No190.訪問看護の経営者が知っておきたい、個人情報保護法とは？

2022年4月1日より「改正個人情報保護法」が施行され、個人情報を取り扱う事業者の遵守義務や規制などが強化されました。訪問看護ステーションも、個人情報を扱う事業者として正しく理解し、その責任の重さも認識しておきたいところです。

そこで今回は、個人情報保護法とはそもそもどのような法律なのか、基本的な概要を説明します。その上で、法改正の要点をキャッチアップしていきましょう。また、個人情報を取り扱う際の注意点、安全なデータ共有・活用についても紹介していきます。

目次
1.個人情報保護法とは
2.改正個人情報保護法の要点
　2-1.個人情報の定義
　2-2.個人情報取り扱い事業者への対応
　2-3.個人情報の第三者への提供を厳格化
3.訪問看護における個人情報の取り扱いで気を付けること
4.個人情報の取り扱いに安全なシステムを
5.まとめ

個人情報保護法とは、個人情報を取り扱う事業者に対し、取得した情報を個人や社会のために有効に活用すること、個人の権利・利益を守るために個人データを保護する責任があることなどを定めた法律です。個人情報保護法第1条には、次のように記されています。



個人情報保護法が施行された背景の一つには、クレジットカード番号や暗証番号などの流出があるとされています。クレジットカードは、現金を持ち歩かなくても買い物ができるという利便性を生み出した反面、紛失や盗難などで情報が流出することにより、悪用されたり経済的損失を被ったりするリスクも生じるようになりました。

そこで、個人情報の漏洩を防止するため、個人情報の取得・利用には本人の同意が必要であること、同意なく第三者にデータを提供しないことなどを事業者に対して定めたのが個人情報保護法なのです。

その後、通信技術の発達によって情報化社会が進み、ビッグデータなどの活用が促進されるようになりました。ビッグデータはインターネットを介してユーザーの行動履歴や傾向などを分析することができるため、新しいビジネスやサービス、社会課題の解決に役立てるために活用されていますが、同時に不正アクセスによる個人情報の流出など、リスクが高まるようになりました。

そのような背景から、事業者に対する個人情報の管理体制、セキュリティが注目されるようになり、結果として個人情報保護法の改正につながったものとみられます。

では、個人情報保護法はどのように改正されたのでしょうか。ポイントを見ていきましょう。改正されたポイントの1つは、従来2つだった個人情報の定義が新たに3つの分類となったことです。どのように定義されているのかを説明します。

1つ目は「個人識別符号」で、氏名・生年月日、住所など個人の特定が可能な情報です。指紋データや顔認証データ、パスポート、マイナンバー、免許証などがそれに当たります。

2つ目は「要配慮個人情報」で、これは、情報が流出することによって不当な差別や偏見などを受けないよう配慮する必要がある情報のことです。例えばその人の信条や犯罪歴、病歴、社会的身分などがあげられます。訪問看護事業でも、取り扱いに注意したい情報です。

そして3つ目が「匿名加工情報」です。今回の改正個人情報保護法で新しく追加された定義で、個人が特定できないよう加工してデータ化し、ビッグデータなどに活用される情報です。個人情報ではないため本人の同意は必要ありませんが、データを活用した場合は公表することが義務づけられました。

もう1つの改正のポイントは、個人情報を取り扱う事業者に求められる要件がより厳しくなったことです。

改正前の個人情報保護法は、個人情報5,000件以上を取り扱う事業者に対して法律の遵守が求められていましたが、改正後は1件でも取り扱っている事業者は全て対象となります。また改正前は、適切なデータの保管と監督が義務づけられていましたが、改正後は利用しない、あるいは不要となったデータの保管は行わず、すぐに消去することが求められています。

一方で、データ活用に関しては制限が緩和されました。これまでは、あらかじめ告知した目的以外でデータを利用することは禁じられていましたが、その目的に関連すると合理的に認められる範囲に限り、目的自体をあとから変更することができるようになりました。

さらに改正されたのが「オプトアウト提供」の厳格化です。法律では、事業者が個人情報（要配慮個人情報を除く）を第三者に提供する場合、本人の同意が必要ですが、オプトアウトは第三者に提供する可能性をあらかじめ本人に通知する、あるいは知り得る状態にすることで同意を得たとするものです。

このオプトアウト提供を行う事業者は、個人情報保護委員会に届出を行うことが義務づけられました。

また、第三者が誰であるか情報を明らかにし、一定期間保管しておくこと、また第三者側も受け取りの記録を保管しておくことが義務づけられるようになりました。外国の第三者に提供する場合にも、同様の義務が適用されます。

もし、不適切な方法で個人情報を入手・利用した場合は、個人情報保護法第35条に基づき、本人への開示や利用停止などの義務を負うことになります。

このように改正では、データ活用の枠を広げながら、同時に個人情報取扱業者に対する規制を行いセキュリティを強化しています。

個人情報保護に関して、訪問看護ではどのような点に注意するべきでしょうか。いくつかポイントをあげていきます。

多くの訪問看護ステーションでは、利用者の個人情報の取り扱いについて「個人情報保護方針」や、「プライバシーポリシー」などを策定し、利用者をはじめ周囲に遵守する旨を伝えています。

これらで定めておくべきはデータの利用目的をはじめ、外部医師、自治体、介護施設、保険会社など第三者への個人情報提供の許可・取り扱い方法、独自の対応などで、信頼されるステーション運営のためにも必ず策定しておきましょう。

また、利用者宅への訪問によって病歴以外にもセンシティブな情報を知る機会も発生し得ると考えられます。そのような場合、利用者にどのような配慮ができるか、他のスタッフや外部への対応などを指導していく必要があります。

ほかにも、セキュリティへの対策も重要です。厚生労働省では「医療情報システムの安全管理に関するガイドライン」を設け、診療諸記録の管理や端末アクセスに関する指導を行っています。

参考）厚生労働省「医療情報システムの安全管理に関するガイドライン」
https://www.mhlw.go.jp/content/10808000/000730541.pdf

パソコンやタブレット、スマートフォンなどにより、電子カルテや各書類へのアクセスがスムーズになりました。それだけに不正アクセスの機会も増えてきます。その対策として、端末のアクセスにはパスワードを設定する、パスワードを複数で共有しないなどの配慮も求められています。

さらにサイバー攻撃や端末の紛失・盗難なども考えられるため、その際の連絡や情報漏洩を防ぐための対応を決めておきましょう。

訪問看護専用電子カルテ『iBow』は、個人情報などや看護記録などのデータは端末には残さず、専用のデータセンターで365日24時間体制で保管・監視しています。万が一端末の紛失などが発生しても、情報が漏洩することはありません。

ステーションのセキュリティポリシーに合わせて、個別にインフラを構築することも可能です。

またIDとパスワードの設定に制限がないため、ステーションの規模に関わらず安全に使うことができます。

個人情報の取り扱いについても、前述した厚生労働省の「医療情報システムの安全管理に関するガイドライン」をはじめ、総務省・経済産業省のガイドラインにも準拠しています。

参考）総務省・経済産業省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」
https://www.meti.go.jp/press/2020/08/20200821002/20200821002-3.pdf

改正個人情報保護法は、これまでの業務システムや働き方を大きく変えるものではありませんが、個人情報を扱う事業所の対応を明確にするものとなっています。医療・介護の現場では、個人情報はより良いケアやサービスのために使われることを改めて認識しておきましょう。

ほかにも、訪問看護専用電子カルテ『iBow』のお役立ち情報では、個人情報の取り扱いと安全なシステムの活用について解説した記事が掲載されていますので、ぜひ参考にしてみてください。

「訪問看護でのタブレット活用！リスクと対策についても確認しよう」
https://ewellibow.jp/useful/information_20220107/