ランサムウェアで電子カルテが暗号化された。USBメモリを紛失した。患者宛の書類を誤って別の患者に渡した。いずれも、技術的な復旧とは別に報告義務が発生するかどうかを判断しなければならない場面です。
この判断は、対応の渦中で初めて調べると必ず遅れます。個人情報保護法は漏えい等が起きた際の報告について速報と確報という二段構えを採っており、それぞれに期限が設けられているためです。そして医療機関には、一般の事業者より判断が厳しくなる事情があります。診療情報は要配慮個人情報に当たるため、規模の大小にかかわらず報告対象になり得るのです。
本記事は、医療機関が漏えい等に直面したときの報告判断を、インシデント対応計画に組み込める形で整理したものです。法令の細部は改正・解釈の変更があり得るため、期限や様式は必ず個人情報保護委員会の公表資料で確認してください。
免責：本記事は一般的な情報提供です。個人情報保護法の解釈・運用は、個人情報保護委員会の法令、施行規則、ガイドライン、および医療・介護関係事業者向けのガイダンスが正本です。具体的な事案の判断は一次資料と法務の助言に基づいて行ってください。
医療機関で報告義務が生じる場面
個人情報保護法は、個人データの漏えい・滅失・毀損（まとめて「漏えい等」）のうち、個人の権利利益を害するおそれが大きいものについて、個人情報保護委員会への報告と本人への通知を義務づけています。対象となる類型は規則で定められており、おおむね次のように整理できます。
| 類型 | 内容 | 医療機関での例 |
|---|---|---|
| 要配慮個人情報を含む | 病歴・診療情報など | 電子カルテの暗号化・持ち出し、検査結果の誤送付 |
| 財産的被害のおそれ | 不正利用されるおそれのある情報 | 決済情報を含むデータの流出 |
| 不正の目的による | 第三者の故意による取得等 | ランサムウェア、不正アクセス、内部不正による持ち出し |
| 大規模 | 一定人数を超える漏えい等 | 患者台帳データベース全体の流出 |
医療機関にとって決定的なのは最初の類型です。 診療情報は要配慮個人情報に当たるため、1件でも漏えいすれば報告対象になり得ます。「人数が少ないから大丈夫」という判断は成り立ちません。
また、ランサムウェアによる暗号化で自院も復元できなくなった場合、外部への流出が確認できなくても**「滅失・毀損」あるいは漏えいのおそれとして扱いを検討する**必要があります。窃取の有無が不明な段階でどう扱うかは判断が分かれる論点であり、専門事業者と法務に早期に相談してください（要一次確認）。
速報と確報という二段構え
報告は一度で終わりません。速報と確報の二段階で行うのが法の枠組みです。
| 段階 | 目的 | 内容 | 期限の考え方 |
|---|---|---|---|
| 速報 | 委員会が事案を早期に把握する | その時点で分かっている範囲。不明な項目は「調査中」でよい | 発覚後速やかに（施行規則上は概ね3〜5日以内とされる。要一次確認） |
| 確報 | 全体像と再発防止策の報告 | 原因、被害範囲、対応、再発防止策 | 発覚後30日以内（不正アクセス等による場合は60日以内）とされる。要一次確認 |
実務上の要点は3つです。
第一に、速報は完璧を目指さないこと。 調査が終わるまで待つと期限を超えます。速報は「分かっている範囲で速やかに」が原則で、不明点は調査中として構いません。
第二に、起算点は「発覚」であること。 事案の発生日ではなく、事業者が知った時点から数えます。誰がいつ知ったかが記録されていないと起算点を説明できないため、ランサムウェア被害時の初動 で述べた時刻付きの記録が効いてきます。
第三に、確報の期限は調査の期限でもあること。 30日ないし60日で原因と再発防止策をまとめる必要があるため、外部調査を依頼するなら初動の段階で動かなければ間に合いません。
報告の様式・提出方法は個人情報保護委員会のウェブサイトで案内されています。具体的な日数・様式・提出先は必ず一次資料で確認してください。
本人への通知をどう行うか
委員会への報告と並んで、本人への通知も義務づけられています。目的は本人が自衛できるようにすることなので、通知の速さと分かりやすさが優先されます。
通知に含める内容は、概ね次のように考えられます。
- 何が起きたか（事案の概要）
- 漏えい等した個人データの項目
- 原因
- 二次被害またはそのおそれの有無と内容
- 本人が取り得る対応、問い合わせ窓口
医療機関特有の難しさは、通知そのものが機微な情報の露出になり得る点です。診療の事実が同居家族に知られる、宛先不明で返送された封筒が別の問題を生む、といったことが起こります。通知手段（郵送・電話・来院時の説明）は患者の属性と情報の性質を踏まえて選ぶ必要があります。
本人への通知が困難な場合には、公表など本人の権利利益を保護するための代替措置を講じる方法が認められています。ただし「困難」の判断は安易にできません。連絡先が分からない、対象が膨大であるといった事情を、説明できる形で記録しておくことが求められます。
なお、公表の判断は広報・危機管理の問題でもあります。誰が公表を決め、誰が窓口になるかは 医療機関のインシデント対応計画 に書いておく事項です。
委託先で起きた場合の責任
電子カルテのクラウド運用、レセプト業務の委託、データセンターの利用。医療機関の個人データは、相当部分が委託先の手の中にあります。委託先で漏えいが起きた場合、報告義務は原則として委託元にも及びます。
| 場面 | 実務上の整理 |
|---|---|
| 委託先で漏えいが発生 | 委託先が委託元へ通知すれば、委託先は報告義務を免れる扱いがある。委託元は報告義務を負う（要一次確認） |
| 委託先から連絡が来ない | 委託元は事実を知り得ず、期限の起算が遅れる。契約で通知義務と期限を定めておく |
| 原因調査が委託先依存 | 確報に必要な情報が手に入らない。調査協力義務を契約に書く |
つまり、報告義務への備えは契約に落ちていなければ機能しません。 委託契約に、(1) インシデント覚知時の通知義務と時限、(2) 調査協力義務、(3) ログ等の証跡提供、(4) 再発防止策の報告、を明記しておきます。書き方は SLAと責任分界の書き方 と ベンダーへのセキュリティチェックシート で扱っています。責任の切り分け方そのものは 責任分界点の決め方 をご覧ください。
計画に組み込む——判断フローと様式
報告義務は、知識としてではなく手順として持っておく必要があります。インシデント対応計画に次を含めます。
| 準備物 | 内容 |
|---|---|
| 判断フロー | 「要配慮個人情報を含むか」から始まる分岐。迷ったら報告方向で検討する建て付けにする |
| 責任者の指定 | 報告の要否を判断する者、決裁する者、実際に提出する者 |
| 記録様式 | 覚知日時、覚知者、対象データ、件数、原因、対応。紙でも書ける形で |
| 連絡先一覧 | 個人情報保護委員会、所管保健所・自治体、法務、専門事業者 |
| 本人通知の文面ひな形 | 事案の種類別に骨子を用意しておく |
| 公表の判断基準と窓口 | 誰が決め、誰が対応するか |
判断フローは「迷ったら報告方向」で設計してください。 報告すべきものを報告しなかった場合の不利益は、必要以上に報告した場合のそれより大きくなります。医療分野では「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」が併せて参照されます。ガイドライン全体の位置づけは 3省2ガイドラインとは にまとめています。
体制の作り方は 医療機関のセキュリティ体制の作り方、職員への周知は 職員教育・訓練の設計 をご覧ください。現場が「これは報告対象かもしれない」と気づいて上げられることが、報告義務対応の実質的な出発点です。
まとめ
個人情報漏えい時の報告義務について押さえるべき点は次のとおりです。
- 診療情報は要配慮個人情報に当たるため、医療機関では1件でも報告対象になり得る
- 報告は速報と確報の二段構え。速報は分かっている範囲で速やかに、確報は原因と再発防止策まで（具体的な日数は要一次確認）
- 期限の起算点は発覚時。誰がいつ知ったかの記録が必要になる
- 本人通知は自衛のため。医療機関では通知手段そのものが機微情報の露出になり得る点に配慮する
- 委託先で起きても委託元に報告義務が及ぶ。 通知義務・調査協力義務を契約に書いておく
- 知識ではなく手順として持つ。判断フロー・様式・連絡先を計画に組み込み、「迷ったら報告方向」で設計する
報告義務への備えは、法令の理解だけでなく、契約・記録・現場の気づきが揃って初めて機能します。ポテックは医療情報システムの設計・運用の立場から、体制と委託管理のご相談を受けています。お問い合わせ からご連絡ください。委託先事業者側の管理体制を評価する枠組みとしては ISMS（ISO/IEC 27001）とは が参考になります。
参考・出典
※報告の要否、期限、様式、提出方法は、個人情報保護法・施行規則・ガイドラインの改正および解釈により変わり得ます。本記事に記載した日数は目安であり、実際の対応にあたっては個人情報保護委員会の公表資料を必ずご確認ください。