健康情報プライバシー改革法、HELP委員会で可決

HIPAA規則で現在保護されていない健康データのプライバシー保護を強化するために昨年提出された「健康情報プライバシー改革法」が、上院委員会で可決されました。この法案は2025年11月に上院保健・教育・労働・年金(HELP)委員会のビル・キャシディ委員長によって提出されたもので、修正版がHELP委員会で22対0の賛成多数で可決されました。今後、法案は上院本会議での採決に進みます。

医療保険の相互運用性と説明責任に関する法律(HIPAA)は、医療提供者、健康保険会社、医療クリアリングハウス、およびそのビジネスアソシエイトが作成・保存・維持・送信する個人識別可能な健康情報を規制対象としています。しかし、こうした事業者が収集・保存・送信していればHIPAAの対象となるはずの情報であっても、実際には多くの健康データがHIPAAの保護対象外となっているのが実情です。

現在では、健康アプリやフィットネストラッカーなどのウェアラブルデバイス、その他多くの消費者向け健康デバイスやアプリケーションが詳細な健康情報を収集していますが、そのデータの保護方法や開示に関する制限を定めた規制はほとんど存在しません。健康情報プライバシー改革法は、HIPAAが規制していない事業者が収集する「消費者健康データ」までHIPAAのプライバシー保護を拡大するとともに、HIPAA規則自体にも小幅な改定を加えることで、こうしたプライバシー上の隙間を埋めることを目指しています。要するにこの法案は、誰が情報を収集したかにかかわらず、健康データが確実に保護されるようにするものです。

法案が可決された場合、施行から18か月以内に、保健福祉省(HHS)長官は連邦取引委員会(FTC)と協議のうえ、規制対象事業者およびそのサービスプロバイダーが取り扱う「対象健康情報」について、HIPAAに準じたプライバシー、セキュリティ、侵害通知の基準を確立・実施する規則を制定することが義務付けられます。

その内容には、書面による同意なしに許可される利用・開示の規定、個人による同意に基づく開示の要件(同意の撤回方法を含む)、禁止される利用・開示の規定などが含まれます。法案はまた、健康データの請求・利用・開示について必要最小限の基準を確立するとともに、収集される健康情報を制限するためのデータ最小化基準も定めることを目指しています。

個人には、HIPAAプライバシー規則で保護対象保健情報に対して認められている権利と少なくとも同等の権利が、自らの健康データについて与えられます。その権利には、請求から30日以内に健康情報の削除を求める権利も含まれます。法案はさらに、HIPAAセキュリティ規則に準じたセキュリティ基準(書面および口頭の健康データに対する物理的・技術的・管理的保護措置など)や、セキュリティインシデントにより健康データが不正に開示されたり、流出・窃取されたりした場合の侵害通知要件も求めています。

法案はまた、HHSに対し、人工知能や機械学習プラットフォームで利用されるHIPAA保護データの取り扱いや、そうした場合にHIPAAの必要最小限基準がどう適用されるかについてガイダンスを発行するよう求めています。このガイダンスは、施行日から1年以内にOCR(公民権局)が発行しなければならず、あわせてHIPAA対象事業者に対し、アクセス権請求に応じて開示された健康データにはもはやHIPAA規則が適用されないこと、およびその情報がどのように再開示され得るかを本人に通知するよう義務付けています。この法案は超党派の強い支持を得ていますが、上院・下院それぞれの本会議採決を通過させるだけの支持を得られるかどうかは、現時点では不透明です。

2026年11月10日:HELP委員会委員長、米国民の健康データを保護する健康情報プライバシー改革法を提出

医療保険の相互運用性と説明責任に関する法律(HIPAA)で現在保護されていない健康情報のプライバシー保護を強化するため、新法案「健康情報プライバシー改革法」が提出されました。

HIPAAでは、個人識別可能な健康情報の利用・開示について厳格な制限が設けられており、物理的および電子的な保護対象保健情報への不正アクセスを防ぐための保護措置の実施が義務付けられています。しかし消費者にとっての問題は、HIPAAの適用範囲が非常に狭いことです。HIPAAは、HIPAA対象事業者(医療提供者、健康保険会社、医療クリアリングハウス)またはHIPAA対象事業者のビジネスアソシエイトによって作成・収集・維持・保存・送信された健康情報にのみ適用されます。

排卵・妊娠可能期間追跡アプリなどの健康アプリは、大量の個人識別可能な健康情報を収集し得ます。こうした健康データは、もし医療提供者によって収集されたのであれば保護対象保健情報(PHI)に分類され、HIPAAの保護を受けることになりますが、健康アプリやスマートウォッチ、その他のウェアラブルデバイスが収集する健康情報は、HIPAAや、認定された医療情報技術に適用される2009年HITECH法によって保護されることはほとんどありません。

HIPAAが制定された20年以上前は、健康情報は一般に医療提供者、健康保険会社、医療クリアリングハウス、およびそれらのベンダーによってのみ収集・保存されていました。しかし今日では、健康データを収集する技術は病院や診療所の外でも広く利用されています。

HIPAAの保護対象外となっている健康データにも、FTC法第5条やFTCの健康侵害通知規則といった連邦法が適用されますが、これらはHIPAAほど厳格ではありません。カリフォルニア州のように、HIPAA非対象の健康データに関するプライバシー保護を強化する法律を導入した州もありますが、州法の整備状況はまちまちで、プライバシー保護のレベルは州によって大きく異なります。

上院保健・教育・労働・年金(HELP)委員会の委員長を務めるビル・キャシディ上院議員(共和党、ルイジアナ州選出、医学博士)は、健康情報プライバシー改革法によってこの状況を変えようとしています。健康情報プライバシー改革法は、健康アプリやスマートウォッチ、その他のウェアラブルデバイスといった新しい技術に対応できるよう、健康プライバシー保護の範囲を拡大することを目指しています。

キャシディ上院議員は次のように述べています。「スマートウォッチや健康アプリは、人々の健康管理のあり方を変えています。これらは便利なツールですが、診察室で患者と医師だけが向き合っていた時代には存在しなかった新たなプライバシー上の懸念をもたらしています。米国民のデータが確実に保護され、本人の同意のもとでのみ収集・利用されるようにしなければなりません」

健康情報プライバシー改革法は、HIPAAやHITECH法の対象外となっている健康関連技術に適用されるもので、自己負担のみを受け付ける医療提供者など、HIPAAの規制を受けない事業者にも保護の範囲を広げることを目指しています。

この法案は、保健福祉省(HHS)長官に対し、連邦取引委員会(FTC)と協議のうえ、HIPAAまたはHITECH法の対象外となっているすべての健康情報を対象とするプライバシー、セキュリティ、侵害通知の基準を制定するよう義務付けています。これらの基準は「[HIPAAおよびHITECH法に基づいて制定されたプライバシー、セキュリティ、侵害通知規則を通じて提供される保護と少なくとも同等であり、実現可能かつ適切な場合には、可能な限りそれらと整合する保護を提供する」ものでなければなりません。

対象事業者は、消費者に対して自身の個人健康情報がどのように利用・開示されるかを開示することが義務付けられます。法案はHHSに対し、個人の同意が不要な許可された利用・開示の内容を策定し、同意の要件を定め、禁止される利用・開示の一覧を確立するよう求めています。

HIPAAと同様に、利用・開示が、健康情報が利用または開示される目的の達成に必要な最小限の情報に限定されるようにするための必要最小限要件が設けられます。この法案により、個人には自身の健康情報に対する権利、たとえばプライバシー通知を受け取る権利、健康データにアクセスする権利、データの修正・削除を請求する権利が与えられ、対象となる健康情報の可搬性(ポータビリティ)を確保することも義務付けられます。

NISTサイバーセキュリティフレームワークやHHSの医療分野向けサイバーセキュリティパフォーマンス目標といった既存の国家的枠組みに基づく電子健康情報の保護措置を含め、物理的・技術的・管理的な保護措置を実施しなければなりません。対象となる健康情報の侵害が発生した場合には、HIPAA侵害通知規則に準じた通知が義務付けられます。

法案の可決から1年以内に、HHS長官は、HIPAAにおける非識別化要件と同様に、健康情報を非識別化するための統一的な国家基準を確立し、人工知能やその他の機械学習アプリケーションで使用されるデータへの必要最小限基準の適用に関するガイダンスを公表することが義務付けられます。

この法案はまた、HHSに対し、全米科学・工学・医学アカデミーと契約を結び、研究目的で個人の健康データを共有した患者に対して報酬を支払うことのリスクと便益を特定するための調査を実施するよう求めています。

健康情報プライバシー改革法には、HIPAAと同様の連邦優先(プリエンプション)規定があり、各州が望めばプライバシー要件をさらに強化することが認められています。ただし、これにより州ごとのプライバシー保護が複雑に入り組んだ状態になる可能性もあります。

HHSはFTCと協議のうえ、健康情報プライバシー改革法のすべての規定を執行する権限を与えられ、既存の罰則体系に沿って、違反に対して民事制裁金を科すことができます。

HIPAA対象外の健康データに関するプライバシー保護の欠如に対処するため、これまでも同様のプライバシー法が提案されてきたほか、全米統一のデータプライバシー法を成立させようとする試みも数多くありましたが、いずれも実現には至っていません。健康情報プライバシー改革法が、成立にこぎつけるだけの十分な支持を得られるかどうかは、今後の展開を見守る必要があります。