介護の現場での個人情報保護

介護の現場での個人情報保護

個人情報保護に関する制度

2003（平成15）年、個人情報の保護に関する法律（個人情報保護法）が制定されました。同法では、個人情報取扱事業者は個人情報を取り扱う場合、利用目的をできる限り特定しなければならず、特定の範囲を超える場合にはあらかじめ本人の同意を得なければならないと規定されています。

特に要配慮個人情報の取得については、原則として本人の同意を得ることが義務化されています。

要配慮個人情報というのは、人種、信条、病歴、犯罪歴、健康診断の結果、遺伝情報など、不当な差別または偏見が生じる可能性のある個人情報のことです。

個人情報とは

以下のように規定されています。

個人情報保護法は、生存する個人に関する情報であって、

1．当該情報に含まれる氏名、生年月日、その他の記述等に記載や記録され、または音声や動作その他の方法を用いて表された一切の事項によって特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む）

2．個人識別符号が含まれるもの

12のいずれかに該当するもの

出典　個人情報保護法　2条

匿名加工情報

特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、その個人情報を復元することができないようにしたものです。本人かどうか一切分からない程度まで加工されたものなので、個人情報に該当せず、本人の同意を得ずに第三者に提供することが可能です。

匿名加工情報が活用されている例として、購買履歴が挙げられます。

購買履歴は、広告やマーケティング、商品開発など、さまざまな目的で活用されることがあります。消費者の基本属性や購買傾向は、小売事業者やポイントカードの運営事業者、クレジットカード会社などが収集し、蓄積しています。

仮名加工情報

他の情報と照らし合わさない限り、特定の個人を識別できないように、個人情報を加工して得られる個人に関する情報のことです。例えば、元の個人情報の一部を削除したり、IDなどのように記号で置き換えたりしたものがこれに該当します。

仮名加工情報が活用される例としては、「利用目的として特定した範囲を超えて利用したい」という場合です。個人情報は基本的に当初定めた目的以外での利用は禁止されています。なので目的の範囲外で利用するには、本人の同意が必要になります。

しかし、実務上このような同意を全てのユーザーから取得することは現実的ではありません。

そこで登場したのが仮名加工情報です。仮名加工情報においては利用目的の変更の制限が課されないため、仮名加工情報として用いる範囲においては、同意なしに新たな利用目的のもとで利用することができます。

「だったら匿名加工情報にすればいいのでは？」

と思うかもしれませんが、個人情報を匿名加工情報に加工するためには、個人情報保護法に定められた基準に従わなければならず、高度な専門的知識や高い技術力が必要になるため、中小企業が簡単に導入するのは難しい面があります。

個人情報取扱事業者とは

個人情報保護法において個人情報取扱事業者とは、個人情報データベース等を事業に活用している者です。ただし、以下の者は除かれます。

• 国の機関
• 地方公共団体
• 独立行政法人

など。

つまり、行政機関は対象になりません。行政機関に対する個人情報保護の法律は、個人情報保護法とは別に、行政機関の保有する個人情報の保護に関する法律で規定されています。

個人情報保護法では、個人情報取扱事業者に対し、次のことを義務付けています。

• 個人情報を取り扱うに当たっては利用目的をできる限り特定し、原則として利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。
• 個人情報を取得する場合には、利用目的を通知・公表しなければならない。なお、本人から直接書面で個人情報を取得する場合には、あらかじめ本人に利用目的を明示しなければならない。
• 個人データを安全に管理し、従業員や委託先も監督しなければならない。
• あらかじめ本人の同意を得ずに第三者に個人データを提供してはならない。
• 事業者の保有する個人データに関し、本人からの求めがあった場合には、その開示を行わなければならない。
• 事業者が保有する個人データの内容が事実でないという理由で本人から個人データの訂正や削除を求められた場合、訂正や削除に応じなければならない。
• 個人情報の取扱いに関する苦情を、適切かつ迅速に処理しなければならない。

介護の現場での個人情報保護の対応

個人情報保護を医療・介護の現場に落とし込むために、「医療・介護関係事業者における個人情報の適切な取り扱いのためのガイダンス」が策定されています。

個人情報の取り扱いの例外規定

個人情報取扱業者は、あらかじめ本人の同意を得ないで利用目的以外のことで、個人情報を取り扱ってはいけません。ただし、次のような場合は例外となります。

• 法令に基づく場合
  警察とか税務署からの照会などです。「法令」には、「法律」のほか、法律に基づいて制定される政令や地方自治体が制定する「条例」なども含まれます。
• 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合。
  例えば、利用者が意識を失って救急搬送されるような場合があてはまります。

個人データ開示の例外規定

個人情報取扱事業者は、本人から保有する個人データの開示を求められたときは、本人に対し遅滞なく、その保有個人データを開示しなければなりません。ただし、開示することにより以下の1～3のいずれかに該当する場合は、その全部または一部を開示しないことができます。

1. 本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合。
   例えば、医療機関などで病名の告知が本人に重大な精神的苦痛を与えるおそれがある場合などです。
2. 当該個人情報取扱業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合。
   例えば、悪質なクレーマーなどから、何度もしつこく同じ内容の開示を求められたり、該当する個人データが存在しないことを説明しても納得されずに何度もお客様センターに電話がかかってきたりなど、業務に支障をきたす可能性がある場合などが該当します。
3. 他の法令に違反することとなる場合。
   例えば、電気通信事業法が定める通信の秘密を犯すことになる場合などが該当します。