Zenn
📖

医療データ2次利用の観点からの個人情報保護法

2024/08/04に公開
法律
個人情報
医療データ
RWD
2次利用
tech

内容・目的

どうも始めまして製薬企業で疫学研究に関わっております新人エキガクニストです。
医療データを2次利用する上で注意すべき、目的外利用、第三者提供について整理しました。
皆さんの理解の一助となれば幸いです！

まとめ

個人情報 仮名加工情報 匿名加工情報（個人情報でない）
利用目的の変更 原則、本人同意 変更後の利用目的の公表 可
第三者提供 不可（原則、本人同意） 不可 可

参考情報

個人情報に関する用語の定義

個人情報

  • 定義：「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。（個人情報の保護に関する法律　第2条より一部引用）
  • 解説：氏名や生年月日、顔写真等の個人が特定可能な情報を個人情報となる。注意すべき事項として個人が特定可能な情報が含まれているデータ全体が個人情報となる。例えば電子カルテには個人が識別可能な氏名、生年月日が記載されている。このため、電子カルテデータ自体が個人情報となる

要配慮個人情報

  • 定義：本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報（個人情報の保護に関する法律　第2条より一部引用）
  • 解説：レセプト、健診データ、電子カルテデータは病歴が記載されるデータであるため要配慮個人情報に該当する

仮名加工情報

  • 定義：他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報（個人情報の保護に関する法律　第2条より一部引用）
  • 解説：例えば電子カルテデータを識別可能な名前、生年月日等の情報(1)　と　それ以外の病歴、処方、検査値などの情報(2)に分割し(1)と(2)を結合するための符号を付与した場合、(2)は仮名加工情報となる。特定の個人を識別できないように加工されていますが、元の情報に戻せるため、原則として「個人情報」に該当し、個人情報保護法の一部の制約をうける。第三者提供、作成元の個人情報と照合し本人を識別する行為は禁止されている。
    利点：公表だけでの利用目的の変更が可能（個人情報では利用目的の変更に本人の同意が必要）

匿名加工情報

  • 定義：特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたもの（個人情報の保護に関する法律　第2条より一部引用）
  • 解説：何人も個人まで特定できない情報が匿名加工情報となる。名前等の個人特定につながる情報を削除に加え、個人情報と連結できる符号の削除、希少疾患などの特異な情報（それだけでは個人が特定できないが、情報の組み合わせにより個人の特定につながる可能性のある情報）を丸めるor削除する必要がある。

仮名加工情報、匿名加工情報の差異については、個人情報保護委員会から出されている「仮 名 加 工 情 報 ・ 匿 名 加 工 情 報 信頼ある個人情報の利活用に向けて ―事例編―」https://www.ppc.go.jp/files/pdf/report_office_zirei2205.pdf
を一読することをお勧めします。

医療情報の2次利用における注意点

個人情報は原則「利用目的を特定して、その範囲内で利用すること」、「第三者に提供する場合は、あらかじめ本人から同意を得る」必要であり、同意なしでの目的外利用・第三者提供は不可となる。
この点はデータの2次利用において課題と成ることが多いため、利用可能となる条件を整理する。

【第三者提供】

個人情報の第三者提供は以下の場合のみ可能である。

  1. 本人の同意を得る
  2. アプトアウト手続きを実施している。（ただし、要配慮個人情報の提供は不可）
  3. 学術研究目的
  4. 公衆衛生の向上のために特に必要である場合であって、本人の同意を得ることが困難な場合
  5. 法令に基づく、人の生命、身体又は財産の保護のため等　特別な状況
  • 解説：医療で用いられる個人情報は要配慮個人情報であることが多く2は不可となる。企業における医療データの2次利用の観点から考えると、1,3,4での大学等の学術研究機関等と学術研究目的の研究で共同研究する場合3に該当する。「個人情報の保護に関する法律についてのガイドライン」 に関するＱ＆ＡのＱ11－６を参照 （https://www.ppc.go.jp/all_faq_index/faq1-q11-6/）

【目的外利用】

個人情報の目的外利用は以下の場合のみ可能である。

  1. 本人の同意を得る
  2. .学術研究目的
  3. 公衆衛生の向上のために特に必要である場合であって、本人の同意を得ることが困難な場合
  4. 法令に基づく、人の生命、身体又は財産の保護のため等　特別な状況
  • 解説：第三者提供の場合と異なり、オプトアウト手続きによって、目的外での利用はできない
    製薬企業がデータ取得時とは別目的で自社内の研究で用いる場合は、「公衆衛生の向上のために特に必要がある場合であって、本人の同意を得ることが困難であるときには、あらかじめ本人の同意を得ないで、個人情報を当初の利用目的の達成に必要な範囲を超えて取り扱うことが許容される」より詳細には「個人情報の保護に関する法律についてのガイドライン」 に関するＱ＆ＡのＱ2－14を参照
    (https://www.ppc.go.jp/all_faq_index/faq1-q2-14/)

まとめ(再掲)

個人情報 仮名加工情報 匿名加工情報（個人情報でない）
利用目的の変更 原則、本人同意 変更後の利用目的の公表 可
第三者提供 不可（原則、本人同意） 不可 可

仮名加工情報の利用目的の変更については個人情報の保護に関する法律についてのガイドライン」 に関するＱ＆ＡのＱ2－14を参照（https://www.ppc.go.jp/all_faq_index/faq1-q14-15/）

Discussion