My Articles

医療における個人情報保護対策

｢パス最前線｣(第一製薬、エルゼビア・ジャパン発行)　Vol.6, 2005年10月
トピックス

はじめに

　企業は今、社会的責任CSR（ Corporate Social responsibility ）を重視する経営ということで、専門部署を社内に設置するなどその対応に余念がない。リコール隠し、粉飾決算や生産地詐称などで、社会から企業の姿勢を問われ、大きなしっぺ返しを受けた企業も数多く存在するからである。CSRは、

• 法令、社会規範の遵守
• 有用な製品・サービスの提供
• 収益の確保と納税
• 株主利益の保護

法の施行までと施行後の混乱？

　本法は高度情報通信社会の進展を背景として、2004年5月の成立し、2005年4月から施行となった。
　そもそも個人情報保護の機運は、1980年9月にOECD(経済協力開発機構）の理事会で採択された「プライバシー保護と個人データの国際流通についての勧告」の中に記述されている8つの原則から始まる。国際的な情報化が背景にあり、いわばグローバルスタンダードな決まりを作っていくことで国民を内外からの脅威から守ろうという動きが背景にあると思われる。ここで、その8原則を紹介する。

�@収集制限の原則：個人データは、適法・公正な手段により、かつ情報主体に通知または同意を得て収集されるべきである。 
�Aデータ内容の原則：収集するデータは、利用目的に沿ったもので、かつ、正確・完全・最新であるべきである。 
�B目的明確化の原則：収集目的を明確にし、データ利用は収集目的に合致するべきである。 
�C利用制限の原則：データ主体の同意がある場合や法律の規定による場合を除いて、収集したデータを目的以外に利用してはならない。 
�D安全保護の原則：合理的安全保護措置により、紛失・破壊・使用・修正・開示等から保護すべきである。 
�E公開の原則：データ収集の実施方針等を公開し、データの存在、利用目的、管理者等を明示するべきである。 
�F個人参加の原則：データ主体に対して、自己に関するデータの所在及び内容を確認させ、または異議申立を保証するべきである。 
�G責任の原則：データの管理者は諸原則実施の責任を有する。 

　同法は、国や地方公共団体の責務や、個人情報取り扱い事業者の義務、さらには罰則規定などを定めている。しかし、各分野に共通する必要最小限の内容のため、各省庁が関係分野で必要なガイドライン（GL）を作成するよう規定していた。GLには、業務上知り得た個人情報の漏洩を防ぐための取り組みを示すことになっている。
　厚生労働省が作成する複数のGLは、医療・介護関係事業者、健康保険組合や国保組合、福祉関係事業者などが対象となる。このうち、われわれ医療機関が遵守すべき医療・介護関係事業者を対象にしたGLは、2004年の12月24日に公表されている。
　20数年前に、採択された基本方針が21世紀になって施行されるというきわめてゆっくりとしたわが国の取り組みであるものの、実際には多くの企業やわれわれ医療機関が取り組みを始めるのは、このGLが発表されてから施行までの約3ヵ月しかなかったといってよいであろう。
　したがって、施行後もその解釈をめぐって様々な混乱が引き起こったのであった。例えば、施行直後の4月25日に起こったJR福知山線脱線事故では、安否確認情報の公開に慎重な医療機関もあり、混乱を極めたようである。報道機関側は、いち早く「報道目的では適用除外」であるとした上で、事故報道に当たってはプライバシー保護に配慮したスタンスを示した。しかし、「報道目的では適用除外」といった姿勢は厚生労働省によるGLには記載されていないのである。われわれは、何を信じるべきか？あるいは枝葉末節にまで国のガイドラインを求める必要があるのか？ガイドラインに載っていないことはどのように解釈するのか？など壁にぶち当たるのである。本稿では原則は原則であるが、それ以上のことに対してどう対応するか、本質的原則や普遍的価値観がないものか考えてみたい。

医療における個人情報の特殊性

　医療においては個人の健康に伴う信用情報を管理する側の医療機関の体制が金融・信用機関や情報通信分野以上に不安視される傾向にある。すなわち、個人の健康情報がなによりも重要な個人のリスクファクターとなり、信用問題となるからである。
　これに対して現代医療はチームで行うものである。そのためには患者の個人の情報はチーム内では垣根なく共有する風土を醸成しなければならないのである。それによってこそ、事故を予防し安全な医療が提供でき、さらには医療の効率化も図れるはずなのである。
　すなわち、チーム内において患者の個人情報は隠匿することなく徹底的に共有していく必要があるに違いない。そして、一度チームの外に出た時には徹底的に情報を守るといった姿勢が重要となるであろう。

個人情報保護法概観

1. 個人情報保護法とは
   　　医師を含めて医療専門職は、刑法やそれぞれの職種を規定する法律（例えば、保健師助産師看護師法など）で必ず、罰則規定を含めてその職種として守秘義務が規定されている。すなわち、医療職は「正当な理由なく、業務上知り得た秘密を漏らさない」と規定されているわけである。これにより、実際われわれの病院幹部からも「守秘義務規定がある訳であるから、いまさら個人情報保護法という新たな法律が必要であるのか？」といった疑問も投げかけられる。これは従来、守秘義務を強く教育されている者たちにとっては当然の疑問であると思われる。
   　そこで、今回の個人情報保護法における考え方を整理してみると、基本には、従来のパターナリズムから離れ、患者に対して医療職側から、情報の利用目的の特定・通知、安全な管理体制、適切な開示・提供を行う旨の提示を説明するといった、いわば「患者が情報をコントロールする権利」を持っているという考え方が重要なこととなる。
   　改めて本法の要点を以下の4点にまとめることができよう。
   ・個人のプライバシーを守るための法律
   ・他人の生活についての秘密を守ること
   ・氏名・生年月日・番号記号・画像・音声等の情報で特定の個人を識別することができるものが対象
   ・紙とコンピュータの中も同じ（本当は会話も・・・）
   　そして、医療機関利用者のプライバシーをあえて規定するならば、入院しているかどうか・ナースステーションにある患者の名前が並んだボード・ベットや部屋にある名前、主治医、診療科等の表示・視覚面・聴覚面・嗅覚面・外来中待・患者の呼び出し・書類の記載・給食内容等多岐にわたることになろう。
   
2. 法律を違反するとどうなるのか
   　罰則として「六ヶ月以下の懲役又は三十万円以下の罰金に処する」ことが規定されている。その対象は、各医療職における守秘義務規定は職種における責任として漏洩した本人にかかってくるのに対して、個人情報保護法上は組織としての責任、管理者としての責任が重いのではないかと推測できる。
   　しかし、そういった罰以上に重くのしかかるのが冒頭に記した社会的責任であることが容易に推測できる。実際、過去にも金融機関、情報関連企業、さらには病院における個人情報漏洩事件が発生し、新聞の社会面をにぎわし、また場合によっては多額の慰謝料を支払うケースも認められている。今後、法令の規定により、刑事事件となり、また民事上の責任の追及が行われれば、HSRの問題として、大きなイメージダウンとブランド力の低下を招くに違いない。
   
3. われわれが取り組むべきこと
   　われわれは、個人情報の取り扱いの基本方針を策定し、遵守するべく準備をしなければならない。そこでは、
   ・診療情報利用のあり方（院内、院外）
   ・診療情報管理のあり方（記録・保管・開示）
   ・利用する場所と利用する目的を明確に公表
   ・適正な取得
   ・正確性と安全の確保
   ・開示と訂正
   などについて、マネジメント組織を立ち上げた上で基本的方針を策定し、スタッフへ趣旨説明を行う必要があろう。
   　また、医療機関側には掲示のみならず、説明責任が強く求められてくるものと思われる。掲示した上で説明し、納得を得られたことを確認する仕組みが重要であると思われる。今回のガイドラインには「院内掲示等により公表して、患者に提供する医療サービスに関する利用目的について患者から明示的に留保の意思表示がなければ、患者の黙示による同意があったものと考えられる」とされている。したがって、この「院内掲示」が重要となるわけであるが、この掲示内容については、本来的には掲示のみではなく、納得を得る努力が必要だと思われるのである。
   　ここで、この法律は数々のマネジメント手法や評価指標と異なり、あくまでも結果責任であることを抑えておきたい。いかに上述のような基本方針を策定してコンプライアンス・プログラムを作り、教育研修や監査体制を敷こうとも、一度個人情報が漏洩されれば、何もしていないことと同様である。一方、「収益にならない」個人情報保護に対してお座成りに取組んでいたとしも、個人情報漏洩事故さえ起きなければ、なんら問題のない「いい病院」なのである。
   　いずれにしても、われわれにとっていわば外圧として取組まなければならない問題に他ならない。ならば、これを機会にして病院機能の改善に利用しない手はないのである。従来から蓄積された患者からの意見・苦情や病院職員が患者として受診したときの意見など、広く個人情報にかかわる事項を収集し、その各々にどう対応していくかという話し合いの場を設定すべきなのであろう。

個人情報保護法の本質〜何をよりどころにするか

　既に個人情報保護法施行前後に数多くの解説本、How to本が発刊され、その上に雑誌における特集や、各種医療団体からの解説書も存在する。もちろん筆者はすべてに目を通したわけではないが、若干これらの資料によって解釈が異なるようである。例えば、外来の患者呼び出しにしても、ある書籍では「禁止」をうたい、ある書籍ではそうではないのである。
　ここで、公式な書類は何かと振り返ってみると、第一は法であり、第二は厚生労働省から出されたGLなのである。公式にはこの2つだけであり、ここに書いてないことは、どのように納得でき、あるいは納得させることができる説明ができるかにかかっているのである。
　すなわち、私はここで、個人情報を保護するに当たって拠り所とすべき、2つの価値基準を示してみたい。

1）患者・利用者が嫌がることをしない
　患者の・利用者の立場・視点でやって欲しくないことは、どんな理由が付くにしろ個人情報保護違反なのではないだろうか

2）なぜか説明がつかないことはダメ
　ここで重要なことは、主審は一人でいいということである。説明する人間は少なければ少ない方がいいのではないか。間違っていても筋の通った価値観が必要であると思われるのである。

病院として対応すべき実際

1. 組織体制の整備
   　プライバシーマークなどの認証とは別に、組織の中でコンプライアンス・プログラムを作成することやPDCAサイクルを回すマネジメント組織を確立することが重要であろう。そのための近道としては、病院の委員会としての個人情報管理委員会のほかに、現場レベルのワーキンググループを作り、それが実働部隊として個人情報の洗い出しや調査、さらには各部署における規定の見直しや教育などをおこなわせるべきであろう。この手法は、どこの病院においても過去に、感染管理チーム、リスクマネージャー、クリニカルパス委員、NSTなどの設置で行ってきたはずであろう。
   
2. ハードウェアの整備
   　電子化されている組織においては、ハードウェア上で様々な個人情報保護が可能であろうし、また電子化されているからこそ、新たに考えなければならない個人情報保護対策があろう。
   　われわれの病院グループの取り組みを示したい。まず、当院は530台のクライアントパソコンがLAN（ Local Area Network ）上につながり、さらに関連施設を入れると合計700台あまりのコンピュータがWAN（ Wide Area Network ）上でつながっている。ここでは、各コンピュータのハードディスク上で文書保存は禁じ、すべてネット上の文書サーバーの中に業務上ばかりではなく、院内作成された学術的、あるいは個人的な文書を保管することとしている。これにより一度端末コンピュータがネットから離されてしまえば、データが格納されていないコンピュータとしか機能しない状況にした。また、医療連携の柱として開業医とも連携するネットコンピュータは、VPN（ Virtual Private Network ）、暗号化技術SSL（ Secure Socket Layer ）、さらにはIDとパスワードによって管理している。さらに、電子カルテにおけるいつでも、誰でも、どこでも情報を共有できることの担保として、アクセス管理が可能なシステムとし、不正アクセスは抜き打ち監査によって警告を与えることとしている。
   
3. 運用上の対応
   　個人情報保護にかかわる運用上の対応としては、�@掲示内容、�A規則の整備、�B教育研修ということになろう。
   　掲示については、先に述べたように黙示の同意を悪用することなく、掲示内容を積極的に説明していく姿勢が重要であろう。また、掲示を補完するものとして当院ではベッドサイドテレビを利用して無料の院内案内専用チャンネルを設置し、エンドレスで病院の利用案内と共に病院の姿勢をアピールしている。
   　規則としては、既に当法人では、2002年度の電子カルテシステム導入に先駆け、同年4月1日付で「診療録および診療諸記録の電子保存に関する運用規程」を策定し、法人理事会の承認を得た。これは、診療録の電子保存三原則である真正性・見読性・保存性を確保するためにシステム管理者の責務とシステム利用者である職員が守るべき事柄（患者情報の保護を含む）、さらに教育・訓練・監査を規程したものであった。この規程は、当法人の就業規則の一連であり、罰則規程を含めて職員たる者との労働契約として存在し、これは個人情報保護法施行後も変わることなく順守すべき事項と位置づけている。
   　さらに、教育研修もハードウェア以上に重要な要素となる。99.9％の職員が理解し、コンプライアンスの徹底が行われたとしても、0.1％の理解不足が全体の信用を失墜させる可能性があるのである。教育研修は研修計画の下で管理者向けから個人情報管理委員会、ワーキンググループメンバー、一般職員ならびに準職員と階層別の講演会を行った。これらは、医療関係者ばかりではなくIT情報通信系の企業からの外部講師による講演とした。まず、きっかけとして外部企業の厳しさを肌で感じてもらうためである。その後、内部講師により、部署単位のカンファランス形式で研修を行った。
   
4. その他
   　上記1）〜3）のような取り組みに加えて、さらに必要なことがあるとするならば、「臨機応変」という言葉に尽きると思われる。先に強調したように、予想もしない疑問や事態は付きものであるからである。

終わりに

　実際に運用していく上で、「黙示の同意」がある限りあまり心配ないと言える。その上で、われわれは患者・利用者の視点を忘れることなく今までどおりの医療をやっていれば問題ないと言えよう。しかし、ごく僅かの同意しない人に対しての対応が重要であると思われる。すなわち、同意していないことの情報共有、職員一人一人が意味を理解しているか、うっかり対策に神経を使う必要があるのだ。
　この個人情報保護法への対応は、確かに外圧ではあえるものの、本当の意味での患者・利用者本位の医療を見つめなおす機会がわれわれ医療者に与えられたのだということを改めて強調して稿を終えたい。

My Articles 目次に戻る