HIPAA fax要件

HIPAAではfaxの利用は認められていますか?

はい。米国保健福祉省(HHS)は、医療提供者が治療目的で保護対象保健情報を別の医療提供者にfaxで送信できることを確認しています。保護対象保健情報(PHI)とは、診断名から生年月日まで、患者を特定できるあらゆる健康情報を指します。

HIPAAが求めているのは特定の技術ではなく、慎重な取り扱いです。HHSはプライバシー規則の保護措置要件である45 CFR 164.530(c)を示したうえで、簡単な例を挙げています。送信前にfax番号を確認すること、そしてfax機を権限のない人が近づけない場所に置くことです。

faxを送る際、HIPAAは何を求めていますか?

HIPAAでは、保護措置を3つのグループに分けて定めています。それぞれがfaxにとって何を意味するかを説明します。

管理面の保護措置。ポリシーと人に関するものです。PHIをfaxで送受信できる人を決め、その人たちを教育し、送信前に受信者の番号を確認します。受信者に必要な情報だけを送信してください。

物理的な保護措置。文書がどこに届くかに関するものです。共有トレイに置かれたままの紙のfaxは、典型的なリスクです。オンラインfaxでは、faxが機器や共有メールボックスではなく、保護された受信トレイに届くようにすることがこれに当たります。

技術的な保護措置。システム内でデータをどのように保護するかに関するものです。暗号化、ユーザーごとの固有のアクセス、そして誰がfaxを送信、受信、閲覧したかを示す監査記録が含まれます。

多くの組織では、機密保持に関する注意書きを記載した送信表も使用しています。HIPAAで特に義務付けられているわけではありませんが、一般的な慣行です。Fax.Plusでは、無料のHIPAA faxの送信表テンプレートを提供しています。

オンラインfaxサービスを使うと何が変わりますか?

ベンダーがお客様に代わってPHIを保存または送信する場合、そのベンダーはお客様のBusiness Associateになります。その場合、HIPAAではBusiness Associate Agreement(BAA)が必要です。これは、ベンダーがお客様のために取り扱うPHIを保護することを約束する契約です。BAAがなければ、サービスがどれほど安全であっても、そのサービスを通じたPHIの送信はコンプライアンスに適合しません。

技術的な保護措置が組み込まれていることも重要です。Fax.PlusのEnterpriseプランには、次のものが含まれます。

• 保存されたfaxにはAES-256暗号化、転送中の通信にはTLS暗号化
• ロールベースのアクセス制御により、メンバーは自分のロールで許可された内容だけを閲覧できます
• 管理者がチームに対して強制できる二要素認証
• アカウントとfaxのアクティビティの監査証跡
• 米国やカナダなど、faxデータの保存場所を選択可能

faxに限らず、HIPAAの公式な認証制度は存在しません。ベンダーが「HIPAA準拠」と述べる場合に重要なのは、BAAを締結し、必要な保護措置を実施しているかどうかです。

Fax.PlusでHIPAA準拠のfaxを設定するには?

Fax.PlusのHIPAA準拠faxは、Enterpriseプランでご利用いただけます。設定は3つのステップで完了します。

1. Enterpriseプランに加入する。Free、Basic、Premium、BusinessのプランはHIPAAの対象外のため、PHIには使用しないでください。
2. Advanced Security Controlsを有効にする。アカウントオーナーまたは管理者が、設定のセキュリティから有効にします。チーム全体に一括で適用されます。
3. BAAを申請して締結する。BAAを締結し、セキュリティ制御を有効にすると、チームでPHIを送受信できるようになります。

HIPAAモードはアカウント単位で設定され、ユーザーや部門ごとには設定できません。Enterpriseアカウントのメンバー全員が同じ保護された環境で作業するため、チームメンバーの誰かがアカウント内の保護されていない場所からPHIをfaxで送信してしまうリスクがなくなります。

HIPAAモードをオンにすると何が変わりますか?

切り替える前にこの点を確認したいというチームは多いため、全体像をご説明します。

知っておくべき点が2つあります。HIPAAアカウントのユーザーが誤って標準の@fax.plusアドレスにメールを送信した場合、Fax.Plusはそのメッセージを自動的にTLSが強制されるパイプラインへリダイレクトします。また、Zapierがオフのため、HIPAAワークフローでfaxを他のシステムと連携するにはAPIを使用します。詳細はHIPAA fax APIをご覧ください。

HIPAA準拠のfaxワークフローの自動化

HIPAAモードではZapierが無効になりますが、自動化が停止するわけではありません。メールの添付ファイルは、別途有効にするオプションのワークフローです。HIPAAアカウントでもFax.Plus APIは引き続き動作し、医療機関の受付業務では特に次の3つの機能が重要です。

• faxストリーミング。受信したfaxの各ページは、受信され次第お客様のシステムに送信されるため、紹介状を1ページ目から振り分けられます。ストリーミングはリクエストにより有効化され、HIPAAアカウントでも利用できます。
• 本番環境向けのWebhook。イベントには署名が付与されるため、お客様のサーバーで検証できます。また、イベントの種類やfax番号で絞り込むことができ、配信ログ、未受信イベントの再送、エンドポイントで失敗が続いた場合のアラートも利用できます。
• ペイロードにPHIは含まれません。Webhookイベントには、ステータスやページ数などのfaxの詳細情報のみが含まれ、文書自体は含まれません。お客様のシステムがAPIを通じてfax本体をダウンロードします。

AIアシスタントがfaxを扱えるようにするFax.Plus MCPサーバーは、Advanced Security Controlsが有効なアカウントでは利用できないため、HIPAAのワークフローではAPIを使用します。

PHIに使用できるFax.Plusのプランはどれですか?

Enterpriseのみです。このプランには、HIPAA準拠のfaxに必要なBAA、Advanced Security Controls、監査ログ、ロールベースのアクセス制御、データレジデンシーのオプションがそろっています。これより下位のプランにはこれらが含まれないため、PHIには利用できません。

コントロールの全一覧については、HIPAA準拠のfaxをご覧ください。法律そのものの概要については、HIPAAとはをご覧ください。

HIPAA faxのチェックリスト

チームがPHIをfaxで送信する前に、次の各項目を確認してください。

1. faxプロバイダーとBAAを締結している。
2. アカウントでHIPAAモード(Fax.PlusではAdvanced Security Controls)が有効になっている。
3. トレーニングを受けたスタッフのみがアクセスでき、ロールが職務に合ったものになっている。
4. 二要素認証が必須になっている。
5. 送信前に受信者の番号を確認し、可能な場合は連絡先として保存している。
6. faxには、受信者に必要な情報のみを記載して送信している。
7. 受信したfaxの保存先をスタッフが把握しており、PHIを個人のメールや未承認のツールに転送してはならないことを理解している。