結論：できません。 Fax.Plus で HIPAA 準拠のファックスサービスを利用するには、Enterprise プランへの加入と、署名済みのBusiness Associate Agreement（BAA）、そして適切なセキュリティ管理の有効化が必要です。
HIPAA に Enterprise プランが必要な理由
ファックスにおける HIPAA 準拠には、Free、Basic、Premium、Business プランでは利用できないいくつかの要件があります。
- 署名済みの BAA - Enterprise プランでのみ利用可能です。
- Advanced Security Controls - Enterprise でのみ利用可能です。
- 監査ログ - HIPAA で必須とされ、Enterprise でのみ利用可能です。
- 役割ベースの権限による複数ユーザーのアクセス管理 - Enterprise のみ。
- データの保存場所の指定オプション （米国内でのみデータをホスティングする必要がある組織向け）- Enterprise のみ。
BAA を締結せずに Protected Health Information（PHI）を送信した場合、双方とも HIPAA に準拠していないことになります。
HIPAA に対応しているプラン
- Free、Pay-As-You-Go、Basic、Premium、Business： HIPAA には準拠していません。PHI には使用しないでください。
- Enterprise： HIPAA に準拠しています。専用の監査証跡やデータの保存場所の指定などの追加機能も含まれます。
HIPAA 準拠プランへのアップグレード方法
- 設定 → プランと請求から Enterprise プランにアップグレードします。
- 新しいプランに切り替わったら、 設定 → セキュリティでAdvanced Security Controlsを有効にします。
- BAA を申請します。詳細はHIPAA BAA のステータスの意味をご覧ください。
- BAA が署名済みとなり、セキュリティ管理が有効化された後は、HIPAA に準拠した形で PHI を送信できます。
「当院は小規模診療所で、Enterprise は高すぎます」
HIPAA 準拠のファックスサービスは、基本的なファックスサービスより費用が高くなります。この費用は、連邦法で求められるセキュリティ管理、監査基盤、BAA による法的保護に対応するためのものです。
PHI の取り扱い頻度が低く、Enterprise プランの導入が現実的に難しい場合は、以下をご検討ください。
- 小規模な医療機関向けに特化した別のベンダーを利用する。
- 既存の通信事業者による従来型のファックス回線を利用する（その事業者との BAA により HIPAA に準拠できる場合があります）。
- HIPAA 対応の Enterprise プランを PHI を含むファックスにのみ使用し、PHI を含まない用途には別のツール（Fax.Plus 以外、または Free プラン）を使用する。
対象外のプランで既に PHI を送信してしまった場合は？
当社は HIPAA 準拠に関する法的助言を行う立場にはありません。情報漏えいへの対応については、貴社のコンプライアンス責任者または HIPAA に精通した弁護士にご相談ください。
当社は covered entity／business associate です。HIPAA 認証は取得していますか？
HIPAA には正式な認証制度自体が存在しません（HIPAA には認証プログラムがありません）。Fax.Plus は Enterprise プランにおいて、HIPAA の技術的セーフガードに準拠しています。当社は covered entity および business associate との間で BAA を締結しています。詳細はHIPAA コンプライアンスページをご覧ください。