病院の救急外来データを求める政府の要求にプライバシー懸念の声

米国消費者製品安全委員会(CPSC)は、消費者製品に関連する負傷を追跡する取り組みの一環として、病院に対して患者のデジタルデータの提供を求めています。CPSCは年内に、100を超える病院からカンザス州を拠点とする政府請負業者Konza Healthへ記録が提供されることを見込んでおり、同社は昨年、国家電子傷害監視システム(NEISS)の刷新プロジェクト「NEISS Remodel」を支援するため、1,590万ドルの契約を獲得しています。

NEISSは50年以上にわたり運用されており、その主な目的は米国内における消費者製品関連の負傷データを収集することです。NEISSは公衆衛生研究における重要なツールですが、データ収集には多大な労力がかかり、全米5,000以上の病院救急部門のうち約70カ所からのカルテを手作業で確認・コード化する必要があります。現在、14の州には参加病院が1つも存在せず、これがシステムの地理的なカバー範囲を制限し、CPSCがまれな、あるいは新たに出現する製品の危険性を特定する能力を低下させています。

計画されているNEISS刷新(NEISS-R)プロジェクトでは、現在データが十分に収集されていない、あるいはまったく収集されていない州からもデータを得られるよう、対象範囲を全50州に拡大します。この計画では、モデム技術と全米の電子カルテインフラを活用し、データ収集を自動化することが盛り込まれています。これにより、CPSCは従来のシステムよりもはるかに迅速に、まれな、あるいは新たに出現する危険性を特定できるようになるとしています。

NEISS-Rでは、連邦政府が指定する適格健康情報ネットワーク(QHIN)を通じてデータがやり取りされます。CPSCによれば、このネットワークは「契約上のプライバシー要件と標準化されたセキュリティ対策によって支えられている」とのことです。収集されるデータは限定的であり、データ保持期間についても、CPSCの法定任務を遂行するために必要最小限の情報にとどめるとされています。また、データがCPSCに届く前に非識別化処理が行われるよう支援するとしています。CPSCは、このプロジェクトによってシステムがより迅速かつ正確で、費用対効果の高いものになり、米国の家庭をより良く保護できるようになると述べています。

現行システムでは、救急部門の看護師が患者のカルテを確認し、消費者製品に関連する事故を手作業で特定した上で、その情報を全国データベースに入力することが求められています。新システムでは、データ収集は自動化され、CPSCへのデータ転送前に識別情報を除去する責任は、TEFCA QHINであるKonza Healthが負うことになります。

Konza Healthが病院宛に送付した書簡によれば、「事故に関連する診断コードを用いて、Konza Healthは消費者製品関連の事故を経験した可能性のある患者を特定します。特定された事故については、Konza Healthが追加の患者臨床情報を収集し、フォローアップのためCPSCに提供します」とされています。この書簡では、プロジェクトのための安全なデータ交換を可能にする接続方法を確立するため、選定された各病院との協議を求めています。

NEISS-Rプロジェクトはプライバシー面での懸念を呼んでいます。従来の手作業によるシステムでは、看護師は患者の氏名、住所、生年月日といった識別可能な情報を提供しないよう指示されていました。しかし自動化システムでは、識別可能な患者データがKonza Healthに送信されることになります。CPSCに提供されるデータはこの50年間に取得してきた情報と変わらないとされているものの、実際にはより広範な患者データへのアクセスが求められています。

KFF Health Newsが病院から共有されたメールや、病院とKonza Health間の協議に関与または精通する関係者への取材に基づいて報じたところによれば、要求されているデータはCPSCの消費者製品安全という任務の範囲を大きく逸脱しているといいます。「製品に焦点を当てるという本来の任務から大きく逸脱し、同委員会の狙いは、骨折から子どもの予防接種による副反応、さらには自殺未遂に至るまで、ほとんどの負傷に関する救急外来受診時の医療記録を、何百万人もの米国人分入手することにある」とKFF Health Newsは説明しています。「メールの中でCPSC当局者は、氏名、住所、診断名、その他の個人情報といった、すべての救急外来患者の識別可能な情報を、分析のため請負業者であるKonza Healthに提供するよう各医療機関に強く求めてもいた」とされています。ある病院の技術担当者とKonza Healthとのやり取りによれば、消費者製品とはまったく無関係な負傷を含む、1万を超える症状に関する救急外来データが要求されているといいます。

CPSCとKonza Healthは、データ提供の義務化をめぐって一部の病院から抵抗を受けており、必要なデータの提供を拒否した場合、情報ブロッキングとみなされ、重大な罰則につながりかねないと示唆しています。しかし、求められている情報はHIPAA(医療保険の携行性と責任に関する法律)上の懸念を生じさせるものです。HIPAAの下では、病院は公衆衛生目的でCPSCにデータを提出することが認められてはいますが、義務ではありません。また、いかなる開示もその目的達成に必要な最小限の情報にとどめるべきとされています。CPSCが消費者製品安全という任務を果たすためにデータを収集している以上、開示されるデータもその目的に限定されるべきです。CPSCがこれまでに収集してきた以上のデータを必要とするのであれば、さらなる規則制定が必要になります。

参加病院は板挟みの状況に置かれかねません。要求されたデータの提供に同意しなければ情報ブロッキングによる罰金の可能性があり、提供すればHIPAA違反による罰金の可能性があるためです。しかし、現行の情報ブロッキング規則にはプライバシー例外が設けられており、その目的は、州法や連邦のプライバシー法で禁止されている形で医療情報の開示が強制されないようにすることにあります。また、HIPAAの必要最小限の原則の下では、開示は消費者製品安全に関わるCPSCの公衆衛生活動に必要な情報に限定されるべきとされています。