資料１－３

医療情報の利活用の促進と個人情報保護
個人情報保護委員会ヒアリング資料
2024年4月3日

森田朗

一般社団法人

東京大学名誉教授
次世代基盤政策研究所（NFI）代表理事

Copyright(C) 2024 Next Generation Fundamental Policy Research Institute (NFI) All Rights Reserved.

1．情報資源としての医療データ
質の高い医療を効率的に提供するために、電子カルテ・健診情報等の医療データの利活用は有効かつ必要
①②
③
④⑤⑥⑦⑧

患者一人ひとりに最適の医療の提供、personalized medicine
受診している複数の医療機関の間で医療データの共有
災害時等における健康状態、服用薬等の迅速な情報共有
多数の患者データの解析による疾病の原因・治療方法の究明
感染症の流行状況の迅速な把握とワクチンの効果および副反応の発見
薬害等のリスクの迅速な発見と対応
短期間で効率的な医薬品・医療機器の開発
人口減少の時代における地域の医療需要の把握とそれに基づく医療資源の最適配分

等

このような医療の質向上に資する医療データは、社会の貴重な情報資源

理想的には、全国民について、出生から死亡までの健康データを蓄積して利活用

この情報資源を、安全に利活用するための制度を形成すべき
Copyright(C) 2024 Next Generation Fundamental Policy Research Institute (NFI) All Rights Reserved.

12．医療データ利活用のシステム
医療データの一次利用と二次利用＜一次利用＞個々の国民・患者の治療・健康管理に用いる場合 ＝顕名データ＜二次利用＞多数の医療データを、行政、原因究明・治療法の発見等の医学研究、創薬等に用いる場合
則として、加工データ＜EHR＞共通のベースとなる電子データシステム＝原

EUにおけるEuropean Health Data Space （EHDS）
2024年3月、法案について欧州議会・理事会が暫定合意
背景・目的
加盟国ごとに異なる医療情報システムが、域内を移動する住民の治療・健康管理（ヘルスケア）の障害になっている。COVID-19
パンデミックの経験から、共通の情報システムを創設し、域内における治療の質の向上、さらには政策立案、医学研究、創薬の推進、さらには産業振興の基盤の形成を目指す。
EUにおいてデジタル化推進をめざす Data Space 構想の第１弾

医療機関

１次利用

A国

MyHealth @EU
Aa

NCP※1

Ab

中央プラットフォーム

NCP※1

要素
① 安全で互換性のある標準規格（EHR）に基づいた医療・健康データ（ヘルスデータ）の収集蓄積② 域内のどこからでも自己のヘルスデータにアクセスでき、それに基づいた質の高い医療を受ける権利の強化＜１次利用＞③ 政策立案、医学研究、創薬等の主体である行政機関、研究機関
製薬企業等が、個人の権利を侵害しない形で、ＥＨＲその他のデータを利用できる環境の整備＜２次利用＞

Ad
Ac

HealthData @EU

２次利用

ＤＢ

HDAB※2

政府製薬
医療機器

研究機関

Copyright(C) 2024 Next Generation Fundamental Policy Research Institute (NFI) All Rights Reserved.

※1 National Contact Point（NCP）※2 Health Data Access Bodies（HDAB）

2

3．わが国の医療データ利活用の現状と課題
現状課題

情報基盤の未整備
データ利活用のための制度の未整備
医療データ利活用のためのシステムの「グランドデザイン」の欠如
個人情報保護制度の制約• 「病歴」は個人情報保護法における「要配慮個人情報」• 運用におけるデータ取得・利用時の「同意」「匿名化」の偏重

電子カルテ・電子処方箋等の普及
データ形式の標準化等、相互運用性の確保
データ結合のための強固なIDシステムの形成
個人の権利保護手段としての「同意」のあり方の再検討• 本人にとって利活用のメリットが大きい• 高度の専門性• 同意取得のコスト• 意思能力の問題＝運用実態としての「黙示の同意」＝認知症高齢者等の同意「公衆衛生例外」の不明確性

医療現場における明確な判断基準が必要

二次利用における「匿名加工」

多くの医学研究には、遡及的なデータの確認、事後的な追跡調査が必要。匿名加工情報では、研究や医薬品等の開発には利用できない。

• 次世代医療基盤法の改正で、「仮名加工情報」の利用が可能に

Copyright(C) 2024 Next Generation Fundamental Policy Research Institute (NFI) All Rights Reserved.

34．あるべき医療データ利活用のための制度（1）「入口規制」から「出口規制」へ

原則として、データ取得時、新たな提供時の同意は不要とし、取得したデータへのアクセスを規制
する

一次利用

本人の治療という目的のために必要な場合には、原則として同意なしに、関与する医療従事者にアクセスを認める。
関与した医療従事者の守秘義務による保護※

データの欠落が医療の質を保証しないことを告げた上で、マスキング（アクセス制限）を認めるかは検討課題。

二次利用

データの利用目的、アクセス権、加工形態に応じたアクセスの規制
仮名化を原則とし、匿名化、利用禁止等の措置は、現実的・具体的なリスクベースに基づいて行う（※ 特定の場合に、オプトアウトを認めるか否かは、検討課題）
利用規制（基準設定・利用許可・監視・利用状況の公表）のための公的機関の設置

Copyright(C) 2024 Next Generation Fundamental Policy Research Institute (NFI) All Rights Reserved.

44．あるべき医療データ利活用のための制度（2）
個人情報の保護に限らず、医療データの積極的な利活用を図るための基準・手続等を定めるために、利活用を目的とした特別法（特例法）の制定を検討すべき個人情報保護法との関係個情法の適用を受けない異なる体系の法を制定するのではなく、個情法に定める法令上の根拠として「生命、身体、財産保護」「公衆衛生」「学術研究」を上記の出口規制の趣旨を反映した同意を不要とする場合として具体化・明確化する
個情法の改正が必要な場合には、次期および次々期見直し期に検討

次世代医療基盤法との調整二次利用の制度として制定され、改正された次世代医療基盤法については、同様に３年後の見直しを機に、特別法に統合すべき

Copyright(C) 2024 Next Generation Fundamental Policy Research Institute (NFI) All Rights Reserved.

5

参考資料

Copyright(C) 2024 Next Generation Fundamental Policy Research Institute (NFI) All Rights Reserved.

6GDPR第9条：特別な種類の個人データの処理
第6条に基づく正当な根拠に該当することに加えて、ヘルスデータの確認を含むため、正当な根拠が第9条 (2) の下で選択されなければならない。

第9条（2）（a）：データ主体が、1つ又は複数の特定の目的のために個人データを処理することについて、明示的な同意を与えていること。
第9条（2）（b）：データ主体の基本的権利及び利益のための適切な保護措置を規定するEU法若しくは加盟国の国内法又は加盟国の国内法に基づく労働協約によって認められている限りにおいて・・・。
第9条（2）（c）：データ主体が物理的又は法的に同意を与えることができない場合に、データ主体又は他の自然人の生命に関する利益を保護するために必要である。
第9条（2）（g）：EU法又は加盟国の国内法に基づき、実質的な公共の利益を理由として必要とされる場合。
第9条（2）（i）：公衆衛生の分野における公共の利益のために必要である場合。
第9条（2）（j）：EU法又は加盟国の国内法に基づく第89条（1）の規定に適合しない公共の利益における保管の目的、科学的歴史的研究目的又は統計的目的のために必要な処理であって、目的に比例したものとし、データ保護の権利の本質を尊重し、かつ、データに係る基本的権利を保護するための適切かつ具体的な措置を定めるもの。
Copyright(C) 2024 Next Generation Fundamental Policy Research Institute (NFI) All Rights Reserved.

7医療情報を活用する上で課題となる個人情報保護法上の規定
原則：第20条

個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。

原則に対する例外：第20条（2項各号）
2.

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。

①

法令に基づく場合②

人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

③

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

④

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

⑤

当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

⑥

学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。

⑦

当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合⑧

その他前各号に掲げる場合に準ずるものとして政令で定める場合
Copyright(C) 2024 Next Generation Fundamental Policy Research Institute (NFI) All Rights Reserved.

8

個人情報保護法における原則と例外
個人情報保護法においては各取扱いの様態について原則を設けている第18条（利用目的による制限）• 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

第20条（適正な取得）• 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。

他の法令での取扱いは例外（とも読めるように）として設けられている
第18条第3項：前二項の規定は、次に掲げる場合については、適用しない。
• 第1号：法令に基づく場合

第20条第2項：個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
• 第1号：法令に基づく場合取扱い（＝処理）を包含するような適法化の仕組みがない
個人情報保護法は他の法令を優先するような強い法律だったのか？
Copyright(C) 2024 Next Generation Fundamental Policy Research Institute (NFI) All Rights Reserved.

9適正な処理の開始に関する日欧比較（1）
個人情報保護法（第20条：適正な取得）

GDPR（第9条：特別な種類の個人データの処理）

同意（第2項）

同意(2)(a)EU法若しくは加盟国の国内法又は加盟国の国内法に基づく労働協約(2)(b)

法令に基づく場合（第2項第1号）

EU法又は加盟国の国内法に基づき、実質的な公共の利益を理由(2)(g)
EU法又は加盟国の国内法に基づく第89条（1）の規定に適合しない公共の利益における保管の目的、科学的歴史的研究目的又は統計的目的のため(2)(j)

人の生命、身体又は財産の保護のために必要がある場
合であって、本人の同意を得ることが困難（第2項第2号）
公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難（第2項第3号）

自然人の生命に関する利益を保護(2)(c)
EU 法又は加盟国の国内法に基づき、又は、医療専門家との契約により、・・・予防医学若しくは産業医学の目的のため・・・(2)(h)
公衆衛生の分野における公共の利益のために必要(2)(i)Copyright(C) 2024 Next Generation Fundamental Policy Research Institute (NFI) All Rights Reserved.

10

適正な処理の開始に関する日欧比較（2）「処理」概念がないことによる弊害

個人情報保護法ではGDPRの処理をいくつかの機能に分割してしまっている。
このため、適法性の判断について複数段階での検討が求められている。

「他の法令に基づく」「他の法令に基づく」のみが例外の根拠としてあげられている。
どのような「他の法令」がいかなる理由において適法となるかの判断が求められる。
このため、適法性判断の要件が多重化し、判断に困難が伴う。

「本人の同意を得ることが困難」

生命身体財産の保護や公衆衛生が適法化根拠となる場合に「本人の同意を得ることが困難」が付加されている。
これによって我が国の個人情報保護法制が「同意原則」を採用しているかのようなミスリードを誘発する。

「生命、身体又は財産の保護」や「公衆衛生」

具体的な議論が欠けており、データのユースケースと対応する適正な処理の根拠の関係性に基づいた検討がなされるべき。
Copyright(C) 2024 Next Generation Fundamental Policy Research Institute (NFI) All Rights Reserved.

11ヘルスデータ適正な処理に関する欧州の考え方
GDPR（第9条：特別な種類の個人データの処理）

EHDS法案（EP修正）におけるヘルスデータの処理
遺伝子マーカーなど、ヒトの遺伝子、ゲノム、プロテオミクスデータからの抽出されたもの（33条(1)(e)）
ウェルネス・アプリケーションからのデータ（33条(1)(fa)）
バイオバンクと専用データベースからの電子ヘルスデータ（33条(1)(m)）

同意(2)(a)EU法若しくは加盟国の国内法又は加盟国の国内法に基づく労該当無し？（EHDS法案上は明記無し）
働協約(2)(b)
自然人の生命に関する利益を保護(2)(c)

一次利用における適用？（EHDS法案上は明記無し）

EU法又は加盟国の国内法に基づき、実質的な公共の利益を理由(2)(g)

公衆衛生分野における公共の利益を理由とする活動（34条(1)(a)）
公衆衛生の分野における実質的な公益上の理由により処理が必要な場合（34条(1)(b)）
保健又は医療分野に関連する公的統計の作成（34条(1)(c)）
医療・保健分野に関する科学的研究、公衆衛生もしくは医療技術評価への貢献、または医療、医薬品もしくは医療機器の高い品質と安全性の確保（34条(1)(e)）
i.
製品またはサービスの開発・革新活動
ii.
医療機器、体外診断用医療機器、AIシステム、デジタルヘルスア
プリケーションを含む、アルゴリズムのトレーニング、テスト、評価
iii. 科学研究に関連する大学および大学卒業後の教育活動
ケア提供の改善、治療の最適化、個別化医療の提供（34条(1)(h)）

EU 法又は加盟国の国内法に基づき、又は、医療専門家との契約により、・・・予防医学若しくは産業医学の目的のため・・・(2)(h)
公衆衛生の分野における公共の利益のために必要(2)(i)
EU法又は加盟国の国内法に基づく第89条（1）の規定に適合しない公共の利益における保管の目的、科学的歴史的研究目的又は統計的目的のため(2)(j)Copyright(C) 2024 Next Generation Fundamental Policy Research Institute (NFI) All Rights Reserved.

12

Copyright(C) 2024 Next Generation Fundamental Policy Research Institute (NFI) All Rights Reserved.

13