公表資料

News Release

医療分野の研究開発に資するための匿名加工医療情報に関する法律の医療情報取扱事業者である独立行政法人国立病院機構に対する個人情報の保護に関する法律に基づく行政上の対応について
令和５年７月 12 日

個人情報保護委員会は、独立行政法人国立病院機構に対し、令和５年７月 12 日に個人情報の保護に関する法律第 147 条に基づく指導等を行いましたので、お知らせいたします。

【連絡先】
個人情報保護委員会事務局
監視・監督室
電話：03-6457-9680（代）医療分野の研究開発に資するための匿名加工医療情報に関する法律の医療情報取扱事業者である独立行政法人国立病院機構に対する個人情報の保護に関する法律に基づく行政上の対応について
令和５年７月 12 日
個人情報保護委員会
個人情報保護委員会（以下「当委員会」という。
）は、医療分野の研究開発に資するための匿名加工医療情報に関する法律（平成 29 年法律第 28 号。以下「次世代医療基盤法」という。）の医療情報取扱事業者である独立行政法人国立病院機構（以下「ＮＨＯ」という。）に対し、令和５年７月 12 日に個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。
）第147 条に基づく指導等を行った。
事案の概要、漏えいした医療情報の件数及び個人情報保護法上の指導の原因となる事実等は以下のとおり。
１．事案の概要と当委員会の調査経緯⑴ 事案の概要
本件は、次世代医療基盤法における医療情報取扱事業者である独立行政法人国立病院機構宇都宮病院（以下「ＮＨＯ宇都宮病院」という。
）が、患者番号の管理方法を変更したにもかかわらずＮＨＯに情報共有を行わなかったため、ＮＨＯによりシステムの運用変更がなされなかったこと等に起因し、令和３年 12 月、令和４年４月及び令和５年４月の３回にわたり、ＮＨＯが、次世代医療基盤法第 30 条第１項柱書の通知（以下「通知」という。
） が行われていない患者（以下「未通知患者」という。
）の医療情報を、次世代医療基盤法における認定匿名加工医療情報作成事業者（以下「認定事業者」という。）である一般財団法人日本医師会医療情報管理機構（以下「Ｊ－ＭＩＭＯ」という。）に漏えい（意図せず提供）した事案である。
⑵ 当委員会の調査経緯
当委員会は、令和５年５月 19 日、ＮＨＯから漏えい等報告書（速報）の提出を受け、ＮＨＯに対する調査を開始し、同月 31 日、個人情報保護法第146 条第１項に基づく報告徴収を行うとともに、関係者へのヒアリング等を実施し、事案の解明に努めてきた。同年６月 14 日、ＮＨＯより漏えい等報告書（確報）及び報告徴収に対する報告を受領した。
２．漏えいした医療情報の件数
本件においてＮＨＯが漏えいした未通知患者の医療情報は、25 名分である（令和３年 12 月に未通知患者の医療情報８名分、令和４年４月に同じく６名分及び令和５年４月に同じく 11 名分がそれぞれ漏えいした。
）。
３．個人情報保護法上の指導の原因となる事実⑴ 本件の特性と問題の所在
本件は、個人情報保護法の特別法として制定された次世代医療基盤法上の医療情報取扱事業者（以下「医療機関」という。）が関与する事案である。
次世代医療基盤法においては、本人に対して一定の事項を通知する等の同法に定める手続を履践することにより、提供の停止の求めを行っていない本人に係る医療情報について、①医療機関から認定事業者へ要配慮個人情報である医療情報を提供することができることに加えて、②認定事業者から利活用者へ匿名加工医療情報を提供することができる特例を認めている。医療機関は、個人情報保護法上の個人情報取扱事業者であるところ、多数の患者の要配慮個人情報を含む個人データである医療情報を日常的に取り扱っている。自己の生命身体に関する極めて機微な情報である医療情報を本人たる患者が医療機関に提供する趣旨は、治療のためにこれを包み隠さず伝えることが不可欠であるという特殊性に起因する。すなわち、医療情報は、患者が治療という目的を達成するために選択の余地が極めて乏しい中で提供した情報であるという側面を持っているものであり、当該個人データの性質及びその量からすると、漏えい等が発生した場合のリスクは特に高く、医療機関においてはこれを常に意識し、当該個人データの取扱いに関して個人情報保護法を厳に遵守すること、とりわけ、高い水準の安全管理措置等を講ずることが求められる。
また、医療情報に係る患者本人は、次世代医療基盤法に基づき、医療機関による認定事業者への医療情報の提供の停止を求める権利を有すると

ころ、未通知患者の医療情報が認定事業者に提供されることは、患者本人が医療情報に関して有する権利行使の機会を奪うもの（通知がされていなければ、患者本人は、医療情報が認定事業者に提供されていることを認知できず、権利を有していること自体を認知できない。
）であり、そのような事態が生じないようにする観点からも、とりわけ、高い水準の安全管理措置等を講ずることが求められる。
⑵ 漏えい発生の経緯
ＮＨＯが医療情報を提供するに当たっては、患者番号を基に医療情報を抽出している。
ＮＨＯにおいては、何桁の患者番号を使用するかといった患者番号の運用方法はＮＨＯ各施設に委ねられており、ＮＨＯ各施設において最大 10 桁のうち何桁まで使用するかを決定（又は変更）し、運用方法を変更した場合にはＮＨＯに報告することとなっている。
そして、ＮＨＯ宇都宮病院においては、ＮＨＯに対し、６桁の患者番号で運用している旨の報告を行い、それに基づいて、ＮＨＯは、レセプトデータ収集システムの設定を行い、Ｊ－ＭＩＭＯに提供する医療情報を抽出する運用をしていた。
その後、ＮＨＯ宇都宮病院は、患者数が増加し患者番号が枯渇する懸念が生じたことにより、令和３年８月に、患者番号を６桁から８桁にする変更を行った。
しかし、当該変更について、ＮＨＯ宇都宮病院とＮＨＯの担当者間において正しく情報共有がなされなかったため、ＮＨＯでは、従前の６桁の患者番号により医療情報を抽出する運用を継続した。
それにより、本来抽出すべき患者番号と下６桁の患者番号が一致する別の患者の医療情報が抽出されＪ－ＭＩＭＯに提供された。
４．個人情報保護法上の問題点⑴ 組織的安全管理措置（取扱状況の把握及び安全管理措置の見直し）の不備
患者番号は、患者の氏名等の他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものであるから、個人情報に該当する。さらに、患者番号は、ＮＨＯが管理する「個人情報データベース等」を構成する個人情報であることから個人データに該当する。
ＮＨＯ宇都宮病院は、前記３．⑵のとおり、令和３年８月に、患者番号を６桁から８桁にする変更を行った。しかし、当該変更について、ＮＨＯ宇都宮病院とＮＨＯの担当者間において正しく情報共有されておらず、また、個人データの取扱状況について、定期的に自ら行う点検又は他部署等による監査を実施するといった組織的安全管理措置（取扱状況の把握及び安全管理措置の見直し）が不十分であった。
⑵ 技術的安全管理措置（情報システムの使用に伴う漏えい等の防止）の不備
本件は、前記３．⑵のとおり、本来抽出すべき患者番号と下６桁の患者番号が一致する別の患者の医療情報がＪ－ＭＩＭＯに提供されたものであるが、未通知患者の医療情報が削除されていることをシステム上確認する仕組み等、漏えいを技術的に防止する仕組みが構築されていなかった。
５．個人情報保護法第 147 条に基づく指導及び第 146 条第１項に基づく報告等の求めの内容⑴ 組織的安全管理措置（取扱状況の把握及び安全管理措置の見直し）について
ＮＨＯは、組織的安全管理措置に関し、患者の特定及び情報連携の基本となる患者番号の運用に関し変更があった場合に、速やかにＮＨＯ各施設とＮＨＯとの間で情報共有がなされるよう周知徹底する旨の再発防止策を講じているが、これに加えて、患者番号を含む個人データの取扱状況について、定期的に自ら行う点検又は他部署等による監査を実施すること。
⑵ 技術的安全管理措置（情報システムの使用に伴う漏えい等の防止）について
ＮＨＯは、技術的安全管理措置に関し、ＮＨＯからＪ－ＭＩＭＯへ医療情報を提供するに当たって作成する提供可能患者リストについて、患者番号のみならず、生年月日等の他の複数の情報と照合した上で、患者の医療情報を抽出する仕組み（システム）を導入する旨の再発防止策を講じているが、この既に策定した再発防止策を確実に実施するとともに、システム導入後においても、稼働状況を点検し、未通知患者の医療情報が確実に削除されていることを確認すること。
⑶

上記⑴及び⑵の再発防止策の実施状況について、関係資料を添付の上、令和５年８月 31 日（木）までに報告するよう求める。
以上