誰かが亡くなったと言うことはHIPAA違反になりますか？

「誰かが亡くなったと言うことはHIPAA違反になりますか？」という質問への答えは、それを発言するのが誰か、その発言が誰に向けられたものか、そしてその発言とともに他にどのような情報が開示されるかによって異なります。誰かが亡くなったと言うことがHIPAA違反となる場合もありますが――このブログで述べるとおり――多くの場合は違反ではありません。

HIPAAプライバシールールは、他の目的に加えて、個人を特定できる健康情報のプライバシーを保護します。これは、個人の過去・現在・将来の健康状態に関する情報を対象とします。HIPAAプライバシールールの適用を受ける組織――およびその従業員等（ワークフォース）――は、死亡した個人についても「当該個人の死亡後50年間」にわたり、この要件を遵守しなければなりません。

しかし、すべての組織がHIPAAプライバシールールの適用を受けるわけではありません。たとえば、HIPAA上の「対象事業体（covered entity）」に該当しない民間の介護施設の従業員が、誰かが亡くなったことを明かしたとしても、その介護施設には個人を特定できる健康情報のプライバシーを保護する義務がないため、HIPAA違反にはなりません（注：これはHIPAA違反ではない場合でも、この種の私的情報の開示が、状況によっては州のプライバシー法に違反する可能性があります）。

組織がHIPAAプライバシールールの適用を受ける場合であっても、誰かが亡くなったと言うことが自動的にHIPAA違反になるわけではありません。「対象事業体」は、開示の目的を達成するために必要最小限に限定されること、そして死亡者が生前に表明していた「どの情報を開示してよいか」に関する意思がある場合はそれに従うことを条件として、特定の人々に個人を特定できる健康情報を開示することが認められています。医療提供者は、この種の許容される開示についてHIPAA研修を受けるべきです。

HIPAAの下で、誰に「亡くなった」と伝えられるのか？

HIPAAプライバシールールは、誰かが亡くなった場合に誰へ伝えられるかを、§164.510(b)および§164.512(g)で規定しています。最初の条項は、対象事業体が、死亡した個人に関する情報を、家族、その他の親族、親しい個人的友人、または死亡者が生前に特定していたその他の個人に開示することを認めています。このグループに属する人々へのすべての開示は、§164.514(h)の本人確認要件の対象となります。

死亡者のケアまたは医療費の支払いに関与していた個人または事業体も、§164.510(b)に基づき、患者が亡くなったことを知らされる場合があります。一方、§164.512(g)は、死亡者の身元確認、死因の特定、または法律により認められたその他の職務のために、対象事業体が検視官または監察医に対して個人を特定できる健康情報を開示することを認めています。この条項の下では、対象事業体は葬儀業者に対しても、誰かが亡くなったことを伝えることができます。

許容されるすべての状況において、開示される情報は開示目的を達成するための必要最小限でなければならず、また患者の死亡前に対象事業体が把握していた意思を尊重しなければなりません。たとえば、患者が交通事故で負った傷害により死亡した一方で肺の疾患も抱えていた場合、対象事業体は、その肺疾患や、それに関連する治療、または治療費の支払いに関する情報を開示することは認められません。

「亡くなった」と言うことがHIPAA違反になるのはいつか？

誰かが亡くなったと言うことがHIPAA違反となる状況は多くありません。通常、この種の違反は、対象事業体のワークフォースの一員が次のいずれかを行った場合にのみ発生します。

• HIPAAプライバシールールで許されていない相手に情報を開示する、
• 死亡者に関する必要最小限を超える情報を開示する、または
• 死亡者が開示を望んでいなかったことが分かっている情報を開示する。

ただし、HIPAAプライバシールールは一般に、死亡者の健康情報にも、生存者の健康情報と同様に適用される点に注意が必要です。個人が生存している間、その個人の「個人代表（personal representative）」が、HIPAAプライバシールールでは認められていない健康情報の開示を本人に代わって承認できるのと同様に、個人が死亡した後も、個人代表は同じことを行うことができます。

多くの州では、死亡者の「個人代表」は近親者です。近親者が、HIPAAプライバシールールで許されていない相手への開示、必要最小限を超える情報の開示、または死亡者が開示を望んでいなかった情報の開示を承認した場合、これらはもはやHIPAAコンプライアンス違反ではありません。それでも、誰かが亡くなったと言うことがいつHIPAA違反になるのか不確かな場合は、専門的なコンプライアンス助言を求めるべきです。