個人情報保護 PHI/PIIの絶対線
このレッスンが終わる頃には、
- PHIとPIIの違いを説明できるようになる
- 外部AIサービスに入力してはならない情報を具体的に挙げられるようになる
- 仮名化・匿名化の実務上の違いを理解できるようになる
ㅤ
最初に言い切る
外部AIサービス（ChatGPT・Claude・Gemini等）に、患者の個人を識別できる情報を入力してはなりません。
これは「なるべく控える」ではなく、原則として禁止です。
なぜか。外部AIサービスは、入力されたデータを品質改善等に利用する場合があります（利用規約・設定による）。患者情報が外部サーバーに送られた時点で、それを制御する手段は失われます。
業務の効率化より、患者の情報保護が先です。これは、医療倫理の根幹です。
ㅤ
PHIとPIIの違い
医療の世界では、PHIとPIIという2つの用語を使います。
PII（Personally Identifiable Information：個人識別情報）
特定の個人を識別できる情報全般を指します。日本の個人情報保護法が対象とする「個人情報」とほぼ重なります。
- 氏名
- 生年月日
- 住所・電話番号・メールアドレス
- マイナンバー・パスポート番号
- IPアドレス（条件による）
- 顔写真・指紋など生体情報
PHI（Protected Health Information：保護対象保健情報）
PIIのうち、医療・健康情報と紐づいたものをPHIと呼びます。米国のHIPAA（医療保険の相互運用性と説明責任に関する法律）が規定した概念ですが、日本の医療現場でも同じ考え方で整理できます。
- 診断名・病名
- 処方薬・投薬歴
- 検査結果・画像所見
- 受診歴・入院歴
- 保険情報
- 治療方針・手術記録
これらが「患者の氏名や識別番号と結びついた状態」で存在するとき、PHIになります。
ㅤ
絶対NG：外部AIに入力してはならない情報
以下は、状況を問わず外部AIサービスへの入力を禁止します。
識別子（患者を特定できるもの）
- 患者氏名（フルネームはもちろん、名字だけでも他の情報と組み合わせると識別可能）
- 患者ID・カルテ番号
- 生年月日
- 住所・郵便番号・電話番号・メールアドレス
- 保険証番号・マイナンバー
- 顔写真・X線など患者の識別に使える画像
診療情報（識別子と切り離せない形で存在するもの）
- 上記識別子と組み合わされた診断名・検査値・処方内容
- 手術記録・入院サマリ・退院時要約（氏名や日付が含まれる形式）
- 特定患者に関するオーダー内容・ケアプラン
職員情報
- 職員の氏名・連絡先
- 評価・査定内容
- 給与情報
院内機密
- 未公開の経営数値
- 取引先との契約内容
- 訴訟・クレーム関連文書
ㅤ
仮名化と匿名化：どう違うか
「個人情報を除けばいい」という理解は、正確ではありません。仮名化と匿名化は別物です。
匿名化（anonymization）
特定の個人を識別できず、かつその情報を元の情報と照合しても識別ができない状態にすること。一度匿名化すれば、個人情報保護法の規制対象から外れます。
ただし、本当の意味での匿名化は難しい。稀な疾患・特定の地域・特定の日時・特定の属性が重なると、再識別が可能になる場合があります。
仮名化（pseudonymization）
氏名・IDなどの識別子を別の記号（仮名）に置き換えること。元のデータと対応表があれば、元の個人を識別できる状態です。仮名化は、引き続き個人情報として扱う必要があります。
医療現場でよくある「患者さんのイニシャルで書けばいいですよね」は、仮名化です。匿名化ではありません。
ㅤ
AIに渡せる情報：実務的な判断チャート
渡そうとしている情報に、患者を特定できる要素が含まれているか？
↓
YES → 外部AIに渡さない。院内システムで完結させる。
↓
NO → その情報だけで患者を特定できないか？
↓
可能性あり（希少疾患・稀なデータの組み合わせ等）→ 渡さない
↓
ほぼ不可能 → 渡す前に情報セキュリティ担当に確認する（初回のみ）
一般論として、「架空のデータ・ダミーデータで試す」「公開されている統計情報を使う」「匿名症例報告（学会や雑誌で公開済みのもの）を参照する」は安全です。
ㅤ
「正しい使い方」の例：外来で実際に使えるシーン
使える
- 「抗生剤アレルギーのある患者への代替薬を考えたい。βラクタム系アレルギーの場合、下気道感染に使える代替薬の選択肢を教えて」（患者情報なし、疾患概念の質問）
- 「以下の英語論文の要約を日本語で作って」（公開論文）
- 「外来で保護者に渡すアトピー説明文書を作って。患者名の入れる場所は空欄にして」（個人情報なし、汎用テンプレート）
- 「以下の症例は教科書的にどう考えるか」（架空症例、学習目的）
使えない
- 「田中◯◯さん、8歳、体重23kg。今朝から発熱あり。先週RSウイルスの診断を受けていて、現在の対応は…」（患者識別情報＋診療情報の組み合わせ）
- 「カルテ番号12345の患者の検査値は…」（識別情報付き診療情報）
- 「添付のX線画像を見て所見を述べて」（患者の医療画像）
ㅤ
組織として守る仕組み
個人の意識に頼るだけでは、事故はなくせません。組織として最低限整えるべき3点を挙げます。
1. チェックリストの配布
入力前に「これを渡していいか」と自問するための1枚。第2回で示したポリシーの「入力禁止情報リスト」を、ポスターや電子掲示板に掲示する。
2. インシデント報告フローの明確化
「もしかして患者情報を送ってしまったかもしれない」と気づいた時に、誰にどう報告するかを事前に決めておく。ヒヤリハット報告の一種として扱うことで、報告へのハードルを下げる。
3. 定期的なリマインダー
ポリシーは作った時に最も読まれる。3ヶ月後・半年後にリマインダーを送る仕組みを設計する。
ㅤ
今日のまとめ
PHI/PIIの絶対線は、医療倫理の根幹に属します。
「たぶん大丈夫」で動かない。 「患者に迷惑がかかるか」を基準に判断する。
外部AIに送っていいのは、送った後で患者に見せても問題ない情報だけです。 この基準で判断すると、ほとんどの場合は答えが出ます。
次回は、人材育成の設計です。診療科ヒエラルキーの中で、誰にどの順番で何を伝えるかを整理します。
ㅤ
参考
- 個人情報保護委員会「医療関連分野における個人情報の取扱い」
- 厚生労働省「医療情報システムの安全管理に関するガイドライン 第6.0版」
- HIPAA（Health Insurance Portability and Accountability Act）Privacy Rule（概念参照として）
- 日本医師会「AI活用に際しての医師の倫理ガイドライン」（各学会ガイドラインと合わせて参照のこと）