ヘルスケアデータの保護とGDPR準拠：医療専門家向けガイド

ヘルスケアデータはヨーロッパの規制環境において特別な位置を占めています。GDPR（第9条）によって特殊カテゴリーの機密データとして認定されており、強化された保護制度の対象となります。この制度は、これらのデータを取り扱うすべての専門家に適用されます。すなわち、医療機関、相互扶助組織、ヘルスケアソフトウェア編集企業、検査室、在宅介護サービス、eヘルスおよびテレメディスン事業者です。2026年には、規制環境はさらに複雑化しています。ヨーロッパン・ヘルス・データ・スペース（EEDS）の段階的施行開始、CNILの更新された勧告、およびEU全域における記録的な制裁金の賦課により、準拠はもはや選択肢ではなくなりました。本記事では、適用される義務と処理を確保するために採用すべきベストプラクティスを詳細に説明します。

GDPRの観点からのヘルスケアデータとは何か？

GDPR（規則第2016/679号、第4条第15項）は、ヘルスケアデータを「自然人の身体的または精神的な健康に関連する個人データであり、ヘルスケアサービス提供を含み、その者の健康状態に関する情報を明かすもの」と定義しています。

見た目以上に広いペリメーター

この定義は、従来の医療記録をはるかに超えています。対象となるものは以下のとおりです：

• 病歴、診断、処方箋および検査結果 ;
• 接続デバイスによって収集されたデータ（スマートウォッチ、血糖値センサー、月経追跡アプリケーション） ;
• 健康状態を推測することができる管理データ（払戻率、診療頻度） ;
• 医療情報と組み合わせた社会保障番号（NIR）。

フランスでは、CNILは特にヘルスケアデータウェアハウス（EDS）に関する参照判断において、この概念は広く解釈されるべきことを明確にしました。したがって、目に見える障害を明かす単なる写真または生物測定データ（網膜紋）は対象範囲に含まれます。

なぜ強化された保護が必要なのか？

ヘルスケアデータの機密性の特殊性は、その差別化の可能性にあります。ある人の健康状態を明かすことは、その雇用、保険、信用へのアクセスに影響を与える可能性があり、またはその人のプライバシーを暴露する可能性があります。CNILは、2024年にヘルスケアデータを含む違反が、受け取った通知の36%以上を占めていたと見積もっており、これは最初のカテゴリーの違反されたデータです。

ヘルスケアデータ処理に固有の法的根拠

GDPR第9条第1項は、機密データの処理に対する禁止原則を規定しており、限定的に列挙された例外が付随しています。ヘルスケア専門家にとって、動員可能な法的根拠は主に以下のとおりです：

明示的な同意（第9条第2項（a））

同意は自由、具体的、情報提供、明確であり、明確な肯定的行為によって表現される必要があります。ヘルスケアセクターでは、この根拠は通常の治療には不適切なことが多い（医師/患者の力の不均衡）が、研究、マーケティング、または一般向けヘルスケアアプリケーションの使用を目的とした処理に不可欠なままです。

2026年のベストプラクティス：ヘルスケアにおける電子署名を利用して患者の同意を追跡可能かつ時刻記録された方法で収集することにより、監査時に証拠の提供を促進します。

治療および予防医療（第9条第2項（h））

これはヘルスケア専門家が治療関係の文脈におけるデータを処理する主要な法的根拠です。医療秘密の対象となるプロフェッショナルによってまたはその責任下で処理が実施される条件下で適用されます。

公の利益と研究（第9条第2項（i）および（j））

公衆衛生目的の処理（疫学的監視、医薬品警戒）または科学研究は、これらの例外に依拠することができます。フランスでは、情報およびリバティ法（第65～68条）およびシステムナショナルデータサンテ（SNDS）を規制する命令が、アクセスの条件を定義しています。

処理責任者の具体的な義務

医療キャビネットであれデジタルヘルスソリューション編集企業であれ、義務は5つの柱の周りに構造化されています。

1. 処理の登録簿（第30条）

すべての処理責任者または処理者は、各処理を文書化する登録簿を維持する必要があります：目的、法的根拠、データのカテゴリー、保持期間、受信者、セキュリティ対策。CNILは、この登録簿が最新であり、監査時に遅滞なく提示可能であることを要求しています。

2. データ保護影響評価（AIPD / 第35条）

大規模なヘルスケアデータの処理またはプロファイリング目的の処理には、AIPD（英語ではDPIAと呼ばれる）が必須です。CNILはAIPD対象の処理の一覧を公表しており、ヘルスケアデータウェアハウス、ヘルスケアステータス追跡モバイルアプリケーション、および接続医療デバイスを含みます。

この文脈における電子文書の法的価値に関しては、プロバイダーは収集メカニズムが証拠要件を満たしていることを確認する必要があります。

3. データ保護責任者（DPO）の指定

DPOの指定は必須です：

• グループ化されたヘルスケア専門家（病院、老健施設、50人以上の医療構造） ;
• 相互扶助組織および健康保険会社 ;
• 大規模なデータを処理するヘルスケアソフトウェア編集企業。

2024年以降、CNILはDPOの役割の実効性に対する監査を強化し、特にその実質的独立性とリソースを検証しています。

4. 情報システムのセキュリティ（第32条）

技術的および組織的対策は、リスクに比例している必要があります。CNILは特に以下を推奨しています：

• 保存および転送中のデータのエンド・ツー・エンド暗号化 ;
• 目的が許可する限り仮名化 ;
• 厳格なアクセス制御（多要素認証）の実装 ;
• 定期的にテストされ、メインネットワークから切断されたバックアップ ;
• ヘルスケアデータに特有の事業継続計画（BCP）。

NIS 2指令（2025年3月26日の法律によってフランス法に転置）の適用開始以来、サニテセクター内の必須エンティティ（病院、医療デバイス製造業者、および特定の検査室を含む）は、さらに厳密なサイバーセキュリティ要件の対象となり、重大なインシデント発生時にはANSSIへの通知が24時間以内に必須となっています。

5. データ侵害の通知（第33条および34条）

ヘルスケアデータの侵害は、その発見から72時間以内に CNILに通知する必要があります。侵害が人の権利および自由に対して高いリスクをもたらす可能性がある場合、影響を受けた患者にも不当な遅滞なく通知される必要があります。

2024年、CNILは通知の遅延に対して罰金を科し、迅速性がそれ自体準拠義務であることを再度周知させました。

ヘルスケアデータのホスティング：フランス固有の義務

フランスでは、2016年1月26日の法律（公衆衛生法第L. 1111-8条）は、個人データとしてのヘルスケアデータがHDS認証取得者（ヘルスケアデータホスティング企業）によってホストされることを義務付けています。この認証は、COFRAC認定機関によってISO 27001標準およびANS HDS参照枠に基づいて発行され、6つの異なる活動をカバーします。

HDS認証の対象者は誰か？

HDS認証は、第三者の代わりにヘルスケアデータを含む情報システムをホスト、管理、または運用するすべてのアクター、すなわちクラウドサービスプロバイダー、DMP（共有医療記録）編集企業、テレメディスンプラットフォーム、および2023年以来、識別可能なデータを保持する一般向けヘルスケアアプリケーション編集企業に該当します。

HDS認証ホスターの使用は、処理責任者を自身の義務から免除することはできません。GDPR第28条に準拠した処理委託契約を必ず形成し、ホスターに与えられた指示、セキュリティ保証、および監査様式を詳細化する必要があります。

ヨーロッパン・ヘルス・データ・スペース（EEDS）：2026年の影響とは？

EEDS規則（2025年後期に採択され、最初の規定が2027年まで段階的に適用）は、研究、イノベーション、公衆衛生を目的とした越境ヘルスケアデータアクセスのフレームワークを規定しています。フランスの専門家にとって、2つの直接的な影響があります：

1. 強化された可搬性権（構造化形式、機械可読）の患者記録のために、これを尊重する義務 ;
2. 同意を伴うさらに同意を得たとしても、広告ターゲティング目的でのプライマリヘルスケアデータの処理禁止 — GDPR単独よりも厳格な制限。

これらの進化は、2026年末までに準拠ポリシーおよび処理委託契約の更新を不可欠なものにしています。eIDAS準拠電子署名ツールを使用する専門家にとって、同意および承認の追跡可能性は、監査時に準拠を実証するための相当な利点を構成します。

患者の権利とGDPR権の行使

患者は、すべてのGDPR権（アクセス、修正、削除、制限、可搬性、異議）を有しており、いくつかのセクター固有の調整があります。

ヘルスケアデータへのアクセス権

患者は医療記録全体へのアクセスを要求することができます（公衆衛生法第L. 1111-7条）。プロフェッショナルは8日間（最近のデータについては48時間、最近の入院については2か月）の猶予を有します。CNILおよび権利防衛官は、これらの要求を拒否または遅延させた機関を両方とも制裁しました。

削除権およびその制限

「忘れられる権」は法定保持期間によって枠組みされています：成人医療記録については20年、行為が未成年である場合は28年。これらの法定期間は、あらゆる早期削除要求に優先します。処理責任者はこれを患者に明確に説明する必要があります。

電子的手段による要求管理

プロセスをデジタル化した機構にとって、権利行使要求は保護されたフォームを介して転送および処理することができます。適格電子タイムスタンプは要求および応答の規制期限遵守を証明することを可能にする、CNIL監査時のベストプラクティスです。

ヘルスケアデータ保護に適用可能な法的枠組み

医療専門家およびそのテクノロジーパートナーの準拠は、習得する必要のあるヨーロッパおよび国内テキストの関連に基づいています。

GDPR — 規則（EU）第2016/679号（2016年4月27日） ：装置の基礎石、ヘルスケアデータを機密データ（第4条第15項）として認定し、限定的に列挙された例外を除いてその処理を禁止し（第9条第2項）、AIPD（第35条）、DPO指定（第37条）、違反通知（第33～34条）、および比例した安全対策（第32条）を課しています。規定された制裁は2,000万ユーロまたは年間世界売上高の4%に達し、最も高い金額が保持されます。

情報およびリバティ法（1978年1月6日の法律第78-17号（変更済み））：GDPR をフランス法に転置し、CNILが医療に固有のセクター参照枠を採択する権限を与え、SNDSへのアクセス様式を定義します。

公衆衛生法 — 第L. 1111-7条および第L. 1111-8条：患者の医療記録へのアクセス権を確立し、HDS認証取得者によるホスティング義務を設定します。

HDS参照枠（ヘルスケアデータホスティング企業）：保健デジタル機関（ANS）によって発行され、物理インフラストラクチャ、プラットフォーム、およびソフトウェアアプリケーションをカバーする6つの認証活動を定義します。

NIS 2指令 — 指令（EU）2022/2555、2025年3月26日の法律によってフランスに転置：サニテセクター（年間患者数30,000人以上の病院、クラスIIb以上の医療デバイス製造業者、参考検査室）の必須エンティティを強化されたサイバーセキュリティ要件の対象とし、特に重大なインシデント時の24時間以内のANSSIへの通知、および年1回テスト済みインシデント対応計画の実装を規定しています。

eIDAS規則第910/2014号およびeIDAS 2.0（規則（EU）2024/1183）：同意、デジタル化医療行為、プロバイダーとの契約の収集に使用される電子署名の法的価値を規制します。電子署名の高度な実装またはそれが適格は、その証拠価値が異議を唱える可能性のあるすべての行為に推奨されます。

EEDS規則（ヨーロッパン・ヘルス・データ・スペースに関するヨーロッパ規則、2025）：患者のプライマリデータに対する権利を強化し、研究におけるセカンダリデータの使用を枠組みし、各加盟国内でヘルスケアデータへのアクセスオーガナイザーの作成を規定します。

具体的な法的リスク：CNIL行政罰金以外に、処理責任者は民事責任訴訟（第82条GDPR）、刑事訴追（刑法第226-17条、法人に対する最大5年の投獄および300,000ユーロの罰金）、および経済的影響がしばしば罰金額を上回る風評被害リスク。

ユースケース：実践における準拠GDPR およびヘルスケアデータ

シナリオ1 — 約1,200床を管理するプライベートクリニックグループ

約1,200床（3つのサイトに分散）のプライベートクリニックグループは、患者の同意をセキュリティが不十分な物理ファイルに保存された紙のフォームで処理していました。CNIL監査に向けた内部監査により、いくつかの欠陥が同定されました：2年以上前の同意を迅速に検索することが不可能、医療ビデオ監視および第三者（保険会社、担当医）への転送に関連する同意の追跡可能性なし。

経営陣は、病院情報システムに統合された適格電子署名ソリューションを展開しました。6か月で測定された結果：医療記録アクセス要求の処理時間は14日から4営業日に短縮（71%削減）、同意検索時間は平均45分から2分未満に短縮され、グループは応用層についてのHDS認証を取得しました。

シナリオ2 — 専門医の自営業者向けテレメディスンソリューション編集企業

自営業専門医（約4,000人の活発なユーザー医師）向けの遠隔診療プラットフォームを編集する企業は、重大なリスクに直面していました：サーバーは、GDPR第28条に準拠した契約上の句がなく、HDS認証なしでアメリカのクラウドプロバイダーでホストされていました。プラットフォームは、しかし、診療記録、処方箋、および臨床写真を収集していました。

DPO外部による影響評価（AIPD）実施後、企業はフランスに拠置されたHDS認証取得者に移行し、すべての処理委託契約をレビューし、各診療前に時刻記録された啓発同意メカニズムを統合しました。また、12時間以内の内部インシデント通知手順を実装し、CNIL規制の72時間期限を尊重することを可能にしました。準拠のコストは180,000ユーロと見積もられました。同じ年の同様のセクター登録者に対してCNILが科した400,000ユーロの罰金と比較してください。

シナリオ3 — 独立した薬局のネットワーク

40の独立した薬局のグループは、処方薬の履歴と忠誠心データ（暗黙的な健康プロファイルに関連）を処理する集中管理ソフトウェアを使用していました。DPO指定なく、処理登録簿が最新でなく、患者の権利行使要求に30日以内に応答できませんでした。

8か月に及ぶ準拠プロジェクトにより、DPOの相互指定（中小企業グループとして一般的かつ法則な解決策）を可能にし、登録簿に23の異なる処理を文書化し、保持期間ポリシーをレビュー（忠誠心データは正当化なく10年間保持されていました）、および患者要求またはコントローラー出現時のベストプラクティスについてすべての薬学職員を訓練しました。事前に推定されたリスク罰金は150,000ユーロを超えています。

よくある質問

モバイルアプリケーションによって収集されたヘルスケアデータはGDPRの対象か？

はい。アプリケーションが健康状態を推測することができるデータを収集する限り（心拍数、月経追跡、血糖値、栄養）、これらのデータはGDPR第4条第15項の意味でのヘルスケアデータを構成します。編集企業は処理責任者であり、明示的な同意を取得し、HDS認証プロバイダーでデータをホストし、処理が大規模である場合はAIPDを実施する必要があります。

独立した医師が単独で練習する場合、DPOを指定する必要があるか？

いいえ。DPO指定は、独立した医師が単独で練習する場合、または数人の医者の小規模なキャビネットについては必須ではありません。ただし、処理が大規模なヘルスケアデータに関係する場合を除きます。この医師は依然として処理責任者であり、処理登録簿を保持し、データ最小化の原則を適用し、規制期限内の患者権利行使要求に応答することができる必要があります。

CNIL はヘルスケアデータ違反の場合、どのような制裁を科すことができるか？

CNIL は 2,000万ユーロまたは年間世界売上高の 4% に達する可能性のある行政制裁パワーを有しており、最も高い金額が保持されます。罰金以外に、適合命令と罰金、または決定の公表を発令することができます。刑法面では、刑法第226-17条は法人に対して最大5年の投獄および300,000ユーロの罰金を規定しています。

処理者（ソフトウェア、クラウド）はヘルスケアデータ漏洩の場合に責任があるか？

はい。GDPR（第28条および82条）は、処理責任者および処理者の共同責任を影響を受けた人に対して樹立しています。処理者は、処理責任者の指示の外側で行為した場合、またはそれ自身のGDPR義務を尊重しなかった場合に直接責任を負います。したがって、詳細な処理委託契約を形成し、ホスターがヘルスケアデータについてHDS認証取得であることを確認することが不可欠です。

HDS認証は、デジタルヘルスのすべてのアクターについて必須か？

HDS認証は、第三者の代わりにヘルスケアデータを含む情報システムをホスト、管理、または運用するすべてのプロバイダーについて必須です。したがって、クラウドプロバイダー、医療SaaS編集企業、テレメディスンプラットフォームに課されます。一方、独自のデータをホストする医療専門家（第三者に信頼していない）は、この義務に直接従う必要がありません。ただし、GDPR第32条のセキュリティ対策は保持されます。

結論

ヘルスケアデータの保護は、2026年、デジタルセクターの最も複雑で監視下にあるコンプライアンス課題の1つを構成します。GDPR、情報およびリバティ法、HDS ホスティング義務、NIS 2 指令、およびヨーロッパン・ヘルス・データ・スペース出現の間で、専門家は継続的な監視を維持し、準拠を5つの柱の周りに構造化する必要があります：処理登録簿、AIPD、DPO、技術セキュリティ、患者権行使管理。

Certyneo はヘルスケアセクター関係者のセキュアなプロセスデジタル化を支援しています。時刻記録された同意収集、プロバイダーとの契約の適格電子署名、各行為の証拠追跡可能性が含まれます。当社のソリューションが、ヘルスケア専門家向けスペースを訪問するか、Certyneo でのフリートライアル開始によって、GDPR準拠をどのように強化できるか発見してください。