보건복지부(HHS), 연방 약물사용장애법과 HIPAA(건강정보보호법)의 조화 추진

연방 약물사용장애법 개정안은 의료 제공자의 효율성을 높이고 건강보험 이동성 및 책임법(HIPAA)과의 조화를 도모할 것이다. 환자와 제공자의 행정적 부담을 줄이면서 동시에 집행 능력을 강화하기 위한 조치로, 보건복지부(HHS)는 오랫동안 기다려온 42 C.F.R. Part 2(Part 2) 개정안 제안 규칙 제정 공고 (Proposed Rule) 를 발표했습니다. Part 2는 약물사용장애 환자 기록의 기밀성을 규율하는 규정입니다. 이 개정안은 2020년 의회가 CARES 법안에서 HHS에 제2부 개정 지시를 내린 이후 예상되어 왔습니다. 제안된 규칙의 영향은 이미 HIPAA 준수가 요구되는 약물 사용 장애 제공자에게는 순수한 긍정적 효과가 있을 것입니다. 그러나 HIPAA 규제를 받지 않으면서도 제2부 준수가 요구되는 현금 결제 제공자는 HIPAA의 개인정보 보호 규칙 및 침해 통지 규칙을 준수해야 할 것입니다.

“보건복지부(HHS)는 환자들이 파트 2 규정 및 프로그램을 HIPAA와 더 잘 조화시키는 것이 얼마나 중요한지 잘 이해하고 있습니다. 이 제안된 규정은 치료 기록의 기밀성을 보호하면서도 환자와 제공자의 부담을 줄이고, 협력을 개선하며, 치료 및 진료 접근성을 높이는 데 도움이 될 것입니다.” – OCR 국장 멜라니 폰테스 라이너 (2022년 11월 28일)

제안된 규칙에서 도출된 여섯 가지 핵심 요점은 다음과 같습니다.

1. 모든 치료, 지불 및 운영 공개에 대한 단일 환자 동의. 제2부에 대한 가장 기대되는 변경 사항은 치료, 지불 및 의료 운영(TPO) 목적으로 제2부 기록 공유가 용이해진다는 점입니다. 제2부 프로그램은 향후 모든 TPO 목적의 이용 및 공개를 허용하는 단일 환자 동의를 획득할 수 있게 됩니다. 제안된 규칙은 수신자 지정 시 환자에게 유연성을 부여합니다. 예를 들어, 동의서에 "내 진료 제공자, 건강보험사, 제3자 지불기관 및 본 프로그램 운영 지원자"와 같은 수신자 범주를 기재하거나 유사한 문구를 사용하는 것이 허용될 것입니다. HIPAA 승인서와 유사한 형태의 동의를 획득한 후, 제2부 프로그램, 적용 대상 기관 및 제2부 기록을 TPO 목적의 서면 동의에 따라 수령한 업무 협력자는 HIPAA 개인정보 보호 규칙이 허용하는 모든 방식으로 기록을 재공개할 수 있습니다. 단, 환자에 대한 특정 소송 절차는 제외됩니다.
2. 제2부 위반 사항은 HIPAA 정보 유출 통지 규정에 적용됩니다. 제안된 규정은 HIPAA 정보 유출 통지 규정을 상호 참조함으로써 제2부에 정보 유출 통지 요건을 추가할 것입니다. 이 변경으로 제2부 프로그램은 HIPAA 정보 유출 통지 규정에 따라 보안이 적용되지 않은 제2부 기록의 유출 시 보건복지부(HHS), 영향을 받은 환자, 그리고 경우에 따라 언론에 통지해야 합니다. 대부분의 파트 2 프로그램은 이미 이러한 요건을 잘 알고 있는 적용 대상 기관이지만, 현재 HIPAA 적용을 받지 않는 파트 2 프로그램은 강력한 개인정보 보호 준수 프로그램을 개발하고, 위반 통지 요건을 유발할 수 있는 정보 공개를 식별할 수 있도록 직원 교육을 실시해야 합니다.
3. 자비 진료 환자는 건강보험 계획에 대한 정보 공개를 제한할 권리가 있습니다. HIPAA와 유사하게, 제안된 규칙은 제2부 프로그램이 환자가 제2부 정보의 사용 또는 공개에 대한 제한을 요청하여 TPO를 수행할 수 있도록 허용할 것을 요구합니다. 이는 환자가 공개에 대한 서면 동의를 서명한 경우도 포함됩니다. 제2부 프로그램은 환자가 건강보험계획에 대한 기록 공개를 제한하도록 요청한 경우를 제외하고는 이러한 제한에 동의할 의무가 없습니다. 해당 기록이 환자가 전액 지급했거나 건강보험계획을 제외한 환자 대리인이 전액 지급한 의료 항목 또는 서비스에만 관련된 경우, 지급 또는 의료 운영 목적으로 건강보험계획에 대한 기록 공개를 제한하도록 요청한 경우에 한합니다.
4. 제2부 환자 고지 요건은 HIPAA의 개인정보 보호 고지(Notice of Privacy Practices)와 일치합니다. 제안된 규칙은 제2부 프로그램의 환자들이 HIPAA의 개인정보 보호 고지(NPP)를 통해 개인에게 제공되는 것과 동일한 수준의 고지와 투명성을 보장받도록 할 것입니다. 현재 파트 2 프로그램은 환자에게 파트 2 제한 사항에 대한 서면 "요약"을 제공해야 하지만, 파트 2는 해당 프로그램이 환자에게 포괄적인 NPP를 제공하도록 요구하지 않습니다. 제안된 규정에 따르면, 파트 2 환자 고지(환자 고지)는 파트 2 기록의 허용된 사용 및 공개(그리고 별도의 동의가 필요한 경우)에 대한 설명을 포함하여 HIPAA NPP와 동일한 핵심 요소를 다룰 것입니다. 환자 고지서는 또한 환자에게 불만 처리 절차와 특정 상황에서 파트 2 프로그램이 기록을 공개하는 것에 대한 동의를 철회할 수 있는 환자의 권리를 알려야 합니다. 특히, 제안된 규칙은 파트 2의 환자 고지서 요구사항과 HIPAA의 NPP 요구사항 모두를 수정할 것입니다. 제2부 프로그램은 아니지만 제2부 기록을 수령 및 보유하는(따라서 해당 기록에 대해 제2부 요건이 적용되는) 특정 적용 대상 기관은 민사, 형사, 행정 및 입법 절차에서 개인에 대한 제2부 기록의 사용 및 공개 제한을 언급하는 조항을 NPP에 추가해야 합니다. 제2부 기록을 보유하거나 수령하지 않는 적용 대상 기관에는 현재 NPP 요건이 변경 없이 계속 적용됩니다. 
5. 신규 제2부 공개 기록 요구사항은 오랫동안 기다려온 HIPAA 공개 기록 최종 규정 발효 시까지 유예됩니다. 보건복지부(HHS)는 HIPAA의 공개 기록 요구사항을 제2부에 통합할 것을 제안합니다. 제안된 규정은 또한 HITECH 법의 요구사항을 포함하여, TPO 목적의 공개가 전자건강기록(EHR)을 통해 이루어진 경우에만 공개 기록에 포함되도록 할 것입니다. 제2부 기록 요구사항의 준수 기한은 (오랫동안 기다려온) HIPAA 공개 기록 표준에 관한 최종 규칙의 발효일까지 유예될 것입니다.
6. 보건복지부(HHS)는 제2부를 민사적 제재를 통해 집행할 권한을 갖게 됩니다. CARES법은 제2부 위반에 대한 기존 형사적 집행 권한을 HIPAA 위반에 적용되는 법정 제재 규정으로 대체하였습니다. 제안된 규칙은 이러한 변경 사항을 반영하여 제2부 규정을 개정함으로써, 법무부의 오랜 형사적 집행 권한에 더해 HHS가 행사할 수 있는 민사적 집행 권한을 최초로 신설합니다. 제안된 규칙은 제2부를 집행하기 위한 형사 소송이 단 한 건도 제기된 적이 없음을 지적합니다. HHS가 민사적 제재를 통해 HIPAA 위반을 조사하고 집행하는 데 상당한 경험을 보유하고 있음을 고려할 때, HHS가 제2부에 대해서도 유사한 접근 방식을 취할 것으로 예상됩니다.

내 목소리를 들려주세요

제안된 규칙에 대한 공개 의견은 연방관보에 게재된 날로부터 60일 이내에 제출해야 하며, 게재 예정일은 2022년 12월 2일입니다. 보건복지부(HHS)가 이 규칙 제정 절차를 진행하는 동안 현행 제2부 규칙은 계속 유효함을 유의하시기 바랍니다.

자세히 알아보고 싶으신가요?

• ATA EDGE2022 정책 컨퍼런스 | 미국 원격의료 협회
• 2022년 헬스케어 및 생명과학 분야 주요 트렌드
• 2023년 메디케어 의사 수수료 일정, 약물 사용 장애 및 행동 건강을 위한 전인적 치료 접근성 확대

제안된 규칙 제2부 또는 원격의료, 원격건강관리, 가상진료, 원격환자 모니터링, 디지털 헬스 및 기타 의료 혁신과 관련된 법적 고려 사항에 대한 자세한 내용은 폴리 로펌의원격의료 및 디지털 헬스, 사이버보안 및 데이터 프라이버시, 또는 의료 실무 그룹에 문의하십시오.