医療提供者に対する消費者の懸念は、企業データの取り扱いです。 ここでは、米国の HIPAA ルールと欧州の GDPR ルールを踏まえた上で、プライバシー ルールに関する当社の考えをまとめます。
GDPR とは何ですか?
ヨーロッパで生まれたルールです。GDPR (一般データ保護規則) は、2018 年 5 月 25 日から施行された欧州連合 (EU) の厳格なプライバシーおよびセキュリティ法です。この法律は世界中に影響を及ぼし、EU 居住者のデータを扱う組織に影響を与えます。
これらのルールに従う必要があるのはどのような人ですか?
EU 内の人々の個人データを処理する組織は、所在地に関係なく、GDPR に準拠する必要があります。 これには、中小企業 (SME) を含むあらゆる規模の企業が含まれます。
GDPR は何を考慮しますか? すべての人のデータを保護するのはどのようなルールですか?
GDPR はデータ処理に関する厳格なガイドラインを定め、合法性、公平性、透明性を確保します。 データの最小化、正確性、ストレージの制限、および整合性が必要です。 組織は、暗号化やアクセス制限などの技術的および組織的な手段を通じてデータを保護する必要があります。
GDPR はどのような個人の権利を保護しますか?
GDPR は、データ処理への同意、データの正確性、個人データにアクセス、修正、消去する権利など、さまざまな個人の権利を保護します。 データ侵害は 72 時間以内に報告する必要があり、個人に損害賠償を求める権限を与えています。
HIPAA とは何ですか?
HIPAA は、1996 年に制定された医療保険の相互運用性と責任に関する法律であり、米国における医療情報を保護するための一連の規則です。
HIPAA は誰に適用されますか?
HIPAA は、医療情報を電子的に扱う医療保険プラン、医療情報交換所、医療提供者を対象としています。
HIPAA はどのような原則を重視していますか? 私の健康情報はどのように保護されますか?
HIPAA は、質の高い医療と公衆の福祉に必要な情報の流れを許可しながら、個人の健康情報の保護を保証します。 健康情報の使用とプライバシーの維持との間のバランスを追求します。
HIPAA の下で患者にはどのような権利がありますか?
患者は自分の健康情報がどのように使用されるかを理解し、制御する権利を持っていますが、文書ではこれらの権利について詳しく規定されていません。
HIPAA に違反するとどうなりますか?
HIPAA には個人の健康情報の開示に関する規定が含まれており、医療提供者などの組織は個人情報を保護するためのセキュリティ プログラムの導入が義務付けられています。 HIPAA には、健康情報の開示に関する要件と罰則も含まれています。
GDPR と HIPAA の違いは何ですか?
ルールが適用される場所の違い: ヨーロッパかアメリカ?
GDPR は、EU 内の個人からの個人データの処理に適用される欧州の規制であり、このデータを扱う世界的な企業に影響を与えます。 HIPAA (医療保険の相互運用性と責任に関する法律) は、米国における保護された医療情報 (PHI) を扱う米国の法律です。
どのような情報を保護しますか? すべての個人データですか、それとも単なる健康情報ですか?
GDPR は広範囲にわたり、名前や住所から IP アドレスや政治的意見に至るまで、あらゆる個人データを保護します。 HIPAA は医療情報の保護に特化しており、医療提供者、医療保険プラン、情報交換機関が扱う PHI に重点を置いています。
注意すべき組織は何ですか?
GDPR に基づき、EU 国民の個人データを処理する組織は注意が必要です。 HIPAA については、医療提供者、保険プラン、医療情報交換所などの対象事業体とその取引先が遵守する必要があります。
他のユーザーとデータを共有するためのルールは何ですか？
GDPR では、契約や法令順守などに必要な場合を除き、データ共有には明示的な同意が必要です。 HIPAA では、患者の明示的な同意なしで治療、支払い、医療業務のために PHI を共有することが許可されていますが、他の目的では PHI の共有が必要です。
同意書の正しい書き方は何ですか? プライバシー ポリシーとは何ですか?
GDPR 同意フォームは、同意を簡単に撤回できるように、明確、簡潔、かつ具体的である必要があります。 プライバシーに関する通知は、データの使用について透明性を持たせる必要があります。 HIPAA は、TPO (治療、支払い、業務) 以外での特定の PHI の使用について明確な同意書を要求しており、そのプライバシー ポリシーでは、PHI の使用方法と個人の権利を概説する必要があります。
データ漏洩を報告する方法
GDPR では、データ侵害は気付いてから 72 時間以内に関連当局に報告する必要があり、権利に対するリスクが高い場合は影響を受ける個人にも通知する必要があります。 HIPAA では、500 人以上の個人に影響を与える侵害は 60 日以内に HHS 公民権局に報告し、不当な遅滞なくメディアおよび影響を受けた個人に報告する必要があります。
学校や職場でこの規則に触れたことはありますか?
学校や職場で EU 域内の個人の個人データを扱う場合は、GDPR に準拠する必要がある場合があります。 HIPAA については、米国で医療や健康保険に携わっている場合、または健康情報を扱っている場合は、HIPAA コンプライアンス要件に遭遇する可能性があります。
両方のルールに従うのはどんな感じですか? どのように保護すればよいですか？
GDPR と HIPAA の両方に従うことは、どのようなデータが収集され、どのように使用、保存、共有されるかを完全に理解する必要があるため、複雑になる可能性があります。 これらの規制に基づいてデータを保護するには、次のことを行う必要があります。
・データを知る: GDPR に基づく個人データであっても、HIPAA に基づく健康情報であっても、扱うデータの種類を理解します。
・アクセス制御: 許可された個人のみが機密データにアクセスできるようにします。
・トレーニング：データ保護の実践とポリシーに関する適切なトレーニングを受けます。
・データ暗号化：保存時と転送中のデータを暗号化します。
・コンプライアンス文書: データ処理活動とポリシーの詳細な記録を保管します。
・侵害への備え: データ侵害の報告と対応について、明確かつ迅速な行動計画を立てます。
インターネット上で安全を保つためのヒントは何ですか?
インターネット上で安全を確保し、GDPR や HIPAA などのデータ保護規制への準拠を確実にするには:
・強力なパスワードを使用する: 複雑なパスワードを作成し、定期的に変更します。
・二要素認証 (2FA): セキュリティ層を追加するために 2FA を有効にします。
・定期的なアップデート: 最新のセキュリティ パッチでソフトウェアとシステムを常に更新します。
・フィッシングに注意する: フィッシングの試みを認識し、回避する方法を学びます。
・安全な接続: 特に公衆 Wi-Fi での安全な接続には VPN を使用します。
・データの最小化: オンライン、特にソーシャルメディアや公開フォーラムでは、必要最小限のデータのみを共有します。
・自分の権利を知る：データのプライバシーに関する自分の権利と、データ削除の要求やデータの使用に関する問い合わせなど、その権利を行使する方法を理解します。
個人データの保護とは、単に法律を遵守することだけではないことを忘れないでください。 それは個人のプライバシーを保護し、デジタル環境における信頼を確保することです。
通常、Web サービスを提供する際には、生体認証データだけでなく個人情報も扱われます。 医療サービスプロバイダーは、GDPR と HIPAA の概要を理解する必要があります。
Reference: Summary of the HIPAA Privacy Rule, What is GDPR, the EU’s new data protection law?
コンタクト: Akiko (Linkedin/Recherchieren/Medium blog-EN/日本語ブログはてな)
