改正個人情報保護法対応「医療現場でのＱ＆Ａについて」

改正個人情報保護法対応
医療現場でのＱ＆Ａについて
平成29年度個人情報保護に関する研修会
京都第一赤十字病院
２月２８日（水）１７時３０分〜１８時３０分
Ｖｅｒ１．０
認定登録医業経営コンサルタント小川敏治
□ 公益社団法人日本医業経営コンサルタント協会常任委員会総務委員／継続研修講師
□ プライバシーマーク主任審査員 □ プライバシーマーク審査員研修主任講師
□ 公認情報セキュリティ監査人

Copyright one corporation. All Rights Reserved.
1
目次
■ はじめに
１．事前知識（改正の概要）
① 要配慮個人情報
② 匿名加工情報
③ トレーサビリティの確保
２．今回の研修の目的
■ 医療現場でのＱ＆Ａ
１．取得時
２．利用時
３．委託時
４．第三者提供時
■ まとめ

2
目次
■ はじめに
１．取得時
２．利用時
３．委託時
■ まとめ

2017年05月30日に、改正個人情報保護法が、全面施行されました。
【改正概要】
3
はじめに
次ページで概略説明

4
目次
■ はじめに
１．取得時
２．利用時
３．委託時
■ まとめ

5
はじめに
① 要配慮個人情報（その１）
医療・介護関係事業者において取り扱う「要配慮個人情報」には、具体的にどのようなも
のがありますか？
「要配慮個人情報」とは、不当な差別や偏見その他不利益が生じないようにその取扱い
に特に配慮を要するものとして法律、政令及び規則で定める記述が含まれる個人情報を
います。例えば、以下の個人情報です。
① 診療録等の診療記録や介護関係記録に記載された病歴
② 診療や調剤の過程で、患者の身体状況、病状、治療等について、医療従事者が知り
得た診療情報や調剤情報
③ 健康診断の結果及び保健指導の内容
④ 障害（身体障害、知的障害、精神障害等）の事実
⑤ 犯罪により害を被った事実
など。

6
はじめに
① 要配慮個人情報（その２）
事後の拒否

7
目次
■ はじめに
１．取得時
２．利用時
３．委託時
■ まとめ

8
はじめに
② 匿名加工情報（その１）
5つの加工基準
単に氏名等を削除す
るだけではない！

9
はじめに
② 匿名加工情報（その２）
「匿名化」された情報と「匿名加工情報」との違いは何でしょうか？
「個人情報の匿名化」は法律上の用語ではありません。
個人情報から氏名等の特定の個人を識別することができる情報を削除したとしても
、医療・介護関係事業者内で得られる他の情報と照合することにより、特定の患者
・利用者等を識別することができる場合には、その情報は個人情報に該当する場
合があります。
他方、「匿名加工情報」は、改正保護法で定義された用語で、個人情報を個人情報の区
分に応じて定められた措置を講じて特定の個人を識別することができないように加工して
得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別する
ことができないようにしたものであり、個人情報保護委員会規則で定める基準に従って加
工する必要があります。さらに、匿名加工情報に関する必要事項の公表も必要です。

10
目次
■ はじめに
１．取得時
２．利用時
３．委託時
■ まとめ

11
確認＆記録の義務記録の義務
受領者
提供者
はじめに
名簿屋対策
平成26年６月に発覚した、通信教育教材会
社の会員情報の流出事案でクローズアップ

12
目次
■ はじめに
１．取得時
２．利用時
３．委託時
■ まとめ

13
はじめに
ガイドライン
通則編
ガイドライン
外国にある
第三者への
提供編
ガイドライン
第三者提供
時の確認・
記録義務編
ガイドライン
匿名加工
情報編
ガイダンス
Ｑ＆Ａ
ガイダンス
本編
主務大臣制における各省庁のガイドラインから、「個人情報保護委員会」のすべての分野
に共通に適用される汎用的なガイドラインに一元化されました。
但し、事業分野毎の特性に応じて、特定分野ガイドラインを所管省庁と連名で策定。
医療・介護関係事業者向けのガイダンス（個人情報保護委員会、厚生労働省）
今回は、医療現場での各種Ｑ＆Ａにつ
いて、説明させて頂き、貴病院での個
人情報保護の推進の一助になれば幸
いです。

14
目次
■ はじめに
１．取得時
２．利用時
３．委託時
■ まとめ

15
医療現場でのＱ＆Ａ
１．取得時（その１）
患者が医療機関の受付等で、問診票に患者自身の身体状況や病状などを記載し、保険
証とともに受診を申し出る場合、別途、その取得について本人の同意をとらなければなら
ないのでしょうか？
医療・介護関係事業者が、要配慮個人情報を書面又は口頭等により本人から適正に直
接取得する揚合は、本人が当該情報を提供したことをもって、当該医療・介護関係事業
者が当該情報を取得することについて本人の同意があったものと解されます。
つまり、医療・介護現場で本人から適正に直接取得する揚合は、そのやりとりをもって黙
示的な本人同意を得たことになるので、改めて明示的な同意を得る必要はありません。
尚、直接書面で「個人情報」を取得するため、あらかじめ院内掲示等によりその利用目的
の明示が必要です。
従来から、利用目的の院内掲示などを実施していると思いますが、ガイダンスの「
別表 2」を参照し、記載漏れなど再点検することが望まれます。

16
別表 2 利用目的

17
１．取得時（その２）
連携先の医療機関から紹介された患者の診療の為、連携先から患者情報を取得した場
合、別途、その取得について本人の同意をとらなければならないのでしょうか？また、ト
レーサビリティの確保の為、授受記録をとらなければならないのでしょうか？
連携先の医療機関などの第三者提供の方法により取得した揚合、提供元（連携先の医
療機関）が法に基づいて本人から必要な同意を取得していることが前提となるため、提供
を受けた医療・介護関係事業者が、改めて本人から同意を得る必要はないものと解され
ます。従って、第三者からの提供による取得の場合は、改めて本人同意をとる必要はあり
ません。
第三者からの提供による取得時の確認・記録は、いわゆる名簿業者等で転売され転々流
通する個人データのトレーサビリティの確保が目的です。正常な事業活動を行っている医
療・介護関係事業者に対する過度な負担を回避するために、ガイダンスでは様々な適用
除外項目（次表参照）を設けており、「③ 3）共同利用の場合」または、「④本人に代わって
提供している場合」、「⑥個人データに該当しない揚合」に該当し、適用除外されます。

18
トレーサビリティの確保の適用除外項目
トレーサビリティの確保の適用除外項目
① 第三者が法第2条第5項各号に掲げる者である揚合
1 )国、2 )地方公共団体、3 )独立行政法人等、4 ) 地方独立行政法人
② 法第23条第1項各号に該当する揚合
1)法令に基づく揚合
2)人の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがある場合
3) 公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な揚合
4) 国の機関等が法令の定める事務を実施する上で民間企業等の協力を得る必要がある揚合
③ 法第23条第5項各号に該当する揚合 1 )委託、2 )合併及び事業継承、3) 共同利用
④ 本人に代わって提供している揚合
⑤ 本人と一体と評価できる関係にある者に提供する揚合
⑥ 個人データに該当しない揚合
⑦ 個人情報に該当しない揚合
①～③、⑥、⑦は、法の明文上の適用除外項目。
④、⑤は「形式的には第三者提供の外形を有するが、確認・記録義務の趣旨に鑑みて、実
質的に確認・記録義務を課す対象たる第三者提供には該当しない」とする解釈上の適用除外項目。

19
目次
■ はじめに
１．取得時
２．利用時
３．委託時
■ まとめ

20
２．利用（保存）時
診療情報等の個人データの保存を外国の事業者に委託することはできますか？
診療情報の外部保存を行う場合には、「医療情報システムの安全管理に関するガイドラ
イン」によることとされています。
当該ガイドラインにおいて、経済産業省「医療情報を受託管理する情報処理事業者向け
ガイドライン」、総務省「ASP・SaaS事業者が医療情報を取り扱う際の安全管理に関する
ガイドライン」に準拠することが定められており、それぞれ「取り扱う情報として、法令によ
り作成や保存が定められている文書を含む場合には、医療情報システム及び医療情報
が国内法の執行が及ぶ範囲にあることを確実とすることが必要である」、「ASP・
SaaSサービスの提供に用いるアプリケーション、プラットフォーム、サーバ・ストレージなど
は国内法の適用が及ぶ場所に設置すること」とされています。

21
２．利用（研究）時
特定の患者・利用者の症例や事例を学会で発表したり、学会誌で報告したりする際に留
意すべきことは何ですか？
氏名、生年月日、住所等を消去することで匿名化されると考えられますが、症例や事例に
より十分な匿名化が困難な場合は、本人の同意を得なければなりません。
さらに、当該発表等が、研究の一環として行われる場合には、医学研究分野における
関連指針や、学会等関係団体が定める指針に従うものとします。
尚、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者が学術
研究の用に供する目的で個人情報等を取り扱う場合は、個人情報保護法の適用を受け
ません。

22
目次
■ はじめに
１．取得時
２．利用時
３．委託時
■ まとめ

23
３．委託時
患者データを取り扱う業者との委託契約について、改正保護法の全面施行に当たり、現
契約を解消して、新しい契約を締結し直す必要がありますか？
改めて契約する方法もありますが、現行の契約において、「業務の適正な執行を図る」と
いった類の規定がある場合には、その「適正な執行」の一環として個人情報の適切な取
扱いが含まれることを確認し、具体的な取扱い等を明確化するために確認書など補足の
取り決め文書を作成するなどの方法も可能と考えられます。
なお、今後、新規に契約を締結する場合には、個人情報の取扱いについて、より具体的
な取り決めが行われることが望ましいと考えます。
委託契約書や確認書に盛り込むべき条項
Ａ．秘密保持義務、Ｂ．事業所内からの持出し禁止、Ｃ．目的外利用の禁止、Ｄ．再委託時の事
前承認、Ｅ．漏えい等発生時の責任、Ｆ．契約終了後の返却又は廃棄、Ｇ．従業者の監督・教育
、Ｈ．個人情報を取り扱う従業者の明確化、Ｉ．遵守状況の報告、Ｊ．立ち入り調査

24
目次
■ はじめに
１．取得時
２．利用時
３．委託時
■ まとめ

25
４．第三者提供時（その１）
連携先の医療機関に入院患者を転院するために、連携先に患者情報を提供する場合、
別途、その第三者提供について本人の同意をとらなければならないのでしょうか？また、
トレーサビリティの確保の為、記録をとらなければならないのでしょうか？
患者の傷病の回復等を含めた患者への医療の提供に必要であり、かつ、個人情報
の利用目的を院内掲示等により明示されている揚合は、原則として「黙示による同
意」が得られていると解されます。
利用目的の院内掲示等において、以下の３事項を併記するものとしているこ
とにご注意してください。
① 患者は、医療機関等が示す利用目的の中で同意しがたいものがある揚合には、
その事項について、あらかじめ本人の明確な同意を得るよう医療機関等に求め
ることができること。
② 患者が、①の意思表示を行わない揚合は、公表された利用目的について患者
の同意が得られたものとすること。
③ 同意及び留保は、その後、患者からの申出により、いつでも変更することが可能
であること。

26
院内掲示の事例
（出典：日本医師会）
３事項

27
また、第三者提供時の記録についても、前述した「第三者からの提供による取得時」と同
様に「③ 3）共同利用の場合」または、「④本人に代わって提供している場合」、「⑥個人デ
ータに該当しない揚合」に該当し、適用除外されます。
地域包括ケアで複数の医療・介護事業者間で「③ 3）共同利用の場合」は、「共
同利用に関する公表事項」を院内掲示やホームページの掲載等を実施している
と思いますが、必要事項に漏れがないかどうかなど、念のため、再点検すること
が望まれます。
共同利用に関する公表事項
① 特定の者との間で共同して利用する旨
② 共同して利用される個人データの項目
③ 共同利用者の範囲
④ 利用する者の利用目的
⑤ 当該個人データの管理について責任を有する者の氏名又は名称

28
４．第三者提供時（その２）
生命保険会社から患者の健康状態等について照会があった場合、その第三者提供につ
いて本人の同意をとらなければならないのでしょうか？
「患者の傷病の回復等を含めた患者への医療の提供に必要であり、かつ、個人情
報の利用目的として院内掲示等により明示されている場合」以外の「要配慮個人情
報」の第三者への提供は、黙示的な本人同意があったと解されません。
民間保険会社、職場、学校等からの照会があった場合、患者の同意を得ずに患者
の症状等を回答してはなりません。

29
４．第三者提供時（その３）
民間保険会社等から医療機関に対して、患者の治療結果等に関する照会があった際、
民間保険会社等が患者本人から取得した「同意書」を提示した場合は、回答に当たり、本
人の同意が得られていると判断して良いのでしょうか？
個人データの第三者提供に当たっては、個人データを保有し、第三者提供を行う個人情
報取扱事業者である医療機関が、本人の同意を得る必要があります。このため、民間保
険会社から照会があった際に、本人の「同意書」を提出した場合であっても、医療機関は
、当該同意書の内容について本人の意思を確認する必要があります。
これは、本人が、同意書に署名する際に提供して良いと考えていたものの、その後、考え
が変わっている場合もあり得るからです。このため、医療機関が民間保険会社に第三者
提供を行う際に、提供する個人データの範囲（いつからいつまでの時期の情報を提供す
るのか、診療録の要約等を作成するのか、検査結果のデータも提供するのか、など）や、
どのような形態で提供するかなどについて、具体的に説明し本人の意思を確認する必要
があると考えます。

30
４．第三者提供時（その４）
患者・利用者の病状等をその家族等に説明する際に留意すべきことは何ですか？
家族等への病状の説明を行うことは、患者への医療の提供のために通常必要な範
囲の利用目的と考えられ、院内掲示等で公表し、患者から明示的に留保の意
思表示がなければ、患者の黙示による同意があったものと考えられます。
医療・介護サービスを提供するに当たり、患者・利用者の病状等によっては、第三者であ
る家族等に病状等の説明が必要な場合もあります。
この場合、患者・利用者本人に対して、説明を行う対象者の範囲、説明の方法や
時期等について、あらかじめ確認しておくなど、できる限り患者・利用者本人の意
思に配慮する必要があります。
尚、本人の同意が得られない場合であっても、医師が、「本人又は家族等の生命、身体
又は財産の保護のために必要」であると判断する場合であれば、家族等へ説明すること
は可能です。

31
４．第三者提供時（その５）
医療機関の職員を対象とした症例研究会（職員の知識や技能の向上を目的とするもの）
を実施する際、当該医療機関以外の施設の職員から参加希望がありました。既に、利用
目的として「院内で行う症例研究会への利用」を公表していますが、この場合は、症例研
究会で利用する症例の患者から第三者提供の同意を得る必要があるのでしょうか？
医療・介護関係事業者の職員以外の者が症例研究会に参加する場合には、当該研究会
で利用する患者の個人情報を「第三者提供」することになるため、あらかじめ患者本人か
ら同意を得る必要があります。
尚、患者に係る識別可能な情報（他の情報と容易に照合することができ、それにより特定
の個人を識別することができることとなるものを含む。）を消去し、個人を識別できない状
態で利用するのであれば「個人情報」に該当しないことから、本人の同意を得ることなく症
例研究に利用することができます。

32
４．第三者提供時（その６）
大規模災害や事故等で、意識不明で身元の確認できない多数の患者が複数の医療機関
に分散して搬送されている場合に、患者の家族又は関係者と称する人から、患者が搬送
されているかという電話での問合せがありました。相手が家族等であるか十分に確認で
きないのですが、患者の存否情報を回答してもよいでしょうか？
患者が意識不明であれば、本人の同意を得ることは困難な場合に該当します。また、個
人情報保護法第２３条第１項第２号の「人の生命、身体又は財産の保護のために必要が
ある場合」の「人」には、患者本人だけではなく、第三者である患者の家族や職場の人等
も含まれます。
このため、このような場合は、第三者提供の例外に該当し、本人の同意を得ずに存否情
報等を回答することができ得ると考えられるので、災害の規模等を勘案して、本人の安否
を家族等の関係者に迅速に伝えることによる本人や家族等の安心や生命、身体又は財
産の保護等に資するような情報提供を行うべきと考えます。

33
４．第三者提供時（その７）
前述のような状況において、報道機関や地方公共団体等から身元不明の患者に関する
問合せがあった場合、当該患者の情報を提供することはできますか？
報道機関や地方公共団体等を経由して、身元不明の患者に関する情報が広く提供され
ることにより、家族等がより早く患者を探しあてることが可能になると判断できる場合には、
前述のように「人の生命、身体又は財産の保護のために必要がある場合であって、本人
の同意を得ることが困難であるとき」に該当するので、医療機関は、存否確認に必要な範
囲で、意識不明である患者の同意を得ることなく患者の情報を提供することが可能と考え
られます。
具体的な対応については、個々の事例に応じて医療機関が判断する必要があります。

34
４．第三者提供時（その８）
病院に勤務している医師が退職し診療所を開業することになり、当該医師から、開業の
挨拶をしたいので自分が診察を行っている患者の氏名や住所を教えてほしいと言われま
した。当該医師に患者の氏名等を提供して良いでしょうか？
診療録等に記載された情報は、個人情報取扱事業者である病院が管理しているもので
あり、これを退職した医師に提供することは、個人データの（事業者である病院から医師
個人に対する）第三者提供に該当します。したがって、医師に氏名、住所等を提供する場
合には、あらかじめ患者本人の同意を得る必要があり、同意を得た範囲の患者の個人
データについては、医師に提供することは可能です。

35
４．第三者提供時（その９）
警察や検察等捜査機関からの照会や事情聴取に関して、「第三者提供の制限の例外」に
該当する場合には、どのようなものがあるでしょうか？
警察や検察等の捜査機関の行う刑事訴訟法第１９７条第２項に基づく照会（同法第５０７
条に基づく照会も同様）は、相手方に報告すべき義務を課すものと解されている上、警察
や検察等の捜査機関の行う任意捜査も、これへの協力は任意であるものの、法令上の
具体的な根拠に基づいて行われるものであり、いずれも第三者提供の制限の例外である
「法令に基づく場合」に該当すると解されています。
電話照会は、電話の相手が警察官かどうかの確認もできませんし、記録も残りま
せんので、「公文書での照会があれば、お答えします。」と言って、公文書による照
会を要求することをお勧めします。

36
４．第三者提供時（その１０）
患者の紹介元の医師から、研究のみの目的で利用するため、紹介患者の診療情報等を
提供してほしいとの依頼があった場合は、どのように対応すればよいでしょうか？
患者の診療情報等は個人データに該当するため、第三者提供及び利用目的の変更に当
たっては、原則として本人の同意が必要です。
また、第三者提供に当たり黙示の同意が得られていると考えられるのは、患者の傷病の
回復等を含めた患者への医療の提供に必要であり、かつ、個人情報の利用目的とし
て院内掲示等により明示されている場合に限られます。
したがって、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する
者が学術研究の用に供する目的以外で個人情報を取り扱う場合は、原則として、本人の
同意を得る必要があります。

37
目次
■ はじめに
１．取得時
２．利用時
３．委託時
■ まとめ

38
まとめ
改正法レベルでの個人情報（特に、要配慮個人情報）の取り扱いの原則が、これ
までと大幅に変わりましたが、医療の特性を考慮したガイダンスにより、医療現場
での大きな対応の変更を迫られるものにはなりませんでした。
しかしながら、新しい定義（要配慮個人情報など）が導入されたため、個人情報
保護管理規程等の改訂が必要であり、また、これを機に、院内掲示やホーム
ページ等の掲載内容の見直し、さらに安全管理措置の点検などの実施も望ま
れます。
一方、医療現場で判断に迷う場面が多々発生すると思われます。
現場で勝手に判断せず、管理者の判断を求めるように周知しておくとともに、医療
現場での過度な負担を回避し適切に対応できるように、組織的な取り組みを推進
して頂ければ幸いです。

39
小川敏治 Toshiharu Ogawa
e-mail ogawa@one.jp
http://twitter.com/ogawa_one
http://www.one.jp/
認定登録医業経営コンサルタント（4841）
公認情報セキュリティ監査人（B0512002130）
情報セキュリティマネジメントシステム審査員補（ISJ-C04347）
公認システム監査人（K00247）
プライバシーマーク主任審査員（PMS-A00125）
医業経営コンサルタント継続研修講師
プライバシーマーク審査員研修主任講師

改正個人情報保護法対応「医療現場でのＱ＆Ａについて」

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Más de HealthcareBitStation

Más de HealthcareBitStation (20)

改正個人情報保護法対応「医療現場でのＱ＆Ａについて」