弁護士
弁護士

医療機関と個人情報（５）報の第三者提供の場面においてオプトアウト方式を採用した部分にあります。
２ オプトアウト方式の採用⑴ このオプトアウト方式（又はその逆のオプトイン方式）という言葉をご存知でしょうか。
それぞれ英語の「opt out」、「opt in」から来ていますが、「opt」というのは「選択する」という意味で、直訳すると、「オプトアウト」は「選択して出て行くこと」、「オプトイン」は「選択して入ってくること」となります。この医療ビッグデータ法では、「オプトアウト方式」は、「患者さんが特に拒否の意思表示をしない限り、原則、医療機関は認定事業者に医療情報を提供できる。」ということを意味します。つまり、患者さんが自分で選択してこの枠組み（原則、認定事業者に情報提供できるという枠組み）から出て行かない限
り、医療機関は個別の同意がなくても認定事業者に医療情報を提供できるということです。いかがでしょうか。
⑵ これまでの医療機関における第三者への情報提供のルールは、原則として第三者に情報提供してはいけないが個別に同意を取った場合には第三者提供できる、つまり「オプトイン」の発想だったと思います。
⑶ そうすると、「オプトアウト方式」を採用した
医療ビッグデータ法は、少し乱暴な気もしますが、その前提としては、生の情報の利活用ではなく、国の厳格な審査を受けた認定事業者が匿名加工した情報の利活用であるということがあります。つまり、患者さん個人のプライバシーが特定できてしまうような生の情報ではなく、認定事業者が、生の情報を個人を識別できないように、かつ元の個人情報が復元できないように加工した上で（これを「匿名加工医療情報」といいます）、これをビッグデータを利活用する先に提供することが想定されています。
認定事業者は、主務官庁が定める基準に従い個人を識別することができないように、かつ復元することができないように適正に加工する義務を負いますし（医療ビッグデータ法第18条１項。適正加工義務）、管理する医療情報や匿名加工医療情報を利用する必要がなくなったときには遅滞なく消去しなければならないとされています（医療ビッグデータ法第19条。消去義務）。
また、匿名加工医療情報を加工した認定事業者や、匿名加工情報を取り扱う事業者は、本人を特－個人情報取り扱いの未来－
これまで、医療機関における個人情報の取り扱いについて、第三者に対する個人データの提供の可否について、個人情報保護法第23条第１項の規定を中心に説明してきました。
今回は、平成29年に成立した新しい法律と個人情報保護法の平成29年改正を紹介しながら、医療機関における個人情報取り扱いの今後の展望について解説したいと思います。
１ 医療ビッグデータ法の成立⑴ 我が国においては、個人情報保護法をはじめとする各種個人情報保護に関する法制度が成立し、施行されて以降、個人情報を「守る」方向での努力が各機関でなされてきました。これは、医療機関が扱う情報が、病歴等のプライバシー情報の最たるものであることを考えると、当然歓迎すべきことですし、医療機関に従事する方々も、患者さんの個人情報を守るという視点を常に持ち続ける必要があります。
⑵ しかし、他方で、情報通信技術の進展が目覚ましい現代社会においては、情報の利用により、利用者のニーズに即したサービスの提供や業務運営の効率化、新産業の創出という観点も重要視されるようになってきています。医療機関に関係するところで言えば、新薬の開発や新たな治療器具の開発の観点から情報を利用するということも重要視されるわけです。
つまり、情報通信技術の進展により、多様性・多種性・リアルタイム性等の特徴を持った膨大な量の情報を収集・蓄積することが容易になった結果、個人情報を守りながらも、社会全体でこれをうまく利用することでさらなる社会の発展に結びつけるべく、情報を「守る」ことと「利用すること」のバランスが求められていると言ってよいと思います。
⑶ この様な社会情勢の中で、平成29年４月28日、参議院本会議において、「医療分野の研究開発に資するための匿名加工医療情報に関する法律」が可決・成立しました。
この法律は、通称「医療ビッグデータ法」とか「次世代医療基盤法」などと呼ばれています。この法律の最大の特徴は、生の情報の利活用ではな
く、国の厳格な審査を受けた認定事業者が匿名加工した情報の利活用であることを前提に、個人情

平成30年2月1日

北海道医報第1193号

矢吹 徹雄
小田嶋真悟

20

定するために匿名加工情報と他の情報を照合してはならないともされています（医療ビッグデータ法第18条２項、３項。照合禁止義務）。
以上のような義務を課す形で、個人情報を守りつつ、利活用することを目指しているわけです。
⑷ なお、認定事業者から加工された情報の提供を受け、ビッグデータを利活用する機関としては、大学などの研究機関や行政機関、製薬会社、医療機器の開発企業などが想定されているようです。
３ 個人情報保護法の改正と要配慮個人情報という概念⑴ 実は、従来から医療機関の個人情報の取り扱いに関する規範である個人情報保護法でも、第三者への個人データ提供の場面でオプトアウト方式が採用されていました（個人情報保護法第23条第２項）。
これは、本人の求めに応じて第三者への情報提供を停止することとしている場合であって、かつ、事前に、第三者への提供を利用目的とすること、第三者に提供される個人データの項目、第三者への提供方法等の所定の項目を、本人に通知し又は本人が容易に知りうる状態に置いた場合で、個人情報保護委員会に届け出ている場合には、本人が特に拒否しない限り、第三者への提供が可能となっていました。
⑵ しかし、これに関連して、平成29年に個人情報保護法に重要な改正がなされました。
改正個人情報保護法第２条第３項に「要配慮個人情報」という概念が設けられ、要配慮個人情報に該当する情報については、上記のオプトアウト方式の適用はないとされました。
ここで、要配慮個人情報とは、「本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に関する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報」と規定されています（個人情報保護法第２条第３項）。
「病歴」という文言が含まれることからもお分かりいただけると思いますが、医療機関が取り扱う個人情報は、多くの場合これに該当することが想定されます。具体的には、診療録等の診療記録や看護関係記録に記載された病歴、診療や調剤の過程で患者の身体状況、病状、診療棟について医療従事者が知り得た診療情報や調剤情報、健康診断の結果及び保健指導の内容、障害の事実、犯罪により害を被ったものが医療機関を受診した際に知り得た情報などがあげられます。
医療機関が取り扱う個人情報のうち、上記に該当する情報に関しては、個人情報保護法第23条第２項の条件を満たしていたとしても、オプトアウト方式による第三者への個人情報の提供は認められません。
⑶ 以上の個人情報保護法の改正を踏まえて、先ほど説明した医療ビッグデータ法との関係を整理すると以下の通りになります。
つまり、個人情報一般の取り扱いとしては、個人情報保護法第23条第２項の定める一定の要件さえ満たせば、オプトアウト方式による第三者への情報提供が可能（もちろん、条件を満たさない場
合には、これまでの連載で解説したような個人情報保護法第23条第１項が定める場合に当たらない
限り、第三者への提供には本人の個別の同意が必要）ですが、例外的に要配慮個人情報に当たる場合には要件を満たしていてもオプトアウト方式による第三者への提供は認められないということになります。
さらに例外の例外として、要配慮個人情報に該当する場合であっても、提供する相手が医療ビッグデータ法により適法に認定を受けた認定事業者である場合には、オプトアウト方式による認定事業者への情報提供は可能になるということになります。
４ 医療機関に求められる今後の対応とは⑴ 医療ビッグデータ法の適用の下で認定事業者に対して個人情報を提供する場合には、医療ビッグデータ法第30条以下の定める要件さえ満たしていれば、オプトアウト方式により個人情報を提供することができます。
⑵ 医療ビッグデータ法30条以下が定める要件とは、①個人情報を認定事業者に提供すること、認定事業者に提供される医療情報の項目、認定事業者への提供の方法等の所定の事項をあらかじめ本人に通知し、かつ事前に主務大臣に届出をしていること（医療ビッグデータ法第30条第１項）、②
本人から認定事業者への個人情報提供の停止の申し出があった場合に遅滞なく当該申し出があった
旨その他の主務省令で定める事項を記載した書面を交付し、かつこの書面の写しを保存しておくこと（医療ビッグデータ法第31条）、③認定事業者に個人情報を提供した時には、主務省令で定めるところにより、提供した年月日、提供先の認定事業者の名称及び住所その他の主務省令で定める事項に関する記録を作成し保存すること（医療ビッ21

平成30年2月1日

北海道医報第1193号

グデータ法第32条）などが定められています。
⑶ 以上の法が定める要件はいずれも医療機関側の体制さえ整っていれば実践可能なことと思われますし、提供する先も認定を受けた事業者に限られるという意味で明確です。また、提供をしてはならない場合もオプトアウトの意思表示を受けた場合ということで明確ですので、これまでの連載で解説してきた個人情報保護法第23条第１項が定める第三者への個人情報提供の場合のように、個人情報を提供していいのか悪いのか、実質的判断に迷うという場面は少ないと思われます。
⑷ しかし、たとえ適法な個人情報の第三者提供に疑いの余地がない場合であったとしても、提供される側の患者さんの中には、個別の同意なしに個人情報を提供されたことを後日知って苦情を寄せる方がいらっしゃることも考えられますし、加工されて個人が特定できない形になったデータであっても利用されることに拒否感を覚える方もいらっしゃるでしょう。これらに伴うトラブルも発生するかもしれません。

これは、ある意味、オプトアウト方式という方法に必然的に潜むリスクであり、制度がそうである以上、トラブルをゼロにすることはできないのかもしれません。
しかし、先ほど説明した医療ビッグデータ法第30条が定める通知を行う際に、可能な限り丁寧で分かりやすい表現を用いたり、付随して口頭の説明を加えたり、院内の掲示を充実させるなどの工夫により、リスクを減らすことは十分に考えられます。
⑸ 医療機関を利用される方の中には、知的障害をお持ちの方もいらっしゃれば、判断能力の衰えた高齢者の方も大勢いらっしゃいます。これらの方にも十分に理解が可能になるように、工夫することが求められると思います。
個人情報に配慮しつつ、適切な情報の利活用による社会発展に貢献するために、医療機関従事者が果たす役割は、ますます大きいものになるのではないでしょうか。

本コーナーでは、今後取り上げて欲しいテーマについて会員の皆さま方のご意見をお待ちしております。下記宛先にメール・Fax・郵送にてお寄せください。
弁護士法人矢吹法律事務所
E-mail : jimu@yabuki-law.jp
札幌市中央区南１条西12丁目322番地
FAX : 011-271-0564••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••「医 師 資 格 証」を持ちましょう
診療情報提供書等へのＨＰＫＩ電子署名に対応しています＜問い合わせ先＞
北海道医師会事業第一課

TEL 011-231-7661
http://www.hokkaido.med.or.jp/doctor/credential.html
日本医師会電子認証センター
http://www.jmaca.med.or.jp/『医師資格証』はHPKI（保健医療福祉分野公開鍵基盤）の枠組みを使った日本医師会認証局が発行する医師資格を証明するカードです

平成30年2月1日

北海道医報第1193号

22