寄稿

サイバー攻撃を受けた場合の法的責任
改正個人情報保護法との関係と個人データ漏えい時の注意点（後編）中野 進一郎 （弁護士）
2022年4月に改正個人情報保護法が施行された。個人情報などの漏えいが判キュリティーパッチも適用せず、VPN明した場合の法的義務などが新たに定められている。
「ランサムウエア」などに機器の脆弱性を放置していた。

よるサイバー攻撃を受けた場合、医療機関はどのような法的責任を問われる可能性があるのか、弁護士の中野進一郎氏に解説してもらう。

個人データの漏えい等が生じた場合の責任（編集部）

3. 医 療 法 人 と し て の 責 任

内に支払いが確認できなければ、盗設例では電子カルテが毀損されてんだデータを流出させる旨のメッセー

おり、診療録の保存義務 1 違反といっ

1. は じ め にジが表示され、電子カルテや医事会た問題も生じる可能性があるが、ここ計システムを含めた院内のほぼ全て

では民事上の賠償責任に焦点を当て医療機関がランサムウエアによる被のシステムがダウンした（図1）。

る。まず一般に、（1）医療法人の過失害に遭い、個人データの漏えい等がA 病院では、こうした事態に対するにより、（ 2 ）患者の権利が侵害され、生じた場合、法的には誰がどのような計画は策定されておらず、従業員へ（3）それによって患者に損害が生じた責任を負うことになるのか。もちろんの訓練や研修等も行われていなかっ場合には、医療法人は損害賠償責任

実際には個々の事案によるが、この点たため、院内は大混乱に陥った。

を負う2 。そこで設例における上記（1）～（3）について、順番に検討する。

に関してイメージを持っておくことは、その後の捜査により、上記の被害正しい危機意識を持つ上で有用であは、ランサムウエアによるものであり、第 1 に、（1）医療法人に過失（注意ろう。そこで以下では、架空の設例をA病院が昔から利用していたVPN（仮義務違反）が認められるには、その前用いて、医療法人や理事が負う法的想私設網）機器に存在した脆弱性か提として、当該注意義務の対象を予責任について検討する。

ら侵 入したことが 判明した。この見できたといえる必要がある。設例でVPN 機器の脆弱性は従前から指摘さは、Y が使用する VPN 機器にセキュ

2. 設 例

れ、A病院が被害に遭う前にも同様のリティーパッチを当てるべき注意義務

ランサムウエア被害を受けた医療機関があったといえるか、その前提として医療法人 Y が運営する A 病院は、が複数存在していた。JPCERT など

VPN 機器に存する脆弱性を狙ったラ地域における唯一の総合病院で、救の団体も警告を発しており、セキュリンサムウエア被害を予見する可能性急患者の受け入れも行っていた。しティーパッチも公開されていた。

があったといえるかが問題となろう。

かし、2022 年5月のある朝、院内のパY の理事長 Z は、上記のランサムウ

この点では、（株）ベネッセコーポ

ソコンに（1）電子カルテのデータ（約エアによって医療機関で類似の被害レーションにおける裁判例が参考とな

5 万人分の個人情報）を暗号化し、元が発生していたことは認識していたもる。2014 年頃、ベネッセから委託をファイルを盗んだこと、（ 2 ）暗号資産のの、Y では人材や資金の不足もあ受けて個人情報を分析するシステム

で約 3 億円を支払えば、暗号化されたり、対策を確認・強化することはなの開発・運用等をしていた業者の業務データを元に戻し、盗んだ元ファイルかった。従って VPN 機器の脆弱性に委託先の従業員が、私物のスマートも削除すること、（3）逆に所定の期間ついても認識しておらず、上記のセフォンを業務用パソコンと USB ケー

72

NIKKEI Health care

July 2022

図1◎設例（A病院がランサムウエアの被害を受けたケース）●

ブルでつないでデータを転送する方法によって、個人情報を不正に取得し名簿業者に売却した（外部に漏洩さ●●

VPN（仮想私設網）装置の脆弱性を利用され、院内ネットワークへの侵入を許す
電子カルテや医事会計システムなどがランサムウエ
アに感染し暗号化され、使用不可能に電子カルテから 5 万人分の個人情報が暗号化して盗み出され、解除に3 億円の身代金を要求せた）という事件が発生した。
この事件では、自らの個人情報が漏えいしたことが疑われる者が原告と医療

A 病院

院内LAN
医事会計システム

VPN（仮想私設網）装置

電子カルテ（患者情報）

脆弱性

なり、ベネッセや受託業者を被告としインターネット

5 万人分の個人情報を暗号化して盗み出す

ランサムウエアて複数の裁判を起こしている。その裁判の一つでは、本件以前に同様の不正取得の事例がないこと、本件以前名・性別・生年月日・郵便番号・住所・れる場合があることからすれば 7 、患に同様の不正取得の危険性を指摘し電話番号・ファクス番号・メールアド

者が自らの個人データの漏えい等がた公表資料が存在しないこと、行政レス・出産予定日または保護者の氏名生じたことを認識する可能性が高く、機関その他の団体が設定した基準等が漏えいした事案において、1 人当たYが上記の損害賠償を請求されるリスが存在しないこと等を挙げて、ベネッ

り 3000 円の慰謝料を認めている。他

クは現実的なものとなっているといえ6

セらが上記行為を予見する可能性はの裁判例 では、漏えいしたデータのなかった旨を判断している（2018年12秘匿性なども損害額算定の根拠とさよう。

設例の場合、Yでは、人材・資金不センシティブな情報が含まれる電子カ

4. 理 事 の 役 員 責 任足等もあり、理事長 Z は VPN 機器のルテ情報が漏えいした場合、1 人当た医療法人と役員との関係は、委任脆弱性について認識していなかった。

り 3000 円を超える損害額が認められに関する規定に従うため 8 、医療法人

もっとも、実際に同様のランサムウエる可能性も否定できない。の理事は医療法人に対して善管注意3。
月27日東京地裁判決 ）

れていることを踏まえると、病歴などア被害に遭った医療機関が複数存在

仮に設例において、1 人当たり5000義務を負う 9 。また、医療法人の理事したこと、業界団体から警告が出され円の損害額が認められた場合、Y はは、法令および定款等を遵守し、医ていたこと、本件以前から VPN 機器

合計 2 億 5000 万円（5000 円×5 万人）療法人のため忠実にその職務を行わの脆弱性が指摘され、セキュリティーの損害賠償債務を負担することにななければならないとされている 10 11 。

パッチが公開されていたこと等を踏まる。2022 年 4 月から施行された改正こうした善管注意義務や忠実義務のえると、これらの被害を予見すること

個人情報保護法の下では、ランサム具体的な内容として、医療法人の理ができなかった（予見可能性がなかっウエア等により個人データが暗号化さ事には、医療法人の事業の規模や特た）とはいえず、過失がないと判断され、復元できなくなった場合、本人に性等に応じたリスク管理体制（いわゆれる可能性は乏しいであろう。

対して通知等を行うことが義務付けらる内部統制システム）を整備する義務

1 医師法 24 条 2 項等
2 ここでは便宜上不法行為に基づく損害賠償請求（民法 709 条）のみ検討する
3 判タ 1460 号 209 頁。これに対し、控訴審の 2020 年 3月 25 日東京高裁判決では、情報管理に関する社会一般の認識等に照らし、予見可能性を肯定している
4 なお、設例では、ダークウェブなどで盗み出された電子カルテのデータが公表されていることは確認されていないが、攻撃者によって一度元ファイル（電子カルテデータ）が窃取されている時点で、「漏えい」に該当する（本誌 2022 年 4 月号「医療機関のサイバーセキュリティー」表 2 参照）
5 上記の通り、この裁判例では、予見可能性が否定されてベネッセの責任については否定されているが、受託業者については使用者責任（民法 715 条）を肯定したうえで、損害額に関する判断を行っている
6 例えば、住民基本台帳データの不正流出に係る慰謝料の額を 1 万円としたものとして 2001 年 12 月 25 日大
阪高裁判決、ジュリスト臨時増刊1224 号 8 頁等
7 個人情報保護法 26 条 2 項
8 医療法 46 条の 5 第 4 項
9 民法 644 条
10 医療法 46 条の6の4 、一般社団法人及び一般財団法人に関する法律（以下、「一般社団法人法」という）83 条
11 理事長に対する責任追及としては、別途不法行為に基づく損害賠償請求（民法 709 条）も考えられるが、ここでは立ち入らない

第 2 に、（2）患者の権利侵害についてだが、患者の病歴等のセンシティブな情報が記載されている電子カルテ情報が漏えいした場合、患者のプライバシー権が侵害されたと判断される可能性が高いであろう 4 。
第3に、（3）患者の損害に関しては、金銭評価が問題となる。上記の 2018
年 12 月 27 日東京地裁判決 5 では、氏J ul y 2022

N I KKEI Hea l t hcare73

表1◎安全管理措置の内容
内容

具体例

組織的安全管理措置

個人データを取り扱う従業者が複数いる場合、責任ある立場の者とその他の者を区分する

人的安全管理措置

個人データの取り扱いに関する留意事項について、従業者に定期的な研修等を行う

物理的安全管理措置

個人データを取り扱うことができる従業者および本人以外が容易に個
人データを閲覧等できないような措置を講ずる

技術的安全管理措置

個人データを取り扱う機器等のオペレーティングシステムを最新の状態に保持する個人データを取り扱う機器等にセキュリティー対策ソフトウエア等を導入し、自動更新機能等の活用により、これを最新状態とする※個人情報の保護に関する法律についてのガイドライン（通則編）を元に作成

全管理措置や人的安全管理措置を講じていなかったのであれば、医療法人
Y において法令遵守体制を整備しなかったことにつき、悪意または重過失があると評価される可能性がある。そうなれば、Y のみならず、理事長 Z 個人としても、個人データの漏えい等に対する賠償責任を負う可能性がある。

この内部統制システムを構築（整な内容としては、個人データの適正な5. 小 括備）する義務の具体的内容について取り扱いを確保するための基本方針

以上の通り、設例では、医療法人

は、会社法や一般社団法人法と異なの策定や、個人データの取得、利用、Y のみならず、理事長 Z においても、り 、医療法には明確な定めはない。

保存等を行う場合の基本的な取り扱

個人データの漏えい等によって生じた

もっとも、医療法人といえども、法令い方法にかかる規律を整備するほか、患者のプライバシー権侵害にかかるに従って運営されるべきことは当然で表 1の点が挙げられている。より詳細

損害を賠償する責任を負う可能性があるから、医療法人の経営を担う理は、「個人情報の保護に関する法律にある。

事においては、少なくとも法令遵守体ついてのガイドライン（通則編）」の制構築義務は認められよう。そして、「（別添）講ずべき安全管理措置の内医療法人の理事が、こうした内部統容」における「中小企業規模事業者に医療機関が講ずべき対応制システム構築義務（法令遵守体制おける手法の例示」を参照されたい。

こうしたランサムウエア被害等に対構築義務）に違反した場合は、医療法設例における医療法人 Y ではどうし、医療機関としてはどのように対処人に対し、これによって生じた損害をだろうか。Y で使用されていた VPNするべきか。ここでは 2 つの観点から賠償する責任を負うほか 、上記義務機器は、脆弱性が指摘された古い状検討したい。

違反につき悪意または重大な過失が態のままで、技術的安全管理措置は第 1 に、短期的には、医療機関におあったときは、当該理事等は、これに講じられていなかった。また従業員にけるランサムウエア被害が現実的なリ

よって第三者に生じた損害を賠償す

対する研修もなく、人的安全管理措スクとなっている以上、これに対する置も講じられていなかった。こうした技術的な予防策を講じる必要がある。

ところで医療法人は、個人情報保状況からすれば、Y は個人情報保護

ランサムウエア対策を含めた医療機関護法上の個人情報取扱事業者に該当

法 23 条に定める安全管理措置に違反のサイバーセキュリティーについてし、その取り扱う個人データの漏えしていたと判断される可能性は高い。

は、昨今の被害状況を受けて、厚生い、滅失または毀損の防止その他のZ としても、セキュリティー対策の労働省「医療情報システムの安全管個人データの安全管理のために必要必要性を認識していながら、人材や理に関するガイドライン第 5 . 2 版」

かつ適切な措置を講じなければなら資金不足を理由に、上記の技術的安（2022 年 3 月）が公開されたほか、「医があると解される可能性がある 12 。

131415る責任を負う 。

ない 16 。この安全管理措置の具体的療機関のサイバーセキュリティ対策
12 同様に、株式会社に対して善管注意義務・忠実義務を負う取締役は、善管注意義務・忠実義務の具体的内容として、会社に対する内部統制システム構築義務を負う（ 2000 年 9 月20日大阪地裁判決、判時 1721号 3 頁等）
13 会社法 362 条 4 項 6 号、会社法施行規則 100 条、一般社団法人法 90 条、一般社団法人法施行規則14 条

74NIKKEI Health care

July 2022

14 医療法 47 条1 項
15 医療法 48 条1 項
16 個人情報保護法 23 条
17 個人情報保護法 35 条 5 項
18 個人情報保護法 33 条1 項・2 項
19 個人情報保護法 32 条 1 項、個人情報保護法施行令
10 条

チェックリスト」（厚生労働省、2022年 3 月）、
「医療機関向けランサムウエ
ア対応検討ガイダンス」（一般社団法人医療 ISAC 、2021 年 12 月）など、

医療

これらを読み込みつつ、オフラインでその他の法改正事項

保有個人データに関する一定の事項のバックアップデータの管理や、ベン

以下では、本誌 2022 年 4 月号「医を本人の知り得る状態に置く（本人のダ ーとの 協 議を踏まえたセキュリ療機関のサイバーセキュリティー」で求めに応じて遅滞なく回答する場合をティー対策の確認・強化といった対応触れられなかった他の改正事項のう含む）義務があるところ、その対象がを講じることは急務といえる。

ち、医療機関に関係する可能性が高追加された。すなわち、改正後は、個いと思われるものを3点紹介する。

人情報取扱事業者は、保有個人デー

有用な指針が次々に公表されている。

第 2に、中長期的には、今後の医療第 3 に、個人情報取扱事業者は、機関経営において、個人情報に関す

第 1 に、個人情報取扱事業者の保タに関し、（1）個人情報取扱事業者のるリスクが重要な経営リスクとなって有個人データについて、本人が利用氏名または名称、（ 2 ）個人情報取扱いることを認識する必要がある。今停止・消去・第三者提供の停止を請求

事業者の住所、（ 3 ）個人情報取扱事

後、業務の効率化や高度化に伴い、するための要件が緩和された。すな業者である法人の代表者の氏名、（4）

医療機関の業務はますます IT 化する

わち、改正前では本人は個人情報取全ての保有個人データの利用目的、ことが予想される。これに伴い個人情扱事業者に対し、データの利用停止（5）権利行使に応じる手続き（手数料報の漏えい・毀損等のリスクは不可避や消去の請求ができるのは、目的外利の額を定めたときの手数料額を含む）、的に増大する（例えば、医療機関間で用・不正取得の場合に限定されてお（ 6 ）保有個人データの安全管理のたの電子データのやり取りが増加すれり、第三者提供の停止請求ができるめに講じた措置（表 1 参照）、（7）保有ば、マルウエアの拡散被害等がますのは第三者提供義務違反の場合に限個人データの取り扱いに関する苦情のます増加することも考えられる）。

られていた。

申出先等が、「本人の知り得る状態に置く」べき事項になっている 19 。

昨今生じているランサムウエア被害

しかし、今回の改正で、重大な漏も、こうした大きな流れの中で、個人えい等が発生した場合、その他本人

上記の通り、これには「本人の請求情報漏えい等のリスクが顕在化したの権利または正当な利益が害されるに応じて遅滞なく回答する場合も含17一例と位置付けることができよう。そおそれがある場合にも拡充された 。

む」ため、必ずしもプライバシーポリの意味では、医療機関においては、設例のように、実際に重大な漏えい等シーの策定といった形で事前に公表

単にランサムウエア被害に対する技が生じた場合はもとより、個人情報保する義務はないものの、実務では多く術的な予防策を場当たり的に講じるだ

護に関する安全管理措置を十分に講の企業がプライバシーポリシーを策けではなく、経営層を中心として、医じておらず、本人を識別する保有個定・改訂し、今回の個人情報保護法

療機関全体で、個人情報に関するリ人データが漏えい等するおそれがあ改正に対応している。前記の通り、医スクを認識し、法令遵守意識を高める場合にも、原則として、本人からの療機関が個人情報に関するリスクを中ていく必要があろう。

利用停止・消去・第三者提供の停止の長期的な経営リスクとして認識する必そのためには、上記の安全管理措請求に応じる義務を負うことになる。

要があることを踏まえると、今回の改置でも挙げられているように、個人情第 2に、保有個人データの開示方法

正法を機に、プライバシーポリシーの報保護に関する基本方針や内部規程は、改正前は原則として書面の交付策定のほか、情報セキュリティー体制の策定や、個人情報保護に関する定によるとされていたが、改正後は電磁を整備することが望ましい。

期的な従業員研修の実施等が重要で的記録の提供を含め、本人が指示である。こうした対応が未了な医療機関きるようになった 18 。従って、医療機においては、今回の個人情報保護法関が患者から電磁的記録による診療改正を 1 つの機会として、対応を始め録（カルテ）の開示請求を受けた場ることを推奨したい。サイバー保険へ合、原則としてこれに応じる必要があ加入することも要検討であろう。

る点には留意が必要となろう。

中野 進一郎（なかの・しんいちろう）（弁護士）
2008 年ラ・サール高校卒、2013 年東京大学法学部卒、2015 年弁護士登録。著書に『ヘルステックの法務 Q&A［第 2 版］』（ 2022 年 6 月、商事法務）（共著）、『プラットフォームビジネスの法務［第２版］』（ 2022 年1月、商事法務）（共著）など。

J ul y 2022

N I KKEI Hea l t hcare75