CASEでみる病院の対応のポイント

はじめに

　本年の4月1日に個人情報保護法が全面施行され，医療機関における情報漏えいの事例がすでにいくつか報道された。しかしながら，4月以前と以降ではその報道内容にも変化があるように思われる。たとえば，医療機関の医師が症例整理のために自宅に持ち帰る途中にパソコンが盗難されたというような場合，これまでであれば「情報に対する意識の低い取り扱いであった。今後このようなことがないように本人に十分注意した」と病院管理者がコメントを発表して収束していた。ところが，現在はそれだけにとどまらず，「盗難された情報はどのような種類でどのくらいの量だったのか，その中に個人情報が含まれるのか」「院内の情報管理規程はどうなっていたのか」「病院としてこの医師にどう対処するのか」「被害者にどう対応するのか」などが詳細に問われているように見受けられる。

　また，4月に入って個人情報取扱事業者へ主務大臣からの中止・是正勧告第一号が出されたという新聞記事をご覧になった方もいるだろう。ある銀行で顧客情報が漏えいした事例で「事業者の管理のずさんさ」と「漏えいした情報があまりに大量であった」という2つの観点から金融庁長官勧告を行なったというものである。医療機関に置き換えて考えてみると，本事例で問題とされた「管理体制」や「情報量」はもちろんのこと，「取り扱っている情報の質の問題」と「情報の取り扱い場面が適切だったか」という視点がこれに加わってくることが予想される。医療機関においては，目の前の患者と対面しながら病状や検査結果を伝えたり，処置や手術を実施したりしてはじめて医療サービスが提供される。その過程において住所や生年月日はもちろん，患者自身の身体や疾患に関する情報を取得し利用することは避けられない。そしてこれらの情報はすべて，「他人には知られたくない」という側面をもついわば究極の個人情報である。

　さて，おそらく多くの医療機関では厚生労働省のガイドラインが公表された昨年末から院内掲示物やパンフレットを作成し，院内で取り扱っている個人情報を洗い出し，全職員を対象に個人情報についての勉強会を開催するといった一連の作業を急ピッチで進め4月1日を迎えたのではないだろうか。この雰囲気を今から5年前の1月1日，つまり2000年問題が取り沙汰されたときと酷似していると言った人がいたが，当時と同様に実際は，「ある日を境にして，何かが激変する」ということはなく，各医療機関においては日常の医療サービスが当たり前に提供されたわけである。ここで法施行前後数か月の間に医療機関において何が起きたのか，どのように対処したのか，そして現時点での個人情報保護に関する疑問点や今後の取り組みについて，前段で述べた「情報の質」と「情報の取り扱い場面」を切り口とした整理をする。