HIPAA

Identity

• govinfo.govに掲載された公法104-191（Public Law 104-191）は「Health Insurance Portability and Accountability Act of 1996」で、1996年8月21日に成立した。同法はTitle I〜Vで構成され、Title IIは「不正・濫用の防止、行政の簡素化（administrative simplification）、医療責任改革」と題されている。検証待ち Public Law 104-191 - Health Insurance Portability and Accountability Act of 1996 | GovInfo

Capability

• 連邦規則集（eCFR）の45 CFR 164.306（Security standards: General rules）は、対象事業者とビジネスアソシエイトに、作成・受領・維持・送信するすべてのePHIの機密性・完全性・可用性の確保などを求めている。実装仕様は「必須（Required）」または「対応可（Addressable）」に分類され、対応可の仕様については、環境に照らして合理的かつ適切かを評価し、適切であれば実施し、適切でない場合はその理由を文書化したうえで、合理的かつ適切であれば同等の代替措置を実施する必要がある。検証待ち 45 CFR 164.306 Security standards: General rules | eCFR
• eCFRの45 CFR 164.500（Applicability）は、Part 164 Subpart Eの基準・要求事項・実装仕様が、保護対象医療情報（PHI）に関して対象事業者（covered entities）に適用されると定め、規定される場合にはビジネスアソシエイトにも適用されるとしている。国防総省が海外の外国人受益者に医療を提供する場合などは適用除外とされている。検証待ち 45 CFR 164.500 Applicability | eCFR

Credibility

• govinfo.govに掲載された公法104-191（Public Law 104-191）は「Health Insurance Portability and Accountability Act of 1996」で、1996年8月21日に成立した。同法はTitle I〜Vで構成され、Title IIは「不正・濫用の防止、行政の簡素化（administrative simplification）、医療責任改革」と題されている。検証待ち Public Law 104-191 - Health Insurance Portability and Accountability Act of 1996 | GovInfo
• 連邦官報（Federal Register）のAPI記録によれば、米保健福祉省（HHS）は2025年1月6日（90 FR 898）に、HIPAA Security Ruleを改正して電子的な保護対象医療情報のサイバーセキュリティを強化する提案規則（NPRM、RIN 0945-AA22、Docket HHS-OCR-2024-0020）を公表した。意見提出期限は2025年3月7日と記載されている。これは提案であり最終規則ではない。検証待ち HIPAA Security Rule To Strengthen the Cybersecurity of Electronic Protected Health Information | Federal Register
• GovInfoSecurityの2026年7月8日付記事は、23年前に制定されたHIPAA Security Ruleの大規模な見直しが少なくとも2027年7月まで保留されたと報じている。HHSは提案規則に対して約5,000件のパブリックコメントを受け、提案は「必須（required）」と「対応可（addressable）」の区別をなくし、限られた場合を除き大半の実装仕様を必須とするものだと記している。検証待ち Feds Delay Planned HIPAA Security Rule Overhaul to Mid-2027 | GovInfoSecurity

Use Case

• eCFRの45 CFR 164.500（Applicability）は、Part 164 Subpart Eの基準・要求事項・実装仕様が、保護対象医療情報（PHI）に関して対象事業者（covered entities）に適用されると定め、規定される場合にはビジネスアソシエイトにも適用されるとしている。国防総省が海外の外国人受益者に医療を提供する場合などは適用除外とされている。検証待ち 45 CFR 164.500 Applicability | eCFR

Constraints / Current Status

• 連邦官報（Federal Register）のAPI記録によれば、米保健福祉省（HHS）は2025年1月6日（90 FR 898）に、HIPAA Security Ruleを改正して電子的な保護対象医療情報のサイバーセキュリティを強化する提案規則（NPRM、RIN 0945-AA22、Docket HHS-OCR-2024-0020）を公表した。意見提出期限は2025年3月7日と記載されている。これは提案であり最終規則ではない。検証待ち HIPAA Security Rule To Strengthen the Cybersecurity of Electronic Protected Health Information | Federal Register
• 法律事務所Davis Wright Tremaineの2026年7月8日付記事によれば、HHSはHIPAA Security Ruleの最終改正の目標時期を2026年5月から2027年7月に移し、状況は「final rule stage」から「long term actions」に変わり、2026年の規則一覧から外れた。Privacy Ruleの連携ケア関連最終規則（RIN 0945-AA00）は2026年4月4日にOMBへ送付され、同記事はHHSが翌月（2026年8月）に公表する意向を示していると伝えている（HHSの予定であり、公表の確認は未了）。検証待ち HHS Updates Rulemaking Timeframes | Davis Wright Tremaine
• GovInfoSecurityの2026年7月8日付記事は、23年前に制定されたHIPAA Security Ruleの大規模な見直しが少なくとも2027年7月まで保留されたと報じている。HHSは提案規則に対して約5,000件のパブリックコメントを受け、提案は「必須（required）」と「対応可（addressable）」の区別をなくし、限られた場合を除き大半の実装仕様を必須とするものだと記している。検証待ち Feds Delay Planned HIPAA Security Rule Overhaul to Mid-2027 | GovInfoSecurity

Key References

• HIPAA Security Ruleの見直しが注目されている理由は何ですか？
• HIPAAの現行規定と改正の状況は、どの資料で確認できますか？
• HIPAAとは何ですか？