医療・ヘルスケア分野におけるデータプライバシーとは？
医療システムの中核をなすのは信頼関係です。患者にとって、医療提供者が常に患者の利益を第一に追求しているという確信を持てることは、医療の前提条件といえます。患者は、診察を受けるとき、他の誰にも話さないような、患者自身に関するきわめて個人的な情報を明かすことがあります。患者本人の明確な同意がない限り、医療提供者がその情報を他者に漏らすことはないと確信できなければなりません。ここでいう「他者」には、詮索好きな家族、製薬会社、他の医療機関なども含まれます。
患者と医療提供者の間の信頼関係は、社会という大きな視点からも重要です。自身の情報が保護されていると患者が確信できていれば、必要な治療を受けたり、医師のアドバイスに従ったりする可能性が高まります。医療提供者のアドバイスに従うことは、特定の感染症の拡大を抑え、医療システム全体への負荷を軽減することにもつながります。
患者データのプライバシーは、複数の規則や規制によって管理されています。医療機関は、これらの規制を確実に遵守し、罰則や罰金を避けなければなりません。本記事では、健康情報や医療プライバシーに関する法制度の詳細と、コンプライアンスを確保するための対策について詳しく説明します。
医療・ヘルスケア分野のデータプライバシーの対象
医療データのプライバシー保護とは、権限を持つ個人や組織だけが患者のデータや医療情報を閲覧できるようにするための一連の規則や規制のことをさします。また、患者の医療情報を保護し、悪意のある攻撃者の手から守るための組織的なプロセスをさすこともあります。保護対象の保健医療情報（PHI）には以下のデータが含まれます。
- 提供された医療サービス
- 患者の氏名と住所
- 患者の心理的または身体的な健康状態
- 患者の社会保障番号と生年月日
PHIは、医療データに関するプライバシー保護の一環として、必ず保護する必要があります。
医療・ヘルスケア分野でデータプライバシーが重要な理由
医療におけるデータプライバシーが重要である背景には、複数の理由があります。患者の情報の安全性と守秘性を保持することは、信頼関係の構築に寄与し、それが医療システム全体の利益につながります。プライバシーを維持することは、悪意のある攻撃者から患者のデータを守ることにもなります。情報漏えいは、実際に起こりうるものであり、現に発生しています。米国保健福祉省の公民権局は、毎年発生するデータ漏えいの追跡調査および捜査を行っています。
データ漏えいは、医療保険プランや医療提供者を含む、さまざまな対象機関に影響を及ぼします。漏えいの形態としては、メールのハッキング、診療記録やメールへの不正なアクセスや開示、ネットワークサーバーへのハッキング、盗難などが挙げられます。悪意のある攻撃者が患者情報の入手を企む理由は多岐にわたり、主なものとして、利益目的でのデータの販売や被害者に対する脅迫行為などが挙げられます。
医療におけるデータ保護が重要なもう一つの理由は、医療保険機関や医療提供者がデータ漏えいに直面した場合に、その組織の業務を一時的に停止せざるを得なくなるおそれがあることです。このような業務の停止は、患者が必要な治療を遅らせたり受けられなくなったりすることを意味します。患者が継続的に医療を受けられるようにすること以外にも、医療機関が患者の健康・医療情報のプライバシー保護に全力を尽くすべき理由があります。
1. 規制違反による罰則の回避
患者のプライバシーに関する規則や規制は、正当な理由があって存在しており、規則違反に対しては厳しい罰則が設けられています。データ漏えいを起こした組織が、規則を知らなかったと言い逃れをすることは許されません。規制違反に対する罰則は、問題の規模や程度によって異なります。もし、医療機関の個々の従業員がデータ漏えいなどのプライバシー侵害を発生原因となった場合には、雇用主がその従業員に対して直接的な処分を下すこともあります。これには、解雇や一定期間の停職処分などが含まれます。
規制違反が組織全体で行われている場合には、罰則はより厳しいものになる可能性があり、罰金や民事訴追、あるいは極端なケースでは刑事罰の対象になることもあります。
違反の性質は、個人または組織が受ける罰則を決定する重要な要素となります。適用される罰則の種類を決定する際には、考慮すべき4つの段階（ティア）があります。
ティア1
ティア1の違反は通常、対象事業者の過失によらず発生します。規則を遵守していても回避できなかったと考えられるケースが多く、ティア1の違反が発生した直後の時点では、概して組織はその事実に気づいていません。
ティア1の違反に対しては通常、最低100ドルから最高5万ドルの罰金が科されます。この種の違反が発生したとき、対象事業者がそれを認識していなかった、あるいは違反を防止する手段がなかったと判断された場合は、罰金が免除されるケースもあります。
ティア2
ティア2の違反には、対象事業者が認識すべきではあるが、対策を講じても防止できなかったケースが含まれます。ティア2の違反に対しては、最低1,000ドルから最高5万ドルの罰金が科されます。
ティア3
ティア3の違反は、規則に対する意図的な放置によって発生します。意図的な放置とは、組織が法令や規則を遵守しないことを、自覚的かつ意図的に行っている状態をさします。意図的な放置の例としては、医療機関を受診した患者に対し、プライバシー保護方針の写しを直接渡さず、患者自身に情報を探させるようなケースが挙げられます。また、対象事業者の従業員が、離席中に自分のノートパソコンの画面を表示したまま放置することも、これに該当します。
ティア3の違反に該当するのは、本来実施すべき対策を怠っていた（意図的な放置）ものの、問題発覚後に是正に取り組んだ場合です。そのため、罰金はティア1または2の違反よりも高額ではあっても、ティア4の違反よりは低額に設定されています。罰金額は最低1万ドルから最高5万ドルに上る可能性があります。
ティア4
ティア4の違反は、意図的な放置により発生し、かつ組織がその是正を試みない場合に適用されます。例えば、組織が患者へのプライバシー保護方針の写しの提供を拒み続けたり、従業員が依然として患者情報を誰でも見られる状態で放置し続けたりするケースがこれに該当します。ティア4の違反に対する罰金は、最低でも5万ドルとなります。
刑事上の違反
場合によっては、違反が民事違反ではなく刑事違反の対象として分類されることがあります。刑事違反に対する罰則は民事違反よりもはるかに厳しくなります。医療保険の相互運用性と説明責任に関する法律（HIPAA）の刑事違反については、米国司法省が管轄します。
民事違反と同様に、刑事違反も3つのティアに分類されます。ティア1には、個人の医療・健康情報を故意に開示するなどの違反が含まれます。罰則は最高5万ドルの罰金および最長1年の禁錮刑です。ティア2の刑事違反は、虚偽の申し立てに基づく違反を対象とします。罰則は最高10万ドルの罰金および最長5年の禁錮刑です。ティア3は最も重い刑事違反で、個人健康情報の不正利用、譲渡、または営利目的の悪用を意図した違反が該当します。罰則は最高25万ドルの罰金および最長10年の禁錮刑が科されます。
金銭的および刑事的な罰則は、医療情報のプライバシーを保護すべき理由のほんの一部にすぎません。罰金の支払いや刑事的な処罰は、医療機関のレピュテーションを損ない、長期的な影響を及ぼす要因となり得ます。
2. 患者・顧客との信頼関係の構築
患者は、医師に対して、他者には決して明かさないような個人的な情報を共有することがあります。医療提供者が、患者の健康に関するあらゆる情報を秘密に保つことは、患者との信頼関係を築くうえできわめて重要です。
信頼の問題は個人レベルとシステムレベルの両方で生じます。個人レベルでは、検査結果や診断結果などの医療情報が、悪意のある者の手に渡らないという確証が必要です。システムレベルでは、医療業界全体が、患者の利益を第一に考えているという安心感が求められます。
医療機関が、検査結果を患者の雇用主に共有したり、マーケティング目的で製薬会社に患者データを提供したりするなど、患者の個人情報を漏えいさせていると認知されれば、信頼は損なわれるでしょう。そうなれば、人々は健康上の懸念があっても医療機関を受診しなくなるかもしれません。診断や治療の遅れは、疾患の治癒や治療を困難にすることを意味します。また、地域社会の中で病気が蔓延する可能性を高めることにもなります。
患者のプライバシーを保護することは、人々に人権を再認識させることでもあります。国連の世界人権宣言は、全ての人がプライバシーに対する権利を有し、いかなるプライバシーへの干渉に対しても法律が保護すべきであると定めています。医療データを非公開に保つことは、人間としての基本的人権を再認識させ、結果として患者と医療提供者間の信頼関係の向上につながります。
医療データのプライバシーに関する規則と規制
医療データのプライバシーを保護するための規制は複数存在します。例えば、データ全般に適用されるEU一般データ保護規則（GDPR）や、米国の医療保険の相互運用性と説明責任に関する法律（HIPAA）などが挙げられます。
HIPAA
HIPAAは、個人の医療・健康情報のプライバシーを保護する基準を確立する目的で1996年に制定されました。HIPAAが制定される以前は、医療機関、保険機関は、州レベルや連邦レベル（米国の場合）の多種多様な法律に従っていました。それらの法律の中には、患者の承諾や患者への通知を義務付けずに、医療行為や医療費の支払いとは無関係な組織への患者情報の提供を認めるものも存在しました。
例えば、HIPAAが制定される前は、例えば、健康保険機関が貸金業者や雇用主に患者の健康情報を提供できました。貸金業者が健康上の問題を理由に住宅ローンの申請を却下したり、雇用主が病歴を理由に採用を拒否したりすることが可能だったのです。
HIPAAは、患者自身に自分の医療記録の制御権を与えています。例えば、転職に伴い保険プランを変更する必要がある場合には、個人の健康情報が漏えいする懸念なく、記録を保険プラン間でスムーズに移行できます。また、この法律によって、患者は誰が自分の医療記録へアクセスできるかを決定できます。例えば、かかりつけ医と専門医チームにはアクセスを許可し、それ以外の医療従事者にはアクセスを制限するなどの選択が可能です。
HIPAAは、プライバシールールとセキュリティルールで構成されています。プライバシールールは、誰が個人の医療記録にアクセスできるか、その情報をどのように利用できるかを規定しています。一方、セキュリティルールでは、医療機関が患者データをセキュアに維持するための対策を講じる義務があることを規定しています。なお、セキュリティルールでは、口頭や紙媒体での共有よりも、電子的に伝送される患者データに重点が置かれています。
また、HIPAAに加え、患者の記録や遠隔医療のプライバシーに関する法律も存在します。
電子カルテに関する規制
経済的および臨床的健全性のための医療情報技術に関する法律（HITECH法）は、電子カルテ（EHR）やその他の医療情報技術の導入を促進する目的で2009年に制定されました。電子カルテは、権限を持つ医療提供者が患者の医療記録にアクセスしやすくすることで効率性を高める役割を果たします。また、医療提供者間における適切な権限に基づいた情報共有が円滑化されます。
紙ベースの記録やその他の識別可能な医療・健康情報と同様に、患者は自身の電子カルテに誰がアクセスできるかを決定する権利を持ちます。電子カルテに関するプライバシー規制を遵守しない組織には、紙ベースの記録の規制違反と同様に、罰金などの罰則が科される可能性があります。
遠隔医療その他のテクノロジー
遠隔医療は、来院が困難な患者が医療提供者と面会する手段です。ビデオ通話、電話、患者と提供者間のテキストメッセージの交換などの方法が利用されます。利便性が高い反面、悪意のある第三者が通信を傍受したりする可能性があるため、プライバシー上の問題が生じるおそれがあります。
遠隔医療は、医療提供者と患者双方がプライバシーの確保された環境にいる状態で実施されなければなりません。医療提供者は、通話を開始する前に患者がプライバシーが守られた安全な場所にいることを確認し、自身もプライバシーが守られた場所にいることを患者に示す必要があります。プライバシーが確保された環境での診察が難しい場合は、医療提供者は、小声で話す、患者に周囲から離れるよう促すなど、個人情報の漏えいを制限するためにあらゆる努力を払わなければなりません。
医療データを保護する戦略
HIPAAその他のプライバシー規制に違反した場合には、たとえ不注意による違反であっても金銭的罰則が科されるため、医療機関は医療プライバシー法を常に遵守することが求められます。幸いなことに、患者のプライバシーの保護とコンプライアンスを支援するツールや戦略は数多く存在します。
1. 重要システムの保護
守秘性の高い患者情報を保護し、データ漏えいや不正アクセスのリスクを最小限に抑えるには、テクノロジーが鍵となります。医療・ヘルスケア関連の組織には、患者データの作成と管理、共同作業のプロセスの効率化を可能にする、HIPAAに準拠したコンテンツ管理システムが必要です。
Boxのインテリジェントコンテンツ管理は、コンテンツとワークフローの保護・管理の一元化と同時に、HIPAAその他の業界基準への準拠を可能にするプラットフォームを提供します。Boxと統合可能なアプリケーションは1,500以上。現行のアプリケーションと連携するセキュアなコンテンツレイヤーとして、ワークフローをシームレスに支援します。医療チームのメンバーは、承認された任意のデバイスから、必要な文書や情報に容易にアクセスできます。
Boxでは、アクセス権限の設定も可能です。患者が承認したユーザーのみがデータにアクセスできるように制限できます。Boxは、他にもさまざまな機能で医療・ヘルスケア分野の業務を支援します。以下はその一部です。
- 電子サインと同意書
- 研究プロジェクトでの共同作業
- 患者ケアにおける連携の効率化
- 患者向けの教育コンテンツ
- HIPAA準拠のモバイルアクセス
2. トレーニング
HIPAAに準拠したコンテンツ管理システムを導入するだけでは、組織の対策として十分とはいえません。チームのメンバー全員が、システムの正しい使用方法や、守秘性の高い医療情報を保護するための対策を理解している必要があります。
インテリジェントコンテンツ管理システムにアクセスする全ての人が、データを保護し、情報漏えいのリスクを最小限に抑えるための基本的なセキュリティ対策を理解しているのが理想です。重要なトレーニング内容の例を以下に示します。
- 強力なパスワードの作成
- 個人用、業務用モバイルデバイスのセキュリティの確保
- フィッシング詐欺を含む各種詐欺の手口の識別
- 多要素認証の義務化などのセキュリティ対策の導入
従業員へのセキュリティ対策教育の重要性を認識するとともに、チームがHIPAAの要件について正しく理解することも重要です。
3. 最新の規制への対応
患者のプライバシーに関する規制の内容は、社会情勢に応じて継続的に更新されます。例えば、新型コロナウイルスによるパンデミックに際しては、米国の保健福祉省は遠隔医療の運用基準を緩和しました。これは、外出制限や受診控えが広がるなかでも、医療提供体制の継続性を担保するための措置でした。医療関連の組織がコンプライアンスを確実に維持するためには、このような規制動向の変化を常に把握しておくことが不可欠です。
HIPAAに準拠したクラウドベースのコンテンツ管理システムを利用することで、規制の変化への対応力を高めることができます。クラウドベースのファイル共有システムには、コンプライアンスを維持する機能が備わっているだけでなく、常に最新の規則を反映した更新が継続的に行われることが重要です。
BoxがHIPAAコンプライアンスを支援
Boxは2012年以来、HIPAA、HITECH、HIPAAオムニバス規則に対するコンプライアンスを維持しています。インテリジェントコンテンツ管理で患者データを管理する場合には、HIPAA規則に基づくセキュリティ対策が施されているため、安心して運用できます。Boxは、HIPAA対象機関の一種である「事業提携者（BA）」の責務を負っており、全ての医療機関のお客さまと事業提携者契約（BAA）を締結しています。
HIPAAおよびプライバシー規制の内容は絶えず更新されており、Boxも同様に継続的に更新されています。Boxは、高頻度でポリシー、手順、製品を更新し、HIPAAコンプライアンスの維持に努めています。第三者監査機関による評価の結果、Boxのプラットフォームは、HIPAAのプライバシーおよびデータセキュリティ要件を満たす管理統制を講じていることが確認されています。
Boxのプラットフォームは、さまざまな機能でHIPAAコンプライアンスを維持しています。以下に例を示します。
- 保存時および転送時のデータ暗号化
- 論理的なシステムアクセス制御
- ユーザーとコンテンツアカウントのアクティビティレポートと監査証跡
- セキュリティポリシーと管理に関する従業員向けトレーニング
- 従業員による顧客・患者データへのアクセスを制限
- 緊急時・災害時のためのミラーリングされた高可用性データセンター
Boxのインテリジェントコンテンツ管理
患者の信頼を獲得し維持するためには、医療機関は患者のプライバシー保護と規制遵守を真摯に捉えていることを示す必要があります。HIPAAに準拠したプラットフォームであるBoxのインテリジェントコンテンツ管理により、保護対象健康情報（PHI）をセキュアに管理し、患者の信頼を得るとともに、コンプライアンス違反による罰則を回避することができます。
医療データのセキュリティアプリケーションに加えてBoxを活用して日々の業務を効率化することで、患者ケアの質が向上します。さらに、セカンドオピニオンのプロセスを簡素化し、DICOM画像診断や患者ケアにおける円滑な連携を実現します。また、ネイティブに統合された電子サイン機能により、同意書や各種フォームのやり取りもスムーズになります。また、患者向けの教育コンテンツを提供することで、患者の知識を深め、治療成果の向上にも貢献します。
Boxは、ニーズに合わせてお選びいただけるさまざまな法人向けプランをご用意しています。日々の業務に是非お役立てください。Boxのプラットフォームについてのご相談・お問い合わせも承っております。ご連絡をお待ちしています。
**Boxは、高度なプライバシー、セキュリティ、コンプライアンスを備えた製品とサービスの提供に尽力しています。ただし、この記事で提供される情報は、法的助言の提供を意図したものではありません。適用される法律に対するコンプライアンスを検証する際には、お客さまが自らデューデリジェンスを実施することを推奨します。