的保護 |
|
| 物理的保護 |
|
| 管理的保護 |
|
違反通知ルール
PHIが漏洩した場合は、本人と保健福祉省（HHS）に対して速やかに通知することが定められています。
オムニバスルール
PHIの受け渡しなどが発生する場合の取引先に関するルールが定められています。取引先がHIPAAを遵守しているとともに、契約書にPHIの保護に関する義務を盛り込むことが必要です。
HIPAA違反と罰則
医療機関や保険会社などが患者のデータを適切に管理しなければ、罰則が適用されます。管理方法におけるセキュリティ対策が不十分であれば、サイバー攻撃などによりプライバシーを侵害する恐れがあるためです。ここからは以下について解説します。
- 一般的な違反
- 違反通知ルールにおける2種類の違反
一般的な違反
サイバー攻撃を受けたからといって、必ずしもHIPAA違反になるわけではありません。ただ、セキュリティ対策が不十分でかつサイバー攻撃などにより情報漏洩が起きた場合には、HIPAA違反になります。HIPAAに違反した場合の罰則は、以下の通り状況ごとに異なります。
| 違反レベル | 罰金 | 概要 |
|---|---|---|
| ティア1 | 100ドル～50,000ドル | 対象事業者が違反に気付いておらず、HIPAAを遵守するための誠実な努力をしたが、情報漏洩などを防止できなかった。 |
| ティア2 | 1,000ドル～50,000ドル | 対象事業者は違反を認識しており、HIPAAを遵守するための誠実な努力をしたが、情報漏洩などを防止できなかった。 |
| ティア3 | 10,000ドル～50,000ドル | 対象事業者が修正を試みたHIPAA規則の「故意の怠慢」が原因で情報漏洩などが起きた。 |
| ティア4 | 50,000ドル～ | 対象事業者が是正せず「故意の怠慢」が原因で情報漏洩などが起きた。 |
違反通知ルールにおける2種類の違反
違反通知ルールでは、以下2種類の違反が定められています。
| 種類 | 概要 |
|---|---|
| 軽微な違反 | 管轄区域ごとに最大500人へ影響が及ぶデータ侵害を受けた。 |
| 意味のある違反 | 500のエリアで60人を超える個人に影響が及ぶデータ侵害を受けた。 |
違反の種類に応じて報告タイミングや頻度が異なるため注意が必要です。
効果的なコンプライアンスプログラムの7要素
アメリカ保健福祉省の監察総監室では、企業や組織がHIPAAを遵守するサポートを目的に「効果的なコンプライアンス・プログラムの7つの要素」を作成・発表しています。7つの要素における具体的な基準は以下の通りです。
- 書面化された方針や手順、および行動基準を実施
- コンプライアンス・オフィサーの指名とコンプライアンス委員会の設置
- 効果的な研修と教育の実施
- 最適なコミュニケーション経路の構築
- 内部監視と監査の実施
- ガイドラインによる徹底した基準の遵守
- 発見された違反行為に迅速に対応してた是正措置の実施
上記は必要最低限の要件です。HIPAA調査では、上記7つの要件と対象事業者の現状を比較して法律に準拠しているかを確認します。
コンプライアンス達成に向けたステップ
HIPAAの準拠には以下のステップが効果的です。
- HIPAAの理解
- 自社における対象データの確認
- 要件と現状のギャップ分析
- 不足対策の実施とドキュメントの作成
- 監査の実施
順に解説します。
1.HIPAAの理解
まずは、HIPAAについて学習して理解することが重要です。自社がHIPAAの対象になる場合はどの要件を満たす必要があるかを理解しなければ、コンプライアンスを達成できません。
2.自社における対象データの確認
続いて、自社における対象データを確認しましょう。「HIPAAの対象になる企業や組織とデータ」の章で解説した通り、HIPAAの対象データは18種類存在します。自社の保有するデータはなにかや、どこに保存され処理・送信されているかを確認しましょう。
3.要件と現状のギャップ分析
HIPAAの要件を確認するとともに、自社の状況を分析します。ギャップ分析すれば、自社がなにを行えば良いかが明確になります。
4.不足対策の実施とドキュメントの作成
ギャップ分析の結果を基に不足対策を実施しましょう。また、HIPAAで求められるドキュメントも作成します。具体的には、プライバシーポリシーの作成などが該当します。
プライバシーポリシーの詳細は以下をご覧ください。
⇒プライバシーポリシーとは？作成方法や記載事項、変更するステップを解説
5.監査の実施
最後に、コンプライアンス監査を受けましょう。監査を受けるまでの計画を作成し、必要なデータやレポートを作成しておけば合格できる可能性が高まります。
HIPAA以外の個人情報保護に関する法規制
プライバシー保護に関する関心が高まっており、HIPAA以外にもさまざまな国・地域で法規制が施行されています。最後に、HIPAA以外の個人情報保護に関する以下の法規制について解説します。
- 個人情報保護法
- カリフォルニア州消費者プライバシー法（CCPA）
- EU一般データ保護規則（GDPR）
- 包括的な個人情報保護の法律（PDPA）
個人情報保護法
個人情報保護法（個人情報の保護に関する法律）とは、氏名・性別・住所などのプライバシーに関する情報の取得や利用、保管ルールを定めた日本における法律のことです。2024年4月に改正個人情報保護法施行規則が施行され、情報漏洩などが発生した際の報告・通知義務の対象が拡大されました。
なお、個人情報保護法の詳細は以下をご覧ください。
⇒個人情報保護法の罰則とは？概要や罰則以外のリスク、違反を防止するための対策を解説
カリフォルニア州消費者プライバシー法（CCPA）
カリフォルニア州消費者プライバシー法（CCPA）とは、アメリカのカリフォルニア州住民のプライバシー保護を定めた州法のことです。2020年1月から適用が開始されました。住民に対してプライバシー関連の権利を与えるとともに、情報を利用する事業者の適正管理義務を定めています。
EU一般データ保護規則（GDPR）
EU一般データ保護規則（GDPR）とは、2018年5月25日に施行された欧州連合（EU）の個人データ保護に関する規則のことです。個人のプライバシー保護を強化して、データの収集や処理に対する透明性を高めることを目的としています。厳しい罰則が特徴で、違反した場合以下の罰金が科せられます。
- 軽微な違反：最大1,000万ユーロ、または前年売上高の2％
- 重大な違反：最大2,000万ユーロ、または前年売上高の4％
GDPRの詳細は以下をご覧ください。
⇒GDPRとは？日本企業が守るべきルールと対応方法を紹介
包括的な個人情報保護の法律（PDPA）
包括的な個人情報保護の法律（PDPA）とは、シンガポールの個人情報保護に関する包括的な法律のことです。アジアの経済・金融のハブとして発展したシンガポールには、多くの個人情報が集積されているため、保護に対する配慮が必要となり2014年に施行されました。違反した場合は、罰金だけでなく刑事罰が科せられるケースもあります。
まとめ
HIPAAとは、アメリカの医療情報に関する法律のことです。患者のプライバシーの保護や医療データにおける電子化の促進、医療保険の継続などを目的に、セキュリティ対策として実施すべきことや罰則が定められています。近年はプライバシー保護に関する関心が高まっており、HIPAA以外にもCCPAやGDPRなど世界各国で法規制が施行されています。
万が一、個人情報が漏洩すれば罰則を受けるだけでなく、企業の信用やブランドイメージに傷が付くでしょう。セキュリティ対策ツールなどの活用で、情報漏洩を防ぐ取り組みが必要です。
ただ、近年のサイバー攻撃は高度化・多様化しており、セキュリティ対策を行ったとしても完全に防ぐことは困難です。未然の対策とともに、情報漏洩が起きた際迅速に察知して対処できる体制の構築が欠かせません。情情報漏洩監視ツール「ダークウェブアイ」は、会社のドメイン情報を入れるだけで「いつ」「どこから」「どんな情報が」漏れてしまったのか、一瞬で分かります。
自社情報が漏洩していないか不安な方は、まずは自社の漏洩状況を確認してみてはいかがでしょうか？
⇒メールアドレスを入れるだけ！自社の漏洩状況をチェック！
