医療ファイル転送:HIPAA準拠ガイド

HIPAA準拠の医療ファイル転送には、転送中の暗号化（TLS 1.2以上）、保存中の暗号化（AES-256-GCM）、アクセス制御、監査ログ、そしてPHI（保護対象保健情報）に触れるすべてのベンダーとの署名済みBusiness Associate Agreement（BAA）が必要だ。日本においても個人情報保護法（APPI）および個人情報保護委員会（PPC）のガイドラインは医療データに厳格な保護を要求しており、NISCのサイバーセキュリティガイドラインも医療機関向けの暗号化実装を推奨する。45 CFR Section 164.312が満たすべき技術的セーフガードを具体的に規定している。

HIPAAがファイル転送に実際に求めること

HIPAAセキュリティルール（45 CFR Part 164, Subpart C）はセーフガードを3つのカテゴリに分ける：

管理的：従業員トレーニング、アクセス管理、インシデント対応
物理的：ワークステーションセキュリティ、デバイス制御、施設アクセス
技術的：アクセス制御、監査ログ、完全性コントロール、伝送セキュリティ

ファイル転送に関してはSection 164.312(e)(1)が「電子通信ネットワーク上で転送中の電子保護保健情報への不正アクセスを防ぐ技術的セキュリティ措置」を要求する。実装仕様は：

完全性コントロール（対応的）：不正改変から合理的に保護
暗号化（対応的）：適切と判断された場合はPHIを暗号化、またはしない理由を書面で記録

「対応的」はHIPAAの用語で「任意」を意味しない。実装するか、同等の措置が十分な理由を書面で示すかのどちらかだ。実務上、PHIの非暗号化転送は弁護不可能だ。

BAA：すべてを合法にする契約

Business Associate Agreementは、45 CFR Section 164.314(a)に基づき、あなたの代わりにPHIを作成・受領・管理・送信するすべてのベンダーに対して必要だ。BAA未締結＝PHI取り扱い不可、これが絶対条件だ。

BAAに署名するベンダー：

クラウドストレージ：AWS（対象サービス）、Azure、Google Cloud、Dropbox Business Advanced、Box Enterprise
メール：Paubox、Hushmail、Virtruを有効にしたGmail/Outlook、Proton Mail Business
転送サービス：Dropbox Transfer、Citrix ShareFile、Tresorit、Kiteworksのエンタープライズプラン
コラボレーション：Microsoft 365（エンタープライズ）、Google Workspace（Business Plus以上）、Slack Enterprise Grid
EHR：Epic、Cerner、athenahealth、eClinicalWorksはすべて標準契約の一部としてBAAを締結

消費者向けツール（個人用Gmail、無料Dropbox、iCloud、コンシューマーWeTransfer）はBAAを締結しない。侵害が発生しなくてもこれらをPHIに使用することはHIPAA違反だ。

プロバイダー間交換：Direct、FHIR、CCDA

医療機関間の転送には3つの規格が主流だ：

Direct Secure Messaging：S/MIMEベースのセキュアメール、特定のHIPAA準拠トラストフレームワーク（DirectTrust）付き。Meaningful UseとCures Actの下、ケアトランジションに広く使われる。すべての認定EHRが対応している。

FHIR（Fast Healthcare Interoperability Resources）：HTTPS経由のRESTful API交換。FHIR R4がONC Cures Actの相互運用性ルール下で義務付けられた現行バージョン。ポイントインタイムのファイル転送ではなくリアルタイムの記録アクセスを可能にする。

CCDA（Consolidated CDA）：患者ケアをまとめるXMLベースの構造化文書。紹介やケアトランジションでいまだ一般的。Direct経由またはFHIR DocumentReferenceリソースで配信される。

検査結果と画像の場合、HL7 v2メッセージが依然として主力だ。新規展開はFHIRに移行しているが、既存インフラが多すぎてHL7 v2は消えない。

患者向けファイル転送：21st Century Cures Act

Cures Act（2021年施行、2024年まで段階的な執行）は情報ブロッキングを禁止し、認定APIを通じた患者の記録アクセスを義務付ける。患者ポータルとサードパーティアプリが病院のFHIRエンドポイントに接続して記録を取得する。

患者へのファイル送信（画像CD、専門医診察メモ、退院サマリーなど）には、ポータルのセキュアメッセージ機能を使う。HIPAA準拠、追跡付き、患者が別途パスワードを必要としない。

研究転送前の匿名化

研究と品質改善プロジェクトにはデータが必要だが、完全なPHIは不要だ。HIPAAプライバシールールは2つの匿名化方法を提供する：

セーフハーバー（164.514(b)(2)）：名前、州より細かい地理区分、年より詳細な日付、電話番号、SSN、MRN、デバイスID、生体情報、写真、その他の固有識別子を含む18の特定識別子を除去する。

専門家決定（164.514(b)(1)）：資格のある統計専門家が再識別リスクが非常に小さいと判断し、手法を文書化し、データを証明する。

匿名化されたデータはBAAなしで共有できる。限定データセット（より少ない識別子を除去）は依然としてData Use Agreementが必要だがフルBAAは不要。

画像：DICOMとCDの特殊ケース

DICOM（Digital Imaging and Communications in Medicine）が画像の標準規格だ。胸部CTは300MB〜1GB、複数フェーズの心臓CTは2GBに達し、病理のwhole-slide画像（SVSまたはDICOM）はスライドあたり1〜5GBになる。

プロバイダー間の画像転送には、DICOMウェブサービス（WADO-RS、STOW-RS）またはクラウド画像交換プラットフォーム（Ambra Health、LifeImage）が現代的なアプローチだ。

アドホックチャネルで画像を転送しなければならない場合は、DICOMアーカイブを暗号化（AES-256-GCM）し、BAA対象の転送サービスで送り、転送ログを保持する。

侵害通知のタイムライン

安全でない転送によってPHIが侵害された場合、時計が動き始める：

影響を受けた個人への通知：発見から60日（164.404）
500人以上の個人に影響する侵害のHHSへの通知：60日以内（164.408）
500人以上の州居住者に影響する侵害のメディアへの通知：60日以内（164.406）

HITECH Actの下での罰金は違反ごとに100〜50,000ドル、同一違反の年間上限は150万ドル。2024年のOCR和解は定期的に100万〜600万ドルに達している。

最小限のHIPAA転送スタック

アドホックPHI転送の機能するパターン：

E2EEまたはサーバーサイドAES-256-GCMを持つBAA対象の転送サービスを使う
別チャネル（電話）で共有するパスフレーズでファイルをパスワード保護
7〜14日以内の有効期限を設定
転送を文書化システムに記録
受領確認後、送信デバイスからソースファイルを削除

HexaTransferをBAA対象のエンタープライズツールとして使用する場合、このパターンの技術的要件（AES-256-GCM、TLS 1.3、パスワード保護、有効期限）が満たされる。

定期的なプロバイダー交換にはDirect Secure Messagingが最も低摩擦の準拠チャネルだ。患者コミュニケーションにはポータルのセキュアメッセージを使う。

詳細は https://hexatransfer.com で確認できる。