PHIPAとHIPAAの違い:医療機関のコンプライアンスに関する主なポイント

PHIPAとは何の略ですか?

PHIPAはPersonal Health Information Protection Act, 2004の略で、カナダ・オンタリオ州における患者の健康情報を規律する法律です。2004年に施行され、苦情や情報漏えいを調査する独立規制機関であるオンタリオ州情報・プライバシーコミッショナーが監督しています。

PHIPAは、医療機関が個人の健康情報(PHI)を収集、使用、保管、共有する際のルールを定めています。個人の健康情報とは、患者を特定でき、その健康に関連するあらゆる情報を指し、診療記録、検査結果、処方箋などが該当します。

HIPAAとは何の略ですか?

HIPAAはHealth Insurance Portability and Accountability Actの略で、患者の健康情報を保護する米国の連邦法です。1996年に制定され、米国では同種のデータは保護対象医療情報と呼ばれ、こちらもPHIと略されます。

HIPAAは、いくつかの中核的なルールで構成されています。健康データの使用と共有を制限するプライバシールール、電子記録の保護措置を義務付けるセキュリティルール、データが漏えいした場合の対応を定める漏えい通知ルールです。詳細については、HIPAAとは何かの解説と、HIPAAの3つのルールの解説をご覧ください。

HIPAAはカナダで適用されますか?

いいえ、HIPAAはカナダでは適用されません。HIPAAは米国の連邦法であり、国境を越えた北側では法的効力がありません。この点はよく混同されます。カナダのクリニックが「HIPAA準拠」のfax サービスを求めていても、実際に必要なのはカナダのプライバシー法に適合したサービスです。オンタリオ州の医療におけるその法律がPHIPAです。

HIPAAに相当するカナダの法律は何ですか?

HIPAAに完全に相当するカナダの単一の法律はありません。カナダでは健康プライバシーは州ごとに規律されており、オンタリオ州にはPHIPAがあります。一方、PIPEDAという別の連邦法が、民間部門の個人データをより広く対象としています。オンタリオ州の医療機関にとって、患者記録に適用されるのはPHIPAです。

これは、関連する疑問であるPHIPAとPIPEDAの違いへの簡潔な答えにもなります。PHIPAはオンタリオ州の医療に特化したプライバシー法であり、PIPEDAは連邦レベルの一般的なプライバシー法です。また、PHIPAにおけるPHIは、個人の健康やケアに直接関わる情報であるため、PIPEDAにおける個人情報よりも範囲が狭く、より具体的です。オンタリオ州で健康情報を扱う場合は、PHIPAが優先されます。

PHIPAとHIPAAの主な違いは何ですか?

PHIPAとHIPAAの最大の違いは、適用される管轄と、同じ役割に対して各法が付けている名称です。どちらも患者データの機密を守ることを目的とし、強固なセキュリティ、同意、漏えいの報告を求めていますが、ベンダーにとって重要となる細部には違いがあります。

‍

両者の仕組みは、役割ごとにほぼ対応しています。PHIPA では医療機関をHealth Information Custodian(医療情報管理者)と呼び、HIPAA ではcovered entity(対象事業体)と呼びます。また、医療提供者に代わってデータを取り扱うベンダーを、PHIPA ではagent(代理人)、HIPAA ではbusiness associate(ビジネスアソシエイト)と呼びます。どちらの制度でも、中核となる法的義務は医療提供者が負い、ベンダーは書面による契約に基づいてのみデータを取り扱います。

漏えい通知について、PHIPA と HIPAA はどう違いますか?

実務上、最も大きな違いは通知のタイミングです。HIPAA では、covered entity は通常、最大60日以内に通知すればよく、500件以上のレコードに影響する漏えいは連邦規制当局に報告されます。一方、PHIPA はより迅速で、対象範囲も広くなっています。報告対象となる漏えいの要件に該当した時点で、医療情報管理者は直ちに、影響を受ける患者とオンタリオ州情報・プライバシーコミッショナーに通知しなければなりません。また、最小レコード数の基準もありません。PHIPA には HIPAA にはない手順もあります。医療情報管理者は、前暦年の報告対象となる漏えいの件数をまとめた年次報告書を IPC に提出する必要があり、期限は3月1日です。

fax プロバイダーにとって、これはインシデント対応の進め方に影響します。HIPAA の60日という期限だけを前提にしたサービスでは、オンタリオ州では対応が遅すぎます。プロバイダーは、該当するインシデントを検知し、その詳細を直ちに医療情報管理者に伝える必要があります。そうすることで、医療情報管理者はより短い PHIPA の期限を守ることができます。

患者の同意について、PHIPA と HIPAA はどのように扱っていますか?

PHIPA と HIPAA はどちらも、治療目的であれば、そのつど署名入りの書面を取得しなくても健康情報を共有できます。PHIPA では、オンタリオ州の医療提供者は、一定の条件を満たす限り、circle of care(ケアの輪)、つまり患者の治療に直接関わる医療従事者の範囲内で、黙示の同意に基づいて情報を共有できます。HIPAA も同様の考え方で、治療、支払い、医療業務のためであれば、個別の承認なしに情報を移動できます。どちらの法律でも、マーケティングなど、これらの中核的な目的を超える場合には明示的な同意が必要です。

fax プロバイダーにとっての実務上のポイントは、どちらの法律でも同じです。同意の管理はベンダーではなく、医療提供者の役割です。fax サービスはドキュメントを送るだけで、同意が存在するかどうかを判断することはありません。

患者の記録を fax で送る場合、PHIPA や HIPAA では何が求められますか?

PHIPA または HIPAA に基づいて患者の記録を fax で送るには、サービスがドキュメントを送信するだけでは不十分です。fax は、既知の2者間で明確なポイントツーポイントの記録が残るため、医療現場で今も広く使われていますが、一般的な fax ツールではどちらの法律も満たせません。コンプライアンスに対応したサービスには、転送中および保存時のデータの暗号化、個別のログインや二要素認証などのアクセス制御、各ドキュメントを誰が送信または開封したかを記録する監査ログ、復元を防ぐ安全な削除、そしてベンダーの義務を文書で明確にする書面による契約が必要です。

患者のフォームを電子署名する場合にも、同じ考え方が当てはまります。クリニックが問診票、同意書、紹介状、その他の患者関連ドキュメントを電子署名プラットフォームで取得する場合、そのサービスにも適切な安全対策と書面による契約が必要です。ただし、fax で送られるフォームの署名がすべてそのような電子署名とは限りません。fax で届く問診票や同意書の多くには、電子的に取得された署名ではなく、手書き署名をスタンプや事前印刷で再現したファクシミリ署名が使われています。この違いは、コンプライアンス担当チームが実際に信頼できる監査証跡に影響します。オンタリオ州の医療提供者の場合は PHIPA に対応したサービスプロバイダーの体制を、米国の医療提供者の場合は署名済みの BAA を締結した HIPAA 対応のベンダーを利用する必要があります。

この書面による契約が分かれ目です。PHIPA Service Provider Agreement または HIPAA の BAA がなければ、どれほど優れた技術を備えていても、fax ツールを患者データに使用することはできません。署名済みの契約によって、ベンダーは正式に責任を負うことになります。

PHIPA の認証や登録制度はありますか?

いいえ、PHIPA には中央の認証・登録プログラムはありません。コンプライアンスは、登録機関からバッジを受け取るものではなく、組織が自ら実証するものです。医療情報管理者とそのベンダーは、ポリシー、保護措置、同意手続き、情報漏えいの記録を保管し、顧客またはコミッショナーから求められた場合に提示します。そのため、慎重なベンダーは、存在しない公式の PHIPA シールを示すのではなく、PHIPA に準拠していることを述べたうえで、自社の管理体制を示すことができます。

1つの fax サービスで PHIPA と HIPAA の両方に準拠できますか?

はい。1つの医療向けドキュメントプラットフォームで PHIPA と HIPAA の両方のワークフローに対応でき、Fax.Plus と Sign.Plus はそれに対応しています。Fax.Plus は患者記録向けのコンプライアンス準拠のオンライン fax をサポートし、Sign.Plus は医療フォーム、同意書、紹介状、事務書類向けの安全な電子署名をサポートします。

どちらのサービスも、オンタリオ州の医療提供者向けには PHIPA に、米国の医療機関向けには HIPAA に準拠しており、各法が求める書面による契約も提供します。オンタリオ州の提供者には PHIPA Service Provider Agreement、米国の組織には署名済みの Business Associate Agreement です。また、オンタリオ州の医療情報管理者は、テナントの処理リージョンとしてカナダを選択でき、これは技術的なリージョン固定と PHIPA Service Provider Agreement によって担保されます。

内部的には、どちらのサービスも、転送中および保存時の暗号化、ユーザーごとの固有のアクセス、ロールベースの権限、二要素認証、ドキュメント操作の監査ログによってドキュメントを保護しています。第三者による監査を受けた ISO 27001 および SOC 2 Type II のプログラムのもとで運用され、スイスのデータレジデンシーに加え、20か所以上のレジデンシー拠点を利用できます。これらの認証は、サービスがデータをどのように保護しているかを第三者が検査したものであり、PHIPA と HIPAA のどちらも、法律上の文言の裏付けとして求めているものです。

Fax.Plus の安全性についての詳細、医療向け fax ソリューション、HIPAA 準拠の fax 送信の仕組みをご覧いただけます。また、既存のシステムに fax 機能を組み込む場合は HIPAA 準拠の fax API をご確認ください。