医療法と医師法における情報管理

はじめに：2022年改正が変えた医療データの風景

2022年4月、改正個人情報保護法が全面施行されました。この改正の目玉の一つが仮名加工情報制度の新設です。

従来、医療データのAI研究利用は「完全に匿名化するか、個別に同意を取るか」の二択でした。しかし、完全な匿名化は医療データの有用性を大きく損ない、個別同意は数万人規模の研究では現実的ではありません。仮名加工情報制度は、この「匿名化か同意か」のジレンマに第三の選択肢を提供しました。

個人情報を取り扱う際は、利用目的をできる限り特定しなければなりません。

比較

「診療のため」は十分な特定か？

不十分な例: 「患者様の個人情報は、医療サービスの提供のために利用します」

適切な例: 「患者様の個人情報は、(1)診断・治療・看護、(2)医療保険事務、(3)他の医療機関等への紹介、(4)医療の質向上のための症例研究に利用します。(4)については同意を撤回できます」

→ 個人情報保護委員会の「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」は、院内掲示やホームページでの具体的な利用目的の公表を推奨。

利用目的の範囲を超えた利用は原則禁止です。AI学習データとしての利用が当初の利用目的に含まれていない場合、本人の同意が必要です。

例外: 法令に基づく場合、人の生命・身体・財産の保護のため必要な場合、公衆衛生の向上のため特に必要な場合。

個人情報保護法第23条は、個人データの安全管理のために必要かつ適切な措置を講じることを求めています。

医療機関向けの個人情報保護ガイダンス。具体的な取扱いルールと安全管理措置の詳細を記載

個人データを第三者に提供する場合、原則として本人の同意が必要です。

医療での重要な例外（法第27条第5項）:

問い

考えてみよう

自施設の患者データをAI開発企業に提供してAI診断支援システムを開発する場合、「委託」と「第三者提供」のどちらに該当するでしょうか？

→ AI開発企業が自施設のために診断支援システムを開発する場合は「委託」と整理できる可能性がありますが、企業が汎用的な製品開発に使う場合は「第三者提供」に該当し、原則として同意が必要です。この区別は実務上きわめて重要です。

Case Study/ 日本

背景: 従来の個人情報保護法では、医療データの二次利用（研究・AI学習等）は「匿名加工情報」にするか「個別同意を得る」かの二択。しかし匿名化すると時系列データや稀少疾患データの有用性が大幅に低下。

仮名加工情報とは: 他の情報と照合しない限り特定の個人を識別できないように加工した情報。氏名を削除し、患者IDを仮のIDに置き換えるなどの処理を行う。

メリット: (1) 利用目的の変更が可能（同意なしに新たな研究目的で利用可能）、(2) 漏洩報告義務・開示請求対応義務が不適用、(3) 匿名加工情報よりデータの有用性が高い。

制約: (1) 内部利用に限定（第三者提供は原則不可）、(2) 本人への連絡禁止、(3) 識別行為の禁止。

医療への影響: 自施設内でのAI学習データとしての活用や、臨床研究での目的変更が容易に。ただし、外部AI企業への提供には引き続き同意が必要。

改正内容	変更点	医療への影響
個人関連情報の規制	Cookie等の「個人関連情報」の第三者提供に制限	健康アプリの閲覧履歴等も規制対象に
漏洩報告の義務化	一定の漏洩等が発生した場合、個人情報保護委員会への報告が義務に	医療情報漏洩時の報告義務が明確化
罰則の強化	法人重課（措置命令違反: 法人に1億円以下の罰金）	医療法人にとっての違反リスクが大幅に上昇
域外適用の明確化	日本国内の個人の情報を取り扱う外国事業者にも適用	海外クラウドサービス利用時にも適用

個人情報保護法は、医療データの保護と利活用のバランスを取る法律です。2022年改正で新設された仮名加工情報制度は、医療AI開発に新たな可能性を開きましたが、第三者提供には引き続き厳格な制限があります。安全管理措置の4類型（組織的・人的・物理的・技術的）を理解し、実践することが全ての基盤です。

次のレッスンでは、医療法と医師法における情報管理の具体的な義務を学びます。

明日のアクション

自施設の個人情報取扱規程を確認し、2022年改正のポイント（仮名加工情報の扱い、漏洩報告義務、罰則強化）が反映されているかチェックしましょう。特に「漏洩時の対応フロー」が個人情報保護委員会への報告義務を含む形に更新されているか確認してください。