CHIME、HIPAAプライバシー規則の改正案に懸念を表明　医療機関が連名で書簡

医療情報管理幹部大学（CHIME）が主導する17の医療システム・病院・クリニックの連合は今週、ロバート・F・ケネディ・ジュニア保健福祉長官（HHS）に宛てた書簡を送り、HIPAAプライバシー規則の改正案の一部について懸念を示しました。この改正案は、連携したケアと個人の関与を支援することを目的としています。

HHSの公民権局（OCR）は、HIPAAプライバシー規則の改正案を最終規則として公表する予定です。規則制定案告示（NPRM）は、第1次トランプ政権の末期にOCRが公表しました。意見募集はバイデン政権下で行われましたが、その後、改正作業は停滞しました。OCRはトランプ大統領の第2期になってから作業を再開し、HIPAA Privacy Rule: Changes to Support Coordinated Care and Individual Engagement and Reduce Regulatory Burdens（連携したケアと個人の関与を支援し、規制負担を軽減するためのHIPAAプライバシー規則の変更）の最終規則は、2026年8月の公表が予定されていました。OCRは、最終規則が規制上の優先事項であるとするこれまでの説明を除けば、公表時期について新たな情報を示していません。

連合は書簡のなかで、患者による医療テクノロジーへのアクセスを拡大し、患者の関与を高める取り組みが、医療提供者の確認権限を制限しかねないと説明しています。この確認とは、サードパーティ製アプリケーションが、患者から保護対象保健情報（PHI）の受け取りを正式に許可されているかどうかを確かめることです。さらに、個人がHIPAA上の権利を行使する際の「不当な本人確認上の障壁」を取り除くという提案にも懸念が示されました。この権利には、PHIの写しを第三者に送付させることも含まれます。患者データへのアクセス改善は重要ですが、医療提供者による本人確認が制限されれば、患者記録へのアクセスを狙う悪意ある攻撃者に付け入る隙を与えかねません。こうした懸念はもっともであり、対処が必要です。

連合は書簡で次のように述べています。「患者がサードパーティ製アプリケーションにPHIの受け取りを許可したかどうかを、医療提供者が確認することを一律に禁じる最終規則は、提案された方針からの重大な逸脱となります。NPRMは不当な確認手続きについて意見を求めましたが、患者の許可に対する合理的な確認そのものをOCRが全面的に禁じる可能性があることは、影響を受ける関係者に明確に示していませんでした」。仮にそうなれば、NPRMからの大幅な逸脱になります。

書簡はさらに、次のように指摘しています。「IAL2の認証情報を提示するだけで、アプリケーションが起点となるPHI開示請求に必要な確認がすべて満たされるという前提があれば、こうした懸念はいっそう深まります。本人確認（アイデンティティ・プルーフィング）、患者照合、権限の確認は、分析面でも運用面でも別個の機能です。IAL2の認証情報は、個人の身元について十分な保証を与えるかもしれませんが、その個人が適切な診療記録と正確に結び付けられていることまでは、必ずしも証明しません。また、サードパーティ製アプリケーションに対し、要求された情報の取得を認める許可や指示について、その性質、範囲、期間、有効性を確立するものでもありません。医療提供者が患者の許可を確認する権限を制限したまま、IAL2認証をあらゆる確認目的に十分なものとして扱えば、2021年のNPRMで明確に想定されていなかった実質的な制約が新たに加わることになります」。

連合は、患者のアクセス改善とイノベーション支援を目的としたHIPAAプライバシー規則の変更が、患者情報を責任をもって保護する医療提供者の能力を犠牲にしてはならないと主張しました。提案された要件によって、プライバシー侵害のリスクが高まり、医療提供者が規制上の罰則や訴訟の危険にさらされかねないとの懸念もあります。

連合はOCRに対し、次の2点を求めています。1点目は、リスクに応じた合理的な措置を講じる裁量を医療提供者に残すことです。これには、患者がサードパーティ製アプリケーションにPHIの受け取りを許可したことを確認する措置が含まれ、必要に応じて患者本人に直接確認することも含みます。2点目は、OCRが「不当な確認上の障壁」とみなすものと、正当な医療提供者の保護措置とを区別する、明確なガイダンスと具体例を示すことです。

OCRが当初のNPRMから逸脱する方針を実施する場合には、規則制定について追加の告示と意見募集の期間を設けるのが適切だと、連合は述べています。そうしない場合でも、OCRは、患者の指示によるPHIの開示に関して誠実に行動する医療提供者を対象に、明確で実効性のある執行上の保護措置を設けるべきだとしています。