弁護士法人フォーカスクライド

医療法人・クリニックにおいては、患者の診療情報を取り扱うことになります。

これは個人情報のなかでも、特にセンシティブな内容であり、個人情報保護法上、「要配慮個人情報」と定義され、その管理について厳格な運用が求められています。

個人情報保護法上の要配慮個人情報

「病歴」
「医師等により行われた健康診断等の結果」
「健康診断等の結果に基づき医師等により行われた指導・診療・調剤」

他方で、医療法人は地域医療連携により他の医療法人、薬局や患者の入居施設等と適切に連携を取る必要がありますし、症例・事例の集積による医療の発展の観点からは、これらの情報が学会で共有されたり、大学等の研究機関に提供されるべきであるとの要請も無視できません。

このように、個人情報を取り扱う事業の中でも、医療法人・クリニックについては、特にその管理に配慮を求められるうえ、様々な運用時の判断を迫られます。

本稿では、医療法人・クリニックの経営者において、把握しておくべき情報管理のポイントについて、ご案内してまいります。

Contents

1. 医療法人における情報管理を巡る規制・ガイドライン
2. 個人情報の利用目的
- （１）利用目的の特定
- （２）院内掲示による公表
3. 個人情報の第三者提供
4. ビッグデータ・学会共有等における情報共有
5. 医療法人・クリニックにおける情報管理体制
6. さいごに

1. 医療法人における情報管理を巡る規制・ガイドライン

病院の運営主体によって適用される法律は、以下のように様々です。

国立病院
行政機関の保有する個人情報の保護に関する法律

独立行政法人化した、旧公立病院又は国公立大学の附属病院
独立行政法人の保有する個人情報の保護に関する法律

地方自治体の病院
個人情報保護条例

その他の病院
個人情報保護法

ただ、情報の取扱いに関して配慮すべき点はそう大きくは変わりません。以下では個人情報保護法を念頭に、医療法人における情報管理についてご説明してまいります。

また、個人情報保護法の適用対象となる医療法人に対しては、法律の定めに基づき、実際にどのような情報管理が図られるべきかについて、医療法人に対しては厚生労働省が「医療・介護関係事業者における個人情報の適切な取扱いのためのガイドライン」を公表しており、院内で個人情報をどのように扱うかを決するうえで、チェックが欠かせないものとなっております。以下では、特にことわりがなければ、これを単に「ガイドライン」として引用いたします。

なお、本稿では、一部法律用語をかみ砕いてお伝えする都合、法的には不正確な表現が含まれることはご容赦ください（例：「個人情報」と「個人データ」の区別等）。

2. 個人情報の利用目的

（１）利用目的の特定

個人情報は、「利用目的をできる限り特定」することが求められており（第１５条）、個人情報の取得時には、あらかじめ利用目的を公表している場合を除き、利用目的を通知しなければなりません（第１８条）。利用目的の特定は、本人が、その情報がどのような目的に利用されるのかを把握したうえで提供できるようにする趣旨で義務付けられているものですから、あまりに抽象的な特定は、「できる限り特定」したことにはなりません。

医療法人・クリニックごとに取り扱っている業務の種類や規模も異なるでしょうから、特定方法に正解はありませんが、ガイドラインでは別表２において、医療法人で想定される利用目的を例示しているため、参考になります。

ここで特定していない利用目的以外の目的に個人情報を用いるにあたっては、原則として本人の同意を要しますので、表のうち該当するものをピックアップしつつ、特に恒常的に扱う業務が他にないかという視点から、利用目的を追加しておくとよいでしょう。

（２）院内掲示による公表

また、利用目的の特定と併せて活用したいのが院内掲示による個人情報利用目的の公表です。先にも述べたとおり、あらかじめ利用目的を公表していれば、取得時の通知を要しないことになります。医療現場ではご高齢の方の利用も多いため、インターネット上に利用目的を公表しても不十分ではないかとの疑問も残りますが、院内の分かりやすい場所に掲示しておけば、そのような問題もありません。

加えて、個人情報の第三者提供には原則として本人の同意が必要となりますが、ガイドラインにおいては、院内掲示に記載された利用目的に対しては、本人が「提供を同意しない」という意思を示さない限り、第三者提供に同意したとみなしてよいとされています

したがって、院内掲示において利用目的を掲示することは、①個人情報取得時の通知を原則として省略することができ、②個人情報の第三者提供も掲示された目的の範囲内ではスムーズに実施できるという点で有用です。

なお、第三者提供の黙示的な同意機能をもたせるために、ガイドラインは次のことを併せて掲示するよう求めていますので、これを追記するようにしてください。

ア　患者は、医療機関等が示す利用目的の中で同意しがたいものがある場合には、その事項について、あらかじめ本人の明確な同意を得るよう医療機関等に求めることができること。
イ　患者が、アの意思表示を行わない場合は、公表された利用目的について患者の同意が得られたものとみなすこと。
ウ　同意及び留保は、その後、患者からの申出により、いつでも変更することが可能であること。
（～ガイドラインIII５(3)より）

3. 個人情報の第三者提供

（１）提供の可否に関するルールを把握する必要性

個人情報は、原則として、提供の目的を明らかにしたうえで個別に本人の同意を得ておく必要があります（第２３条１項・オプトイン方式）。個人情報保護法上、予め包括的な第三者提供がありうる旨を示しておき、個別に患者本人が不同意の意思を示した場合に提供を中止する方法も定められてはいますが（オプトアウト方式）、診療情報が「要配慮個人情報」であるがゆえに、これは認められていません。

先に述べた院内掲示による方法は、そこに記載された目的である限り、黙示的に個別の同意があることと扱われるわけですが、本人の同意を得ることが容易であるならば、原則に則るに越したことはないでしょう。

医療法人・クリニックにおいては、患者の既往歴を確認のための照会、転院時の診療情報の提供といった同業種間での情報共有のほか、介護施設等との情報交換も日常的に実施されていることと思います。そのほか、交通事故や刑事事件が関連する場合、保険会社、警察、裁判所など、様々な機関から情報の提供を求められることもあるなど、第三者提供の機会は非常に多い業種といえますから、どのような場合に本人の同意がなくとも第三者提供が可能であるのかは十分に把握しておく必要があります。

提供の可否が容易に判断できない場面では弁護士にご確認いただくことをお勧めしますが、以下では、代表的な同意によらない第三者提供の場面について簡単にご案内します。

（２）診療情報の共有における注意点

診療情報を提供する側では第三者提供の可否が問題となりますし、提供を受ける側では適正取得の問題（特に、既にご説明した利用目的の通知または公表）が問題となります。

ア　提供する側

まずは提供する側についてですが、他の医療法人から診療情報の提供を求められる場合においては、既に当該他の医療法人に患者が転医しているケースが多いかと思われます。その段階になってから本人の同意を得ることは、必ずしも簡便ではない場合もあるでしょう。

そのため、「他の医療法人に対し、適切な診療を受けていただくために必要な範囲で、個人情報を提供する」旨の院内掲示や、転医前の診察時に説明のうえ、直接同意を取り付けておくことが肝要となります。

イ　提供を受ける側

次に提供を受ける側ですが、個人情報の取得時に利用目的を通知する必要があります。通常は直接同意を取り付けることで足りますが、院内掲示に、「適切な診療を提供するために他の医療法人から診療情報の提供を受ける」旨を公表しておくことも併用すると、同意を得ることが簡便でない場合にも対応できるでしょう。

なお、提供を求める際には、氏名等の個人を特定するための情報のほか、どのような情報が、なぜ必要なのかを説明することになろうと思われます。そのため、提供を求める行為自体、第三者に対して個人情報を提供することになりますから、その観点からも同意の取付や院内掲示の整備をしておくべきでしょう。

（３）個人情報保護法の例外

ア　法令に基づく場合

法令に基づく場合には、本人の同意なくして個人情報の第三者提供ができるものとされています（第２３条１項１号）。

裁判所や弁護士会からの照会には回答義務があるとされておりますので、照会に対して必要最小限度の提供は可能です。

問題は法令に基づく場合であっても、それが義務とまではされていない場合です。たとえば、司法警察職員による任意捜査などがこれに該当します。診療情報は冒頭述べたとおり特に法律で要配慮個人情報とされており、提供をすべきか否か、提供すべきとしてどの程度の範囲とすべきかは個別具体的な判断が求められます。

イ　患者の生命・身体に危険が迫っている場合

本人の生命・身体の保護に必要で、且つ、本人の同意を得ることが困難なケースでは、本人の同意を得ずとも、第三者に提供することができます（第２３条１項２号）。

したがって、たとえば、意識が不明瞭な場合において、緊急を要する治療のため転院する場合にアレルギー・基礎疾患等を提供することは、この例外規定によって許容されうることになります。

但し、情報の内容が特に重要なものである場合には、患者の親族から同意を得る、本人の意識が戻り次第事後的に承諾を得ておくといった代償的な措置をとることが望ましいといえます。

以上、ここまで、個人情報の取得の場面や、第三者提供において留意すべき点を簡単にご説明いたしました。後半では、研究データとして診療情報を活用する際の留意点や、情報の管理体制についてご案内いたします。

4. ビッグデータ・学会共有等における情報共有

（１）個人情報の匿名化

既にご説明したとおり、医療情報は、個人情報のなかでも特にセンシティブな要配慮個人情報であるがゆえに、第三者提供にあたっては、提供の都度、患者本人の同意を要します（オプトイン方式による同意の取得）。

しかし、研究機関に診療情報・事例が集積されることにより、医学の研究が進み、臨床治療の質が向上していくという要請も無視できません。そのために考えられるのが、個人情報の匿名化です。

（２）学会・学会誌等における共有

個人情報保護法には、「匿名加工情報」という概念が定められています。これは、「他の情報と照合との照合によって、特定の個人を識別できない」程度にまで匿名加工された情報であれば、情報取得や第三者提供の際の規制対象外とされる考え方です。しかし、臨床医療の現場における診療情報は、特定の個人患者の状態を、治療やその方針決定のために用いることができるように整理されているため、単に氏名や住所等を匿名化したのみであれば、提供元・提供先において、他の情報との照合によって特定個人を識別できてしまうこともあるでしょう。特に症例や事例によってそれが顕著な場合には、ここにいう「匿名加工情報」に該当するかは疑わしいといえます。

このような点も踏まえ、ガイドラインIIの２においては、「特定の患者・利用者の症例や事例を学会で発表したり、学会誌で報告したりする場合等は、氏名、生年月日、住所等を消去することで匿名化されると考えられるが、症例や事例により十分な匿名化が困難な場合は、本人の同意を得なければならない」とされています。

（３）医療ビッグデータ法に基づく研究機関等への提供

また、近年、製薬会社や大学、行政等に対し、医療研究情報の集積を目的とした診療情報の提供を可能とする「医療分野の研究開発に資するための匿名加工医療情報に関する法律（通称：医療ビッグデータ法）」が施行されていますので、簡単に触れておきます。

この法律により、高度の情報セキュリティ等が担保されているとして認定された一定の事業者（認定匿名加工医療情報作成事業者）に対してであれば、要配慮個人情報をオプトアウト方式で提供することが可能となりました。情報セキュリティについて担保された事業者のもとで診療情報は匿名化された後、これらの情報が各研究機関へ提供され、研究が進められていくこととなります。

5. 医療法人・クリニックにおける情報管理体制

（１）安全管理措置

個人情報保護法においては、取り扱う個人情報が「漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。」と定められています（第２０条）。

これは「安全管理措置」と呼ばれるものであり、ガイドライン上もこれを受けて次のような規定が設けられています。

漏えい、滅失又はき損した場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱状況等に起因するリスクに応じ、必要かつ適切な措置を講ずるものとし、その際には、個人データを記録した媒体の性質に応じた安全管理措置を講ずる。
（ガイドラインIII（４）１より）

また、経済産業省が公表している「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」より、組織的な観点、人的な観点、物理的な観点、技術的な観点から、それぞれどのような措置が考えられるかという視点が示されております。一般的な安全管理措置についての記述は別稿に譲りますが（リンク：情報管理戦略）、以下では医療法人・クリニックの情報管理実態に沿って、簡単にご説明いたします。

（２）従業者への監督

いかに優れた情報管理システムを構築しても、これを利用する人間にセキュリティの意識がなければ意味がありません。医療法人・クリニックにおいて業務に従事する者に対しては、高度のセキュリティ意識を有することが期待されており、経営者はこれを担保する必要があります。

個人情報保護法も、特に従業者による情報の取扱いについて、監督義務があることを明示しており（第２１条）、ガイドラインも、医療法人が取り扱う情報の重要性から、従業者の監督を求めています。

具体的には、「教育研修の実施」により、従業者の啓発を図って個人情報保護の意識を徹底させるべき旨や、業務に従事させる前段階で、個人情報保護に関する規定を整備しておき、これを周知しておくべき旨が定められています。

「従業者」の対象は、雇用関係のある従業員のみならず、理事や派遣労働者等も含まれますので留意してください。また、従業者ではありませんが、情報の管理を「委託」するケースもあるでしょう。それぞれの関係者との間で、秘密保持義務を課しておくこと、その義務を意識的に順守してもらえるよう、説明・研修を尽くすことが重要といえるでしょう。

（３）技術的安全管理の視点から

技術的安全管理措置は、主として無形の情報（電磁的に記録された情報）について、アクセスにおける認証システムの導入による管理やその制御、システムに対する不正ソフトウェアに対する防御、個人データの移送・送信時の安全性の担保等をいいます。

ガイドライン上はIDやパスワード等による認証のみならず、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステムを構築することや、情報へのアクセス記録が保存されるようにする等の対策が挙げられてます。

医療法人・クリニックにおいては患者の診療情報を電磁的記録により管理しているケース（電子カルテの導入等）も多いと思われます。このような管理体制を導入するにあたっては、かかる情報へアクセスできる端末・職員を限定する、端末を必要もないのにネットワークに接続させないといった措置を十分に検討するようにしてください。

なお、技術的安全管理については、厚生労働省が「医療上システムを導入する場合のガイドライン」を公表しておりますので、これを参照されると良いでしょう。

6. さいごに

以上、本稿では、患者の診療情報に焦点を充てて、医療法人・クリニックにおける情報管理体制についてご説明してまいりました。しかし、ここで説明できましたのは、ほんの一部にすぎません。

医療法人・クリニックにおいては、今回引用させていただいたガイドラインのほかにも、ガイドラインのＱ＆Ａや「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」といった様々な指針が公表されており、情報管理体制の構築や、情報提供の場面で判断するうえでは参照すべきものが多数あります。

これらを日々の診療業務・経営業務と併せて実施していくことは大変な負担となります。

当事務所では、複数の医療法人・クリニックとの顧問契約を締結させていただいており、診療情報を始めとした院内の情報管理の問題は日常的に取り扱っております。今後の情報管理体制についてご相談されたい医療法人・クリニックの経営者の方は、お気軽にお問い合わせください。

執筆者：弁護士法人フォーカスクライド

中小企業の企業法務を中心とした真のリーガルサービスを提供するべく、2016年7月1日に代表弁護士により設立。
「何かあった時だけの弁護士」（守りだけの弁護士）ではなく、「経営パートナーとしての弁護士」（攻めの弁護士）として、予防法務のみならず、戦略法務に注力している。
また、当法人の名称に冠した「フォーカスクライド」とは、「クライアント・デマンド（クライアントの本音や真のニーズ）に常にフォーカスする（焦点を合わせる）。」という意味であり、弁護士が常にクライアントの目線で考え、行動し、クライアントの本音やニーズに焦点を合わせ続けることを意識して、真のリーガルサービスを提供している。
なお、現在では、資産税に特化した税理士法人フォーカスクライドと、M&A及び人事コンサルティングに特化した株式会社FCDアドバイザリーとともに、グループ経営を行っている。

医療法人・クリニックにおける情報管理問題