HIPAA に違反するとどうなるか

HIPAA違反は、是正措置、従業員の懲戒、規制当局による執行措置につながる可能性があります。保護されていない患者情報の侵害は、通知義務を生じさせることもあります。結果は、何が起きたか、関係する情報の内容、調査の結果によって異なります。

医師や看護師の場合、職場での結果として、再研修、アクセス制限、懲戒処分などが考えられます。組織は、調査、和解合意(resolution agreement)、民事制裁金の対象となる可能性があります。刑事上の違反の可能性がある場合は、司法省に付託されることがあります。OCRによるHIPAAの執行方法。

誤送信されたfaxは、事実関係が重要である理由を示しています。古い連絡先を選択してしまったために、担当医に宛てた記録が無関係の事業者に届いてしまうことがあります。最優先事項は、何が送信されたかを確認し、さらなる開示を防ぎ、インシデントを評価するために必要な情報を保存することです。

HIPAA違反後に、どのような結果が生じうるか

同じインシデントに対して、複数の対応が取られることがあります。

雇用主は、スタッフの行動と手順が守られていたかどうかを調べます。プライバシー担当チームは、情報開示と通知義務を評価します。規制当局は、組織のコンプライアンスについて調査を行うことがあります。

HHS公民権局(OCR)は、自主的な遵守、是正措置、または和解合意(resolution agreement)によって案件を解決できます。民事制裁金が科される可能性もあります。調査の結果、違反がなかったと確認されることもあります。

そのため、他の事例で大きく報じられた罰金額から、個別のインシデントの結果を予測することはできません。調査では、関係する行為と義務を確定する必要があります。

医療機関にとっての対応は、最初の情報開示だけにとどまりません。影響を受けた記録の確認、受信者への連絡、判断内容の記録、スタッフの再研修、そして誤りを生んだ手順の見直しなどにも及びます。

医師や看護師がHIPAAに違反した場合はどうなりますか？

職業上の肩書きによって、一律の罰則が決まるわけではありません。

業務上の理由なく記録を開いた看護師と、診療所から記録を誤った送信先に送信してしまった医師とでは、事実関係が異なります。調査では、本人の行動、責任、指示内容、そして問題が判明した後の対応を検証する必要があります。

職場での結果は、調査結果と適用される方針によって異なります。指導、書面による警告、再研修、アクセス制限、あるいはより重い懲戒処分となる場合があります。

個別のケースでは、免許に関わる結果が生じる可能性があります。HHSは、元夫の記録に不正にアクセスしたナースプラクティショナーの事例を紹介しています。この事例では、医療システムが本人のアクセス権を取り消し、その行為を免許当局に報告し、プライバシーに関する是正研修を義務付けました。これは、インシデントに関与したすべての専門職が自動的に免許を失うことを意味するものではありません。HHSの事例。

スタッフは、誤りの疑いがある場合は速やかに報告し、正確に説明する必要があります。組織は、インシデントを封じ込め、自らの義務を判断するために、そうした詳細を必要とします。

番号違いのfaxは、機密性の高い記録を漏えいさせる可能性があります

HHSが公表した事例では、ある診療所が、患者のHIV感染状況を含む記録を、新しい医療提供者ではなく患者の勤務先にfaxで送信してしまいました。

担当した従業員は書面による警告を受けました。診療所は、faxの送付状を改訂し、スタッフにfaxの手順について指導しました。医師と従業員は、患者にも謝罪しました。

この誤りは、送信先を選択する段階で起きました。faxサービスが正常に機能していれば、データは問題なく送信されますが、それでも情報が権限のない受信者に届いてしまう可能性があります。

番号が正しくても、別の患者の書類を添付してしまえば、別のリスクが生じます。送信先の確認と送信書類の確認は、それぞれ別の作業です。

本人の承諾なしに記録をfaxで送信すると、HIPAA違反になりますか？

必ずしもそうとは限りません。HIPAAでは、医療提供者が治療目的で情報を共有する場合、通常は患者の個別の承諾なしで行うことが認められています。faxも、合理的な安全対策を講じたうえで利用できます。特定の記録や状況には、追加の要件が適用される場合があります。治療目的の情報共有に関するHHSのガイダンス。

最小限必要の原則にも例外があり、治療目的で医療提供者へ開示する場合や、医療提供者から要求を受けた場合などが該当します。最小限必要の原則に関するHHSのガイダンス。

インシデントを検証する際は、承諾がないことだけで違反と判断する前に、目的と受信者を確認してください。同様に、治療に当たる医療従事者への記録送信が認められているからといって、無関係の雇用主やその他の意図しない送信先への送信が認められるわけではありません。

faxによる情報開示の疑いを発見した後の対応

ある事務所から、自院が患者ではない人の記録を送信したという連絡があったとします。

連絡してきた相手の詳細を記録し、プライバシー責任者または指定されたインシデント窓口へ速やかに連絡してください。事実関係は組織のインシデント報告ルートで共有し、患者情報へのアクセスは対応に当たる担当者のみに限定してください。

さらなる開示を防ぐ

キューに残っている送信や処理中の送信がないか、また残りの送信を停止できるかを確認してください。誤りに気づいてタスクをキャンセルできたからといって、受信者にページが一切届いていないとは限りません。

保留中の送信を停止しても、すでに配信されたページを取り戻すことはできません。送信者側のコピーを削除しても、受信済みのコピーは消えません。

プライバシー担当チームは、意図しない受信者との連絡を取りまとめる必要があります。これには、さらなる使用や開示を防ぐよう求めることや、文書の取り扱いに関する指示が含まれます。受信者の説明と、実施済みの軽減措置を記録してください。

関連する証拠を保全する

元の送信資料と送信の詳細を、調査で参照できる状態で保管してください。

有用な情報には次のものがあります。

• 入力された宛先と、本来の受信者。
• 送信したアカウント、日付、時刻。
• 送信ステータスとページ数。
• 添付されていた文書。
• 問題が発見された時期と、報告した人。
• 他の送信にも影響が及ぶ可能性があるかどうか。

アカウントを整理するために履歴を削除したり、実際に送信された内容を保存せずに送信資料を修正版に置き換えたりしないでください。

Fax.Plus の確認レポートには、ステータス、日付、時刻、ページ数など、送信の詳細が記録されます。これらは、事実関係の技術的な経緯を確認するのに役立ちます。Fax.Plus の確認レポート。スタッフが患者情報に使用する前に、Fax.Plus での組織向け fax 利用に必要なアカウント要件を整えてください。

影響範囲を特定する

チームは、これが1件の宛先誤りなのか、別の患者の文書を添付した誤りなのか、より広範な問題なのかを判断する必要があります。

誤った番号が登録された連絡先は、他の記録にも影響する可能性があります。複数のファイルから作成した送信資料には、複数の患者の情報が含まれている場合があります。

確認済みの事実と推測を区別してください。受信者からの説明が不完全な場合は、都合のよい結論で空白を埋めるのではなく、不明な点をそのまま記録してください。

どのような場合に、インシデントで侵害通知が必要になりますか？

PHI の許可されない使用または開示は、該当する例外が適用される場合、または情報が侵害された可能性が低いことを文書化された評価で示せる場合を除き、侵害(breach)であると推定されます。

HHS は、次の4つの評価要素を示しています。

• 関係する情報の性質と範囲。
• 権限なく情報を受け取った、または使用した人物。
• 情報が実際に取得または閲覧されたかどうか。
• リスクがどの程度軽減されたか。

組織は、通知の要否に関する判断を文書化する必要があります。受信者の保証は評価の参考になりますが、スタッフはそれを判断のすべてと見なすべきではありません。

個人への通知が必要な、保護されていない PHI の侵害については、HHS は不当な遅延なく、発見から60日以内に通知することを求めています。これは、調査を60日間先送りしてよいという意味ではありません。その他の通知には、それぞれ固有の要件があります。HHS の侵害通知に関するガイダンス。

プライバシー担当チームは、影響を受けた方々が適切な経路で正確な情報を受け取れるよう、通知プロセスを取りまとめる必要があります。

エラーの原因を是正する

開示につながった判断を、文書までさかのぼってたどってください。

番号は確認済みの情報源からコピーされましたか？ 保存済みの連絡先に古い情報が含まれていませんでしたか？ 似た名前の患者をスタッフが区別できましたか？ 前の患者の添付ファイルが送信資料に残っていませんでしたか？

調査結果は是正の指針となります。連絡先の更新で対処できるのは番号の誤りだけで、記録の取りまとめ時のミスには別の対策が必要です。研修では、機能しなかった具体的な確認手順をスタッフに示してください。

アクセスについても注意が必要です。受信した記録を開ける人、共有ワークステーションを使用する人、受信用番号の割り当てを変更できる人を見直してください。送信結果を確認し、想定外の宛先をエスカレーションするスタッフの責任を明確にしてください。

Fax.Plus では、「Success」ステータスは、受信側の fax エンドポイントが受信の成功を確認したことを意味します。これは、宛先が許可されていたこと、本来の担当者が送信資料を読んだこと、または正しい患者のカルテに届いたことを示すものではありません。Fax.Plus の送信ステータス。

PHI を扱う場合、Fax.Plus では Enterprise プランで Advanced Security Controls を有効にし、署名済みの BAA を締結している必要があります。スタッフの手順では、受信者、文書、アクセスについても定める必要があります。Fax.Plus の HIPAA 要件。

調査中は、保持を管理している担当者と連携して証拠の保全を進めてください。Fax.Plus の自動削除は元に戻せません。インシデントを調査中であっても、予定されている削除が一時停止されると想定しないでください。Fax.Plus の保持設定。

違反が疑われる場合に患者ができること

ご自身の記録が誤った受信者に届いたと思われる場合は、医療提供者のプライバシー窓口に連絡し、把握している内容を伝えてください。

おおよその日付、関係する組織、問題に気づいた経緯を伝えてください。関連するやり取りは保管しておきましょう。どの情報が影響を受けたのか、組織がどのような対応を行ったのか、さらに質問がある場合の連絡先はどこかを確認してください。

OCRに苦情を申し立てることもできます。HHSでは通常、その行為または不作為を知った日から180日以内の申し立てを求めていますが、正当な理由がある場合は延長が認められることがあります。対象の事業者を特定し、疑われる行為の内容を説明してください。

OCRが調査を行うには、お名前と連絡先が必要です。同意書で秘密保持を求めることはできますが、これは匿名での申し立てとは異なります。HIPAAは、苦情を申し立てたことに対する報復を禁止しています。HHSの苦情処理プロセス。

裏付けとなる証拠は、指定された提出方法で提出してください。問題を示すために診療記録を公開することは避けてください。情報がさらに漏えいするおそれがあります。