Shen Smiles、HIPAAプライバシー規則違反の解決で14万ドルを支払い

ペンシルベニア州の歯科医院Shen Smilesの所有者兼運営者であるLinda L. Shen博士は、HIPAAプライバシー規則違反の疑いを解決するため、米国保健福祉省（HHS）公民権局（OCR）に14万ドルの制裁金を支払うことで合意しました。 OCRの「アクセス権」執行イニシアチブに基づき、制裁金が科された事案はこれで56件目です。

2020年4月21日、OCRは患者の弁護士から苦情を受け取りました。苦情の内容は、患者の診療記録の写しを求める要請をShen Smilesに何度も送ったにもかかわらず、提供されなかったというものです。OCRは2020年5月20日、この苦情についてShen Smilesに通知し、調査を開始する意向も伝えました。続いてOCRはデータ提出を要求し、患者が保護対象保健情報（PHI）へのアクセスを求めた場合の方針や手順などの文書を求めました。

Shen Smilesは弁護士を通じて回答し、このデータ要求に異議を唱えました。案件は上位に移され、HHS地域法律顧問室（OGC）がOCRにデータを提出するよう求める書簡を送りました。しかし、文書は提出されませんでした。代わりにShen博士は宣誓供述書を提出し、求められた文書は従業員に盗まれたため、医院には存在しないと述べました。

OCRはアクセス権に関する苦情に関連する文書を改めて要求しました。さらに、報告された盗難を受けて、PHIの使用と開示に関するHIPAAプライバシー規則の管理的保護措置の遵守を示す文書も求めました。加えて、医院の侵害通知に関する方針と手順、および盗難事件を受けて出した侵害通知の写しも要求しました。Shen博士は、追加で求めた文書のいずれについても「なし」と回答しました。

HIPAAプライバシー規則の45 C.F.R. §§ 164.530(c)、164.502(a)、164.404-408の遵守を示す証拠を提出できなかったことから、OCRはShen Smilesがこれらの要件を満たしていなかったと判断しました。調査の過程で、OCRは次の事実を把握しました。医院では紙の診療記録が適切に管理されていませんでした。施錠できるキャビネットに保管されておらず、不正な使用や開示を防ぐ措置も取られていませんでした。患者のファイルは、歯科衛生士室の透明なプラスチック箱、床、専用トイレ内の箱など、保護されていない場所に置かれていました。しかも、診療所の拠点間やShen博士の自宅との間で持ち運ばれることも多くありました。患者が予約で来院しても、記録が見つからないことがよくありました。

Shen博士は、患者の記録は元の事務長が不正に持ち出したと考えていると説明しました。博士はOCRに対し、この従業員は叱責も懲戒も受けておらず、同様の事件を防ぐための対策も取られていないと伝えました。また、従業員がHIPAAプライバシー規則に関する正式なHIPAA研修を受けていなかったことも認めました。

OCRは調査結果をShen Smilesに通知し、HIPAAプライバシー規則違反の疑いを非公式に和解する案を提示しました。しかしShen Smilesはこれを断り、民事制裁金の免除を裏付ける証拠を提出すると通知しました。OCRは、提出された情報では民事制裁金の免除は認められないと判断しました。

OCRは米国司法長官から許可を得て、45 C.F.R. § 164.530(i)(1)（方針と手順の実施）と45 C.F.R. § 164.530(c)(2)(i)（管理的保護措置の欠如）の違反に対し、民事制裁金を科すことにしました。OCRは、これらの違反が故意の怠慢ではなく「合理的な理由」の区分に該当すると判断しました。そのうえで、違反1件につき70万ドル、合計140万ドルを上限額として算定しました。

Shen Smilesは地方の小規模な医療提供者です。このためOCRは、上限額の制裁金では医院の運営が危うくなりかねないと判断し、対象事業体の規模のみを理由に90%を減額しました。Shen Smilesは行政法判事による審理を求めていましたが、審理の前に和解合意が成立し、14万ドルの制裁金を支払うことになりました。

OCRが今年、HIPAA関連の事案を制裁金で解決したのは11件目です。アクセス権執行イニシアチブに基づく解決は、今年2件目となります。2026年10月9日現在、OCRは2026年のHIPAA執行活動で、合計3,170,250ドルの制裁金を徴収しました。