HIPAAとは？わかりやすい解説

HIPAA（Health Insurance Portability and Accountability Act：医療保険の携行性と責任に関する法律）は、患者の健康情報を保護するための全国基準を定め、医療機関とそのベンダーにその保護を義務付ける、1996年制定の米国連邦法です。HIPAAが適用されるのは病院や医師だけだと思われがちですが、実際には、請求代行会社、ITベンダー、cloudプロバイダー、さらには紹介状を送信するfaxサービスにまで及びます。

ビル・クリントン大統領は、1996年8月21日にHIPAAを公法104-191として署名しました。その後、議会とHHSは4度にわたって法を拡充してきました。プライバシー規則（2003年）、セキュリティ規則（2005年）、違反通知規則（2009年）、Omnibus規則（2013年）です。20年ぶりの大規模なセキュリティ規則改正となる5度目の更新は、OCRの規制アジェンダで2026年5月に予定されています。

このガイドでは、HIPAAの意味、4つの規則、PHIに該当するもの、遵守が必要な対象者、違反した場合の罰則、fax・メール・SMS・SlackへのHIPAAの適用、そして8ステップのスタートチェックリストを解説します。一度読めば、HIPAAがご自身の組織に適用されるかどうか、そして次に何をすべきかがわかります。

HIPAAの定義と歴史の概要（1996年から現在まで）

HIPAAはもともと、転職時にも労働者が健康保険を維持できるようにするために制定されました。現在HIPAAと聞いて連想されるプライバシーやセキュリティのルールは、後から追加されたものです。

HIPAAの正式名称

HIPAAは、1996年のHealth Insurance Portability and Accountability Act（医療保険の携行性と責任に関する法律）の略称です。ビル・クリントン大統領が1996年8月21日に公法104-191として署名しました。この法律には、転職しても健康保険を持ち運べるようにすること、医療における不正・濫用を減らすこと、電子的な医療取引を標準化すること、健康情報を保護することという、4つの当初の目的がありました。

健康情報の保護に関する部分は、当初の法律ではごく一部にすぎませんでした。議会は、実際のプライバシーおよびセキュリティに関する規則の策定を、後から保健福祉省（HHS）に委ねました。現在、多くの人が「HIPAA」と言うとき、指しているのはこれらの規則です。

HIPAAの変遷：4つの主要な更新

• プライバシー規則（2003年）は、PHIを誰が利用・開示できるかについて初めて全国基準を定め、患者に自身の記録に対する権利を与えました。
• セキュリティ規則（2005年）は、電子PHIに対する管理面、物理面、技術面の保護措置を追加しました。
• HITECH法と違反通知規則（2009年）では、罰金の上限が年間25,000ドルから年間150万ドルに引き上げられ、違反通知が義務化されました。また、250億ドルのインセンティブによりEHRの導入が促進されました。HITECH法により、州司法長官にもHIPAAの執行権限が付与されました。
• Omnibus規則（2013年）では、Business AssociateがHIPAA違反について直接責任を負うことになり、違反通知に関する立証責任も逆転しました。

2025〜2026年のHIPAAの現状

HHSは2025年1月、セキュリティ規則の大幅な改正案を公表しました。この案では、多要素認証と暗号化が必須となり、「必須」と「対応可能」の仕様の区別が撤廃されます。業界のコスト試算は340億ドルに上ります。公民権局（OCR）は、最終決定を2026年5月の規制アジェンダに残しています。後で慌てないよう、今からMFAと暗号化を必須として扱ってください。

HIPAAの4つの規則を解説

「HIPAA」というと1つの規則のように語られますが、実際には相互に連動する4つの規則から成り、違反の多くは規則間の境目で発生します。

プライバシー規則（2003年）

プライバシー規則は、PHIの定義と、どのような条件で誰がアクセスできるかを定めています。患者には、自身の記録へのアクセス、訂正の請求、開示履歴の請求、情報の利用方法に関する制限の請求といった権利があります。医療提供者は、アクセス請求に30日以内に対応する必要があり、30日間の延長が1回のみ認められます。

この規則では、治療、支払い、医療業務（「TPO」の例外）については、患者の承認なしにPHIを使用できます。それ以外はすべて最小限必要の原則が適用され、目的を達成するために必要な情報のみを開示します。治療は、記録全体を医療提供者間でやり取りできる唯一の例外です。

プライバシー規則違反の典型例を挙げます。ある診療所が、患者のHIV感染状況を、スタッフが主治医だと思っていた宛先にfaxで送信したところ、実際には患者の勤務先でした。番号の誤り、最小限必要の管理の欠如、宛先確認の不備が重なった事例です。

セキュリティ規則（2005年）

セキュリティ規則は、電子的なPHI（ePHI）にのみ適用されます。保護措置は次の3つに分類されます。

• 管理面：リスク分析、従業員教育、制裁方針、アクセス管理
• 物理面：施設へのアクセス管理、ワークステーションのセキュリティ、機器の廃棄
• 技術面：アクセス制御、監査ログ、完全性の管理、送信時の暗号化

現在の「必須」と「対応可能」の仕様の区別は、2025年の改正案により廃止される見込みです。執行ではリスク分析の不備が大半を占めており、2024年に終了したOCRの22件の解決事例のうち13件で確認されました。

違反通知規則（2009年、HITECH法による）

保護されていないPHIが侵害された場合、対象事業者は次の3者に通知する必要があります。

• 影響を受けた個人に60日以内
• HHS（500人以上に影響する違反は直ちに、それより小規模な違反は年末から60日以内）
• 1つの州で500人以上の居住者が影響を受ける場合は主要メディア

暗号化にはセーフハーバーとしての効果があります。適切に暗号化されたデータは、紛失や盗難があっても通知の対象になりません。Warby Parkerの2025年の150万ドルの和解は、クレデンシャルスタッフィング攻撃で顧客の眼鏡処方データが流出した件で、セキュリティ規則と違反通知規則の両方の不備が問われたものです。

違反には3つの例外があります。権限のある従業員による意図しないアクセス、権限のある2者間での不注意による開示、そして情報を合理的に保持できない相手への開示です。

Omnibus規則(2013年)

Omnibus規則により、Business Associateとその再委託先がHIPAAについて直接責任を負うことになりました。2013年以前は、罰金の対象は対象事業者のみでした。

Omnibus規則は、違反に関する立証責任も逆転させました。プライバシー規則で認められていない使用または開示は、対象事業者が4つの要素によるリスク評価を用いてPHIが侵害された可能性が低いことを示せない限り、違反と推定されます。

PHIとは？HIPAAの対象となる18の識別子

PHIとは、18の特定の識別子のいずれかが、個人の健康、医療、または医療費の支払いと結び付いたものを指します。18の識別子をすべて正しく取り除くと、そのデータは匿名化され、PHIではなくなります。

HIPAAの18の識別子

1. 氏名
2. 州より小さい単位の地理情報
3. 個人に関連する年を除くすべての日付
4. 電話番号
5. fax番号
6. メールアドレス
7. 社会保障番号
8. 診療記録番号
9. 健康保険の被保険者番号
10. 口座番号
11. 証明書番号または免許番号
12. ナンバープレートを含む車両識別情報
13. デバイス識別子およびシリアル番号
14. Web URL
15. IPアドレス
16. 指紋や声紋などの生体識別情報
17. 顔全体の写真およびそれに類する画像
18. その他の一意に識別できる番号、特徴、またはコード

同じデータでもPHIに該当しない場合

健康に関する文脈のない識別子はPHIではありません。小売店のメーリングリストにある顧客の名前は、単なる名前です。識別子のない健康に関する文脈もPHIではありません。適切に匿名化された病院の集計統計はHIPAAの対象外です。この法律が適用されるのは、両方の要素が同時に存在する場合のみです。患者の名前と診断名の組み合わせはPHIです。識別子のない診断名はPHIではありません。

HIPAAを遵守しなければならない者（そうでない者）

FitbitのデータはHIPAAで保護されていません。勤務先の健康増進プログラムも、おそらく対象外です。HIPAAが対象とする組織は特定のリストに限られており、そのリストは多くの人が想像するよりも狭い範囲です。

対象事業者（CE）

HIPAAの対象事業者は、次の3つのカテゴリーのいずれかに該当します。

1. 健康保険プラン：保険会社、HMO、Medicare、Medicaid、事業主の団体健康保険プランが該当します。事業主の団体健康保険プランは、規模にかかわらずほとんどが対象です。狭い例外として、加入者が50人未満で自己管理されている団体健康保険プランはHIPAAの対象外です。保険会社や第三者管理者が運営している場合は対象となります。
2. 医療情報クリアリングハウス：非標準のデータを標準的な電子取引に変換する事業体です。
3. 医療提供者のうち、対象となる取引（請求、資格確認、紹介など）に関連して健康情報を電子的に送信する者です。

電子取引が適用の基準となるため、現代のほぼすべての医療提供者が対象となります。保険請求を電子的に行ったり、電子的な紹介状を送信したりした時点で、対象に含まれます。

Business Associate（BA）

Business Associateとは、対象事業者に代わってPHIに関わる業務を行う個人または組織を指します。代表的な例は、請求代行会社、ITベンダー、cloudストレージ事業者、文書裁断サービス、PHIにアクセスする法律事務所、文字起こしサービス、HIPAAに準拠したfaxプロバイダーなどです。

2013年のOmnibus規則以降、Business AssociateはOCRに対して直接責任を負います。PHIを受け渡す前に、Business Associate Agreement（BAA）を締結してください。Gulf Coast Pain Consultantsは、契約業者が契約終了後もシステムへのアクセス権を保持し、不正なMedicare請求を行ったことで119万ドルを支払いました。これは、BAのアクセス管理が機能しなかった場合に何が起こるかを示す事例です。

HIPAAの対象外となる者

• 団体健康保険プラン以外で従業員の健康情報を扱う事業主（代わりにADAとFMLAが適用されます）
• 医療提供者向けに販売していない一般消費者向けフィットネスアプリ（Fitbit、Apple Health、MyFitnessPalなど。代わりにFTC Health Breach Notification Ruleが適用されます）
• 学校および大学（学生の記録にはFERPAが適用されます）
• 生命保険会社、労働者災害補償の保険者、およびほとんどの障害保険会社
• 法執行機関
• PHIにアクセスしないマーケティング分析会社

HIPAAと通信チャネル：fax、メール、SMS、Slack、ビデオ

テキサス州の歯科医院は、従業員が星1つのYelpレビューに患者の詳細情報を含めて返信したため、1万ドルを支払いました。HIPAAは媒体ではなくメッセージに付いて回ります。スタッフがPHIをやり取りするすべてのチャネルについて、それぞれ対策を用意する必要があります。

コンプライアンス対応表

‍

fax：今も医療現場を支える主力手段

コンジット例外により、通信事業者はfaxを送信する際に内容を確認も保存もしないため、Business Associateには該当しません。そのため、従来型のfaxはHIPAAで認められるチャネルの範囲内にとどまります。

アナログfaxには実務上の問題が2つあります。監査証跡が残らないこと、そして1桁の入力ミスでPHIが漏えいしかねないこと（HIV感染状況が勤務先に送信された事案）です。Fax.PlusのようなHIPAA準拠のcloud faxサービスは、EnterpriseプランでBAAを締結し、通信中および保存時のデータを暗号化し、すべての送受信を記録します。また、スタッフはメールやウェブブラウザーから送信できます。スタッフは、普段使っている業務の流れを変えずに、メールから直接faxを送信できます。

メールとメッセージング

無料の個人向けメールは、最も多い「気づかれにくい」HIPAA違反です。Gmail、Outlook.com、Yahoo、iCloudは、無料プランではBAAを締結しません。有料のGoogle WorkspaceとMicrosoft 365はHIPAAに対応できますが、それはBAAを締結し、設定を厳格に管理した場合に限られます（サードパーティ製アプリのアクセスを無効にする、監査ログを有効にする、MFAを必須にする）。

標準のSMSは準拠していません。通信事業者はBAAを締結せず、メッセージは端末や通信事業者のシステムに暗号化されないまま保存されます。代わりに、HIPAAに対応した安全なメッセージングアプリを使用してください。

ビデオ会議とコラボレーション

FaceTimeと個人用のZoomアカウントは使用できません。Zoom for Healthcare、Doxy.me、Microsoft Teams（BAA付き）は使用できます。SlackがBAAを締結するのはEnterprise Gridの場合のみです。標準のSlackワークスペースは、どれだけ適切に設定してもHIPAAに準拠しません。

HIPAA違反と罰則：コンプライアンス違反のコスト

2024年、米国保健福祉省（HHS）の公民権局は、総額990万ドルに相当する22件の執行措置を完了しました。そのうち13件で、「適切なリスク分析の未実施」という同じ根本原因が確認されています。

民事制裁金の区分（2026年）

• ティア1（認識の欠如）：1件の違反につき145ドル〜73,011ドル、年間上限は2,190,294ドル
• ティア2（合理的な理由がある場合）：1件の違反につき1,461ドル〜73,011ドル
• ティア3（故意の怠慢、30日以内に是正）：1件の違反につき14,618ドル〜73,011ドル
• ティア4（故意の怠慢、未是正）：1件の違反につき73,011ドル〜2,190,294ドル

刑事罰

OCRは刑事事件を司法省に付託し、司法省が起訴します。PHIを故意に取得または開示した場合：最大50,000ドルの罰金および禁錮1年。虚偽の口実による場合：最大100,000ドルの罰金および禁錮5年。販売、譲渡、商業的利益の獲得、または悪意ある損害を目的とした場合：最大250,000ドルの罰金および禁錮10年。

2024〜2025年の実際の執行事例

• Warby Parker 150万ドル（2025年）：クレデンシャルスタッフィング攻撃。この眼鏡小売業者は対象事業者でした
• Montefiore Medical Center 475万ドル：内部関係者が12,000件以上の記録を盗み出しました。監査管理が不十分でした
• Enzo Biochem 450万ドル：ランサムウェアによる情報流出の原因は、共有された認証情報と10年前のパスワードでした
• Gulf Coast Pain Consultants 119万ドル：契約を終了した請負業者がシステムへのアクセス権を保持し続け、Medicareに不正な請求を行いました
• テキサス州の歯科医院 10,000ドル：経営者がYelpのレビューに対し、患者の詳細情報を記載して返信しました

OCRの「Right of Access Initiative（アクセス権イニシアチブ）」では、2019年以降54件の執行措置が行われ、記録を期限内に提供しなかった医療提供者に対して3,500ドルから160,000ドルの罰金が科されています。

HIPAAを執行する機関

民事上の執行はHHS公民権局（OCR）が担当します。州司法長官もHIPAAに基づく訴訟を提起できます（2009年にHITECH法によりこの権限が付与されました）。刑事事件は司法省が起訴します。FTCは、フィットネストラッカーなどHIPAAの対象外の健康アプリに対して、Health Breach Notification Ruleを執行します。

HIPAAを上回る州法

HIPAAは連邦レベルの最低基準です。一部の州ではその上にさらに高い基準を設けており、州法のほうが厳しい場合は州法が優先されます。

• カリフォルニア州CMIA：医療情報の定義がより広く、より多くの種類の事業者に適用されます。患者に直接訴訟を起こせる私的訴権を与え、記録へのアクセスをHIPAAの30日に対して5日以内に提供するよう義務付けています。
• テキサス州HB 300：「対象事業者」の範囲を、テキサス州でPHIを取り扱う事実上すべての者に拡大し、採用後90日以内の従業員研修と2年ごとの再研修を義務付けています。また、州司法長官による年間最大150万ドルの罰金を認めています。
• ワシントン州MHMDA：米国で最も広範な消費者向け健康プライバシー法です。HIPAAの適用が除外されているフィットネストラッカーのデータ、月経周期管理アプリ、ウェルネスアプリの情報も対象とし、私的訴権を認めています。

ニューヨーク州のSHIELD Actやイリノイ州のGenetic Information Privacy Actも、それぞれの州でさらなる保護を加えています。

州法がHIPAAより厳しい場合は州法に従ってください。HIPAAのほうが厳しい場合はHIPAAが優先されます。PHIを取り扱うすべての州について、両方を整理して把握しておきましょう。

HIPAAコンプライアンスを始めるには：実践的なチェックリスト

HIPAAコンプライアンスに「完了」はありません。継続的なプログラムです。それでも、8つのステップで信頼できる体制を立ち上げることができます。

HIPAA開始のための8ステップ・チェックリスト

1. 自組織の立場を確認する。対象事業者、Business Associate、またはいずれにも該当しないのか。この答えが、他のすべてのステップを左右します。
2. セキュリティリスク分析（SRA）を実施する。これはOCRが最も多く指摘している不備です（2024年は22件中13件）。PHIが存在するすべての場所、それに関わるすべてのシステム、そしてあらゆる脅威を洗い出します。
3. プライバシー責任者とセキュリティ責任者を任命する。小規模な組織では、同一人物が兼ねても構いません。その役割を文書で明記してください。
4. 必要なポリシーを作成する。プライバシーポリシー、セキュリティポリシー、情報漏えい対応計画、制裁方針、デバイスポリシーなどです。汎用テンプレートは出発点であり、ゴールではありません。
5. PHIを扱うすべてのベンダーとBAAを締結する。メールプロバイダー、cloudストレージ、faxサービス（Fax.Plus EnterpriseにはBAAが含まれています）、請求代行会社、ITサポート、文字起こしサービスなどが該当します。BAAがなければ、PHIは共有できません。
6. 従業員を研修する。採用時の初期研修、定期的な再研修、臨床スタッフやITスタッフ向けの役割別研修を行います。受講記録を残してください。
7. 技術的保護措置を導入する。ロールベースのアクセス制御、監査ログ、通信中および保存時の暗号化、PHIに関わるすべてのアカウントでのMFAを導入します。
8. 情報漏えい対応のプレイブックを作成する。4要素のリスク評価プロセス、60日間の通知スケジュール、OCRおよび州司法長官の連絡先リスト、そして少なくとも年1回の机上演習を盛り込みます。

‍