ニュース

Nov 03, 2023

HIPAA に基づく紙の医療記録、物理的な PHI を適切に廃棄する方法

出典: Getty Images 2022 年 12 月 27 日 - 保護された医療情報 (PHI) の不適切な廃棄は、HIPAA 違反、公民権局 (OCR) の調査、および高額の罰金につながる可能性があります。 のために

出典: ゲッティイメージズ

2022 年 12 月 27 日 - 保護された医療情報 (PHI) を不適切に廃棄すると、HIPAA 違反、公民権局 (OCR) の調査、および高額の罰金が科される可能性があります。

たとえば、2022年8月、OCRは、PHIを含むラベルが貼られた空の検体容器が診療所の駐車場にある安全のないゴミ箱に捨てられていたことを発見した後、マサチューセッツ州に本拠を置く皮膚科診療所との訴訟を和解させた。

ラベルには患者名、生年月日、サンプル採取日、検体を採取した提供者の名前が記載されていた。 さらに、後に第三者の警備員が駐車場で PHI を含むラベルが貼られた検体容器 1 つを発見しました。

OCRディレクターのメラニー・フォンテス・レイナー氏は当時、「保護された医療情報の不適切な廃棄は、患者のプライバシーに不必要なリスクをもたらす」と述べた。

「HIPAAの規制を受ける組織は、患者情報を廃棄する際に一般の人々がアクセスできないように安全策が講じられるようあらゆる措置を講じるべきである。」

この診療所は OCR に 300,640 ドルを支払い、是正措置計画を実施することに同意した。

幸いなことに、HHS は、HIPAA のプライバシーおよびセキュリティ規則に基づいて要求されている物理的記録および電子 PHI の廃棄の適切な方法と不適切な方法に関する多くのガイダンスを維持しています。

以下では、HealthITSecurity が、紙の記録などの物理的な PHI を適切に廃棄するためのいくつかの重要な考慮事項について詳しく説明します。 今後の記事では、電子 PHI の廃棄プロセスについて説明します。

HIPAA プライバシー規則は、「いかなる形式であっても、保護された医療情報 (PHI) のプライバシーを保護するために、対象となる事業体が適切な管理的、技術的、物理的保護措置を適用することを要求している」と HHS が PHI の廃棄に関する FAQ で述べています。

「これは、対象となる事業体が、そのような情報の廃棄に関連したものを含む、PHI の付随的な使用や開示を制限し、禁止された使用や開示を回避するために、合理的な保護措置を講じなければならないことを意味します。」

HIPAA セキュリティ規則では、電子 PHI の保存および削除方法に関するポリシーに加えて、電子メディアを再利用する前に電子メディアから電子 PHI を削除するためのポリシーと手順を実装することを対象事業体に義務付けています。

HIPAA はまた、対象となる事業体に対して、その事業体の PHI 廃棄ポリシーについて従業員を訓練することを義務付けています。

HIPAA は、情報が適切に廃棄されることを保証するために組織がどのような保護措置を導入するかを選択することに関して、かなり柔軟です。 対象となる事業体は、それぞれの状況を評価し、PHI を合理的に処分する方法を決定する必要があります。

「何が合理的なのかを判断する際、対象事業体は患者のプライバシーに対する潜在的なリスクを評価するとともに、処分されるPHIの形態、種類、量などの問題を考慮する必要がある」とHHSは続けている。

「たとえば、名前、社会保障番号、運転免許証番号、デビットカード番号またはクレジットカード番号、診断情報、治療情報、その他の機密情報などの特定の種類の PHI の廃棄には、不適切なアクセスが行われるリスクがあるため、より注意が必要となる場合があります。この情報は、個人情報の盗難、雇用、その他の差別、または個人の評判の低下につながる可能性があります。」

紙の記録に関しては、HHS は PHI を判読できず、再構築できないようにするために、「記録をシュレッダーにかけ、焼却し、パルプ化し、または粉砕する」ことを推奨しています。

PHI が記載された処方箋ボトルの場合、対象事業体はボトルを不透明な袋に入れ、ベンダーに PHI の引き取りと廃棄を依頼することを検討する場合があります。

OCR の和解に例示されているように、対象事業体は、読み取り不能になるまで破壊されていない限り、PHI を安全でないゴミ箱に処分すべきではありません。 不適切に廃棄された PHI が流出した場合、データ侵害とみなされます。

「一般に、対象となる事業体は、紙の記録、ラベルが貼られた処方箋ボトル、病院識別ブレスレット、電子メディア上の PHI、または一般にアクセスできるゴミ箱、リサイクル箱、ゴミ箱、またはその他のゴミ箱に保存された PHI を廃棄することはできません。公衆またはその他の権限のない人物です」と HHS は主張しています。