公開日 2018年06月28日
平井 哲史（弁護士・東京法律事務所）
はじめに
近年、個人情報の流出が相次いで問題になっているが、そういうなかで個人情報の産業利用を進める法律が2017年4月に成立し、このほど関係政省令が定められ、本年5月から施行された。「医療分野の研究開発に資するための匿名加工医療情報に関する法律」（以下、「次世代医療基盤法」ないし単に「法」と呼ぶ。）がそれである。
この法は、最適の医療の提供や、健康・医療に関する先端的研究開発及び新産業創出に資するものとして期待が寄せられていると言われる一方、医療情報を他人が利用することを認めることになるため、患者個人のプライバシーや情報コントロール権保護との関係で高い緊張感を生む仕組みとなっている。法の施行を「ビジネスチャンス」ととらえる向きもあるが、自身の情報の提供をされる個人の側から見たこの法の問題点を検討してみる。
法の定める仕組み
法の仕組みをかいつまんで紹介すると次のようなものである。
1．患者本人への通知と医療情報の取得
患者を受け付けた医療機関や薬局等の医療情報取扱事業者が業務遂行にあたり患者の医療情報（※1）を取得する際に、法所定の事項（※2）をあらかじめ本人に通知するとともに主務大臣に届け出る（法30条1項）。
2．認定匿名加工医療情報作成事業者への医療情報の提供（売買）
患者本人または遺族が特に申し出ない限りは、医療情報取扱事業者は認定匿名加工医療情報作成事業者（※3）に対して収集した医療情報の提供ができる（法31条1項）。
医療情報取扱事業者からの提供は義務ではなく任意ではある。だが、法文上、医療情報の売買が禁じられていないため医療情報は売買の形で流出していくことになると予想される。
3．医療情報の匿名加工と利用者への提供
収集された医療情報は認定匿名加工医療情報作成事業者により個人の特定ができないよう加工処理され（これは他の事業者に委託に出すことも可能）、①他の認定匿名加工医療情報作成事業者に提供する場合（法25条）、②法令に基づく場合又は③非常事態への対応のため緊急の必要がある場合（法26条）に第三者に提供される。
この「法令に基づく場合」には、研究機関における研究に利用する場合だけでなく、病院・クリニックや製薬企業において研究開発に利用する場合も含まれることが想定されている。
法への懸念
1．個人のプライバシー権、情報コントロール権侵害のおそれ
この法の制定過程において、保険医団体などからは、患者情報を本人の同意なく提供することはプライバシー権、情報コントロール権との関係で問題があるといった指摘や、医療情報を金儲けの道具に使っていいのかといった道義的批判等が表明されていたが、当職も同じ意見である（東京法律事務所ブログ2017年5月27日付ご参照）。
認定匿名加工医療情報作成事業者から第三者に提供される段階では、主務省令で定める基準に沿った匿名加工がなされることになっている（法18条1項）。だが、匿名加工が十分かどうかは現時点では保証の限りでなく、厳密に匿名化をすることは無理との意見もある。
また、医療情報取扱事業者から認定匿名加工医療情報作成事業者に提供される段階では匿名加工はされていない。このため患者のプライバシー情報は認定匿名加工医療情報作成事業者にはすべて伝わることになる。
このことを予め本人に伝えるのだとしても、本人が積極的に嫌だと言わない限り匿名加工事業者に提供されてしまうのでは、意に反した情報提供となることが懸念される。場合によっては、「そんな話聞いてない！」と怒った方が医療情報取扱事業者を訴えるということも予想されうる。
ＥＵにおいては、2018年5月発効の一般データ保護規則において、個人データの取り扱いに関し、データ主体の情報コントロール権保護を重視しており（第5条および第6条参照）、データ管理者は、データの取り扱いについて個人の同意を得ていることを証明できるようにしなければならないとしている（第7条）。このため、ＥＵでは個人情報をデータ管理者が第三者に提供するためには明確な本人の同意が必要となっている。日本とは大きな違いである。
2．情報管理は大丈夫か？
収集された医療情報を管理する認定匿名加工医療情報作成事業者は、主務省令で定める安全管理の措置を講じ、かつ、これを実施する能力を備えていることが要求されている。だが、実際に安全な管理がおこなわれているかどうか定期検査を行うことは予定されていない。事業者は情報管理には万全を期すであろうが、近年、多くの企業で顧客情報が漏えいし大騒ぎになる事態が報道されていることに照らせば、不安はぬぐえない。
3．特定営利企業のために奉仕するのか？
匿名加工医療情報の提供を受ける民間企業としては、例えば製薬企業であれば、新薬開発経費が大幅に下げられる可能性がある。その分提供される新薬の値段が下がるならば患者の側にも利益が還元されることになるが、そのことは法制度上保障されていない。法の目的は医療分野の研究開発に資するためとされているが、そうであれば、医療全体の向上に貢献するのではなく、特定の民間企業の営利のために提供されるのは法の目的から逸脱することにならないだろうか。
ＥＵの一般データ保護規則と比べると明瞭となるが、法は、患者個人の権利を脇において産業利用を優先させたものと評価できる。患者本人の明確な同意によらずに医療情報を提供してしまう医療情報取扱事業者がどれだけ出てくるかはわからないが、データ主体の権利保護を優先した内容となるよう早期の法改正を期待したい。
※1 医療情報とは、病歴や障害の存在、健診・検査の結果、健康指導・診察・調剤の内容といった取り扱いに特に配慮の必要な個人の心身の状態に関する情報を含む個人に関する情報のこと（法2条）。レセプトに限らず診療録や看護記録等も含まれうる。
※2 予め本人に通知すべき法所定の事項は、①認定匿名加工医療情報作成事業者に医療情報を提供する旨、②提供される医療情報の項目、③提供の方法、④本人又はその遺族からの求めに応じて提供を停止する旨、および⑤本人又はその遺族からの求めを受け付ける方法、の5項目。
※3 国の認定を受けて匿名加工処理を施す事業者のこと。認定の条件は法8条3項で定められているが、要約すると、所定の欠格事由がなく（1号）、匿名医療情報を適確に作成・提供しうる能力を有し（2号）、情報の安全管理のために的確な措置を講じ（3号）、かつこれを実施するに足る能力を有する（4号）ことである。
（『東京保険医新聞』2018年6月25日号掲載）
