電子カルテなどからの患者データの持ち出しを防ぎ、記録する方法

厚生労働省の「医療情報システムの安全管理に関するガイドライン」第 7.0 版は、患者データの持ち出しを一律には禁じていません。持ち出してよい情報と方法を規程で決め、手順を作って管理し、持ち出しの状況を定期的に見直すことを遵守事項(守るべき決まり)にしています。個人情報保護法の面では、個人情報保護委員会と厚生労働省の「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」があります。このガイダンスも、記録機能を持つ媒体の持ち出しの禁止や、アクセス記録の保存を安全管理の例に挙げています。ガイドラインの版と編の構成は医療情報システムの安全管理に関するガイドラインとはにまとめています。

ガイドラインが「持ち出し」と呼ぶもの

持ち出しは USB メモリーやノートパソコンに限りません。企画管理編 8 章の遵守事項 ⑥ は、院外への持ち出しの手順を定めるときに、次の 3 つの形を想定するよう求めています。

• 医療情報を入れた媒体や情報機器で持ち出す形
• ネットワークを通じて院外へ送る形
• 院外から医療情報の保存場所にネットワークで入り、閲覧したり受信・取り込みをしたりする形

8.2.1 は、持ち出しの方針を、クラウドサービスを使った持ち出しや、テレワークに伴う持ち出しも想定した内容にするよう求めています。

そのため、画面からファイルを保存する操作(ダウンロード)は、3 つ目の形に当たると読めます。自宅や訪問先、私物の端末から、電子カルテやクラウド型のシステムを使う場合です。⑥ が扱うのは院外への持ち出しなので、院内の端末への保存は、それだけでは当たらないと読めます。ただ、院内の端末からも USB メモリーやメールで院外へ出せます。どの操作を持ち出しとして扱うかは、自院で使うシステムごとに決めておきます。

規程と手順で決めること

規程を作るのは企画管理者(安全管理の実務を担う担当者)です。企画管理編 8 章の遵守事項 ⑤ は、リスク評価(何が起きうるか、どれだけ困るかを見積もること)をもとに規程を定めるよう求めています。定めるのは、持ち出しの方針、持ち出す情報、持ち出し方法、管理方法です。持ち出した媒体や機器が盗まれたりなくなったりしたときの対応も、規程に定めます(⑦)。外部からのアクセスについて、許可する人・条件・範囲など、許可を得るための手順を定めること(⑧)も遵守事項です。8.1.1 は、規程を文書にしていない小さな医療機関でも持ち出しは起こりうるとして、リスク分析をして対策を考えておくよう書いています。

手順を作るのはシステム運用担当者(システムの日々の運用を担う担当者)です。システム運用編 7 章 ① は、規程に沿って持ち出しの手順を作って管理し、その状況を定期的に企画管理者に報告するよう求めています。企画管理編 8.2.2 は、持ち出しに使える媒体や機器を限ること、持ち出すときの手続き、持ち帰ったときの確認の手続きを挙げています。システムの保守を行う事業者には、個人情報を含むデータの持ち出しを原則として禁じます(システム運用編 7 章 ②)。やむを得ない場合は、企画管理者の承認を得て認めます。

仕組みで止めること

規程だけでは、手順を飛ばした持ち出しは止まりません。ガイドラインとガイダンスは、仕組みの側で取れる対策も挙げています。

見られる範囲を絞る対策は、システム運用編 14.2 にあります。情報の区分と、利用者や業務の単位ごとに利用権限を決め、付ける権限は必要最小限にするとしています。参照・更新・実行・追加のように細かく権限を分けられるシステムを選ぶと、リスクをさらに下げられるとも書いています。見る権限のない情報は、その人の操作では持ち出せません。

持ち出せる先を絞る対策は、企画管理編 8.2.3 とシステム運用編 7.1 にあります。8.2.3 が対象にするのは、持ち出しに使えるネットワークサービス(クラウドの保存サービスやファイルを送るサービスなど)です。企画管理者が承認したものに限る措置が必要だとしています。7.1 は、許可したサービス以外への接続を遮断することや、許可していないサービスの利用禁止を規則に入れることを例に挙げています。ガイダンスが挙げるのは、記録機能を持つ媒体の持ち込み・持ち出しの禁止や検査です。スマホやパソコンなど、記録機能を持つ機器の接続の制限も挙げています。

持ち出したものを読めなくする対策は、遵守事項にも入っています。システム運用編 7 章 ③ は、盗難や置き忘れに備えて、暗号化やパスワードの設定で内容を容易に読み取られないようにするよう求めています。

持ち出しを記録して見直す

持ち出しにかかわる記録は 3 つあります。1 つ目は、持ち出しそのものの記録です。第 7.0 版の Q&A(企画管理編の Q26)は、持ち出しを認めるときは承認・暗号化・記録を行うよう答えています。Q27 は、持ち出してよいとした判断を、その必要性、対策をしても残るリスク、承認した人、期限とあわせて記録するよう答えています。

2 つ目は、医療情報が入った USB メモリーなどの媒体と情報機器が、いまどこにあるかの台帳です。システム運用編 7 章 ⑦ は、台帳などで管理する手順と、定期的に棚卸し(何があるか一覧にすること)をする手順を作るよう求めています。台帳は媒体と機器を管理するものなので、ネットワークを通じた持ち出しは載りません。

3 つ目はシステムのアクセスの記録です。システム運用編 17 章 ① は、少なくともログイン時刻、アクセス時間、ログイン中に操作した医療情報が分かる記録を求めています。中身は医療機関のアクセスの記録(監査ログ)は何をどこまで残す必要があるかにまとめています。この項目に、ファイルの保存や印刷は入っていません。持ち出しとして扱うと決めた操作が記録に残るかを事業者に確かめておくのは、決め方の一例です。

見直しは、企画管理編 8 章 ⑩ が遵守事項にしています。8.2.6 は、持ち出しを最小限にするために定期的に状況を見直し、不自然な持ち出しがあれば理由を確かめるとしています。ガイダンスも、アクセス記録の保存と、不正が疑われる異常な記録がないかの定期的な確認を挙げています。システム運用編 17.1 は、記録を分析して緊急時に知らせる仕組みも求めています。

記録から人を特定できるのは、ID が人ごとに分かれているときです。1 つの ID を複数人で使っていると、記録から分かるのは ID の名前までです(電子カルテ・診療システムの ID を複数人で使うことの問題と現実)。

漏えいのおそれが出たとき

ガイダンスは、診療録に書かれた病歴を、個人情報保護法の要配慮個人情報(扱いに特に配慮が要る情報)の例に挙げています。診療の過程で医療従事者が知った情報も、同じく例に入っています。要配慮個人情報を含む個人データの漏えい等が起きたときは、人数にかかわらず報告と通知が要ります。起きたおそれがある段階でも同じです。報告先は個人情報保護委員会、通知先は患者本人です(法 26 条、規則 7 条 1 号)。高度な暗号化などの措置をしたデータは除かれ、患者本人への通知が難しいときは代わりの措置をとります。ガイダンスは例として、患者の診療情報を含む個人データを記録した USB メモリーをなくした場合を挙げています。

報告する項目には、漏えい等が起きた個人データの項目と、その本人の数が含まれます(規則 8 条)。アクセスの記録が使った職員まで分かる形で残っていれば、どの職員がどの患者の情報を開いたかから、範囲を絞れます。企画管理編 8.2.5 は、漏えいしたときの初期対応を規程の中で定めておくよう求めています。例に挙げているのは、紛失が分かったときの連絡先と対応手順です。