「患者リストを別の患者にメールで誤送信した」「訪問看護の記録が入ったタブレットを紛失した」「電子カルテサーバに不正アクセスの痕跡がある」――医療機関・介護事業者で起きる漏えいは、病歴や診療情報が要配慮個人情報であるため、1人分でも個人情報保護委員会への報告と本人通知が義務になります。一方で、蓄積した診療データを研究開発に活かすための仮名加工情報・匿名加工情報・次世代医療基盤法というルートも整備されています。この記事では、漏えい時の報告・通知・公表の判断と、医療データの二次利用を適法に進める仕組みを、条文とガイダンスに沿って整理します。
診療情報を含む個人データの漏えい等（そのおそれを含む）は、本人の数にかかわらず報告対象で、個人情報保護委員会への速報は発覚から概ね3〜5日以内、確報は30日以内（不正アクセス等は60日以内）、本人通知も原則義務です（個人情報保護法26条、施行規則7条〜10条）。二次利用は、本人同意を取るか、仮名加工情報（院内の分析用・第三者提供不可）、匿名加工情報（公表等の規律付きで提供可）、次世代医療基盤法の認定事業者への提供（本人への事前通知と届出で可）のいずれかのルートに乗せる必要があります。
医療機関の漏えいはなぜ「1人分でも報告対象」なのか
個人情報保護法26条1項は、個人データの漏えい・滅失・毀損（漏えい等）のうち「個人の権利利益を害するおそれが大きいもの」が生じたとき、個人情報保護委員会への報告を義務づけ、その範囲を施行規則7条が4類型で定めています。
| 類型（施行規則7条） | 内容 | 医療・介護での具体例 |
|---|---|---|
| 1号 要配慮個人情報 | 要配慮個人情報が含まれる個人データの漏えい等（高度な暗号化等の措置を講じたものを除く）。発生したおそれを含む | 診療情報を含むUSBメモリーの紛失（ガイダンスの例）、検査結果の誤送付、処方情報の誤FAX、介護記録の入ったタブレットの紛失 |
| 2号 財産的被害のおそれ | 不正に利用されると財産的被害が生じるおそれがある個人データ | クレジットカード決済情報、オンライン予約システムのIDとパスワードの組合せ |
| 3号 不正の目的 | 不正の目的をもって行われたおそれがある行為による漏えい等 | ランサムウェア、不正アクセス、職員による患者情報の持ち出し、端末の盗難 |
| 4号 1,000人超 | 本人の数が1,000人を超える漏えい等 | 患者名簿全体の誤送信、健診受診者データの流出 |
一般企業では多くの漏えいが4号（1,000人超）に当たるかどうかで判断されますが、医療機関・介護事業者が扱う情報はほぼ全部が要配慮個人情報であるため、1号により1人分の誤送付でも報告対象です。「発生したおそれがある事態」を含むため、暗号化されていないUSBメモリーを紛失し、第三者に閲覧されたか分からない状態でも義務が生じます。報告対象となる事態では、本人への通知も原則として義務です（法26条2項）。
「1人分だから」「見られた証拠がないから」は報告を不要にする理由になりません。医療・介護の現場では、要配慮個人情報が含まれる限り、件数と閲覧の有無を問わず報告・通知が原則だと整理してください。例外は、高度な暗号化等により第三者が復元できない措置を講じていた場合です。
速報・確報・本人通知 ― 期限・報告事項・報告先
報告は「速報」と「確報」の2段階です（施行規則8条）。起点はいずれも医療機関が「当該事態を知った」日であり、漏えいが起きた日ではありません。
| 区分 | 期限 | 内容 |
|---|---|---|
| 速報（規則8条1項） | 知った後「速やかに」。個人情報保護委員会は発覚から概ね3〜5日以内を目安としています | 報告時点で把握している事項のみで足りる |
| 確報（規則8条2項） | 知った日から30日以内。不正の目的によるおそれがある事態（3号）は60日以内 | ①概要 ②漏えい等した個人データの項目 ③本人の数 ④原因 ⑤二次被害またはそのおそれの有無と内容 ⑥本人への対応の実施状況 ⑦公表の実施状況 ⑧再発防止のための措置 ⑨その他参考となる事項 |
| 本人通知（法26条2項・規則10条） | 事態の状況に応じて速やかに | 概要・項目・原因・二次被害の有無・その他参考事項のうち本人の権利利益の保護に必要な範囲。通知が困難な場合は公表と問い合わせ窓口等の代替措置 |
| 委託先で発生（法26条1項ただし書・規則9条） | 委託先が委託元に速やかに通知 | 委託先の報告義務は免除されるが、委託元の医療機関は通知を受けた時点が起点になる |
報告先と方法
報告は原則として個人情報保護委員会の報告フォーム（電子申請）で行い、マイナンバーが含まれる（または不明な）場合は専用フォームを使います。ランサムウェア等のサイバー攻撃事案は、令和8年10月1日以降、国家サイバー統括室と共通の様式（Excel）によるメール提出も認められています。
本人通知の文面で気をつけること
本人通知は、お詫び文ではなく、本人が自衛のために必要な情報を伝える文書です。何の情報が、どのような経緯で、誰に漏れた可能性があり、どのような二次被害が考えられ、本人に何をしてほしいか、問い合わせ窓口はどこか、を簡潔に書き、調査中の事項は断定しません。入院患者や高齢の利用者には、来院時・訪問時の口頭説明と書面交付を組み合わせ、説明した日時と相手を記録します。連絡先不明などで通知が困難な場合は、ホームページでの公表と窓口設置を代替措置とします。初動手順と公表文の作り方は「個人情報が漏えいしたときの初動」で詳しく解説しています。
公表の判断と再発防止 ― 医療機関で多い漏えいの型
公表は、法令上すべての事案で一律に義務づけられてはいませんが、報告事項に「公表の実施状況」が含まれ、本人通知が困難な場合の代替措置としても位置づけられています。判断の軸は、二次被害の防止に役立つか、対象者全員に個別通知できるか、後に明らかになったとき「隠した」と評価されないか、の3点です。1人分の誤送付で本人への説明が済んでいる事案では公表まで行わない判断もあり得ますが、ランサムウェアで診療が止まった事案は、患者への診療案内の必要からも公表が前提になります。
医療・介護で多い漏えいの型と再発防止策
- 誤送付・誤交付 ― 検査結果・処方箋・請求書を別の患者に渡す。対策は宛名と内容の二重確認、FAX送信先の登録制。
- 媒体の紛失 ― USBメモリー・タブレット・紙の訪問記録。対策は持ち出し禁止または暗号化の義務化、端末の遠隔消去。
- 不正アクセス・ランサムウェア ― 保守用VPN機器等からの侵入。対策は機器の更新、多要素認証、オフラインバックアップ、ベンダーとの責任分界の文書化。
- 職員による持ち出し・のぞき見 ― 知人のカルテ閲覧、退職時の患者リスト持ち出し。対策はアクセスログの監査、権限の最小化、退職時の誓約。
- 目的外の提供 ― 手術動画や症例情報の企業への提供。対策は利用目的と同意の設計（個人情報保護委員会の2022年注意喚起事例）。
確報には「再発防止のための措置」の記載が必要で、「職員教育を徹底する」だけでは足りません。原因に対応した具体策と実施時期を書くことが、委員会の評価にも患者への説明にも効きます。
違反時の責任 ― 勧告・命令・罰則・守秘義務・損害賠償
安全管理措置（法23条）、委託先監督（法25条）、漏えい等報告（法26条）の規定に違反した場合、個人情報保護委員会は勧告・命令を行うことができ、緊急時には勧告を経ない命令もあります（法148条）。命令違反には1年以下の拘禁刑または100万円以下の罰金、法人には1億円以下の罰金（法178条・184条）、報告徴収・立入検査（法146条）に対する虚偽報告等には50万円以下の罰金（法182条）が定められています。
医療従事者には守秘義務も重なります。医師・薬剤師・助産師が正当な理由なく業務上知り得た人の秘密を漏らしたときは秘密漏示罪（刑法134条1項、6月以下の拘禁刑または10万円以下の罰金）が、看護師等には保健師助産師看護師法上の守秘義務が課されます。民事では、本人から不法行為（民法709条）や使用者責任（民法715条）に基づく損害賠償請求を受ける可能性があり、講じていた安全管理措置、情報の性質、二次被害の有無、漏えい後の対応が総合的に考慮されます。初動で本人通知と二次被害防止策を速やかに講じたことは、責任の範囲を限定する方向に働きます。
医療データの二次利用 ― 4つのルートの使い分け
蓄積した診療データを研究・製品開発・経営分析に使う場合、利用目的の範囲を超える利用（法18条）や第三者提供（法27条）には本人の同意が原則として必要です。同意を取らずに進めるには、法が用意した加工情報の制度か、次世代医療基盤法のルートを使います。
| ルート | 根拠 | できること | できないこと・主な規律 |
|---|---|---|---|
| 本人同意 | 法18条・27条 | 同意の範囲内で院内利用・第三者提供 | 包括的な「研究に使います」では足りず、提供先・目的を特定した同意が必要 |
| 仮名加工情報 | 法2条5項・41条 | 氏名等を削除・置換して他の情報と照合しない限り識別できない状態にし、利用目的を変更して院内の分析・AI開発等に利用。漏えい等報告や開示請求の規定は適用除外（41条9項） | 第三者提供は法令に基づく場合を除き禁止（41条6項）。識別のための照合禁止（7項）、連絡先への利用禁止（8項） |
| 匿名加工情報 | 法2条6項・43条 | 特定の個人を識別できず復元できないよう加工し、作成時の項目公表等の規律のもとで第三者に提供できる | 加工基準は委員会規則に従う。提供時の項目・方法の公表と提供先への明示、識別行為の禁止 |
| 次世代医療基盤法 | 同法52条・57条 | 本人への事前通知と主務大臣への届出のうえで、国が認定した作成事業者に医療情報を提供。認定事業者が匿名加工・仮名加工して研究開発に提供 | 本人（死亡後は遺族）から停止の求めがあれば提供停止。認定事業者以外への提供には使えない |
よくある誤解は「院内で氏名を番号に置き換えたから匿名加工情報だ」というものです。対応表が院内に残っている限り、それは仮名加工情報であって第三者提供はできません。企業との共同研究でデータを外に出すには、匿名加工情報の加工基準を満たすか、次世代医療基盤法の認定事業者経由にするか、本人同意を取るかのいずれかが必要です。データを受け取るヘルスケア企業側も、どのルートで適法化されているかを契約書で確認してください。
仮名加工情報は「院内分析用」、匿名加工情報と次世代医療基盤法は「外に出す用」と整理すると判断を誤りません。いずれも作成・提供の記録と公表・通知の手続が求められ、研究倫理指針の手続は個人情報保護法の整理とは別に必要です。
次世代医療基盤法 ― 本人への通知と届出で認定事業者に提供する仕組み
「医療分野の研究開発に資するための匿名加工医療情報及び仮名加工医療情報に関する法律」（平成29年法律第28号、通称・次世代医療基盤法）は、医療機関等（医療情報取扱事業者）が保有する医療情報を、国が認定した作成事業者に集め、匿名加工または仮名加工して研究開発に利活用する仕組みです。令和5年の改正で仮名加工医療情報が導入され、改正法は令和6年4月1日に施行されました。
医療機関側の手続
- 本人への事前通知と届出 ― 認定作成事業者に提供すること、提供する医療情報の項目、取得・提供の方法、求めに応じて提供を停止すること、求めの受付方法などをあらかじめ本人に通知し、主務大臣に届け出ます（法52条1項・57条1項）。通知は、本人または遺族が停止を求めるために必要な期間を定め、本人が内容を認識できる適切かつ合理的な方法で行い（施行規則48条）、届出事項は国が公表します（法52条3項）。初診時の書面交付と院内掲示を組み合わせる運用が一般的です。
- 停止の求めへの対応 ― 本人、または死亡後は配偶者（事実婚を含む）・子・父母・孫・祖父母・兄弟姉妹から書面または口頭で停止の求めがあれば、提供を停止します（施行令11条、施行規則47条）。
- 匿名加工用と仮名加工用の通知の区別 ― 匿名加工医療情報の作成用として通知した医療情報は仮名加工の用には供せず、逆も同様です。通知文には両方を明記するのが実務的です。
この仕組みは本人同意に基づく提供（個人情報保護法27条）を妨げるものではなく、選択肢の一つです。内閣府のページには認定事業者の一覧とガイドライン（医療情報取扱事業者編）が掲載されています。
2026年改正で変わる漏えい報告と研究利用
個人情報の保護に関する法律等の一部を改正する法律は2026年7月10日に成立し、同月17日に公布されました。施行は原則として公布から2年を超えない範囲内で政令で定める日です。この記事のテーマに関係する改正点は次のとおりです。
- 本人通知の緩和 ― 通知がなくても権利利益の保護に欠けるおそれが少ない場合（それ単体では意味を持たない識別子のみの漏えいなど）に、代替措置による対応が認められます。範囲は委員会規則で定められます。
- 速報・確報の合理化 ― 認定個人情報保護団体等による体制・手順の確認を前提に、一定の範囲で速報を免除し、本人1名の誤交付・誤送付の確報を一定期間ごとに取りまとめることが許容される方向です。
- 違法な第三者提供の報告対象化 ― 同意のない違法な第三者提供も報告対象事態になります。
- 病院等を学術研究機関等に含める明示 ― 学術研究目的の例外の主体に、医療の提供を目的とする機関・団体が含まれることが明文化され、院内研究・多施設共同研究の同意設計に影響します。
- 統計作成等の特例 ― 統計情報等の作成（統計作成等と整理できるAI開発を含む）のみに利用される場合、公表・書面合意等の規律のもとで本人同意なく第三者提供ができます。
- 課徴金の導入 ― 重大な違反で個人の権利利益が侵害された場合等に、違反行為で得た財産的利益に相当する額の課徴金が課されます。対象行為は限定列挙で、漏えいの発生自体が直ちに対象となるものではありません。
施行前の現時点では、現行の報告期限と本人通知義務がそのまま適用されます。
よくある質問（FAQ）
患者1人分の検査結果を別の患者に渡してしまいました。個人情報保護委員会への報告は必要ですか？
暗号化したノートパソコンを紛失しました。それでも報告が必要ですか？
委託しているレセプト代行会社で漏えいが起きました。当院も報告するのですか？
院内で氏名を削除して患者IDに置き換えたデータを、共同研究先の企業に渡してよいですか？
次世代医療基盤法に基づく提供は、患者の同意がなくてもできるのですか？
まとめ
- 診療情報を含む漏えい等は、1人分でも、閲覧の有無が不明でも、個人情報保護委員会への報告と本人通知が原則義務です（法26条、施行規則7条1号）。
- 速報は発覚から概ね3〜5日以内が目安、確報は30日以内（不正アクセス等は60日以内）。委託先からの通知日が貴院の起点になります。
- 公表は一律の義務ではなく、二次被害防止・個別通知の可否・隠蔽と評価されるリスクの3軸で判断します。
- 二次利用は、仮名加工情報（院内分析用、第三者提供不可）、匿名加工情報（規律付きで提供可）、次世代医療基盤法（通知と届出で認定事業者に提供）、本人同意の4ルートから選びます。
- 2026年改正（施行は公布から2年以内）で、本人通知の緩和、速報・確報の合理化、病院等の学術研究機関等への明示、統計作成等の特例、課徴金が導入されます。
漏えい発覚後に報告・本人通知・公表・患者への説明を同時に進めるのは現場にとって大きな負担であり、二次利用の設計は個人情報保護法・次世代医療基盤法・研究倫理指針が重なる分野です。当事務所には医師免許と弁護士資格を併せ持つ弁護士が在籍し、漏えい対応手順書の整備、発覚時の初動助言と報告書・通知文のレビュー、データ利用契約の設計を顧問弁護士サービスとしてチャット・オンラインで全国に提供しています。既に漏えいの疑いがある場合も、まずはお問い合わせ（無料相談）からお知らせください。
- 個人情報の保護に関する法律（e-Gov法令検索）― 2条・18条・26条・27条・41条・43条・146条・148条・178条・182条・184条
- 個人情報の保護に関する法律施行規則（e-Gov法令検索）― 7条・8条・9条・10条
- 漏えい等の対応とお役立ち資料（個人情報保護委員会）
- 医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス（個人情報保護委員会・厚生労働省）
- 医療分野の研究開発に資するための匿名加工医療情報及び仮名加工医療情報に関する法律（e-Gov法令検索）― 2条・52条・57条
- 次世代医療基盤法（内閣府）― 概要・認定事業者・ガイドライン
- 令和8年 改正個人情報保護法について（個人情報保護委員会）
※ 本記事は一般的な情報提供を目的とするものであり、個別の事案に対する法的助言・医学的助言ではありません。法令・制度・通知の内容は公開日時点のものです。具体的なご対応にあたっては、最新の法令・通知をご確認のうえ、弁護士にご相談ください。