報告

Date: 2023.2.21
https://jilis.org/report/2023/jilisreport-vol5no4.pdf

EHDSと日本の医療データ保護法制への示唆
情報法制研究所理事
弁護士・ひかり総合法律事務所

板倉 陽一郎私からは、EHDS とは何なのかという概要と解説、うのがあって、これは、データに関する色々な取り

それから日本の医療データ保護法制への示唆が得ら組みが入っているわけですが、その中で、欧州共通

れそうなところに絞りまして、その中身の解説をしま

データスペースというのが提案されております。こす。そして、
個人情報保護法 1）の 2020 年 2）、2021 年 3）のれはデータ保護の話というよりは、共通で使えるデー

4）

改正と、
次世代医療基盤法 の 5 年見直し についての

タのうち、安全に共通に使えるデータの範囲をいろ示唆を述べていきたいと思います。

いろな分野で広げていこうというものです。どういう

5）

分野があるかということは後でお示しします。

EHDS：
欧州健康データスペースとはその中で、最初にthe European Health Data Space、
EHDS が規則の提案という形で出てきております。
図にあるように、2022 年 5 月 3 日に出たわけですが、

まず、EHDS というのは、正式名称 the European

Proposal for a REGULATION OF THE EUROPEAN

Health Data Space というもので、もともとは欧州連

PARLIAMENT AND OF THE COUNCIL on the

合の取り組みです。欧州連合の政府機関である、欧European Health Data Space となって おりまして、

州委員会が提案した European strategy for data といこの「規則」というのは、GDPR の ”R” の「規則」と1） 個人情報の保護に関する法律（平成 15 年法律第 57 号）。
2） 令和 2 年法律第 44 号によるもの。
3） 令和 3 年法律第 37 号によるもの。
4） 医療分野の研究開発に資するための匿名加工医療情報に関する法律（平成 29 年法律第 28 号）。
5） 次世代医療基盤法附則 5 条。

1

【報告】 EHDS と日本の医療データ保護法制への示唆一緒です。

ち、いくつかの国で展開しようというのは自然な流れ

個人データに関しては、元々 1995 年の欧州データでありまして、それは健康データに関するビジネス

保護指令があって、2018 年から GDPR、一般データであるとか医療についても、当然だということになっ保護規則に切り替わっているわけです。ここで基本てくるわけです。

的な情報を提供しておきますと、指令というのは、なので、早いうちから、eHealth network という形

各国がそれを法令等にして、みんなで守るという EU

で医療の越境的な展開を可能にしようという取り組の法律の形です。一方、規則というのは、各国が議みがあったのですが、これは全くボランタリーという会を通さなくても、そのまま法律として適用されるとか、参加できる国は参加しましょうという形だったのいうものです。ですので、GDPR は各国で同じ GDPR

で、あまり広がらなかったと、EHDS の説明書で説明をデータ保護機関が執行しているということになりされています 7）。GDPR でいうデータ保護指令に相当ます。この EHDS についても、規則という形で提案するご先祖様にあたるのが、この CBHC 指令の 14 条、されておりますので、これでできた法律をそのまま

eHealth network だと考えられているようです。

各国で適用しましょうという提案だということになり

EDPB-EDPS とはます。
ヨーロッパって実はあまり広くないのですね。メルカトル図法で見ると、日本よりはるかに広そうに見え

今日の分析の対象になっているのは、図の左側のますが、実際に同じ縮尺で重ねてみると、そんなに

EHDS の規則と、
もう 1 つ、
しばしば私が「EDPB-EDPS

広くないです。そうするとどうなるかというと、越境の意見です」と引用しているものがあります。これで出勤したり、越境でビジネスをしたりといったことは 2022 月の 7 月 12 日に出た EHDS に対する EDPB とが当然あるわけであります。ヨーロッパに行かれてEDPS のジョイントの意見です 8）。

電車で移動した方もおられると思います。例えばパEDPB だ EDPS だと、略語ばっかりでなんだといリからブリュッセルまで、飛行機がなくても、電車う方もおられるかもしれないので、若干説明します。

6）

で数時間で行けてしまうわけであります 。ですので、

EDPB も EDPS も、欧州連合の機関のひとつでありヨーロッパでビジネスを展開する際に、30 ヵ国のうます。EDPB は、ヨーロッパのデータ保護機関の集

6） 例えば，パリ北駅を 30 分ごとに発車している THALYS で 1 時間 20 分ほどである。
7）「電子健康データの二次利用に関しては、eHealth network の活動は非常に限定的であり、あまり効果的ではなかった。ビッグデータに関するいくつかの非拘束的な文書は、さらなる具体的な行動によってフォローアップされず、その実践は非常に限定的なままである。
」とされている（EHDS の EXPLANATORYMEMORANDUM，以下，「EM」3.）。
8） EDPB-EDPS Joint Opinion03/2022 on the Proposal for a Regulation on theEuropean Health Data Space, Adopted on 12 July 2022
（以下，
「EDPB-EDPS 意見」）。

2

まりです。GDPR を執行しているのが、各国のデー保護機関ということになります。欧州連合所属の民タ保護機関で、著名なのはフランスの CNIL とか、ド間事業者というのは、基本いませんから、欧州連合

イツの連邦データ保護監察官と呼ばれている、これ所属の公的部門を監督している人ということになるは独任制の機関になるわけですが、データ保護のわけです。また、単にそれのみにとどまらず、データ

トップであるとか、イギリスだと ICO、Information

保護界の上がりポストのひとつみたいな感じで、欧Commissioner's Office というのがあります。こうし州の各国のデータ保護機関の中でも、代表的な人がた機関や事務局がデータ保護法を執行しているわけ

最終的に EDPS になっているということが多いです。

です。彼らの集まりが EDPB というもので、GDPR 上EDPB も、EDPB の議長というのは、やはり欧州

もさまざまな権限を与えられています。昔は 29 条作のデータ保護機関の中でも評価が高い方がなります。

業部会と呼ばれていたものですが、GDPR が施行されデータ保護のカンファレンスに EDPB の議長や EDPSて、EDPB は正式に欧州連合の機関のひとつになりまの方が出てくると、バシッと締まるというようなとこした。

ろがあります。

一方、EDPS は、European Data Protection

この EDPB-EDPS がデータ保護の観点から、EHDS

Supervisor という人でありまして、これは、欧州連について、2022 年 7 月時点でのコメントをしていると合の各機関にとってのデータ保護機関、つまり、フいうのが、この図の文書であります。EHDS は 100 ペー

ランスにとっての CNIL に相当するような欧州連合のジ程度、右側の意見は 30 ページぐらいのボリューム

欧州委員会等の機関のデータ保護を監督するデータです。

3

【報告】 EHDS と日本の医療データ保護法制への示唆

こちらの図が、先ほどの the European Health Data

こちらが必要になったのでしょう。だから、難易度

Space です。どんな分野があって、今、どんなタイムが高そうではあるが、Health から始まったのだといラインを考えているのかという欧州員会の事務局資うことができるかなというところであります。

料です。

EHDS の趣旨

どのようなスペースが考えられているかというと、製造業、環境、交通、それから今回のヘルス、そのほか、金融、エネルギー、農業、公共公益といった

1 つは、自然人が電子健康データを容易に管理でき分野が並んでおります。それぞれの分野で、こんなるようにするということです。もう 1 つは研究者やイことをやったらどうかというような計画が出ている

ノベーター、政策立案者が、電子健康データを利用わけです。例えば、Mobility（交通）のところには、できるようにする。この 2 つを両立しないといけない

輸送データについてのパイロットプログラムを 2021というところから EHDS が始まっています。

年から 2022 年ぐらいかけてやりましょうといったこ

その理由は、あまり整理されていなくて、バラバとが書いてあったりします。

ラと書いてあります。1 つは、なかなか面白いのです

Health のところを 見 て い た だくと、自 分 の 健 康

が、欧州連合は GDPR を制定しました。データ保護

データ、患者の健康データのアクセスの実験である、指令に基づいて、各国がデータ保護法を作ってとい

MyHealth@EU というパイロットについて書かれていうような体制では、デジタルシングルマーケットとます。この MyHealth@EU というのが後の説明には言っていますが、欧州の統一市場との関係で、不便全然出てこないのですけど、これは何なのかというです。先ほども申し上げましたが、ヨーロッパではと、EU の各加盟国間で健康データを連結して、アク国境を越えて出勤するといったことがコロナ前は当セスするための枠組みであります。

然でしたし、企業がある程度のボリュームを持ってさらに 2022 年の計画としては、健康データの二次展開しようと思ったら、何ヵ国かに展開するのは当然

利用の基盤についてのパイロットが入っていたりしであるという中で、データを使ったビジネスをやるとます。

いうような際には、各国バラバラなのは、非常にビ

この元になる法令、規則が今、最初に提案されてジネスにも問題があるし、人権保障という意味でも、いるというところであります。さまざまな分野の中レベルが違うというのは不適切だというのがあって、で、Health が最初に来たということです。GDPR では、

GDPR にしたわけです。したわけですが、データ保護

9）

健康データは特別カテゴリデータに入っていて 、全機関の執行は、EDPB があったり、いろいろな集まり

然使えないわけです。GDPR だと、もうほとんど不可があったりして、それなりに横のつながりはあります

能なぐらい、厳しい要件が課せられているわけであが、全部一緒ではないわけですね。そもそもデータ

ります。だからこそ、加盟国を通じた特別法として、保護機関というのは、その国の行政機関から独立し

9） GDPR9 条（特別な種類の個人データの取扱い）は，1 項で，「人種的若しくは民族的な出自、政治的な意見、宗教上若しくは思想上の信条、又は、労働組合への加入を明らかにする個人データの取扱い、並びに、遺伝子データ、自然人を一意に識別することを目的とする生体データ、健康に関するデータ、又は、自然
人の性生活若しくは性的指向に関するデータの取扱いは、禁止される。
」（個人情報保護員会仮訳。以下 GDPR の条文につき同じ。
）と定めている。

4

て権限を行使しているので、他のデータ保護機関かち上げたデジタルヘルス製品のメーカーであるとか、らも EDPB などの枠組みで、法理的に義務付けられ

デジタルヘルスサービスのプロバイダーが、他の国ていない限りは、こういう風に執行しろと義務付けに参入しようとすると、参入障壁になるというのがられることもなく、独立性が保たれているわけです。

あります。もう 1 つは、Covid の対応など、公衆衛生

それからもう 1 つ、GDPR のかなりの箇所で、―デーというのは、基本的に警察と一緒で、欧州委員会はタ保護指令はすべて国内法化しなければならなかっ権限を持っていなくて、各国の権限ですが、国境をたわけですが―、各国に委ねられている部分という越えて、コロナの対策のためのデータを共有したり、のがあるわけです。欧州委員会がそもそも権限を持っ患者さんがヨーロッパの他の国の出先で、コロナにてないような部分、例えば罰則が最も典型的ですが、かかって、現地の出身国の方のカルテがいるのだと罰則は各国でしか科せられないので、GDPR に罰則にいったような事態が、通常の時に比べれば非常に多ついてのガイダンス的な条文はありますが 10）、それにく発生したわけです。この時にはやはり電子的に健基づいて、各国がデータ保護法に基づいた各国のデー

康データが整備されていて、必要があればアクセス

タ保護法で定めていたりするわけです。健康データできるということが必要だということが認識されまのあたりは、実施がバラバラで、解釈もバラバラです。

した 13）。こういうモチベーションから EHDS が提案さ各国で EHDS が言っているセカンダリーユース、

れてきている、そういう状況にあります。

二次利用をどうやって許しているのかといったよう他の法令との関係はどうなっているのかなものを調べた調査などもあるのですが 11）、ある形態の利用について許されるのか許されないのかというのは統一されていません。逆説的ではありますが、GDPR が不均一に実施され、解釈されていることか

EHDS の説明書の中からデータに関係するところをら、結局 2 段階目の EHDS が必要になったのだという

引っ張ってきたのがこちらの図です。

内容が説明書きのところで述べられています 12）。この

EUDPR14） は、EU の行政機関、欧州委員会等の行ような状態になると何が起きるのかというと、加盟

政機関に限らず、EU の機関のデータ保護を定めた規国、ヨーロッパのどこかの国でビジネスをやろうと立則です。GDPR は皆さんご存じの通りで、ePrivacy10）GDPR83 条 9 項等。
11）“Report on secondary use of health data through European case studies”, 28 February 2022, https://tehdas.eu/app/uploads/2022/08/tehdas-report-onsecondary-use-of-health-data-through-european-case-studies-.pdf12）「加盟国による GDPR の不均一な実施と解釈は、かなりの法的不確実性を生み出し、電子健康データの二次利用を妨げる結果になっている。したがって、研究者、革新者、規制当局、政策立案者が必要な電子医療データにアクセスすることを妨げる障壁のために、自然人が革新的な治療の恩恵を受けられず、政策立案者
が健康危機に効果的に対応できない状況が生まれる。
」（EM 1.）。
13）「COVID-19 の大流行により、国家レベルでの既存の技術的専門知識を基にした相互運用性と調和の緊急の必要性と高い可能性が明らかになった。
」（EM 1.）。
14）Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018 on the protection of natural persons with regard to theprocessing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No
45/2001 and Decision No 1247/2002/EC (Text with EEA relevance.), PE/31/2018/REV/1

5

【報告】 EHDS と日本の医療データ保護法制への示唆

指令 15）は、電気通信分野のデータ保護についての指かということを、EDPB-EDPS からは指摘されていま

16）す 19）。今のところ、EHDS の説明のところには確かに令です。ePrivacy 規則案

がなかなか通らないというのも、広くデータ保護を勉強されている方はよく

ePrivacy 指令との整合性が含まれていません。

ご存じだと思います。EHDS の説明書きで、GDPR

それからもう 1 つ、関係してくるデータガバナンス

及び EUDPR には完全に準拠していると書かれてい法 20）とかデータ法案 21）、こちらとの関係でも、具体的

17）ます 。何が準拠なのか、よくわからないところもあなルールであると整理されています。データガバナ

りますが、健康情報は GDPR 上の特別カテゴリデー

ンス法は、2 次利用の一般条件が定められています。

タ、特別な種類のデータであるということを前提に、

一方、データ法案には、個人データに限らないポー

GDPR 上の権利の実施を支援するという法律である

タビリティの話が入っていたりします。確かにこれらとされています 18）。特にデータポータビリティ権が強との関係では、医療でより具体的なルールを提供し化されているというのは、EHDS の権利コーナーをているという側面が存在します。

見るとわかります。GDPR の権利コーナーは 12 条か

それから、NIS 指令 22）とか、サイバーレンジエンス

ら 23 条にあり、GDPR の条文の中でも多くを占めて

法案 23）といった、サイバーセキュリティの関係の法律

いますが、EHDS では 3 条に権利の話が書いてありま

または提案との関係でも、特別な部分があるのだとして，GDPR のポータビリティ権よりも、さまざまな説明書に書いてあるわけであります。

面で強化された多数のポータビリティ権が定められ

GDPR との関係ています。健康データに関して、オンラインサービ
スであるとか、アプリを使ったサービスがあります
ので、ePrivacy 指令との整合性も必要なのではない

GDPR との関係をもう細かく見ていきましょう。

15）Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection ofprivacy in the electronic communications sector (Directive on privacy and electronic communications)16）Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL concerning the respect for private life and the protectionof personal data in electronic communications and repealing Directive 2002/58/EC (Regulation on Privacy and Electronic Communications), Brussels,
10.1.2017, COM(2017) 10 final, 2017/0003 (COD)
17）「EHDS でアクセスされる相当量の電子データが EU 内の自然人に関する個人健康データであることを考慮し、本提案は GDPR だけでなく、規則（EU）
2018/1725（EU データ保護規則）にも完全に準拠して設計されている。
」（EM 1.）。
18）「EHDS は、電子医療データに適用される GDPR に明記された権利の実施を支援する。
」（EM 1.）。
19）EDPS-EDPB 意見 5.
20）Regulation (EU) 2022/868 of the European Parliament and of the Council of 30 May 2022 on European data governance and amending Regulation (EU)2018/1724 (Data Governance Act) (Text with EEA relevance), PE/85/2021/REV/1
21）Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on harmonised rules on fair access to and use of data (DataAct), COM/2022/68 final22）Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity acrossthe Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (Text with EEA
relevance), PE/32/2022/REV/2
23）Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on horizontal cybersecurity requirements for productswith digital elements and amending Regulation (EU) 2019/1020 (Text with EEA relevance) Brussels, 15.9.2022, COM(2022) 454 final, 2022/0272 (COD)6

第 9 条が、EHDS との関係では重要です。

いて根拠がいるわけです。通常、GDPR について議論「人種的若しくは民族的な出自、政治的な意見、宗しているときには、Web サービスを念頭に置いてい教上若しくは思想上の信条、又は、労働組合への加ることが多く、大体、a と b と f ぐらいしか使わない

入を明らかにする個人データの取扱い」を挙げた上ですね。a は同意、b は契約に従う場合、f が正当な利で、そのあと「並びに、遺伝子データ、自然人を一益です。大体同意が取れないので、正当な利益でな意に識別することを目的とする生体データ、健康にんとかなりませんかみたいな相談になって、ええ〜

関するデータ、又は、自然人の性生活若しくは性的となっているのが多いのですが、今回は全然話が違指向に関するデータ」と、こういったものが、特別います。

カテゴリデータに入り、これに関するデータの取り扱

例えば、「管理者が服する法的義務を遵守するためいは禁止です、となっています。禁止ですと言っても、に取扱い」。これは、この法律の監督をする、医療デー

そもそも GDPR は個人データの取り扱いも原則禁止

タアクセスのための公的部門ですね。こちらがやるなので、そんなに驚かなくてもいいかなというところことというのは、もう公的機関の法的義務として与えがあります。ここには書かれていないですが、原則られているので根拠になるといわれていたり、それ明示的な同意じゃないとダメだという風になっていから、データ利用者という名前で出てきますが、2 次るわけですね。

利用をそのアクセス機関に申し込む。使いたい人た

EHDS の前提として、明示的な同意だけでは健康

ちは e（公共の利益）か f（正当な利益）が根拠になる、関連のデータの取扱いは色々回らない。特に二次利と考えられていますので、e なのか、f なのかを自分用については回らないという認識があるわけで、9で定めて申し込んだりする、ということになっていま

条 2 項の適法化事由が a から j まであるわけですが、す。

EHDS に従った取扱いは、健康関連データの取扱いと健康データアクセス機関とその役割の関係で、これらの除外事由にあたるという整理がされています。例えば、g は重要な公共の利益のために EU 法があれば、その範囲で使えるとなっています。

アクセス機関への申し込みというのをもう少し詳し

それから h は、予防医学や産業医学、それから医療診

く説明しますと、データ利用者は、病院などのデー

断、社会福祉、治療の提供といったもののための EU

タ保有者に対して、データを使いたいのだとお願い

法に従って使う分には使えますとなっています。i は、をします。これを「健康データアクセス機関」を通公衆衛生に関係するような医療や医薬品の開発等とじてやることになっています。健康データアクセス機

なっています。j は、研究ですね。
「科学的研究若しく

関はデータ利用者の申し込みに対して審査をします。

は歴史的研究の目的又は統計の目的のために使う場

審査が通ったらデータ保有者の方に、このようなデー合」といったような除外があるわけです。この除外

タを出してあげてください、と連絡します。これがのセットとしての EU 法として、EHDS はできている

EHDS の二次利用ですが、データ利用者が健康デーのだという整理がされています。

タアクセス機関を通じてデータを使うというようなと

一方、第 6 条で、普通の個人データの取り扱いにつころが、先ほどの 6 条でいうと、e、f にあたります。

7

【報告】 EHDS と日本の医療データ保護法制への示唆

それから、特別な種類の個人データは同意で使うにを参照、GDPR 参照などとなっています。第 2 章は一しても、明示の同意を取らないといけないから、ほと

次利用。これは、普通の医療などの提供のための利んど使えなかったわけですけど、この g から j の仕組用で、EHR、Electric Health Record を標準化して、み自体が、例外の EU 法にあたるからクリアするとい同じフォーマットでやりましょうというのがメインでうようなカラクリで使えるようにしているわけでありす。第 3 章は、EHR システム、ウェルネスアプリケー

ます。健康データアクセス機関がデータ保有者にデーションなどについてのさまざまな定めです。第 4 章がタ出してくださいというのは、公的部門に与えられた二次利用で、これは先ほど説明したように、研究な義務だということで、データ保有者はこれに対して出どの際に利用申し込みとその情報が提供されるといさなきゃいけないということになります。これでさまうような仕組みです。2 章と 4 章を主として、この後、ざまな禁止がクリアされるのだと説明されています。

若干細かく見ていきます。
それから、5 章、6 章、7 章、8 章と、割と手続き的、

EHDS の概要

行政組織的な規定が色々入っていて、最後に最終規程という形になっています。まだ提案なので、どれ第 1 章が一般条項で、定義がずらっと並んでいます。

ぐらい細かく見るかというのはありますが、ただこのGDPR もかなり定義が並んでいましたが、Y とか、ア

提案の大まかな仕組みが参考になりますので、見てルファベットが終わるくらいまで並んでおり、そのう

いきたいと思います。

ちの一部は、データ法を参照、データガバナンス法

まず個人の権利が非常に強化されているというよ8

うなことを述べましたが、それが EHDS の 3 条です。

す。このデータ保有者というのは GDPR で言うとデー

3 条の 1 項が強化されたアクセス権です。3 条の 2 項がタコントローラーにあたるのですが、微妙に違いま強化されたデータポータビリティです。さらに、デー

す。データコントローラーと言ってしまうと、GDPR

タポータビリティ権の特別な場合が、3 条の 8 項〜 9

上の用語なので、違う名前を使っているのではない

項に色々入っていて、例えば、医療社会保障部門のかと思いますが、ここだけ重要な概念なので、条文

データ保有者へのデータポータビリティ権というのを引っ張ってきています。図の右上の EHDS1(y) とがあります。これは要するに公的部門や病院などがいう箇所です。ここで「医療・介護分野の事業体ま

データを保有しているときに、これを他の病院に行たは団体である、あるいはこれらの分野に関連する

くからといった理由でそこにデータを送ってくれと研究を行っている自然人または法人、ならびに連合

いう権利です。他の加盟国のデータ保有者から受けの機関、団体、事務所および機関であって、本規則、入れるという権利ですね。例えば外国で医療にかか適用される連合の法律または連合の法律を実施する

りました。このデータを使ってくださいと言って今国内法に従って、あるいは非個人データの場合にはかかろうとしている医療機関にデータを渡させる権

製品および関連サービスの技術設計の管理を通じて、利であります。3 条 9 項が面白いのですが、一種のオ

特定のデータを登録、提供、アクセス制限または交プトアウトなんですね。医療従事者のアクセスは―こ換するなどの方法で、利用可能にする権利または義の医療従事者の定義は後で問題になりますけど―、務を有している者」と、こういう定義になっています。

医療従事者のアクセスは、ここで出てくる EHR につ「権利または義務」というのは要するに、責任を有しいてはできるというのが原則になっているのですが、ているということです。

医療従事者のアクセスも嫌だというような場合には、その中で、欧州電子健康データ交換フォーマットでこの権利を行使して除外するようです。それからア

標準化しようとしていたり、医療従事者によるアククセスログですね。これは、医療機関であるとか、セスは基本的には確保されるとされています。医療

医療従事者が、その人のフォーマットが統一されて、従事者にはさまざまな方がいますので、その範囲に

アクセスログが全部管理されているはずの EHR にア

ついては各国法で定めて、原則、必要なアクセスはクセスした時のログを見たいということができるよう確保されるような定め方になっている。これが一次にしましょうとなっています。

利用です。

この 3 条等の個人データに関する権利の部分は、一次利用の対象となるデータ

データ保護機関が監督をするという定めになっています。それ以外は健康データアクセス機関、これはどこかの公的部門が担当することになり、その健康

どんな項目が一次利用の対象になっているのかと

データアクセス機関が本人の権利以外の部分の監督

いうと、患者の概要ということで、年齢とか住所と執行を担当しますということになっています。

か基本的なデータ。それから処方箋と処方箋に応じ

それ以外に「データ保有者」という概念が出てきまてなされた調剤。医用画像、画像の報告書、検査結9【報告】 EHDS と日本の医療データ保護法制への示唆

果、退院報告書。これが基本的に一次利用として医使いたい者をデータ利用者と呼んでいます。データ

療従事者は共有する、使えるようになる電子健康デー

利用者は、データを使うための目的その他の事項をタの項目とされています。

記載した申請書を作成し、健康データアクセス機関

ここに同意とかは全然出てこないです。基本、医療に申請をします。これをデータアクセス申請と呼びま従事者は見られるという前提でやっています。同意

すが、これに対する対応は、許可するか、許可しなではなくて、オプトアウトという言い方はしていない

いかですね。

けど、医療従事者の拒否の権利という中で、おそら

これに対して健康データアクセス機関が 2 ヵ月以内

く調整するのでしょう。例えば外科のお医者さんにに応答する。情報公開請求っぽいですよね。特別なは見られたくないとか、そういう設定ができるのかな

理由があると、さらに 2 ヵ月以内は応答を延長できまと思いました。

すが、4 ヵ月以内には絶対返事するということですね。
健康データアクセス機関が、申請を受け入れるとな

二次利用の対象となるデータ

ると、データ保有者を名指してくるわけですね。例
えば、日本だったら東京大学病院の何やらのデータ

二次利用のほうがややこしいです。どのような仕を使いたい、みたいな申請を―日本にはないのです

組みになっているのかと言うと、「データ利用者」とが―、健康データアクセス機関にお願いするわけで「データ保有者」が出てきます。

すね。そして、この申請は通した方がいいとなると、データ保有者は医療機関や、医療に関する研究を

健康データアクセス機関がデータ保有者に対して出行っている機関、健康保険とかを取り扱っている役

してくださいと言うわけですので、ここは法的義務所などです。データ保有者が保有しているデータをになっています。

10たぶん、
これからもいろいろ揉めると思いますけど、ているのか、自然人の権利としてはどんなのがある

EHDS の 41 条で出しなさいってことになっている、

かとか、権利行使するのだったら繋ぎますよとか、提供義務があると。データ保有者の応答のための期

それからこの電子健康データで何らかの研究とかを間が 2 ヵ月、特別な理由があるとさらに 2 ヵ月なので、やったプロジェクトとかがあったら、その結果を公マックス 4 ヶ月です。だから申請が受け入れられると表する。このような形で、集団的に透明性を確保すしても最大 8 ヵ月かかってしまうのですが、データ保るようなやり方になっています。

有者からデータが出てくるということになります。こでは、自然人は権利行使が全然できないのかといのデータ保有者のほうに諸々の義務がかかっていまうと、38 条 1 項の c に自然人の権利というのがあります。例えばデータセットの説明の義務。これは日本

すから、行使はできますが、データ利用者に提供さで言うと個人情報ファイルを公表する義務みたいなれるデータというのは、原則、匿名化データ、ここ感じです。どんなデータセットがあって、ラベルがどで言う匿名化データというのは、日本の匿名加工情んなもので……というのを公表しないといけません。

報とは違って、個人データじゃないという意味なの

それから、一般的な義務として、この健康データア

で、統計に近いような、特定の個人との紐付けなくクセス機関には協力してねというのが入っていたりなっているデータです。例外的に仮名でないと目的します。これを通じてデータ利用者は適切な目的だが達成できないとなると、仮名化データになりますということになると、データが得られます。これをどが、仮名化データも、これは日本の仮名加工情報のういう形式で行うのかというは、この後ご説明しま

元ネタなので似ていますけど、権利行使が制限されすが、ここまでで、本人の出てくる余地はほとんどることが想定されています。また自然人の権利としありません。

ては、データ保有者のほうに、権利行使するんだっ

GDPR は、13 条や 14 条で透明性確保義務がありまたらする、おそらくそういう仕組みなのだろうと思いす。日本で言うと利用目的の通知公表や保有個人デーます。これも具体的に中身を見ていきます。

タについての開示事項などに対応します。日本法は、二次利用されるデータのカテゴリ

令和 2 年改正で安全管理措置も増えましたね。そういったものをインフォームしないといけませんということで、今、みなさんプライバシーポリシーとか書いどんなカテゴリについて出さないといけないか、こていただいているかと思います。

れは非常に広いですよね。EHR そのもの、EHR の中

データ保有者の方で公表しないといけないのかと

身には、処方箋などが入っていましたけど、あれ全言うと、不要です。健康データアクセス機関のほう部ということでしょうね。それから健康に影響を与

で法定の公表事項があるだけということになっていえるデータ、社会的、環境的な健康の行動決定要因

まして、それがこの 38 条 1 項ですね。

を含むといったデータ。それから、ヒトの健康に影

どんなアクセスの法的根拠でデータが出ていくの

響を与える、関連する病原体ゲノムデータ。請求デー

か、技術的、組織的な安全管理装置をどんな風にとっ

タ及び診療報酬データを含む、健康に関連する行政11

【報告】 EHDS と日本の医療データ保護法制への示唆

データ、レセプトですよね。ヒトの遺伝子、ゲノム

どうしても仮名でなくてはいけない場合は、仮名で及びプロテオミクスデータ、タンパク質ですね。医なきゃいけない理由というのが d です。e は、目的外療機器、ウェルネスアプリケーション又はその他の利用を防ぐための措置、どんなことやっていますか

デジタルヘルスアプリケーションを含む、人が生成ということです。これは例えば、関係する従業員とした電子健康データ、FitBit などのデータですね。

守秘義務の契約を結んでいます、組織的な措置を取っ

それから、自然人の治療に関与する医療専門家にていますといった、そういうことを書きます。同じ関連する識別データというのは、お医者さんに番号ように自然人の権利利益を保護するための保護措置。

が振られていたらそれが該当します。それから集団

それから、g は、どれぐらいの期間使いますかとい全体の健康データレジストリ（公衆衛生レジストリ）

うこと。h は、コンピューティングリソースが準備さは、全体の公衆衛生としての登録です。特定の疾患れていて、安全に取り扱いますという説明です。a のに関する医療登録からの電子的健康データの登録で目的のところ、何が許されるかは、日本でも二次利すね。臨床試験からの電子健康データ。それから医用を設計する時にどれを入れてどれを入れないのか、療機器からの電子健康データ、医薬品及び医療機器

一番揉めるとこだと思います。

に関する登録からの電子健康データ。健康に関連す

二次利用の処理目的

る研究コホート、質問票及び調査。バイオバンク及び専用データベースからの電子健康データ。健康に関連する保険状況、職業状況、教育、ライフスタイル、

今のところ、EHDS が 34 条 1 項で、a から h まで定

健康状態及び行動データに関する電子データ。デー

めているのは、例えば、a は「国境を越えた健康へのタ許可証に基づく処理後にデータ保有者が受け取っ

深刻な脅威に対する保護、公衆衛生監視、ヘルスケ

た、修正、注釈、リッチ化などの様々な改良を加え

ア及び医薬品又は医療機器の高い品質と安全性の確た電子的な健康データとなっています。

保など、公衆衛生及び労働衛生の分野における公共の利益のための活動」と、割と国側でやらなければデータアクセスを申請する際の項目

ならないものですね。b は、日本でいう厚労省みたい

これは、利用者がデータアクセスを申請する際に書しなくてはいけないという話です。c は統計の作成。

く項目です。どの目的で使いたいかということです。

この a から c は、他に法律で権限がないといけないこな公共部門が法的にやらなきゃいけないことを遂行

それから、どの範囲で求めているか。データソースとになっていますので、私がやりたいのですというも可能な場合は記載することとなっています。それだけではダメということですね。公的部門の権限とから、匿名化されたフォーマットでいいかどうか。c

して、各国が定めていることが必要になります。d 以と d はセットっぽいのですが、d は原則、匿名化され下には、民間事業者も出てくるわけですけど、保健たデータです。個人データではなくなるところまで

医療部門における教育指導活動、大学で授業に使い加工します。

たいとかですね。最長で 8 か月かかるのにどうかって12

いうのはありますけど、しかしながら、ここで出してリみたいなものですか。他の自然人の健康データにもらったデータで、例えば、何ヵ月間のトレーニング

基づいて、自分の健康状態を評価して、「もうちょっ

コースを行うといった場合、十分これは考えられると運動したらどう？」みたいなアプリケーションででしょう。それから、医療介護の科学的研究、メイ

すね。

ンのところですね。f は、サービスやヘルスケアの開二次利用が禁止されるケース

発、イノベーションですが、制限がかかっていまして、「公衆衛生若しくは社会保障に寄与する」となっています。みんな、「うちは公衆衛生に寄与する」っ

こういうのはやってはダメというのが定められてて言うでしょうけど、ラインを引くのは結構難しいのいます。これが、なかなか面白いのですが、a は、かなと思います。次の g もそうですよね。
「医療機器・

GDPR のプロファイリングや自動的決定の条文と似て

AI システム及びデジタルヘルスアプリケーションをいますが、「自然人に不利益な決定を行うこと」とい含む、公衆衛生若しくは社会保障に寄与する、又はうところです。これは高木先生が整理していますが、

ヘルスケア・医薬品若しくは医療機器の高い品質及選別っていうのに、割と発想としては近いでしょう。

び安全性を確保するためのアルゴリズムの訓練・試

この EHDS も、若干そこは制限をかけていて、法的験及び評価」ですから、学習データで使いたい、テ効果が生じるか、自然人に重大な影響を与えないとストデータで使いたいといったことになるのでしょう

いけないとなっているので、単純に個別に効果を与が、「公衆衛生若しくは社会保障に寄与する」とある

えるというだけではなくて、1 つ上乗せをしています

ので、なんでもかんでもいいっていうわけではない

が、不利益な決定。これは、やはりヨーロッパは、デーということになっています。h は、自己健康管理アプ

タ保護指令の頃から自動的な決定というものに対し13【報告】 EHDS と日本の医療データ保護法制への示唆て非常に警戒をしているというのがあります。そのまして、原則、匿名化されたフォーマットです。繰り流れで、ここでも a に入っているわけです。b は、グ返しになりますけど、個人データじゃないということ

ループプライバシーみたいな感じで、自然人に関連ですから、ほぼ統計に近いような形でデータをくだしては当然ダメですが、自然人の集団に関連して保さいということです。どうしても仮名化じゃないとい

険契約との関係で、例えば、保険会社がいろいろなけない場合は、その理由を説明してくださいというデータを取ってきて、この人たちはリスクが高そうだのが 44 条 3 項になります。

から保険金を上げようというのはダメだということ

日本法との関係です。集団的なプライバシーを暴くっていうのに近いと思いますし、個別にやるのは当然ダメですけど、集団に対しても、保険などでこういうのを使ったらダ

まずは位置付けとして、EHDS については、EDPB-

メとなっています。それから、このデータを取ってき

EDPS などは、GDPR の権利との関係が不明確だとかて、お医者さんに営業かけるのもダメですよといういろいろ文句をつけてはいるのですけど、しかしなのが、c です。それから、d は、転売です。データ許がら、他の法令との関係コーナーというのが、説明可書を申請した人以外に渡すつもりで取ってくるの書（EM）に割と詳細に載っていて、これはいいと思というのはダメです。e は、ヨーロッパらしいですけ

うんです。日本の医療データ保護構成って、データ

ど、「違法薬物、アルコール飲料、タバコ製品、公序保護法の中でも最悪にぐちゃぐちゃで、これを見ま

良俗に反するような方法で設計又は変更された商品

しょうか。

又はサービスなど、個人及び社会全体に害を与える

これは、最新の「個人情報保護法の基本」です。

可能性のある商品又はサービスを開発する」ことに個人情報保護法が一応統一されたので、左から右まは使えないとあります。これを日本で書いたらね、ア

で個人情報法となりました。4 段目のところで、左側

ルコールとタバコは公序良俗に反するのかって怒るに民間事業者があって、右側が行政機関等の義務で人がいると思いますが、私が書いたのではないので、す。令和 3 年改正で、病院、大学及び研究機関は民間

怒らないでください。今のところ禁止されているの法になりましたので、ごく一部を除いて医療機関はは、この a から e ということになります。

民間法の義務が適用され、そこに民間部門のガイド
ラインがあって、Q ＆ A があって、ここには載ってな

データの提供形式

いですけど、研究の場合は倫理審査のための研究倫
理指針という謎の文書があって―これがなぜ謎の文

どんな形でデータが出てくるのかというのを皆さん

書なのかは後で説明しますが―、それを全部守って興味あると思います。これは、データ・ミニマイゼー

やらないといけないということになっています。
でも、ション（データ最小化）、パーパス・リミテーション

個人情報保護法まわりのことしか書いていないので（目的制限）というタイトルの第 44 条というのがありすよね。実際、次世代医療基盤法のことも書いてな

14

いし、医療法とか医師法の守秘義務の話なども書い

もう 1 つ 2 つ不可思議なところがあります。総務省の24）てない。医療介護ガイダンス というのが医療分野のガイドラインって、総務省は、結構な分野について、

ガイドラインなのですが、まず、平成 27 年改正の時

電気通信とか郵政とか、事業所管大臣になっているに、「ガイドライン」から「ガイダンス」に名前が変のですね 25）。電気通信分野や郵政分野のガイドライン

わりました。しかし、なぜガイドラインからガイダン

で、総務省の単独名義だったのですが、2022 年夏のスになったのか、厚労省から説明はあるのですけど、

ガイドラインの改正で、個人情報保護委員会との連よくわからないのです。説明を読んでも納得いかな名になったのです。それで、不思議なところはなくいっていうか、よくわからないです。ガイダンスなのなったわけです。

で、その解釈を示すものではなくて、いろいろな事

他方で、医療介護ガイダンスは、もともと個人情報例を示します、とか言っているのですが、どう見て保護委員会と厚労省の連名なのです。連名なのです

も解釈が書いてあるので、何だこれと思っています。

が、厚生労働大臣は医療に関して事業所管大臣になっ

24）個人情報保護委員会・厚生労働省「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」（平成 29 年 4 月 14 日（令和 4 年 4 月一部改正））。
25）個人情報保護委員会「権限の委任を受ける事業所管大臣、委任しようとする事務の範囲、委任の期間及び報告の期間」（令和４年４月１日時点），https://www.ppc.go.jp/files/pdf/kengeninin̲R4.pdf

15

【報告】 EHDS と日本の医療データ保護法制への示唆てないから、執行には一切携わらないのです。ここよ。この 3 項目、要配慮個人情報の取得と利用目的制がよくわからないのですよ。もともと、特に医療法っ限と第三者提供だけ、除外にしたのですね。というて都道府県に権限が降りているので、全然執行されことは、原則研究であっても、個人情報保護委員会てなかったのですよね、旧法の時ですよ。平成 15 年の権限は及ぶのですよ。倫理指針って、今まで法令法の時に執行されてなかった。その反省で、個人情の監督が及ばないから倫理指針でやっていると、何報はややこしいから、全部個人情報保護委員会に任となく皆さん思っていたと思うのですが、2021 年改

せるってことになったのかと思うのですけど、ガイ

正以降は法令も及ぶのだけど倫理指針もかかります

ダンスは連名だけど、事業所管大臣になっていないっみたいになってしまったのですよね。位置付けがよていうのが、よくわからないところではあります。

くわからないのですよ。

それから医療関係の法令に医療データ関係がない

医療介護ガイダンスと研究倫理指針の関係性の矛盾

わけでもないのですが、この関係というのも問題です。個人情報保護法制は基本法人単位なのです。他方で、医療法は病院単位で文書管理など書いてあるので（医療法 21 条，同規則 20 条）、そこがズレていて、『法律のひろば』にガイドラインの解説を書きま

そこを直すという気が、あまりないですよね。

した 26）。倫理指針とはそもそも何なのかということを今回の改正で倫理指針の位置付けが大転換してい探っていくと、厚労省が言うには、厚労科研の補助るのです。なぜかと言うと、研究例外が見直された金の取り扱い規定に、この倫理指針守って研究してのですよ。

ねって書いてあるから、その範囲では規範性があると言われているんですね。一方、個人情報保護法と精緻化した学術研究の適用除外の関係ではどうかっていうと、これ、私がバカなのかなと思うのですが、何を言っているのかわからない。

これは、条文は 2020 年改正のもので、勝手には直「（行政指導指針）であり、個人情報保護法（個情法）

していないのですが、2021 年改正の資料です。元々の規定が上位規制となります。そのため、個人情報

学術研究は学術研究機関が個人情報を取扱う場合は関連の用語の定義は、個情法を踏襲することとなり全部適用除外だったのが、今回精緻化したのですね。

ます」となっているのですね。

精緻化したというのは、すごい大転換で、実は研究

この文章のすべてがわからないですけど、行政指機関の研究だろうが、原則法律は適用されるのです

導指針っていうのはわかるのですが、個人情報保護26）板倉陽一郎「医療関連分野ガイダンス等及び研究倫理指針の改正と実務への影響」法律のひろば 75 巻 5 号（2022 年）45 頁。

16

法の処分の基準ではないんですよね。だから、個人

わかんないですよね。何とかしないといけないので情報保護法を守ると書いてあっても、倫理指針違反はと思っています。

は個人情報保護法違反ではないわけです。個人情報監督機関

保護法の規定が上位規制というのもよくわからないのですが、法律と、行政指導のための法に基づかない命令等だとすると、法律の方が上位だからこう言っ

EHDS では健康データアクセス機関というのを、新ているのかなというぐらいの話なのです。でも、倫しく作るか、誰かに割り当てることになっているので理指針って、ほとんど個人情報の話じゃないですか。

すが、ここは何をやるかっていうと、制度の監督と，こんなぐちゃぐちゃなまま、放っておくのはダメなん

情報提供ネットワークシステム的な機関ですよね。

じゃないかなと思っています。

情報提供ネットワークシステムというのは、マイナン

医療介護ガイダンスと研究倫理指針の適用関係を

バーをやり取りするためのシステムですけど、それ簡略に整理しました。学術研究目的の例外規定が適を手動でやっているみたいな感じで、ここはデータ用されない部分では、医療介護ガイダンスと研究倫を持ったりしないです。次世代医療基盤法の認定事

理指針が両方適用される。学術研究以外の目的、診業者は、大きいデータベースを作りますよね。この療などの一時利用の場合は、医療介護ガイダンスだ

健康データアクセス機関は、ここに出してくれとか言けが適用されます。他方で、例外規定が適用される

うだけで、処理は手伝うって書いてあるので加工と場合も、医療介護ガイダンスには「内容に留意」とかは手伝ってあげるのかもしれないですけどデータ書いてあって、では結局、両方守るの？という話には持たないのですよね。処理の範囲でと書いてある。

なるんですよ。めちゃくちゃなので、何とかしないと、

EDPB-EDPS の意見を見ても、それが前提のようなの

17

【報告】 EHDS と日本の医療データ保護法制への示唆

で、そういう機関なのですよね。自然人の権利、デー

り変なので、法律に書いたらと思うのですよね。

タ保護的なところは、データ保護機関が見るよとなっ次世代医療基盤法における「丁寧なオプトアウト」ています。日本は次世代医療基盤法だと認定事業者

は、認定機関が病院等からもらってくる時の話です

なんです。これは事業者だから公的な権限もないし、

けど、これが丁寧すぎてワークしないということが、

医療機関等に強制的に出してくれとは言えないわけ

実際、次世代医療基盤法の見直しでもしっかり言わですね。吉原先生（吉原博幸 . 一般社団法人ライフデー

れています。何らか緩和する方向ではあるようです

タイニシアティブ（LDI）代表理事）が、まさに個が、匿名加工情報や仮名加工情報については、別の別にお願いしてデータ出してもらっているみたいな。

ルールになっていますし、仮名加工情報の共同利用

吉原先生がいろいろな会議で、「政府がきちんと集めが、20 年改正でできるようにはなっているのですけ

るべきである」とおっしゃっていますけど、そこはど、倫理指針の方では、前から作っていた匿名加工

EHDS では公的な権限で出せという形になっているわ

情報や仮名加工情報でない限り倫理審査は逃れられけですね。

ないというさらにややこしいルールになっています。

次世代医療基盤法は、認定事業者を主務大臣 4 つが

EHDS を見ながら整理を試みてもいいかなという気は監督するっていうことになっていて、個人情報の関します。

係では個人情報委員会がいて、厚労省はこっちではアクセス範囲事業所管大臣になってないという形なので、もう少しシンプルにしてもいいのかなとは思います。

最後にアクセス範囲です。一次利用の医療従事者

本人の権利の範囲が、やはり曖昧だとなっていて、これから個別に議論されていくのかなと思います。二次利用は本人の権利です。一次利用は権利が強化されていアプリケーションを出したデータ利用者なので、わて、ポータビリティが非常に強く認められるようにかりやすいですね。日本では個人情報保護法は法人なっている。二次利用のデータ利用者に対しては、単位で、医療法は病院単位です。患者さんからする

仮名化か匿名化されるので、権利行使は限定的だとと、割と医師個人だったりするので、混乱が見られいう風に見られます。日本法はまず、一次利用がちゃるので、整理したほうがいいのではと思います。次んとできていないのです。一次利用がちゃんと使え

世代医療基盤法は誰でも、お金を払えば一応取れる

るようにどこにも定められてないので、一次利用のようにはなっていますが、匿名加工医療情報だから、ために、例えば医師の皆さんが、このケースは判断

生データが全然残ってない、仮名ですらないものしに迷うから、友達の外科の方に聞こうかって言って、か提供されないということになっています。ここも次

法人を越えると第三者提供になっちゃうから、なぜ世代医療基盤法の見直しで、生データの段階で使えか院内掲示で黙示の同意という、昔からガイダンス

ないかといった検討はされています。EHDS でアプリにある謎のやり方でやっているのです。これはやはケーション出して使うと最大 8 ヵ月かかりますけど、

18そういう仕組み参考にして、検討してみてもいいの（本稿は、第 6 回情報法制シンポジウム「個人情報保護法と医療データ特別法〜仮名加工医療データを中心に」（2022 年 7ではというところが示唆かなという風に思います。

月22日、オンライン開催）での報告を元に作成しました。
）

全体的に知識が非常にいるものだったので、十分伝えきれなかったかもしれませんが、私からは以上です。

情報法制研究所理事
ひかり総合法律事務所 パートナー 弁護士

板倉 陽一郎（いたくら・よういちろう）
2002 年慶應義塾大学総合政策学部卒、2004 年京都大学大学院情報学研究科社会情報学専攻修士課程修了、2007 年慶應義塾大学法務研究科（法科大学院）修了。2008 年弁護士（ひかり総合法律事務所）。2016 年 4 月よりパートナー弁護士。2017 年 4 月より理化学研究所 AIP 客員主管研究員、2018 年 5 月より国立情報学研究所客員教授、
2020 年 5 月より大阪大学 ELSI センター招へい教授。JILIS 参与を経て 2021 年 4 月より理事。

19