PCSE#1(compliance)
医療機関が Google Cloud に電子カルテ (PHI) を保存する際、HIPAA 準拠のために最初に締結すべき契約はどれですか。
正解：C
正解の根拠
HIPAA の対象事業者 (Covered Entity) がクラウドで PHI を扱う場合、Google Cloud と BAA を締結することが必須です。BAA を締結せずに PHI を扱うことは HIPAA 違反となります。
| 契約 | 用途 |
|---|---|
| BAA | HIPAA PHI の取扱責任を明文化 |
| DPA | GDPR 等の個人データ処理 |
不正解の理由
- B: DPA は GDPR 用であり HIPAA 要件を満たしません
- A: SOC 2 はレポート閲覧であり契約ではありません
- D: HITRUST は任意のフレームワークで HIPAA 契約代替にはなりません
コメント