FaxZero は HIPAA に準拠していますか？

確認した公開ドキュメントでは、FaxZeroはHIPAA対応サービスやBAAのオプションを公開していません。医療機関は、契約上の保護と適切な安全対策が確認できない限り、保護対象保健情報(PHI)にFaxZeroを使用しないでください。

この結論は、患者の文書を扱うプロバイダーを医療機関が選ぶ場合についてのものです。個人が自分の健康記録をfaxサービスで送信すると、それだけで自動的にHIPAAに違反するという意味ではありません。

2026年10月20日に、FaxZeroの公開ホームページ、FAQ、利用規約、プライバシーポリシーを確認しました。重要なのは、FaxZeroが記載している機能と、それらの機能だけでは成立しない医療向けの取り決めとを区別することです。

PHIを扱う組織は何を確認すべきですか？

covered entity(対象事業者)またはbusiness associate(業務委託先)は、自らに代わって電子PHIを扱うプロバイダーの役割と、BAAが必要かどうかを判断する必要があります。特にcloudプロバイダーについては、HHSのガイダンスで、適切なBAAの必要性と、その取り決めに伴うリスクの評価について説明されています。これはFaxZeroの法的な位置付けを分類するものではありません。

FaxZeroの公開資料には、医療向けのプラン、公開されたBAAのオプション、HIPAA専用のアカウント設定は記載されていません。

公開されたオプションがないからといって、プロバイダーがあらゆる契約を拒否していることにはなりません。組織のPHIを送信する前に、プロバイダーの役割、必要なBAA、アカウントの利用資格、アクセス制御、データ保持、運用上の取り扱いを確認してください。これらの要件を確認できない場合は、医療向けの取り決めが文書化されているサービスを選んでください。

紹介状1通や短い記録請求だけを送る場合でも、この要件が解消されるわけではありません。文書の量と、選んだプロバイダーやワークフローが適切かどうかは、別の問題です。

FaxZeroに料金を支払えばHIPAAに準拠できますか？

2026年10月20日時点で、FaxZeroは最大25ページまでUS$3.29の有料送信を案内しており、優先送信とFaxZeroのブランド表示なしが含まれていました。FaxZeroサービスのレビューでは、送信機能について医療向けの利用資格とは分けて解説しています。

これらは送信方法や表示上の違いにすぎません。有料オプションにもBAAやHIPAA専用のアップグレードは記載されていないため、無料オプションと同じPHI要件を満たす必要があります。

FaxZeroは暗号化についてどのように説明していますか？

FaxZeroのFAQには、HTTPSによる送信と、同社サーバーからのSSL/TLS通信について記載されています。

これらの記載は特定の接続についてのものです。fax経路全体にわたるエンドツーエンド暗号化を示すものではなく、上記のPHI要件を満たすものでもありません。

医療機関が判断する際は、ワークフロー全体を検討する必要があります。誰がファイルをアップロードするのか、どのサービスが処理するのか、受信者に何が届くのか、コピーがどこに残るのかといった点です。アップロード時の暗号化だけでは、これらの疑問は解消されません。

FaxZeroは文書とメタデータをどのくらいの期間保持しますか？

FAQによると、FaxZeroは送信から3日以内にfaxの内容を削除します。これは一定の期間を定めたものであり、即時削除や保持ゼロを意味するものではありません。

同じFAQには、送信者のメールアドレスや送信先のfax番号を含むメタデータは無期限に保持されると記載されています。プライバシーポリシーでは、必要な目的のための保持について、より一般的な表現が使われています。特定のデータ区分の保持が要件に関わる場合は、確認を取ってください。

また、送信サービス側で削除されても、受信側の事務所にあるコピー、元のファイル、他の場所で作成されたコピーは削除されません。必要な記録を保存し、機密情報を取り扱うための独自の手順を整えてください。

FaxZeroは配信状況の情報を提供しますか？

はい。FAQには、配信完了または失敗のメールと、確認後または支払い後に通知される専用のステータスページURLについて記載されています。

これらは送信状況を示すものであり、組織としての完全な監査証跡になるものではなく、医療従事者が文書を読んだことや患者のカルテに入力されたことを証明するものでもありません。

自分自身の医療記録を送信する場合はどうですか？

自分の記録を送信する場合は、まず受け取る側の組織の要件と、ご自身のプライバシーに関する希望を確認してください。

自分の医療記録を送信する際は、受け取る側の組織に、どの送信方法を受け付けているか、文書の宛先をどのように指定してほしいかを確認してください。承認された患者ポータルやその組織が提供する別の方法のほうが、より確実な手段になる場合があります。

faxサービスを利用する場合は、機密性の高い資料をアップロードする前に、文書の取り扱い、データ保持、ステータス情報を確認してください。受信者に必要な内容のみを含め、fax番号は別の手段で確認してください。

組織でPHIを扱う場合に、文書化されている代替手段は何ですか？

本ガイドの公開元であるFax.Plusは、Advanced Security Controlsを有効にし、BAAを締結したEnterpriseで、HIPAA規制対象のfaxワークフローをサポートしています。無料枠や下位のプランは、組織のPHIに対する同等の取り決めにはなりません。

AlohiのHIPAAドキュメントで前提条件を説明しています。PHIを送信する前に、契約の締結とアカウントの設定を完了してください。

Fax.Plusは、保存されたファイルをAES-256で暗号化します。Enterpriseでは、SSOとロールベースの管理機能により、スタッフ個々のアクセス管理を支援します。これらの管理機能は、設定済みのワークフローをサポートするものであり、外部の電話ネットワーク全体にわたるエンドツーエンド暗号化を保証するものでも、BAAに代わるものでもありません。

設定済みのワークフロー全体を合わせて評価してください。受付部門と診療部門の文書へのアクセスに加え、IT部門の権限、保持、連携に関する要件も対象となります。