HIPAAとは？

対象となる範囲

1996年の医療保険の携行性と責任に関する法律は、45 CFR第160部と第164部のHIPAA規則によって実施されています。プライバシー規則は、保護対象保健情報（PHI）の利用と開示の方法を制限します。セキュリティ規則は、電子PHIの保護措置を定めます。違反通知規則は、保護されていないPHIの漏えい後の通知を求めます。

規則は対象事業体に適用されます。45 CFR 160.103は、これを健康保険、医療情報交換機関、特定の取引に関して電子的に健康情報を送信する医療提供者と定義しています。ビジネスアソシエイトにも直接適用されます。ビジネスアソシエイトとは、対象事業体に代わって、規制対象の機能のためにPHIを作成、受領、保持、送信する者、またはPHIを伴う特定のサービスを事業体に提供する者です。

PHIは、個人を特定できる、人の健康、受けている医療、その支払いに関する情報です。クリニックへの予約の電話でも発生します。医療提供者の予約に結びついた氏名と電話番号は、すでに健康情報です。その通話の音声、文字起こし、ログにはPHIが含まれ得ます。

何が求められるか

対象事業体は、ビジネスアソシエイトが情報を保護するという十分な保証を得てはじめて、PHIを扱わせることができます。45 CFR 164.502(e)により、その保証は書面の契約（一般にビジネスアソシエイト契約、BAAと呼ばれる）に記録しなければならず、45 CFR 164.504(e)の記載内容の要件を満たす必要があります。PHIの扱いに下請業者を使うビジネスアソシエイトは、その業者から同じ保証を得なければなりません。HHSは、ビジネスアソシエイトが規則の一部の規定について直接責任を負うと述べています。

HIPAAに認証はありません。HHSはクラウドコンピューティングに関するガイダンスで、公民権局が特定の技術や製品を承認、認証、推奨しないと述べています。「HIPAA準拠」は、組織の振る舞いと、ベンダーとどう契約したかを表すもので、HHSが与える地位ではありません。「HIPAA対応」はベンダーの用語であり、規則が定義する用語ではありません。

音声エージェントにとっての意味

エージェントが診療所、病院、健康保険のために電話を受けたりかけたりする場合、通話経路でPHIに触れるすべてのベンダーが、BAAの対象候補になります。これには、音声認識、音声合成、LLMの提供者、録音する場合の通信事業者、エージェントを動かすプラットフォームが含まれます。それぞれに、署名するかを書面で確認してください。

設計上の判断は、書類と同じくらい重要です。発信者を確認する前にエージェントが何を言ってよいかを決め、ツールやプロンプトに送る識別情報を最小にし、音声、文字起こし、ログの保管期間を定めてください。データ保持とゼロデータ保持を参照してください。発信のリマインダーには、TCPAの別の同意規則が関わり、録音する場合は通話録音の同意も関わります。

SOC 2のようなセキュリティの保証報告書は、ベンダーの統制に関する証拠です。BAAの代わりにはなりません。医療の具体的な事例は、医療分野の会話型AIのガイドを参照してください。

法務担当に確認する質問

1. この導入で、自社は対象事業体か、ビジネスアソシエイトか、そのどちらでもないか。
2. 通話経路のどのベンダーがBAAを必要とし、それぞれが、実際に使うサービスをカバーするBAAに署名するか。
3. 通常の予約の電話の音声や文字起こしは、自社の場合PHIにあたるか。
4. 州法と自社の方針を踏まえて、録音と文字起こしにはどの保管期間が適用されるか。
5. ベンダーが何も保存しないと言う場合でも、そのベンダーとのBAAは必要か。

関連用語

• データ保持
• ゼロデータ保持
• SOC 2
• GDPR

ガイド

• 医療の会話型AI：患者からの電話対応

ユースケース

• 医療
• HIPAA準拠の電話代行
• 医療機関向け電話代行

出典

• HHS Office for Civil Rights, Business Associates guidance
• 45 CFR 160.103, Definitions (eCFR)
• 45 CFR 164.502(e), Disclosures to business associates (eCFR)
• HHS Office for Civil Rights, Guidance on HIPAA and cloud computing