「医療情報取扱制度調整ワーキンググループとりまとめ」
に対する意⾒
⼀般財団法⼈情報法制研究所 個⼈情報保護法タスクフォース
板倉陽⼀郎, 加藤尚徳, 鈴⽊正朝, ⾼⽊浩光

2017 年 1 ⽉ 26 ⽇

意⾒ 1
【該当箇所】p.8【意⾒】
本制度が法制化を⽬指している、匿名加⼯情報に加⼯して希望する匿名加⼯情報取扱事業者に提供する事業（以下、「加⼯提供事業」と⾔う。）と、本⼈のためのサービスである EHR 事業とは、情報管理が混同されることのないよう、明確に区別する必要がある。
【理由】
医療情報匿名加⼯・提供機関（仮称）が、加⼯提供事業を⾏うために、医療機関等から⼈々の医療等情報を取得し、複数の医療機関等から集めた情報を突合して分析する（匿名加⼯情報への加⼯の過程で必要となる分析を⾔う。）ことが、本⼈の同意を得ることなく許され得るのは、提供される情報の本⼈を再識別することが改正個⼈情報保護法により禁⽌されており、かつ、分析の結果（分析の過程で得られる情報を含む。）が最終的に統計量に集計されて利⽤されることのみを⽬的としていてこそであろう。
これに対し、本件「とりまとめ」p.8 に記載されている、「また、医療情報匿名加⼯・提供機関（仮称）は、個⼈別の医療等情報の管理に資するよう、本⼈の同意に基づき、各個⼈に最適な医療や健康管理を実現するために医療等情報を個⼈別にまとめて提供できることとする。
」とある EHR 事業は、本⼈を識別して情報を扱う点で、加⼯提供事業とは性質が根本的に異なるものである。
p.8 のこの記載は、加⼯提供事業と EHR 事業とを同時に⾏ってよいとする旨であると理解したが、この 2 つが区別なく混同して⾏われることにはリスクがあり、そのような危うい状況では、加⼯提供事業は安易に許されるべきでない。
性質の根本的な違いとは、具体的には、⼀つには、加⼯提供事業においては、収集する情報に対して「正確性の確保」（個⼈情報保護法 19 条 1 項）はさほど厳格には求められない（なぜなら、加⼯提供事業で取り扱う情報は本⼈に対して何ら影響を及ぼさないことを前提としていることから、本⼈に権利利益侵害をもたらさないからである。）のに対し、EHR 事業では、本⼈に医療等情報をフィードバックすることになるため、⾔うまでもなく厳格な正確性の確保が求められるという点が異なる。
本件「とりまとめ」では、加⼯提供事業において、分析の過程で、個⼈ごとの何らかの属性情報が推定されたとき、例えば、特定の重⼤疾患に罹患するリスクが極めて⾼いと判明したときに、本⼈（⼜は本⼈が受診している医療機関等）に当該情報をフィードバックすることが、この制度において許されるのか許されないのかが明らかにされていない。この点が曖昧なままでは、最終的に統計量に集計することのみを⽬的としているからこそ本⼈同意なく収集・突合・分析することが許されるという、前提が崩れることになる。
他⽅、分析結果を本⼈にフィードバックして、「各個⼈に最適な医療や健康管理を実現する」ことは、EHR 事業として⾏えばよいことであり、加⼯提供事業の中で⾏う必要がない。
以上の理由から、まず、加⼯提供事業と EHR 事業とを明確に区別するべきである。前掲の p.8 の記載は、これらを混同して⼀体的に⾏うことを許すかのような書き振りであり、看過できない。両事業を同じ機関が同⼀システムを共有して⾏うことは認められてしかるべきと考えられるが、ルールの異なる 2 つの事業を同時に⾏うものとして整理し直すべきである。その上で、加⼯提供事業においては、本⼈へのフィードバックは⾏わないことをルールとして定めるべきである。
また、前掲の p.8 の記載は、医療情報匿名加⼯・提供機関（仮称）が、EHR事業も同時に必ず⾏わなければならないことを意味したものではないことを確認したい。
意⾒ 2【該当箇所】p.20【意⾒】
医療情報匿名加⼯・提供機関（仮称）は、安全管理措置として、⽒名・⽣年⽉⽇・住所等を削除した仮名化データのみを保有するべきであり、また、「医療情報等の破棄」を実現するために、情報の提供元である医療機関等で対応表を管理する連結可能匿名化の仕組みを⽤いるべきである。
【理由】
本件「とりまとめ」は、p.20 において、「本⼈が、医療情報匿名加⼯・提供機関（仮称）に対して、医療情報等の破棄（データベースからの消去）を求めることを可能とする。」としているが、削除の要求を受けたとき、どうやって当該本⼈のデータを特定するのか。⽒名・⽣年⽉⽇・住所等の情報を⽤いるということか。また、本⼈確認はどのように⾏うのか。
医療情報匿名加⼯・提供機関が、⽒名・⽣年⽉⽇・住所等の情報を保有するのかも明らかでない。この機関は、健康医療に係る個⼈のあらゆる情報を突合して蓄積することになるから、情報漏洩は重⼤な権利利益侵害を引き起こすという⼤きなリスクを孕むものであるから、安全管理措置の⼀つとして、⽒名・⽣年⽉⽇・住所等の情報を保有せず、仮名化した個⼈データで扱うべきである。
仮名化した個⼈データで扱う場合にも、本⼈からの削除の要求に応じるべきであり、要求された個⼈データがどれであるかを特定するために、情報の提供元となった医療機関等に協⼒を求めることができるようにするべきである。
また、本⼈はどこに削除の要求をすることになるのか。本⼈にとって医療情報匿名加⼯・提供機関（仮称）は遠い存在であって、削除をどこに求めればよいかがわからず、制度に対する不信感を持たれてしまうことが懸念される。本⼈に近い存在は本⼈が診療等を受けている医療機関等であるから、そうした医療機関等に求めることができる体制とするべきである。また、そのようにすれば、必要な本⼈確認は⾃然な形で⾏われることになる。
要求を受けた医療機関等は、その要求を医療情報匿名加⼯・提供機関（仮称）に伝達して、これを受けて削除を実施することになるが、どの仮名化データの削除が要求されているのかを特定するためには、提供元の医療機関等で⽒名等と仮名（識別⼦）との対応表を管理する必要があろう。すなわち、従前「連結可能匿名化」と呼ばれてきた⽅法を⽤いることができるのではないか。
なお、この場合、医療情報匿名加⼯・提供機関（仮称）が保有するデータが、仮名化データとなり、当該機関においては個⼈情報保護法の（保有）個⼈データ（個⼈情報）に該当しないものとなり得るかもしれないが、提供元で個⼈データに該当するものの提供を、本制度の下で受けたものであることを理由に、当該機関においても（保有）個⼈データに該当するものとみなして、本⼈からの開⽰等の請求等への対応を含み、個⼈情報保護法の義務を適⽤する制度とするべきである。
意⾒ 3【該当箇所】p.20 脚注 11

【意⾒】
脚注 11 で、医療情報匿名加⼯・提供機関（仮称）が匿名加⼯情報ではない医療等情報の提供を可能としている理由は、個⼈情報保護法の適⽤除外の考え⽅を逸脱しているのではないか。
【理由】
本件「とりまとめ」は、p.20 において、「医療情報匿名加⼯・提供機関（仮称）は、「原則として利活⽤者に対して匿名加⼯情報を提供することを想定しているが」としつつ、「第三者との関係において、個情法における本⼈の同意を不要とする例外規定や適⽤除外に関する規定等に該当する場合には、当該第三者に対して本⼈の同意なしに匿名加⼯情報ではなく医療等情報を提供することが可能である」としていることについて、脚注 11 は、「⼤学その他の学術研究を⽬的とする機関等（中略）に対して医療等情報を提供する場合には、個⼈情報保護委員会はその権限を⾏使しないこととなる」と、現⾏法 35 条 2 項の規定を⽰している。
しかし、委員会が権限を⾏使しないことは違法性の有無とは無関係である。
委員会が権限を⾏使しないことをもって、違法⾏為を推奨してよいものではない。現⾏法 35 条 2 項は、違法だが個⼈情報保護委員会が執⾏しない、ということを奇貨として、事業として⽇常的に違法な提供を⾏うような状況を想定していない。脚注 11 の記述は、個⼈情報保護法の理解を誤ったものではないか。
意⾒ 4【該当箇所】p.8【意⾒】
医療情報匿名加⼯・提供機関（仮称）は匿名加⼯情報に該当しない統計情報の提供を可能としているのか、明らかにされたい。
【理由】
医療情報匿名加⼯・提供機関（仮称）は、匿名加⼯情報に加⼯して提供し、提供先に匿名加⼯情報取扱事業者としての義務（識別⾏為の禁⽌）が課されることを前提として、そのための情報の取得・蓄積・突合等が認められているものと理解している。では、匿名加⼯情報に該当しない統計情報に加⼯して提供することは、認められるのか、認められないのか、明らかにされたい。
⽠⽣和久編著「⼀問⼀答 平成 27 年改正個⼈情報保護法」（商事法務）によれ
ば、「統計情報については、『個⼈に関する情報』とはいえないことから」として、匿名加⼯情報には当たらないとしている。統計情報に加⼯されると、提供先に匿名加⼯情報取扱事業者としての義務がかからないことになるが、医療情報匿名加⼯・提供機関（仮称）にそのような提供を認めてよいのか。
意⾒ 5【該当箇所】全体【意⾒】
医療情報匿名加⼯・提供機関（仮称）に集中するリスクを低減するため、将来は、暗号を⽤いたプライバシー保護データマイニング技術を導⼊することや、集中型ではない分散型の医療 ICT 基盤を⽬指していくべき。
【理由】
本件「とりまとめ」が提案する構想では、医療情報匿名加⼯・提供機関（仮称）にあらゆる⼈々のあらゆる情報が集められ、突合され、継続的に蓄積されることになる。⼤量のデータ流出といった事故が起きれば、重⼤な権利利益侵害が発⽣することになるから、そのような事態を完璧に防ぐ万全の安全管理措置が計画されているのであろう。しかし、本来は、そうした事故を防ぎ切れなくとも、被害が最⼩化されるような仕組みの構築を検討するべきではないか。
例えば、複数の医療機関等に跨って保有されている同⼀⼈の医療情報等を突合して分析することは、準同型暗号を⽤いたプライバシー保護データマイニング（Privacy-Preserving Data Mining、PPDM）技術を⽤いれば、本件「とりまとめ」が提案するような、データを実際に⼀箇所に集める必要がない。現時点では、そのような技術が実⽤化されていないので、その実⽤化を待たずに、医療情報匿名加⼯・提供機関（仮称）を先に実現していく必要性は理解できるが、将来には、リスクを低減するため、こうした⾼度な技術を導⼊して、情報の集中を避けることも計画していくべきではないか。
また、そうした技術をまだ⽤いることができないにしても、データを分散させて管理する別案もあり得たのではないか。医療情報匿名加⼯・提供機関（仮称）は、データが必要とされる前から、あらゆる⼈のあらゆる分野の情報を集めて準備しておく⽅式であるがゆえにリスクが⾼いが、分野ごとに蓄積されているデータを、必要に応じて医学研究者等が必要最⼩限のデータを集めて突合し、分析を終えたらデータを返却するといった仕組みも考えられ、そちらの⽅がリスクが低いと⾔えるのではないか。そうした別案も検討していくべきではないか。