2022 年度

産学連携実務のための契約についてのケーススタディワーキング議事録【テーマ】『改正個人情報保護下における医療情報利活用の留意点』
2023 年 1 月 27 日（金）14:35 ~ 15:30
Zoom によるオンライン開催【参加状況】■モデレーター：飯田香緒里（medU-net 事務局長/東京医科歯科大学副理事オープンイノベーションセンター長・教授）■ゲストスピーカー：弁護士・弁理士

寺澤幸裕先生（モリソン・フォースター法律事務所）

申込数

当日出席

26

24

モデレーター

ここからは medU-net のケーススタディワーキングということで、皆様からあらかじめいただきました質問や疑問に対して寺澤先生にお答えいただ
くような場面になります。通常はケーススタディワーキングということで、各大学さんが持たれている対応方法などをディスカッションする場なのですが、個人情報保護法下の医療情報の活用については、まだモデルとなる回答を持っている大学さんも多くはないと理解していますので、そういった観点で、専門家でいらっしゃる寺澤先生にお話をいただきたいと思っています。
一方で、各大学さんで対応方法が何かあれば、ぜひその場で適宜コメン
トをお寄せいただければと思いますので、よろしくお願いします。
早速ですが、文字数をたくさん書いてくださっている方が多いので、ボールドにするなり、少しめりはりをつけた形のスライドにしているので、私の方でお示しをさせていただいています。
1 問目からいきたいと思います。
ご質問をお寄せいただいた方で、差し支えない範囲で補足説明などがあれば、せっかくの機会なのでお知らせいただければと思います。
よろしくお願いします。

一つ目からです。近年、AI 研究・開発の増加に伴って、患者様の名前やID などの削除や仮 ID の付与を行って、特定の個人が識別できないように加工した CT などの医療画像（DICOM 画像）を企業に提供する場合が増えています。企業からは「個人情報保護法を遵守すること」が求められています。
そこで、個人を識別不能にした DICOM 画像の改正個人情報保護法下における分類をお伺いしたいということでいただいています。
続けて申し上げると、一般に特定の個人が識別できないようにした情報は、匿名加工情報か仮名加工情報に該当するものと認識していますが、他方で人指針のガイダンスの 36 ページには、「MRI・CT 画像は、個人情報に該当しない場合は、個人関連情報に該当する」との記載があります。個人が識別不能な DICOM 画像は、匿名加工情報や仮名加工情報にはならず、常に個人関連情報に該当するものでしょうか。もしくは、個人関連情報に該当するのは何かしらの特殊なケースのみなのでしょうか、ということでご質問をいただいています。上と下に分けてご回答をいただければと思います。寺澤先生、いかがでしょうか。

寺澤先生

まず質問 1 の方の分類です。DICOM 画像を企業に提供する機会が増えており、企業からは個人情報を遵守することが求められていますと。個人の識別不能にした DICOM 画像の改正個人情報保護法下における分類です。
まず分類というところで言うと、DICOM 画像情報というのを私の理解しているところで言うと、レントゲン画像等の情報もそうですが、つまりタグ情報、標準タグとプライベートタグというものがあって、標準タグには患者の氏名や性別、生年月日などの個人情報が含まれている部分。それからプライベートタグというので、特定の情報で処理したパラメーター情報などの特異性情報。そういうものが DICOM 画像の中に含まれていると理解しています。

1

この分類のところで、まずは DICOM 画像の全体で言うと、これ自体は個人情報になりますが、その中から特定の個人が識別できないように加工すれば、それが匿名加工情報か仮名加工情報になるという位置付けになると思います。つまり、個人を識別不能にした DICOM 画像の改正個人情報保護法における分類という意味では、ほとんどは仮名加工情報か匿名加工情報になろうかと思います。
下の方の、個人情報に該当しない場合は、個人関連情報に該当するとあるのですが、今申し上げた分類からすると、私は個人情報に該当しない場
合は、ほとんどの場合が匿名加工情報か仮名加工情報になって、個人関連情報に該当する場合はかなりレアなのではないかと思います。
個人関連情報に該当する場合はどういう場合かというと、患者様から最初から個人を識別することができる情報を何も取らずに資料だけを取る。
例えば画像を撮るという場合には、それは個人関連情報に該当する場合があると思います。ただ、そのような場合が実際にあるのかどうか。例えば治療目的であれば、個人情報は必ずそこに付いているだろうし、研究目的だとしてもインフォームドコンセントが必要なので、個人情報はそこにひも付けされるはずだと思っています。
そうだとすると、MRI や CT 画像を撮った当初に、個人を識別する情報が付いていないことが存在するのであれば、それは個人関連情報に該当する可能性はあると思いますが、通常は該当しない場合が多いのではないかと思っています。お答えになっているでしょうか。

モデレーターありがとうございます。ご質問された方、大丈夫でしょうか。ケーススタ
ディワーキングは、できれば皆さん差し支えない範囲で画面を ON にしてご参加いただけると顔が見えていいのではないかと思うのでよろしくお願いします。ご質問くださった方、いかがでしょうか。

質問者 1

これをご質問させていただきました。ありがとうございます。質問内容としてはお答えいただいた範囲で私としては理解できました。

2ちなみに、大学としては今までは「個人を識別不能にした」という文言を契約書に書いていて、割と法律上今まではあいまいにしていたのですけ
れど、この間ある企業から、これは何の情報にあたるかをディスカッションする機会があり、こういったことが表面的になってきて疑問に感じていています。
本学の倫理委員会からは下の質問の、「個人情報に該当しなければ個人関連情報に該当する」という文言をもって個人関連情報として扱ってくださいということを言われてはいました。
先ほど先生にもご教示いただいたとおり、法律上は匿名加工情報か仮名加工情報になるのではないかと、個人的には疑問に思っていたので、今回ご教示いただいて大変助かりました。ありがとうございました。

モデレーターありがとうございます。これについて何か他にご意見がある方はいらっしゃいますか。挙手をいただければご指名します。また後で質問を戻っても構わないのでお願いします。
それでは二つ目、この質問をお寄せいただいた方は今日はご欠席です。
インフォームドコンセント時に電子的に取るケースがあるかと思います。
その際に、この病院では電子的インフォームドコンセントを取得するシステムがないので、他社のシステムで取ることになっていると。そのときに被験者様の個人情報が出てしまいます。こういったときはどのような対応を取ったらいいのでしょうかというテクニック的なことのご質問をいただいているのですが、いかがでしょうか。

寺澤先生

まず他社のシステムで取ることになり、被験者様の個人情報が出てしまいますというのが、どういう場面なのか正確に私が理解しているか心もとないのですが、もしこれが当該システムを保有する、あるいは当該システムを提供している第三者である他社に個人情報が開示されてしまうという意味であるとするならば、他社がシステム提供会社なのか分からないですが、その他社をご質問いただいた方の委託業者と考えて、個人情報の取り扱いに関する契約、業務委託契約を締結して、相手方に対して個人情報の管理をしっかりとさせ、また提供した側も取り扱いについて管理、監督できるように契約書をきちっと締結しておく。

3

これで個人情報保護法上は対応できることになります。
もう一つの方法としては、もしこういうことが可能であればということで、他社のシステムで取ることになりというところですが、他社のシステムで取るには取るけれど、他社の従業員の方がこの個人情報にアクセスできないような技術的な措置が取られているのであれば、もちろん同じような契約は締結しなければいけないのですが、他社の役職員が個人情報へアクセスすることを禁じるような規定を入れて、さらに技術的にもアクセスを禁止するような措置を取ることによる対応ができるのではないかと思っています。技術的にそういうことができるのかどうか、あるいはそういう場面があるのかどうか分からないので、もしそういうことがないのであれば、最初に申し上げた業務委託契約を締結し、きちんと管理・監督をしていくことになるのかと思っています。

モデレーターありがとうございます。こちらは質問された方はいらっしゃらないのですが、何かこういった事例で迷われている方はいらっしゃいますか。おそらく業務委託の契約はしっかり結んでやられているのではないかと推察しているところです。ありがとうございます。
では三つ目の質問に移りたいと思います。こちらの質問をお寄せくださった方はお名前など出せないと思いますが、ご質問をご紹介していきたいと思います。
本学の研究室を閉めるに伴って、当該研究室が収集した医療情報を研究室メンバーの転出先の機関（大学や医療法人）に移転したいという希望があった場合、大学の倫理委員会での承認を得ることが前提として、研究室メンバーの転出先の機関に対し、当該データに係る所有権を移転することは、個人情報保護法との関係で可能でしょうかと。
もし可能な場合は留意すべき事項があるか。所有権譲渡後も、なお個人情報保護法との関係で、元の大学として引き続き何らかの義務を負うのかどうなのか。また、転出先の機関から第三者への利用許諾も可能であるか。
特に、当該第三者機関での倫理委員会承認を得ている前提かどうかというところです。

4

また、患者さんや被験者さんからの同意撤回への対応は誰がするのかというところで、情報移転前に大学がオプトアウトすれば、移転先の機関が行うとすることは可能かということでいただいています。いかがでしょうか。

寺澤先生

質問が多岐にわたっているので順番にご説明させていただきます。
まず一番目の研究室メンバーの転出先に対して、当該データに係る所有権を移転することは、個人情報保護法との関係で可能かというご質問です。
最初に申し上げたいのは、データに所有権というものはないので、所有権の移転という概念は、法律上はないことになります。ただ、管理を移転することはもちろん可能です。これはデータに関する管理を移転すると読み替えて話をしたいと思います。
データに関係する管理を移転するというところは、個人情報保護法との関係では、もちろん対象となるご本人全員からの同意が得れれば可能ですが、そのようなことはおそらくできないと思います。できない、あるいは困難な前提で考えると、可能かどうかというところで言うと、可能です。
ではどういう理由で可能にするかというと、これは先ほどのセミナーの中でもお話ししました共同利用という構成をすることによって基本的には可能です。ただ、今回の場合は転出元はもう利用はしないと思います。基本的には共同利用という形を取ることによって、つまり共同利用契約をきちんと締結して、第三者に対して転出先に対してきちんとした責任を負担してもらうことによって、共同利用の立て付けで移転ということは基本的には可能かと思っています。
その場合には共同利用する前に、共同利用先の名称や共同して利用するデータの項目や利用目的、転出先が個人データの管理に関して責任を負うような旨を記載したものを、皆さんに分かるように通知するか、あるいはプライバシーポリシー等で容易に知り得る状況に置くことが必要になってきます。なので、そのようなことをすることによって、基本的には可能という理解でいいかと思います。
二番目の可の場合に留意すべき事項はあるかということですが、今私が申し上げたように、きちんとした共同利用に関する手続きの一つしては、先ほど申し上げたような項目です。共同利用するデータの項目。

5

共同利用する場合の利用目的。共同利用する範囲、今回で言うと転出先の大学の名称、あるいは医療機関の名称、そこで誰が責任を負うのかという辺り。住所、連絡先。そういうものをプライバシーポリシー等に記載した上で、さらに共同利用契約を締結して、問題があったときに誰が責任を負うのか、管理責任は誰が負うのか、利用目的はどうするのかというような契約書をきっちりまいていく。そういうことが必要になってきます。
この所有権譲渡後も個人情報保護法との関係で、本学として引き続き何らかの義務を負うかということですが、共同利用という立て付けを取る必要があるので、その意味では何らかの責任を本人に対して負うことはあり得ます。患者さんとの間で、全く責任を免れることは基本的には難しいだ
ろうと思います。
ただ、この共同利用契約の中でもし何かあったときには、転出先で全て責任を負ってくださいという形で、免責条項と言いますが、何か問題があったときにはそちらで責任を負ってください、うちには迷惑を掛けないでくださいというような契約書をきちんとまいておくことによって、リスクを回避することは可能かと思っています。
それから、転出先機関から第三者への利用許諾も可能であるかということですが、転出先から第三者への利用許諾も、先ほど申し上げたように利用許諾が共同利用の範囲にあたるような場合。あるいは転出先機関が大学などの研究機関で、研究利用目的で使う場合にはいいでしょう。でも事業目的、例えば薬の開発の目的などの場合には、利用許諾は基本的には共同研究をする場合以外は難しいと思います。
同意撤回の対応ですが、情報移転前に本学がオプトアウトすればという意味が私にはちょっとよく分からないのですが、基本的には他の研究機関に既存資料や情報提供をしようとする場合に該当するのであれば、個人情報保護法上の問題とは別に、第三者提供することについてインフォームドコンセント等で取得し、同意内容の記録保存することになるとは思います。
これは資料等取得した当時、そういうことがなされているはずだと思っていますし、提供するときには、「生命科学倫理指針」によれば第三者提供することについて、インフォームドコンセントを口頭で取得し、同意内容の記録保存をすることが必要になってくると思います。

6この同意撤回の対応ですが、転出元としては何ら管理権限もないことになるので、移転するときにインフォームドコンセントを口頭で取得し、同意内容の記録保存をするときに、同意の撤回についても新しいところでお願いしますということを告げていくことになろうかと思います。もしそういうのが難しいのであれば、倫理審査委員会の意見を聞いた上で、対応を検討することになるのかと思っています。

モデレーターありがとうございます。こちらの質問に関して何かご意見・ご質問がある方はいらっしゃいますか。
では、同じ方からの質問の二つ目になるのですが、データの所有権に関する学内の規則を整えるにあたり参考にさせていただきたく。個人情報を含むデータを研究者が収集した場合、そのデータの所有権は個人情報保護法との関係上、研究者個人ではく、研究者の所属法人に帰属とすることが必須であるか。先ほどの回答にあったと思いますが、念のため寺澤先生からお願いします。

寺澤先生

データの所有権がないのは先ほど申し上げたとおりなのでそれを置いておき、管理権限というものはあると思いますので、この場合のご質問としては管理権限というものを本人とすべきか、それとも研究者の所属法人に帰属することが必要なのかということだと思います。
これは個人情報保護法上どちらにしなければいけないのかは、実は規定がないです。なので、これはどちらでも基本的には法律上は可能です。
ただ、実務上どう考えるかというと、これは研究資料を提供いただいた患者様がどう考えるかをまず考える必要があるかと思います。その意味では、情報の取得を研究者個人が個人としての資格で行ったといえるのかどうか。
あるいはそうではなくて、大学に所属する医師、あるいは大学の研究者として行ったのかどうか。これによって変わってくるかと思います。
もし前者の個人で行ったのだとしたら、個人でこの管理権限を持つことも可能だと思います。ただ、その場合には、これは個人でやっていることを患者様にきちんと伝えなければいけない。

7

通常はおそらく研修者の所属する研究機関の研究員、あるいは研究機関の医師として行うことが多いと思うので、その場合には患者様視点で言うと、やはりそれは研究者個人に与えたものというよりは、研究機関なり病院なりにご提供したものという認識があるのだろうと思います。
その場合には管理権限は大学病院であれば大学病院、大学であれば大学に帰属させることが適切であろうと思っています。

モデレーターありがとうございます。先ほどのオプトアウトのことについてコメントを寄せていただいています。オプトアウトについては、臨床研究の分野では、研究計画を公表し、オプトアウトの申し出を受け付けられるようにすることをオプトアウトと言っていると思いますとコメントをいただいています。
先ほどの話だと、オプトアウトに関しては、もともと移動先の方でオプトアウトの申し出を受け付けられることを、あらかじめ患者さんや被験者さんにお伝えしておけば、移転先機関で対応することが可能という回答だと先生の方から理解したのですが、そういった形でよろしいですよね。

寺澤先生

オプトアウトをもう一回説明していただいてもよろしいですか。

モデレーター

臨床研究の分野では、研究計画を公表し、オプトアウトの申し出を受け付けられるようにすることをオプトアウトと言っていると思いますということで、もしよろしければコメントなどいただければと思います。声を出せ
そうであれば。

質問者２

こんにちは。オプトアウトするという言葉を頻繁に言うのですが、なかなか分かりにくいと私も思っていたところです。どうやらやっていることから、今書いたとおりですが、オプトアウトの申し出を受け付けられるようにすることをオプトアウトするとみんな言っています、そういう理解です。

寺澤先生

オプトアウトの申し出というのは、どういう。個人情報保護法でいうところとのオプトアウトとはたぶん全然違う意味だと思うので。

8質問者２

なるほど。臨床研究に参加する人が研究に参加することに対して同意するたいとか、自分の情報を除外してほしいというわけですが、そのことをオプトアウトと言っていると思います。それは個人情報保護法のオプトアウトとはまた別になりますか。

寺澤先生

オプトアウトはその意味では一緒です。明確にはちょっと違いますが。
個人情報保護法上のオプトアウトは、もう同意があったものとして動いてしまう。同意を取らなくても同意があったものとして動くのだけど、後から患者さん本人が嫌だと言った場合には、嫌だといったことに対してきちんとやらなければいけない。これがオプトアウトです。
なので、同意撤回をオプトアウトだとすると、そもそも個人情報保護法上のオプトアウトは同意を最初から取らない。取らないけれど、取った前提で動いている状況をやめてくださいという意思表示をオプトアウトと言うんですね。

質問者２

であれば、 私の説明がおかしかったのかもしれないですが、先生のおっしゃるオプトアウトと同じことだと思います。

寺澤先生

その場合、本学がオプトアウト、個人がではなくて本学がというところは、
これはどう理解すればいいのでしょうか。

質問者２

オプトアウトの手続きをする意味かなと思いますけれども、だいたいそのように簡単に表現することが多いです。

寺澤先生

分かりました。

モデレーター

たぶん、これは同意の撤回の対応を誰がするかという話かと思います。最終的にそういう申し出があったときに、移転元ではなくて移転先で同意撤回された情報を対象から外す処理をどちらがするかという話なのかと

寺澤先生

そうだとすると、さっき申し上げたような形でいいのかなと思います。

9モデレーター

ありがとうございます。
では続きまして四つ目の質問に移ります。大学病院で収集した病理画像を含む医療情報をデータベースあるいは著作物として知財化したいと思います。前向きの臨床研究として研究機関の長の許可（倫理審査委員会の承認）に基づき、インフォームドコンセントを取得するのであれば可能かと思いますが、既存の医療情報を匿名加工することにより使用することは可能でしょうか。そのためには何が条件となるでしょうか。また、仮名加工ではどうでしょうか、ということでいただいています。

寺澤先生

ここも知財化するという意味は、おそらく第三者提供するとかライセンスするとかそういうことを考えているのかと思います。
データベース化すれば著作物として知財化することも可能だと思うので、知財化する場合には、自分で持っているというよりは第三者提供したいとかライセンスしたいという意味だと理解しています。
つまり、知財化したい場合には匿名加工することにより使用することは可能でしょうかという質問に対しては、それは可能ですということになります。
そのためには何が条件になるかと言うと、これは医療情報なので、認定
匿名加工医療情報作成事業者に対して医療情報の加工をお願いすることになりますし、ご本人に対してはこういうところに匿名加工をしてもらう通知をしていくことが必要になってくると思います。
法律上は、これは先ほどスライドの中で私も申し上げましたが、スライドの 7 ページになると思います。本人またはその遺族が提供を拒否しない場合で、一定の事項を本人に通知し、主務大臣に届け出た場合には、認定
匿名加工医療情報作成事業者に対して医療情報を提供することができるというのが 30 条に書いてあります。それに従って提供して、匿名加工をしてもらうことになります。
それから仮名加工ではどうでしょうかというところですが、現時点では少なくとも仮名加工情報は第三者提供ができないので、これは難しいということになります。

10先ほどちらっとお話しした次世代基盤法の改正が今進んでいて、次世代基盤法の中で仮名加工情報を匿名加工情報よりも簡易な方法で仮名加工して、第三者提供することが議論されているので、将来的には仮名加工情報でもできることになろうかと思っています。

モデレーター

こちらご質問された方、いかがでしょうか。

質問者 2

よく分かったのですが、少し重ねて確認したいのですが。
医療情報は要するに電子カルテに入っているのですが、匿名加工を正しく理解しているかということが結局は問題なのですが、電子カルテにはいつまでもデータが残ります。ということは、画像データなどは電子カルテと突き合わせれば、誰の情報かが分かってしまう可能性が高いです。
そういった場合、そういうものだとして実際に匿名加工することができるのかどうかを知りたいのですが、よろしいでしょうか。

寺澤先生

先ほど申し上げた認定匿名加工医療情報作成事業者で、医療情報の匿名加工をしてもらうときには、それを戻してもらったとしても、それと突合できないような状況で加工されているはずです。
具体的にどういう技術でどう加工するかは、私も今はすぐ分からないですが、いくつかある認定事業者で匿名加工してもらうと、そういうものができてくるという理解をしています。
それであれば、それを知財化、第三者に提供することは可能ですし、戻してもらったときには全然ひも付けられない程度に加工されているものになっているはずです。

質問者 2

ありがとうございます。前半の講義で仮名加工は容易だというご説明をされていたのですが、おそらく今のご説明がそこに対応していると思いました。匿名加工は難しくて、そういった専門的な技術がある人がやらないと匿名加工にはならないと。

11

寺澤先生

そうですね。今は数社しか基本的には認定されていないので、そのいずれかでお願いするしかないということになると思います。

質問者 2

これに近い状況があったものですから参考にさせていただきます。ありがとうございました。

モデレーターありがとうございます。今のところですが、匿名加工をなりわいとする認定事業者のところだと思いますが、そこにお願いしない限り匿名加工とは言えないという話までは言われてないと理解していたのですが。

寺澤先生

そうです。

モデレーターありがとうございます。難しいのは理解しているのですが、ありがとうございます。

質問者 2

すみません。そうしたら私、誤解しているかもしれないですが、認定を受けた加工業者でないと匿名加工できないということではないですかね。

モデレーター

ごめんなさい、二つに分けて考える必要がありますが、まず医療情報については、次世代基盤法に基づいて認定されている認定匿名加工医療情報作成事業者でお願いしないといけないと思います。それ以外の個人データについては匿名加工はここでやる必要はないです。

質問者２

そうしたら、やはり医療画像データなどの場合は、かなり慎重に判断しなければいけないと思いました。ありがとうございます。

寺澤先生

そうです。

モデレーターありがとうございます。本件についてはよろしいですか。
では最後、二つの質問になりますが12

質問 5 で、研究目的で患者様の同意を取った、例えば検査で得られた画像について、当該画像データはそのままでは個人情報だと思うのですが、一部をマスキングや削除した上で特定の個人を識別できないように加工し、さらに元の照合データを完全に破棄した場合において、当該加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるもの」に該当しない場合には、当該加工した情報（画像データ）は個人情報には該当しないと考えることでよろしいでしょうか。今の話に近いところだと思いますが、まずここまでで一回切りたいと思います。

寺澤先生

これは基本的にはその理解でいいです。
ただ仮名加工情報か匿名加工情報のどちらかにはなると思います。前提としては、ここにあるように元の照合データを完全に破棄した場合で、加工した情報が他の情報と容易に照合することができ、それにより特定の個人を識別することができるようになるものに該当しない場合です。この要件がそろえば基本的には個人情報には該当しないことになります。

モデレーターありがとうございます。
さらに、その加工した画像データについて、営利企業がプロモーション目的での利用のために提供を希望された場合、「個人情報保護法」では個人情報にはあたらず、さらに利用目的が研究目的でもないので、人を対象とする倫理指針の対象でもないことから、営利企業がプロモーション目的で利用することについて患者様の再同意を得ることなく提供可能になるのでしょうか。あるいは、もともと患者様からいただいている研究目的での同意の範囲から外れるので、再同意が必要となるのでしょうかということでいただいています。

寺澤先生

まず、加工した画像データについて、営利企業がプロモーション目的での利用のために提供を希望された場合で、その加工した画像データが個人情報には該当しないけれど、それ自体は仮名加工情報か匿名加工情報のいずれかにはなると思います。

13まず仮名加工情報の限りで言うと、これは第三者提供はできないというのは先ほど話したとおりです。他方、画像データについては医療情報にあたるので、医療情報を第三者提供するときには、やはり認定匿名加工医療情報作成事業者に対して依頼して、匿名加工をしなければいけないことになります。なので、それがきちんとできているのであれば、これは患者様の再同意を得ることなく提供することは可能になります。それで回答になっていますでしょうか。

モデレーター

このご質問をいただいた方いかがでしょうか。

質問者３

ありがとうございます。その対応ができる場合はということで、それができない場合は同意を得ていれば、仮名加工情報でなければ提供可能ということでよろしいですか。

寺澤先生

そうですね。患者様から同意を得ていれば可能です。

質問者３

同意を得ていても、仮名加工情報だとしたら提供してはいけないということですか。

寺澤先生

そうですね。

質問者３

分かりました。ありがとうございます。

寺澤先生

あと、当初の利用目的から外れているということなので、その利用目的が変わったことについても同意が必要です。

質問者３

了解しました。ありがとうございます。

質問者４

すみません、よろしいですか。匿名加工すること自体に同意が必要なのでしょうか14

寺澤先生

匿名加工すること自体には同意は必要ないです。ただ、一定事項の通知をご本人にする必要があります。

質問者４

ありがとうございます。
それともう一つですが、先ほど医療情報であれば認定事業者に依頼しないと駄目とおっしゃいましたが、これはあくまでも次世代医療基盤法上の定義であって、匿名加工情報を作ること自体は誰でもできると思います。
それがきちっと作れるか保証がないし、責任を持てないから事業者にお願いするということですね。

寺澤先生

そういうことです。なので、リスクマネジメントの観点からこういうところに利用しないと、本当にそれは個人情報保護法上でいっている匿名加工情報にあたるのかどうかの責任が持てないのではないですかというところになると思います。

質問者４

ありがとうございます

モデレーター

この件について他の方はよろしいですか。ありがとうございます。
最後の質問になります。網羅的解析によって得られた大量のデータそのもので個人識別はできないとの前提で研究している場合、何年か後に例えばAI などによって合理的に個人識別ができてしまう可能性があると思います。
長期的な研究である場合、ある一定のタイミングでデータ共有の在り方を検討すべきでしょうか。何か指標となるようなものがありましたら教えていただきたいです、ということでいただいております。

寺澤先生

少なくとも現時点で指標になるものはないです。おっしゃるとおり、将来的にはそのようなことはあり得ると思います。AI 等によって合理的に。いくら現時点での技術水準で匿名加工という定義に当てはまるような加工ができたとしても、将来的にそれを覆すような技術が出てくる可能性はあると思います。

15

ただ、その場合にはどちらが先になるかという問題はあると思いますが、おそらく匿名加工の指針もそれに合わせて変わってくる可能性は高いと思います。なので、その段階で議論することになると思いますので、今の段階で何か指針となるようなもの、あるいはこうしなければいけないものは特にはないと理解しています。
ただ、共有の在り方、ある一定のタイミングでデータ共有の在り方を検討すべきかどうかは、AI 等によって合理的に個人識別ができてしまうような状況が発生するのであれば、患者さんファーストで考えると、共有の在り方をその辺りの時点で再検討していくのは、方向性として正しいと思います。

モデレーターありがとうございます。このご質問をいただいた方、何か補足などありますでしょうか。

質問者５

先生、どうもありがとうございました。今のご回答で、今の考え方で問題なく理解できました。ありがとうございました。

モデレーターありがとうございました。事前にいただいたご質問は以上になります。他に何かご質問がある方がいらっしゃったら挙手でもいいですし、チャットに書いていただいてもいいですが、大丈夫ですか。

質問者６

最後の補足ですが、AI が将来識別できるようになるかもしれないというのは当然あると思いますが、法律上識別すること自体を禁止しているので、そういう意味で、一応安全弁は作られていることになると思います。以上です。

モデレーターありがとうございました。他に何かご意見やご質問は、大丈夫でしょうか。
ありがとうございます。やはり難しくて、皆様が実務の過程でも悩んでいることがよく分かりましたので、またこれは少しずつ、たぶん Q＆A も出てくると思いますので、ブラッシュアップしたいと思いますので、引き続き寺澤先生ご指導いただけると幸いです。よろしくお願いします。

16

寺澤先生

ありがとうございます。

モデレーターありがとうございました。時間が早いですが、今日はここで終えたいと思います。ケーススタディは毎回 medU-net で皆様からいただいた、こういったテーマでやりたい、こういったテーマで今悩んでいるみたいなことに対して、それをテーマに取り上げてケーススタディをやっています。
この後にアンケートを取らせていただきますので、ぜひ忌憚なく、こういったテーマでやりたいということを教えていただければ、次年度の参考にさせていただきたいので、今チャットに貼らせていただきましたので、ご協力のほど、よろしくお願いします。本日は長い時間お付き合いください
ました寺澤先生に感謝申し上げたいと思います。非常に分かりやすいご講
演で、テキストもこれから皆さんがたぶん仕事の横に置いて仕事をさせていただく教科書になると思います。ご準備いただきましたこともあらためて御礼申し上げます。ありがとうございました。

17