医療関係でも個人情報が流出「自分の情報は自分で守れ」知らん顔の政府はますます不安(東京 - 七転八起 Shichitenhakki

2026/10/31 (Sat) 11:33:18

医療関係でも個人情報が流出…「自分の情報は自分で守れ」知らん顔の政府はますます不安な「一元管理」推進：東京新聞デジタル
https://www.tokyo-np.co.jp/article/525142





　連日、企業の不正アクセス被害が報じられる中、医療支援システムでも個人情報が流出していたことが判明した。最大で787の医療機関に影響が及ぶ可能性がある。

　カルテなど医療情報の流出までは至っていないとされるが、通院履歴がわかるだけでも患者にとっては機微な情報となりうる。要配慮情報を提供できる特例が設けられた改正個人情報保護法が成立した一方で、政府は「自分の情報は自分で守れ」との立場。医療DX（デジタルトランスフォーメーション）で医療情報の一元管理を目指すが、このまま進めて大丈夫なのか。（中川紘希、太田理英子）

◆ネットで受診予約ができなくなって大混乱

　「医療を支えるサービスを提供する企業として極めて重く受け止めている。信頼の回復に全社を挙げて取り組んでいく」。医療系IT企業メドレーはウェブサイトにこうつづった。

　同社は15日、主に産婦人科向けの業務支援システム「アットリンク」などへの不正アクセスを確認し、サービスを一時停止したと発表。その後の調査で、利用者の氏名や、利用した医療機関の名称や最終来院日、クレジットカードの決済履歴などの個人情報が漏えいしたことが判明した。件数は調査中という。全国の医療機関でネット予約ができないなどの影響が続いている。

　システムを利用する静岡県内の産婦人科医院の事務長は「業務が逼迫（ひっぱく）し、大打撃だ」と話す。ネットやアプリからの予約ができなくなっており、職員は電話での予約受け付けに追われている。紙媒体に記録した予約を、来院した患者と照合する業務も増えた。「患者を待たせる時間も長くなっており、スタッフの帰宅時間も遅くなっている」

　茨城県内の産婦人科の総務担当者は「アプリを活用し、院内の患者を診察室などへ案内できたが、現在は医療職が呼びに行っている。業務量が増えている」と明かす。情報漏えいについて「出産などが関わる産婦人科への受診は、患者にとって非常に繊細な情報。今回の発表は非常にショックだ」。

◆「取り扱いに特に配慮を要する個人情報」が流出

　個人情報保護法では「病歴などの本人に対する不当な差別、偏見その他の不利益が生じないように取り扱いに特に配慮を要する個人情報」が「要配慮個人情報」として規定される。個人情報保護委員会事務局は「個別事案に言及できない」としつつ「利用した医療機関の名称」は要配慮情報に該当すると認めた。

　同委員会は、個人情報の漏えい事案を調査し、必要に応じて事業者への指導や助言、勧告などを行う。担当者は「重大な事案かどうかはケース・バイ・ケースだが、要配慮情報として慎重に扱っていたかどうかは確認することになる」と説明した。

　全国保険医団体連合会（保団連）事務局の上沢雄三氏は「特定の医療機関を受診したという情報は、その人の病気などを類推できてしまう恐れを生じさせ、重大な問題だ」と受け止める。

　保団連は26日、厚生労働省に対し医療情報のセキュリティー対策強化を求める要望書を提出。同省は「医療情報システムの安全管理に関するガイドライン」で、医療機関に対しては「情報漏えいや情報システム障害などが生じた場合に、所管官庁への報告や公表などが必要」と求めているが、システム事業者に関しては、報告義務がない点を問題視し、改善を求めている。

　上沢氏は「システム事業者が厚労省に直接報告する制度を整備することで、より正確で迅速な事態の把握と対応ができるようになるのではないか」と話した。

◆「本来は必要以上の情報を集めないようにすべきだ」

　政府は医療現場の効率化を図る「医療DX」を進めてきた。今月1日には、今後の計画をまとめた「医療情報化推進方針」を策定。医療機関や介護事業者、自治体などが情報共有できる「全国医療等情報プラットフォーム」の整備や、電子カルテの情報共有サービスの運用開始などを盛り込む。

　際立つのが、国による医療情報の一元管理だ。塩崎彰久デジタル副大臣は23日の衆院厚労委員会で、患者が自身の情報の活用を拒める「オプトアウト」を国が一元管理することや、利活用時の安全管理対策を国が審査することなどを検討していると説明している。

　個人情報の問題に詳しい清水勉弁護士は「あらゆる情報を1カ所に集めて管理・利用しようという仕組みは、とにかく大きければいいという”戦艦大和”的な発想。リスクを考えるなら、本来は必要以上の情報を集めないようにすべきだ」とあきれる。欧州では病院と研究機関や企業の間に中立の専門機関の設立を目指し、大量の情報集中は避ける仕組みだという。

　個人情報の中でも、治療や通院歴といった医療情報は「機微に触れる内容も含まれ、場合によっては差別や暴露につながる」と指摘。医療DXを巡る議論では、「医療は患者と向き合うものという根本的な考えが抜け落ちてきた。一次利用より二次利用のほうが問題が生じやすいのは言うまでもない」と断じる。

◆「基本的に電子カルテはネットに接続しないが…」

　不正アクセスが急増する中、医療情報も標的になり得るのか。立命館大の上原哲太郎教授（情報セキュリティー）は、相次ぐ企業への不正アクセスの背景を「企業側が持つアプリとウェブサーバーの間の弱い部分を攻撃されているのが特徴。人工知能（AI）も高度化しているが、企業のシステム自体が脆弱（ぜいじゃく）」と説く。

　近年、病院へのサーバー攻撃で電子カルテにアクセスできなくなる事案が全国で複数起きているが、いずれもネットワークに接続するVPN（仮想専用線）の脆弱性を突いたもので、最近の企業への攻撃とは様相が異なる。ただ、「基本的に電子カルテはネットに接続しないが、予約システムなどと連携するときに方法を誤ると侵入される恐れがある。技術的対策は必要だろう」とくぎを刺す。

◆守れと言ったデジタル庁自ら個人情報流出させた恐れ

　一連の不正アクセス問題を受け、古川俊治デジタル相は6日の記者会見で「『自分の情報は自分で守る』。この意識を持って」と発言。ところが23日には、足元のデジタル庁で、ホームページの問い合わせフォームに入力された個人情報約1万3000件が流出した恐れがあると判明した。

　他方、7月には改正個人情報保護法が成立。統計作成などの目的なら、医療情報を含む「要配慮情報」の提供ができる「特例」が盛り込まれた。国立情報学研究所の佐藤一郎教授は、この特例により「不正アクセスに伴う漏えいと同じことができてしまう」とみる。どういうことか。

　佐藤氏は、個人の複数の情報をひも付けてデータベース化する「名寄せ」を許容する制度だと解説。「個々の情報をつなぎ合わせることで、当事者の想定を超えるほどの詳細な個人情報が把握できる。要配慮情報も含まれるため、一度漏えいすれば被害は大きくなる」と強調する。第三者提供への本人同意が不要なため、「自分では想定していなかった提供先から漏えいする可能性がある」とも。

　拙速に進められた法改正。本格化した医療DXも、このままでいいのか。佐藤氏は「サイバー攻撃を100％防ぐことはできず、1カ所に情報を集めデータベース化する方法は非常にリスクが高い。漏えいの可能性を前提とし、見直すべきだ」と警鐘を鳴らす。



◆デスクメモ

　免許証画像や、顧客とされる個人情報の公開と比べ、メドレーの事案は深刻でないように見えるかもしれない。だが、個人情報保護委員会が認めたように、受診した医療機関名は「要配慮情報」。佐賀大付属病院でも患者情報流出の可能性が発表された。リスクは既に現実となっている。（祐）