米国教育省・保健福祉省が学生の教育・健康記録取扱ガイダンスを改正

第99号　2020.1.22公開

同ガイダンスは元々、2008年11月、学校管理者・医療専門家・家族向けに公表されたものです。今回の改正版では、FERPAに基づく親または適格な学生からの書面による同意取得や、HIPAAプライバシー規則に基づく書面による認可なしに、学生の健康情報を共有することが可能なケースに関する問答集などが追加されています。

また、改正版ガイダンスでは、以下のような質問事項に関する見解が提示されています。

• いつ、保護対象保健情報（PHI）または教育記録からの個人識別情報（PII）を成人の学生の親と共有できるか？

• 成人の学生の家族が、学生のメンタルヘルスを心配しているのに、学生がPHIの開示に同意しなかった場合、HIPAAの下でどんな選択肢があるか？

• メンタルヘルスの症状または物質使用症候群のある未成年者に関するPHIについて、HIPAAの下で、保険適用医療機関が、未成年者の親に開示することが認められるか？

• いつ、自己または他人に危険性を示す学生に関するPHIまたはPIIを共有することができるか？

• FERPAの下で、教育行政や教育機関は、事前の書面による同意取得なしに、健康記録を含む学生の教育記録からのPIIを、教育行政や教育機関の法執行担当者に開示することができるか？

• FERPAの下で、教育行政や教育機関は、事前の書面による同意取得なしに、学生の教育記録からのPIIを、全国即時犯歴照会システム（NICS）に開示することが認められるか？

トランプ政権は、物質使用症候群や深刻なメンタルヘルスを抱える米国市民およびその家族に対する支援を、優先政策の１つに掲げており、それが今回の改正版に反映された形となっています。

当該記事が関係機関に及ぼすと考えられる影響

医療機関

・今回のガイダンス改正に際しては、学生のメンタルヘルスに関わる機微情報の保護が特に重視されている。メンタルヘルスに係る治療を行う医療機関は、学生からの同意取得、第三者への情報開示など、現行のポリシーや手順を再確認し、学校保健や臨床の現場と連携しながら、データ保護対策を強化する必要がある。
 

医療機器メーカー／医療品メーカー

・学生を対象に医療機器や医薬品を提供する企業のIT／セキュリティ部門は、製品利用に付随して生成・収集・保存される個人データの現状を再確認した上で、データに関連するインシデント対応、サイバーサプライチェーンリスクマネジメントなどのポリシーや手順を見直しておく必要がある。

サプライヤー

・IT関連製品・サービスを提供するサプライヤーは、社内で医療機関担当窓口と教育機関担当窓口が分かれているケースが多いので、学生の個人データに対するリスク認識やインシデント対応策などについて、双方ですり合わせておく必要がある。

関連記事 [外部サイト]

• U.S. Department of Health & Human Services（HHS）「Updated Joint Guidance on Privacy and Student Education and Health Records」（2019年12月19日）
• U.S. Department of Education「Updated Joint Guidance on Privacy and Student Education and Health Records」（2019年12月19日）

ライフサイエンス・ヘルスケアに関する海外サイバーセキュリティニュース

デロイト トーマツ グループのサイバーセキュリティチームでは、ライフサイエンス・ヘルスケア業界に向け、海外の規制情報やそれに伴う関係業界への影響について情報提供しています。（不定期刊行）

＞＞過去記事のアーカイブから他の記事を見る

サイバーリスクサービスのお問い合わせ

サービス内容、並びに、取材・広報・講演依頼に関するお問い合わせは、下記フォームにて受付いたします。お気軽にお問い合わせください。 

>> オンラインフォームよりお問い合わせを行う <<