HIPAA란?

다루는 범위

1996년 건강보험 이전 및 책임에 관한 법률은 45 CFR 제160부와 제164부의 HIPAA 규칙을 통해 시행됩니다. 개인정보 규칙은 보호 대상 건강 정보(PHI)를 어떻게 사용하고 공개할 수 있는지를 제한합니다. 보안 규칙은 전자 PHI에 대한 보호 조치를 정합니다. 침해 통지 규칙은 보호되지 않은 PHI가 침해된 후 통지를 요구합니다.

이 규칙은 적용 대상 기관에 적용되며, 45 CFR 160.103은 이를 건강 보험 플랜, 건강 정보 클리어링하우스, 특정 거래와 관련해 건강 정보를 전자적으로 전송하는 의료 제공자로 정의합니다. 비즈니스 어소시에이트에도 직접 적용됩니다. 비즈니스 어소시에이트는 적용 대상 기관을 대신해 규제되는 기능을 위해 PHI를 생성, 수신, 보유, 전송하거나, PHI가 수반되는 특정 서비스를 해당 기관에 제공하는 자입니다.

PHI는 개인을 식별할 수 있는, 사람의 건강, 받는 의료, 그 비용 지불에 관한 건강 정보입니다. 의원에 걸려 온 예약 전화에서도 생길 수 있습니다. 의료 제공자와의 예약에 연결된 이름과 전화번호는 이미 건강 정보입니다. 그 통화의 음성, 전사, 로그에 PHI가 담길 수 있습니다.

요구 사항

적용 대상 기관은 비즈니스 어소시에이트가 정보를 보호하겠다는 만족스러운 보증을 받은 뒤에만 PHI를 다루게 할 수 있습니다. 45 CFR 164.502(e)에 따라 그 보증은 흔히 비즈니스 어소시에이트 계약(BAA)이라 부르는 서면 계약에 기록되어야 하며, 45 CFR 164.504(e)의 내용 요건을 충족해야 합니다. PHI 처리에 하청업체를 쓰는 비즈니스 어소시에이트는 그 업체로부터 같은 보증을 받아야 합니다. HHS는 비즈니스 어소시에이트가 규칙의 일부 조항에 대해 직접 책임을 진다고 밝힙니다.

HIPAA에는 인증서가 없습니다. HHS는 클라우드 컴퓨팅 지침에서 민권국이 특정 기술이나 제품을 보증, 인증, 추천하지 않는다고 밝힙니다. “HIPAA 준수”는 조직의 행동 방식과 벤더와 계약한 방식을 설명하는 말이며 HHS가 부여하는 지위가 아닙니다. “HIPAA 적격”은 벤더가 쓰는 표현이며 규칙이 정의한 용어가 아닙니다.

음성 에이전트에 주는 의미

에이전트가 의원, 병원, 건강 보험 플랜을 대신해 전화를 받거나 걸면, 통화 경로에서 PHI를 다루는 모든 벤더가 BAA 후보입니다. 음성 인식, 음성 합성, LLM 제공자, 녹음하는 경우의 통신사, 에이전트를 실행하는 플랫폼이 포함될 수 있습니다. 각 업체에 서명하는지 서면으로 물어보세요.

설계상의 선택은 서류만큼 중요합니다. 발신자를 확인하기 전에 에이전트가 무엇을 말할 수 있는지 정하고, 도구와 프롬프트에 보내는 식별 정보를 최소로 하며, 오디오, 전사, 로그를 얼마나 오래 보관할지 정하세요. 데이터 보존과 제로 데이터 보존을 참고하세요. 발신 알림에는 TCPA의 별도 동의 규칙이, 녹음하는 경우에는 통화 녹음 동의가 관련됩니다.

SOC 2 같은 보안 인증은 벤더의 통제에 관한 증거입니다. BAA를 대신하지 않습니다. 의료 분야의 구체적인 시나리오는 의료 분야의 대화형 AI 가이드를 참고하세요.

법무 담당자에게 물어볼 질문

1. 이번 도입에서 우리는 적용 대상 기관인가, 비즈니스 어소시에이트인가, 둘 다 아닌가?
2. 통화 경로의 어떤 벤더가 BAA를 필요로 하며, 각 벤더가 우리가 실제로 쓰는 서비스를 포괄하는 BAA에 서명하는가?
3. 일반적인 예약 전화의 음성이나 전사가 우리의 경우 PHI에 해당하는가?
4. 주(州)법과 자체 정책을 고려할 때 녹음과 전사에는 어떤 보존 기간이 적용되는가?
5. 벤더가 아무것도 저장하지 않는다고 말해도, 그 벤더와 BAA가 여전히 필요한가?

관련 용어

• 데이터 보존
• 제로 데이터 보존
• SOC 2
• GDPR

가이드

• 의료 분야 대화형 AI: 환자 전화 응대

사용 사례

• 의료
• HIPAA 응대 서비스
• 의료 응대 서비스

출처

• HHS Office for Civil Rights, Business Associates guidance
• 45 CFR 160.103, Definitions (eCFR)
• 45 CFR 164.502(e), Disclosures to business associates (eCFR)
• HHS Office for Civil Rights, Guidance on HIPAA and cloud computing