電子医療ファイル: 2026 セキュリティ基準

電子カルテには、互いに重なり合わない2つの制度が併存している。一つは個人データ保護の制度であり、健康情報を原則禁止の対象となる特別な種類のデータとして扱う。もう一つは公衆衛生法の制度であり、独自の保存期間と独自のアクセス権を定めている。前者への適合は後者への適合を意味せず、実際に確認される違反の大半はこの混同から生じている。

ホスティング:義務的な認証

予防、診断または治療活動に際して第三者のために個人の健康データをホスティングするすべての者は、この目的のために認証を取得していなければならない。

この義務は構造的なものであり、しばしば事後になって発覚する。データ量や組織の規模には左右されない。業務用ソフトウェアをオンラインのサービス提供者に委託している診療所であっても、データのホスティングが認証を受けた事業者によって行われていることを確認しなければならない。この確認の責任は、管理者、すなわち専門職または医療機関にあり、サービス提供者にはない。

そこから2つの実務上のポイントが導かれる。委託契約には当該認証とその適用範囲を明示的に記載しなければならないこと、そして提供者やインフラを変更する場合には、このカバー範囲を再確認する必要があることである。

健康データの制度

健康に関するデータは特別な種類のデータに該当し、その取扱いは原則として禁止されている。取扱いが合法となるのは、限定的に定められた例外事由のいずれかに該当する場合のみであり、具体的には医療上の対応、予防医学、または本人の明示的な同意などが挙げられる。

この逆転した構造には直接的な帰結がある。取扱いごとに、それを根拠づける例外を特定できなければならない。データの二次利用——内部統計、ツールの改善、研究など——は、医療提供の取扱いの合法性から自動的に導かれるものではなく、それ自体の根拠を必要とする。

これに加えて、一般的な義務も課される。取扱いの記録、本人への情報提供、定められた保存期間、リスクが高い取扱いの場合の影響評価などであり、これはコンピュータ化された患者カルテにおいて頻繁に当てはまる。

保存期間

これらは、単なる保存期間の限定原則ではなく、公衆衛生法に基づくものである。

医療機関において作成された医療記録は20年間最後の入院または最後の外来受診から保存される。これに2つの特別な規則が重なる。

• 患者が未成年であった時点で治療を受けていた場合、この期限がより遅い場合には、保存期間はその者が28歳になるまで延長される。
• 患者の死亡が最後の受診から10年未満である場合、カルテは死亡日から少なくとも10年間保存される。

これらの期間は、医療機関または専門職の責任を追及する異議申立てまたは訴訟が行われている間は停止される。

責任追及の訴権の期間との関連は明確である。訴権は損害が確定した時点から10年で時効となり、カルテを早期に破棄すれば専門職は主要な防御手段を失うことになる——この論点については、当社の記事「専門職の民事責任」.

アクセスの追跡可能性

これは最も実務的な要件であり、その欠如は最も後から埋め合わせにくいものである。

カルテへのアクセスはすべて記録されなければならない:誰が、どの項目を、いつ閲覧したかということである。この記録は、明確に異なりながらも互いを補完する2つの機能を果たす。

それは不正アクセスを防止し検知するものであり、これは医療機関において最も頻繁に見られる違反の一つである——同僚や身内、知人のカルテを閲覧するといった事例が該当する。

それは専門職を保護するものであり、問題視されたアクセスが実際には行われていなかったこと、あるいは疑義のあるアクセスが実際に診療の一環であったことを証明できるようにする。記録がなければ、疑いを立証することも払拭することもできない。

さらに、アクセス権限は職務に応じて区別されなければならない。医療チームに所属していることは、カルテ全体へのアクセスを認めるものではなく、必要な情報のみへのアクセスを認めるものである。この点については、当社の記事「医療上の秘密」.

患者のアクセス権

患者は、請求理由を示す必要なく、自身の健康に関するすべての情報に直接アクセスできる。

情報の開示は、熟慮期間の経過後、早くても行われ、情報が5年以上前のものである場合には延長される期限までに、遅くとも行われる。発生し得る費用は、複写および送付の費用に限られる。

この権利には2つの制限が課される。診療に関与しない第三者から収集された情報、およびそうした第三者に関する情報は対象から除外される。患者の死亡後は、相続人等によるアクセスは別の制度に従い、主張された理由に必要な情報に限定される。

利用シナリオ

業務用ソフトウェアの変更。新しいサービス提供者のホスティング認証、データの可搬性、エクスポート形式を確認する。復旧計画のない移行は、保存期間がまだ継続しているカルテを失うリスクを招く。

共同診療所。全員にカルテ全体を開放するのではなく、施術者ごと、患者ごとにアクセス権限を区別する。これは最も頻繁に確認される管理ポイントであり、技術面だけでなく組織面にも関わる問題である——この点については、当社の記事「医療機関の行政コンプライアンス」.

患者からのアクセス請求。本人確認を行い、除外対象の情報を切り分け、情報の古さに応じて適用される期限を守る。請求とその回答を記録すること——期限の遵守は証明されなければならない。

よくある質問

認証を受けたホスティング事業者は必要か?はい。予防、診断または治療の文脈で第三者のために健康データがホスティングされる場合には必要である。確認の責任は管理者にあり、サービス提供者にはない。

医療記録はどのくらいの期間保存すべきか?医療機関での最後の受診から20年間であり、患者が未成年であった場合には28歳になるまで延長され、受診から10年以内に死亡した場合は死亡日から少なくとも10年間保存される。

患者は自身のカルテを閲覧できるか?はい。理由を示す必要なく、直接、定められた期限内に閲覧できる。5年以上前の情報については期限が延長される。請求できる費用は複写および送付費用のみである。

アクセス記録の作成は義務か?はい。これは専門職と患者の双方を保護する。記録がなければ、争いのあるアクセスの有無を立証も否定もできない。

専門職は施設内のすべてのカルテを閲覧できるか?いいえ。アクセスは、当該患者の診療における職務に必要な情報に限られる。それに応じてアクセス権限を区別しなければならない。

データを統計目的で利用できるか?診療目的の取扱いとしては利用できない。二次利用には、それ自体の合法性の根拠が必要であり、必要に応じて本人への特別な情報提供が求められる。

まとめ

2つの制度が重なり合っており、それぞれ別々に扱わなければならない。データ保護の制度は、取扱いごとにそれを合法とする例外を特定することを求めており、診療目的はそれだけでは二次利用を正当化しない。公衆衛生法は、数十年単位で数えられ、異議申立てがあれば停止する独自の保存期間を課している。

この2つの制度の間で、両方に役立つ仕組みが一つある。それは、区別されたアクセス権限と結びついたアクセスの記録である。これによって「職務に必要な範囲」という限界が守られたことを証明でき、また専門職があるアクセスを問題視された際にその専門職を守ることにもなる。この考え方は、同意の取得に関するものと同じである。記録が残っていない事柄は、証明することも反証することもできない。