主要な薬局チェーンすべてが、令状なしで医療記録を政府に提供
(techdirt.com)- 米国の主要な薬局チェーンが、法執行機関の要請に応じて機微な医療記録を引き渡す際、令状を求めていない慣行が議会調査で明らかになった
- CVS Health、Walgreens Boots Alliance、Cigna、Optum Rx、Walmart、Kroger、Rite Aid、Amazon Pharmacy は、処方薬の利用履歴や医療上の状態を含みうる情報を、召喚状だけで提供できる
- CVS、Kroger、Rite Aid は政府機関の召喚状について法務レビューも行っていないと回答しており、要請の適法性を検証する手続きが特に弱い
- HIPAA は民間当事者への無断開示を防ぐが、法執行機関からの要請は required by law の例外として扱われうるため、令状なしの提供を止めにくい
- ロン・ワイデン上院議員、プラミラ・ジャヤパル下院議員、サラ・ジェイコブス下院議員は、HHS が HIPAA 規則を強化し、薬局に令状の要求を義務づけるべきだと求めた
サードパーティ原則が生んだ医療記録の死角
- 米国憲法修正第4条の保護は、Third Party Doctrine の前では弱く機能してしまうことが多い
- 個人が民間企業と共有した情報は、自発的な共有かどうかにかかわらず、政府が令状なしで取得できる場合がある
- このため、アプリが収集した携帯電話の位置データに修正第4条の保護を追加しようとする法案や、サードパーティ原則を調整しようとする裁判所・議会での議論が続いてきた
- 政府は司法審査を経ずにできるだけ多くの情報を得ようとし、民間企業は政府の要請を法廷で争うより提供した方がコスト面で有利だと判断しうる
主要薬局チェーンの令状なし提供の慣行
- Ars Technica が取り上げた議会調査では、米国の主要な小売薬局事業者が、実際には令状を求めないまま政府に機微な医療データを提供してきたことが確認された
- 調査対象の薬局は次の 8 社
- CVS Health
- Walgreens Boots Alliance
- Cigna
- Optum Rx
- Walmart Stores, Inc.
- The Kroger Company
- Rite Aid Corporation
- Amazon Pharmacy
- これらすべてが、法執行機関が個人の処方薬利用履歴や医療上の状態を含みうる記録を求める際、令状を必要としないと回答した
- その代わり、政府機関が発行でき、裁判官の審査や承認を必要としない召喚状だけでも情報を提供している
法務レビューの有無の違い
- CVS、Kroger、Rite Aid は、政府機関の召喚状について法務レビューを行わないと議会に回答した
- これらのチェーンは、政府名義の要請であれば有効な要請と見なしているように見える
- 他の薬局チェーンは、少なくともデータ要請の処理過程で弁護士を関与させている
HIPAA が十分な防波堤にならない理由
- HIPAA は、医療情報が許可されていない民間当事者に同意なく開示されることを防ぐ法律である
- 法執行機関からの要請は一般に required by law の例外に入るものとして扱われる
- 薬局企業の弁護士が要請を精査していない場合や、機微な医療情報の要求が実際に正当か確信できない場合でも、この例外が機能しうる
- 法改正をしなくても、HHS が HIPAA 規則を改めて当該データにプライバシー推定を与える方法が解決策として挙げられている
HHS に対する議員たちの要求
- ロン・ワイデン上院議員、プラミラ・ジャヤパル下院議員、サラ・ジェイコブス下院議員は、HHS 長官 Xavier Becerra に書簡を送り、HIPAA 規則の強化を求めた
- 書簡では、薬局に令状を要求させ、法執行機関が召喚状だけで患者の医療記録を求める場合には、裁判所に執行を求めるようにすべきだと述べている
- 2010 年の電子メール・プライバシー事例も比較対象として示された
- ある連邦控訴裁判所が電子メールに対する合理的なプライバシー期待を認めた後、Google、Yahoo、Microsoft のような主要な無料メール事業者は、メール開示前に令状を要求し始めた
- 議員らは、2022 年 6 月の Dobbs 判決以降、避妊製品を入手した人が起訴されることを防ぐため、HHS がより強い保護を整備すべきだと 7 月に Becerra に初めて伝えていた
透明性の約束と残された論点
- 一部の企業は、政府への協力についてより透明性を高めると約束している
- CVS、Walgreens、Kroger は、政府によるデータ要請に関する定期報告書を公表すると約束した
- Amazon は、政府が顧客データを求めたときに顧客へ通知する方式で、さらに一歩踏み込んでいる
- 処方記録は、患者が明示的に許可していない他者に対しては、連邦法で保護される情報である
- 政府がサードパーティ原則を理由に、顧客の処方記録を公開された本のように扱ってはならないという問題が残っている
- 変化は、薬局や政府の自主的措置、または立法による命令を通じて実現しうる
1件のコメント
Hacker News のコメント
麻薬性鎮痛薬専門の捜査に携わっていたが、処方薬が本来の正当な医療目的ではない用途に使われる場合はすべて対象だった。
医師が処方薬を非医療目的で売ることもあれば、医療従事者が盗むこともあったが、最も多かったのは処方箋詐欺だった。
医師の処方箋を盗んだり偽造したりするケースで、20代の健康な人が Oxycodone 30mg を90錠受け取りに来ると、通常は「極度の痛みがあり、おそらく死にかけている」レベルの処方なので、薬局や医師が確認の電話をしていた。
州政府はすでに Prescription Monitoring Program を通じてすべての処方情報を持っており、医師は自分の名前で直近 N 日間に調剤された処方の一覧をスプレッドシートで受け取ることができた。
Adams 医師が Bill に処方したことはないと言えば、Bill を照会して Charles、Daniels 名義の似たような疑わしい処方を探し、その医師たちにも患者ではないと確認しながら、さらに多くの偽造処方を追跡する、というやり方だった。
悪用の可能性はあるが、合法的にも薬局に入って任意の文書を要求したり、PMP で適当な名前を検索したりできるわけではなく、通常は医師や薬剤師が疑わしい状況を通報した後、州の記録を確認し、医師に検証してもらい、すでに虚偽だと分かっている内容の紙の証拠を確保していた。
何度かは警告が出て医師に電話したところ「正当な処方だ」と言われて終わりになったこともあり、患者がなぜ麻薬性薬物を使っているのかを知る必要はなく、詐欺かどうかだけ確認すればよかった。
州法上、令状なしで処方箋や受領記録などの薬局記録を要求する権限があり、ほとんどの薬剤師はすぐに提供してくれたが、中には HIPAA 違反ではないか、合法なのかを確認しようとする人もいた。
ただし何度かは、私が身分を明かす前に職員が書類を渡し始めたことがあり、不安に感じた。
要するに、犯罪についての具体的で真正な疑いなしに誰かの医療記録を手当たり次第に見るのは非常に違法であり、記録を見る理由があるとすれば、医療現場の誰かが疑わしい点を報告したからだった。
法執行機関が頻繁に法律を破っていることは十分に文書化されており、むしろ憲法修正第4条と患者のプライバシーを侵害する手続きがどれほど常態化しているかを示しているように思える。
この仕組みを変えて令状を求めるべきだという提案があるが、特定の機関が誠実だったとしても、米国には約1万8000の法執行機関があり、少なからぬ機関には過剰で不適切な記録アクセスの長い履歴が残っている。
私的で機密性の高い情報にアクセスする際には、司法の監督が入る令状を合理的なデフォルトとするべきだ。
だとすると、悪用の余地が大きすぎるのではないかと思う。
LexisNexis のような商用データベースは費用がかかるので検索を無駄にするな、という程度だったが、犯罪歴照会のような政府システムについては、正当な法的理由なしに照会することは違法だと強く教育され、すべての照会理由を記録するよう求められた。
研修資料には、犯罪歴データベースを不正に使用して収監された元警察官の記事も含まれており、年に1回の監査で一部の照会について正当性を説明しなければならなかった。
どんなシステムにも誤りはあり、悪意ある行為者に悪用される可能性があり、費用対効果分析の対象ではあるが、適切な状況と法律、抑制と均衡の下で、法執行機関が機微で非公開の情報にアクセスできる仕組み自体は妥当だと思う。
元連邦法執行官として、かなり以前に令状なしで医療記録にアクセスしたことがある
すべての機関を代表することはできないが、2000年代初頭に何度か行ったことは、HNの人たちの大半も合理的だと考えた可能性が高い
沿岸警備隊の士官であり、公共安全と刑事という二つの法体系の下で法執行権限を持っていた
連邦水路で大事故が起きると、まず公共安全上の脅威を調査するのが仕事で、そこには召喚状を発行する権限が伴っていた
事故後にNTSBやFAAが行うことに近く、運送会社が小学校の隣の湿地にキシレン満載のはしけを流出させかねない業務をしているなら、政府には公共の脅威を把握する十分な公益があり、修正第4条は障壁にならないと考える
ただし公共安全調査が「公共の危険の把握」を超えて、個人の刑事責任の可能性へと移る場合は、当事者に刑事捜査へ移行したことを告知しなければならず、その時点から修正第4条と令状要件が再び適用された
実際には、事故関係者が「薬を飲み忘れたからで、酔っていたわけではない」と言って現場調査を遅らせたり、けがをした船員が病院にいるというケースが何度かあった
病院に行って供述を聞き、負傷の有無を確認する必要があり、重傷は調査レベルと必須投入リソースを引き上げ、船員が実際に何が起きたかを見ていたのか確認しなければならなかった
企業が自社のミスの調査を遅らせるため、病院や医師のところにいることを口実にしたことも何度もあり、そうした文脈では病院に電話して「昨夜、誰それは入院しましたか？」と尋ねるのは完全に合理的だったと思う
それでも、こうした権限が頻繁に濫用されないとは言いにくく、法執行コミュニティの大半がただ自分の仕事をしようとしているだけだとしても、疑いを持ち続けるのが正しい
第三者法理は広がりすぎており、人々が第三者と情報を共有しながらも、その情報についてプライバシー権を期待し、享受する資格がある状況は多い
HIPAAが医師や薬剤師と共有した情報について合理的なプライバシー期待を提供しないというのはばかげており、法律が法執行例外を明記していたとしても、合理的なプライバシー期待は憲法上の権利なので、そのような例外は違憲と見るべきだ
民間のプライバシー法上、企業が保護すべき情報であるなら、第三者法理から除外して令状を要求するよう、プライバシー保護法を全般的に拡張すべきだ
仕事をしやすくするからといって正当化されるわけではなく、憲法上の権利、プライバシー法、判例は警察権限を制限するために作られたものだ
警察が令状をまったく必要としなければ楽になるのは確かだが、それは令状を迂回する妥当な論拠ではない
同様に、法執行官がMiranda告知を必要としないやり取りへ証人を誘導したり、要求を無視しながら自己負罪供述を引き出したりすることがよくあるからといって、法的にも倫理的にも正当化されるわけではない
「法執行官の大半はただ自分の仕事をしようとしているだけだ」という前提も、警察権の構造的濫用に関する資料が多い状況では疑問であり、仮にそうだとしても、政府が明示的に設けた制約を迂回するための擁護論にはならない
法執行機関は憲法に従わなければならず、それは令状を取るという抑制を受け入れなければならないという意味だ
理由が本当に説得力あるものなら、裁判官や治安判事を納得させるのに問題はないはずだ
中絶とトランスジェンダーの権利をめぐる法環境が変わるなかで、どこかの州の熱心な検察官が中絶薬やホルモン遮断薬の記録を召喚し、人々への嫌がらせや起訴に使うかもしれないという懸念は妥当だ
検察官が現在ホルモン遮断薬を処方されている全患者のリストを要求し、州全体のすべての家族を相手に児童福祉事件を起こすことも可能に思える
先週も大きなスレッドがあった
https://news.ycombinator.com/item?id=38719918
先々週にもあった
https://news.ycombinator.com/item?id=38615841
Pharmacies share medical data with police without a warrant, inquiry finds - https://news.ycombinator.com/item?id=38615841 - 2023年12月、コメント46件
TechDirtの記事はこの上院財政委員会文書に基づくもの: https://www.finance.senate.gov/imo/media/doc/hhs_pharmacy_su...
これが処方薬の転売業者以外の誰にとって悪いのか説明してほしい
おそらくその情報は他の方法でも三つくらいは得られそうだ
政府は第三者を経由しさえすれば権利を侵害できる
医療産業の統合は、人生で見てきた中でも最もひどい変化の一つだった
このすべての最終状態が何になるのか気になる
ただし、その単一支払者は利潤動機を持つ存在になるだろう
公平に言えば、統合の一部は、医師や薬剤師が独立して運営できないほど事業コストが上がったせいでもある
莫大な学生ローン債務、ITサービスとコンプライアンス要件、どこでも狂ったような不動産コストまで重なっている
この国は、企業が人間を所有するサイバーパンク的な結末へ向かっているように見える