クリニックの個人情報保護研修、厚労省ガイダンスで何が求められるか。

クリニックを含むすべての医療機関は、個人情報保護法の対象です。医療・介護分野では「病歴・診療情報」が要配慮個人情報として特に厳格な取り扱いが求められており、厚生労働省のガイダンスは職員研修の実施を事業者の義務として明確に位置づけています。令和4年4月の法改正では漏洩時の報告義務が強化されたため、以前より踏み込んだ内容の研修が必要になっています。

個人情報保護法はすべての医療機関に適用される

個人情報保護法は平成15年に制定され、令和4年（2022年）4月に全面改正版が施行されました。かつては「取り扱う個人情報が5,000人分以下の小規模事業者は対象外」という規定がありましたが、平成29年5月の改正でこの適用除外は廃止されています。現在は患者数・スタッフ数にかかわらず、すべての診療所（クリニック）が個人情報保護法の適用を受けます。

医療分野にはさらに、厚生労働省が定める「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」（令和4年3月版）が適用されます。このガイダンスは法律の適用を受ける事業者が遵守すべき基準を示したものであり、「ガイダンスだから参考程度でよい」という解釈は成り立ちません。個人情報保護法の違反事業者として判断される際に、ガイダンスへの対応状況が実質的な判断材料になります。

要配慮個人情報とは何か

個人情報保護法第2条第3項は、取り扱いに特に注意が必要な「要配慮個人情報」を定義しています。医療機関が日常的に扱うものとして関係するのは、次の情報です。

• 病歴（傷病名・治療歴・手術記録など）
• 身体障害・知的障害・精神障害等の障害の有無
• 健康診断・医師の診断の結果
• 医師等による心身の状態の改善のための指導・診療・調剤の情報

要配慮個人情報は、本人の同意なく取得することが原則として禁止されており（同法第20条第2項）、通常の個人情報より厳格な取り扱いが求められます。診察の場で自然に得られる情報のほとんどが要配慮個人情報に該当するため、医療機関のスタッフは「患者のすべての情報が最高水準の保護対象である」という認識を持つ必要があります。

ガイダンスが求める職員研修の内容

厚労省ガイダンスは、個人情報の適切な取り扱いのために、医療機関が職員に対して研修・教育を実施するよう求めています。ガイダンス上の文言は「個人情報の取扱いに関する職員の教育及び啓発の実施」（ガイダンス第8章・安全管理措置）です。研修で扱うべき内容は、概ね以下の項目にわたります。

個人情報・要配慮個人情報の定義と取り扱い上の注意
何が個人情報にあたるか、要配慮個人情報はどの情報かを、受付・看護師・事務スタッフ・委託業者（清掃・医療機器メンテナンスなど）の全員が理解している必要があります。「患者の名前を廊下で大きな声で呼んではいけない」「カルテを他の患者の目に触れる場所に放置してはいけない」といった日常業務に直結するルールを具体的に伝えることが重要です。

目的外利用・第三者提供の禁止
患者の診療情報は、治療目的以外に利用することが原則として禁止されています。家族・職場・保険会社など第三者へ情報を提供する場合は、原則として本人の同意が必要です（同法第27条）。ただし、法令に基づく場合（感染症法の届出・警察・裁判所からの照会への対応など）は例外があり、その範囲と手順を職員が把握していることが求められます。

電子カルテ・情報システムのアクセス管理
電子カルテのアクセス権限は職種・担当に応じて必要最小限に設定し、退職者や担当変更者のアカウントは速やかに削除・変更することが基本です。画面を離れる際のログアウト習慣、パスワードの取り扱い、USBメモリ等への情報持ち出しの制限なども、研修で確認しておく内容です。

紙媒体の取り扱いと廃棄ルール
処方箋の控え・紹介状の写し・検査結果票などの紙媒体は、不要になった後の廃棄方法が重要です。ゴミ箱への廃棄は禁止で、シュレッダー処理または専門業者による溶解処理が必要です。廃棄を外部業者に委託する場合は、委託契約書に個人情報の適切な廃棄を盛り込む必要があります（同法第25条・委託先の監督義務）。

患者への情報提供と同意取得
診療情報の利用目的（院内掲示・ウェブサイトへの掲示・問診票への記載が一般的）の説明と、同意を求める場面の理解です。院内での目的外利用（学会発表・研究・医学教育）には別途の同意が必要になることも含みます。

令和4年改正で強化された漏洩時の報告義務

令和4年4月施行の改正個人情報保護法（令和2年法律第44号による改正）では、個人データの漏洩・滅失・毀損が発生した場合の報告義務が、従来の「努力義務」から「義務」に格上げされました。

報告が義務となるのは、次のいずれかに該当する「個人情報漏洩等事案」です（個人情報保護委員会規則第8条）。

• 要配慮個人情報が含まれる場合（医療機関のほぼすべての漏洩がこれに該当）
• 財産的被害が生じるおそれがある場合（クレジットカード情報の漏洩など）
• 不正目的による漏洩の場合（内部の不正アクセスなど）
• 1,000人を超える個人データが漏洩した場合

報告先は個人情報保護委員会です。速報（概要判明後「おおむね3〜5日以内」が目安）と確報（30日以内。ただし不正アクセス等の不正な手段による侵害が原因の場合は60日以内）の2段階で報告する必要があります。医療機関の場合は要配慮個人情報を常に扱っているため、電子カルテへの不正アクセス・処方箋の紛失・カルテのFAX誤送信など、一件の漏洩であっても義務報告の対象になり得ます。

加えて、漏洩が発生した場合は本人（患者）への通知も原則として義務となりました（同法第26条第2項）。通知が困難な場合の代替措置（ウェブサイトへの公表など）も規定されています。これらの手順を職員が事前に知っておくことが、発生時の混乱を減らします。

厚生局の適時調査で確認される内容

個人情報保護の体制は、厚生局が実施する保険医療機関の適時調査（指導）でも確認されることがあります。主に確認されるのは次の点です。

• 院内掲示または問診票等で患者に利用目的を明示しているか
• 個人情報に関する苦情の申し出先（窓口）を設けているか
• 個人情報取扱いに関する内部規程（プライバシーポリシー・個人情報保護方針など）が整備されているか
• 職員研修の記録が残っているか
• 電子カルテのアクセス管理が適切に行われているか

特に、研修の実施記録（実施日・参加者・内容）は文書として残しておくことが重要です。「毎年やっています」と口頭で説明しても、記録がなければ証明できません。研修記録の保存方法については、診療所の研修記録、何年間保管すればいいか。もあわせてご覧ください。

個人情報保護研修を実施する頻度の目安

厚労省ガイダンスに「年〇回実施すること」という明文の規定はありません。ただし、「定期的な教育・啓発」と表現されており、年1回以上の実施が一般的な解釈とされています。

実務的には、新入職員や異動者には採用時・配置転換時に個別の説明を行い、全スタッフを対象にした研修を年1回以上実施するという形が多く見られます。また、改正法令・ガイダンスの改定があった年、または院内で情報漏洩に近い出来事（誤送信・紛失）があった場合は、追加の研修や周知を行うことが適切です。

なお、令和7年現在、個人情報保護法のさらなる改正（3年ごと見直し規定・附則第10条）の検討が進んでいます。個人情報保護委員会の動向を年1回確認し、ガイダンスの改定状況に応じて研修内容を更新していく必要があります。

委託業者の管理も医療機関の責任

クリニックが清掃・滅菌処理・情報システム管理・請求業務などを外部業者に委託している場合、委託先が患者情報を不適切に取り扱ったとしても、医療機関（委託元）がその責任を問われる可能性があります。これは個人情報保護法第25条が「委託先に対する監督義務」を定めているためです。

委託契約書には個人情報の取り扱いに関する条項（目的外利用の禁止・再委託の制限・漏洩時の報告義務など）を盛り込む必要があります。また、委託先が適切な管理体制を持っているかの確認も、定期的に行うことが求められます。院内研修の一環として、委託先管理の仕組みをスタッフに周知しておくことも有用です。

医療機関で義務づけられている研修の全体像は、クリニック・診療所の法定研修、何が義務で年何回か。に一覧を掲載しています。個人情報保護以外の研修（院内感染・医療安全・BCP・患者虐待防止など）も含め、年間の研修計画を立てる際の参考にしてください。