ソーシャル メディアにおける HIPAA コンプライアンスに関する医療チームのガイド

Sprout Social のエンタープライズ セールス担当ディレクター、Jill Florence 氏によると、ヘルスケアにおけるソーシャル メディアの価値を理解していないヘルスケア マーケティング担当者を見つけるのは難しいでしょう。

フローレンス氏は次のように説明しています。「ソーシャルは、ブランドの認知度を高め、患者、医師、地域社会のメンバーとのつながりを構築する上で、譲れない部分です。 しかし、デジタル最前線のマーケティング チームにとって、特に HIPAA とソーシャル メディアが交わる分野では、セキュリティ チームとプライバシー チームの懸念を克服するのは困難になる可能性があります。」

多くの組織が、HIPAA コンプライアンス対策が自社の戦略を妨げていると報告しています。組織が作成する最も魅力的なヘルスケア コンテンツには、革新的な研究、患者の体験談、医療の画期的な進歩が含まれており、これらには長い承認プロセスと慎重な実行が必要です。 このガイドでは、ソーシャル メディアで HIPAA に準拠し続けるために知っておくべきことを詳しく説明し、規制上の制限にもかかわらずソーシャルで輝けるヘルスケア ブランドの例を共有します。

注: この記事で提供される情報は、正式な法的アドバイスを構成するものではなく、またそれを意図したものでもありません。 続きを読む前に、免責条項を全文お読みください。

HIPAA がソーシャル メディア コンテンツに与える影響

HIPAA プライバシー法は、患者の機密情報がソーシャル メディアを含めて公に開示されることを保護します。 HIPAA プライバシー規則は、マーケティングや広告活動など、データの共有方法に関連する患者の健康情報を明示的に保護します。

機密保護医療情報 (PHI) には、患者の過去、現在、または将来の病状、個人への医療提供、および過去、現在、または将来の医療支払いに関するデータが含まれます。 ソーシャル メディア プラットフォームがユーザー情報を収集し、行動を追跡し、ビジュアル アセットを使用するライセンスを持っていることを考えると、これらの規制が存在する理由は簡単にわかります。

患者の前後の写真、体験談、その他の機密情報を共有する時代において、医療提供者はソーシャル メディア コンテンツを作成する際に細心の注意を払う必要があります。 また、HIPAA 規制は、医療企業がソーシャル メディアでの顧客とのやり取りを慎重に管理することを義務付けています。これには、患者による PHI の共有の禁止、共有した場合の削除が含まれます。 HIPAA 規制に準拠しないと、経済的にもブランドの評判にも損害が生じます。

しかし、Sprout のシニア ソリューション エンジニアであるキャサリン ヴァン アレン氏が指摘するように、ソーシャルの利点はリスクを上回ります。 「ソーシャルメディアは医療機関の戦略の一部であるべきです。 連絡を取る必要がある人々は、将来の患者であれ従業員であれ、ソーシャル上に存在します。 ソーシャルな存在感がなければ、システムに関して行われる重要な会話に参加することはできません。 チームメンバーや場所に関する談話、事務上のミスや法的措置、または病気や治療計画に関する誤った情報の急速な拡散など。 ソーシャル メディアのリスニングに注目すると、チャンスのある重要な領域を正確に特定するのに役立ちます。」

HIPAA とソーシャル メディアをサポートするブランド ガイドラインを作成する方法

ソーシャル メディアでの HIPAA コンプライアンスについては、常に弁護士やコンプライアンス チームに相談する必要がありますが、ブランド ガイドラインを作成する際に従うべき一般的なベスト プラクティスを以下に示します。

ポリシーを作成し、チームをトレーニングする

まずは法務チームとコンプライアンスチームに相談し、戦略、キャンペーン、コンテンツの合法性を検証する重要なパートナーにしてください。 彼らと協力してソーシャル メディア コンプライアンス プロトコルを作成します。このプロトコルには、ソーシャル メディアを介して人々に対応するための指示が含まれている必要があります。

ソーシャル メディア教育を特徴とする HIPAA コンプライアンス トレーニング プログラムを共同作成することで、チームがこのプロトコルに慣れることができます。 トレーニングでは、ソーシャル メディアでの顧客データの適切な使用と一般的な HIPAA 違反に焦点を当てます。

匿名化のベストプラクティスに従う

新しいソーシャル メディア コンテンツを作成する場合は、投稿からすべての PHI を削除してください。 PHI には、次の識別子とともに使用される健康情報が含まれます。

• 名前（名、ミドル、ラスト）
• 州よりも小さい地理的指標
• 日付のすべての要素 (年を除く)
• 電話番号とファックス番号
• メールアドレス
• 社会保障番号
• 医療記録、健康保険の受取人および口座番号
• 証明書またはライセンス番号
• 車両識別子
• デバイスの属性
• 患者に関連付けられた URL と IP アドレス
• 生体認証識別子
• 顔全体の写真およびその他の固有の身体的識別子
• その他個人を特定できる番号や記号

さらに詳しく説明すると、患者の名前とバイタルサインの組み合わせは PHI とみなされますが、バイタルサインだけでは PHI とみなされません。

HIPAA違反を監視する

コンテンツ内での PHI の使用を制限するためにあらゆる予防措置を講じたとしても、患者自身が個人情報を共有することで、患者のコンプライアンスを危険にさらす可能性があります。 これを防ぐには、ダイレクト メッセージのやり取りやブランド プロフィールに免責事項を追加します。 患者には、PHI を共有しないように依頼し、問い合わせ先をどこに転送すればよいかを知らせてください。

患者があなたにメンションしたり DM したりして PHI を侵害する必要がある場合は、すぐにメッセージを削除し、より適切なチャネルに転送してください。 フローレンス氏は、「プロフィールやDMに免責事項を追加したとしても、依然として医師のアドバイスを求める患者もいます。 これに対抗するために、一部の組織はチャットボットやトリアージ ツールを使用して、潜在的な PHI について自動的に警告し、機密コンテンツに対応したり削除したりしています。」

Sprout Social のSaved Repliesなどのツールを使用すると、事前に作成した返信を使用して顧客に迅速に応答し、会話を安全なチャネルにリダイレクトできます。 Sprout のチャットボット ビルダーを使用して、ヘルスケア関連の会話のためにソーシャル ユーザーを電子メール アドレスまたはその他の安全なチャネルに自動的に再ルーティングすることもできます。

Sprout のSmart Inboxを使用すると、タグ付けとフィルタリングを使用して PHI を含むメッセージにフラグを立て、それらのメッセージを削除するワークフローを構築できます。

患者の承認プロセスを構築する

クリーブランド クリニックの NICU のこの愛らしいハロウィーン TikTok のように、患者 (またはその家族) が自分のストーリーを視聴者と共有することに興味があるケースもあるかもしれません。

これらのストーリー、写真、ビデオを共有する前に、患者から PHI を開示するための書面による同意と HIPAA の承認を得るために、合理化され明確に文書化されたプロセスを用意します。

法改正に関する最新情報を入手する

連邦レベルおよび州レベルでの法改正について常に最新の情報を入手することを習慣にしてください。 米国保健福祉省 (HHS) の Web サイトなどのリソースを定期的に確認してください。 また、ソーシャル上で HHS および National Law Review をフォローして、HIPAA データ侵害に関する訴訟判決などのリアルタイムの最新情報を入手することもできます。

さらにリソースをお探しですか? 私たちは、効果的かつ創造的なソーシャル戦略を実行しながら、コンプライアンスを維持するのに役立つ、ソーシャルに関する HIPAA コンプライアンスのチートシートをまとめました。

一般的な HIPAA 違反とソーシャル メディアの役割

ソーシャルにおける HIPAA コンプライアンスは複雑ですが、金銭的、評判、そして最も重要なことに、患者の幸福に関するリスクはあまりにも大きく、誤解を招くことはありません。 避けるべき最も一般的な HIPAA 違反を以下に示します。

患者の詳細を目に見える場所に隠す

顔、名前、日付、その他の明らかな識別子を明示的に含めていない場合でも、状況の詳細によっては患者の個人情報が明らかになる可能性があります。 フローレンス氏とヴァン・アレン氏は、投稿する前に写真やビデオをよく確認するようアドバイスしている。 メディアの背景に保護された情報がないことを確認してください。

ヴァン・アレン氏は、「職員室の写真のように無害に見えるものも違反になる可能性があります。 誰かがテーブルに座っている患者のカルテを拡大して、その名前や他の PHI を特定できる可能性があります。」

健康情報の検証

「多くの患者は、自分のメッセージが医師に届くと考えて医療ブランドにメッセージを送っています。つまり、医療ブランドは、アウトリーチに機密性の高い PHI を含めているということです」とフローレンス氏は言います。 前のセクションで述べたように、患者がプロンプトなしで PHI を提供した場合でも、PHI を削除することが重要です。

しかし、多くの組織が見逃している重要なニュアンスの 1 つは、PHI の検証も控えるべきであるということです。 たとえば、患者があなたの投稿にコメントして病気を患っていることを明らかにした場合、返信の中でその病気を認めるべきではありません。 HIPAA 違反の可能性があります。 いくつかのシナリオ例を次に示します。

患者メッセージの例: @Hospital、私は最近糖尿病と診断されました。糖尿病治療を専門とする医師は誰ですか?

HIPAA に準拠していません: @Patient、新しい糖尿病診断をナビゲートするのは難しい場合があることを私たちは知っており、私たちがお手伝いします。 診察の予約をするには、スミス医師のオフィスに直接電話してください。

HIPAA 準拠: @Patient、プライバシーを保護するためにコメントを削除しました。 サポートが必要な場合は、当社のチームにお電話いただくか、電子メールでお問い合わせください。

トレーニングを企業チャネルおよび有給職員に限定する

医療機関はトレーニングを企業チャネルと有給職員に限定することで、大きな不利益を引き起こす可能性のある知識のギャップを生み出します。 たとえば、興奮したインターンは患者との自撮り写真を投稿できます。 あるいは、研修医が面白い TikTok で誤って PHI を公開する可能性もあります。

医療機関は、HIPAA がボランティア、学生、無給職員など、対象となる組織の管理下にあるすべての人に適用されることを覚えておく必要があります。 また、スタッフ メンバーの個人アカウントなど、企業アカウントを超えたソーシャル プロファイルもカプセル化されます。

ソーシャル メディア ベンダーにとって HIPAA が意味するもの

ソフトウェア ベンダーとツールを選択するときは、HIPAA 準拠とセキュリティを最優先に考慮する必要があります。 プラットフォームの評価中、セキュリティ チームとプライバシー チームは、データが大規模な技術スタックに統合される際のデータの使用方法に注意を払うことを期待してください。

権限レベルとメッセージ承認機能を備えた管理ソリューションを見つけて、責任のある当事者のみが投稿できるようにします。 電子デバイス上の PHI を保護するために、暗号化やファイアウォールなどのサイバーセキュリティ対策が講じられていることを確認します。

さらに一歩進めて、業務提携契約 (BAA) に署名するソーシャル メディア管理ソリューションを探してください。BAA は、PHI および HIPAA のコンプライアンスに関して各当事者の責任を指定する法的拘束力のある契約です。 Florence 氏が詳しく述べているように、「BAA に署名し、リスクと責任を一緒に引き受けることができる Sprout Social のようなパートナーと協力する必要があります。」

学ぶべきヘルスケア ブランド

これら 4 つの医療機関は、たとえ規制された業界であっても、ソーシャル メディアで積極的に存在感を示すことが依然として可能であり、重要であることを示しています。

メイヨークリニック

全米トップクラスの病院であるメイヨー クリニックは、ソーシャル メディアを活用して雇用主のブランドを構築しています。 成功した月を祝った移植委員長の投稿を再共有したときのように。 この投稿では患者の機密情報は一切明らかにされておらず、代わりに移植チームの業績と優秀な能力に焦点が当てられていることに注目してください。

メイヨー クリニックは、ホロコースト生存者からボランティアに転向したこの心温まるビデオのように、会社をさらに人間味のあるものにするために、ボランティア、医師、その他の職員のプロフィールも共有しています。

病院システムは、これらの投稿に一般的な健康とライフスタイルのヒントを補足して、フォロワーにインスピレーションを与え、日常の運動の利点に関するこのカルーセルのように幸福を促進します。

クリーブランドクリニック

有力な学術医療センターである Cleveland Clinic は、医療に関する話題のトレンドを常に把握しており、その専門知識を活用してコミュニティに新しい公衆衛生報告書を常に提供しています。

このリールでは、最新のソーシャル メディアの健康ブーム、コールド プランジングやコールド シャワーの利点を調査しています。 この投稿では、安全で健康を保ちながらトレンドの恩恵を享受する方法について詳しく説明しています。

医療センターは、組織が作成した重要な公衆衛生報告書も共有しています。 通常、この投稿のように、レポートの主要な調査結果を簡潔に要約し、ユーザーが詳細を読めるようにリンクを含めます。

ボストン小児病院

ボストン小児病院は、世界最大の病院ベースの小児研究プログラムの本拠地です。 この組織は、子供の健康成果を促進する一流の臨床遺伝学者に関するこの投稿で行ったように、ソーシャル チャネルを利用して画期的な研究 (およびその背後にある研究者) を強調しています。

また、てんかんの子供に対する遺伝子検査の威力に関する Facebook のこの特集のように、家族にインタビューすることで最先端の治療の恩恵を受けている患者についても特集しています。

アンセム ブルークロス ブルーシールド

Anthem Blue Cross Blue Shield は、信頼できる健康保険プランの提供者です。 彼らはソーシャル上で、雇用主が職場依存症の回復とサポートに投資することで得られる投資収益率に関するこの投稿を含め、メンバーに提供する価値に関する有意義な統計を共有しています。

また、NCQA による評価に関するこの投稿のように、メンバーのケアと卓越性への取り組みを示す賞や認定も共有しています。

人気の保険プラン提供者として、同社はソーシャル上で会員の保険契約の詳細について多くの問い合わせを受けています。 彼らのケア チームは、会話を公開フォーラムからより適切で安全なプライベート チャネルにルーティングする方法を説明しています。たとえば、この返信では、メンバーにヘルプ センターに電子メールを送信するよう求めています。

自信を持って HIPAA とソーシャル メディアをナビゲートする

ソーシャル メディアにおける HIPAA コンプライアンスは、法務およびセキュリティ チームとの緊密な連携、および部門間の教育の展開を含む、複数の段階からなる継続的なプロセスです。 患者データと組織のブランド健全性を保護する主要なベスト プラクティスに従うことで、複雑な HIPAA プロトコルをナビゲートし、自信を持って社会的存在感を高めることができるようになります。

次のステップ:この記事を読み終えたら、法務チームとセキュリティ チームとの会議をカレンダーに入れて、組織全体の教育活動の計画を開始し、コミュニティにおけるソーシャルの役割をより深く理解するために医療ソーシャル メディアのベンチマークをブラッシュアップしてください。エンゲージメントツールキット。

免責事項

この記事で提供される情報は、正式な法的アドバイスを構成するものではなく、またそれを意図したものでもありません。 すべての情報、コンテンツ、ポイント、マテリアルは一般的な情報提供を目的としています。 このウェブサイト上の情報は、最新の法的情報またはその他の情報を構成していない可能性があります。 この記事で提供されているガイドラインを組み込んだからといって、法的リスクが軽減されることを保証するものではありません。 この記事の読者は、特定の法的問題に関してアドバイスを得るために法務チームまたは弁護士に連絡する必要があり、最初に独立した法的アドバイスを求めることなく、この記事の情報に基づいて行動することは控えるべきです。 この記事またはサイト内に含まれるリンクやリソースの使用およびアクセスによって、読者、ユーザー、ブラウザと寄稿者または寄稿している法律事務所との間に弁護士と依頼者の関係が生じることはありません。 この記事の寄稿者によって表明された見解は彼ら自身のものであり、Sprout Social の見解を反映するものではありません。 この記事の内容に基づいて行われた行動、または実行されなかった行動に関するすべての責任は、ここに明示的に否認されます。