ＭＩネットは１９９９年１２月に「医療におけるプライバシー保護」と題するガイドラインを作成したが、このガイドラインに盛られた理念・提言がこれまでにどの程度社会の中で実現してきたかを検証する形で、医療の場におけるプライバシー保護に関する最近の動きを整理してみたい。
■１ 患者は、自己に関する医療情報で個人を特定できるものについて、自らその情報にアクセスでき、誤りがあった場合には訂正を求めることができるとともに、その情報の開示の範囲等を決定する権利がある。
他者が保有している自己に関する情報を知る権利（アクセス権）は日本の医療の世界では、未だ十分に認められているとは言いがたい。代表的な医療情報であるカルテに含まれる情報については基本的には本人の求めに応じて開示されることが趨勢になっているが、法的裏付けは未だ十分にはなされていない。現在（平成１３年５月）国会で審議中の「個人情報の保護に関する法律案」では、個人情報取扱事業者は本人又は政令の定める代理人の求めに応じて事業者の保有する個人データを開示する義務を定めている。ここにいう個人情報取扱事業者には国の機関、地方公共団体、更に特定の独立行政法人・特殊法人は含まれず（これらの機関・法人については別途必要な措置・法整備が図られることになっているが)、この規定が対象となる医療機関は民間の医療機関に限定される。更に、本人への情報開示は、事業者の業務の適正な実施に著しい支障を及ぼす恐れがある場合などには拒否できることになっている。また、この法律は生存する個人に関する情報を対象としており、死亡した家族についての医療情報の開示を遺族が求める権
利にはふれていない。この基本法制定後にもっと包括的な医療に関する個人情報保護法（個別法）を制定すべきとの声が以前出ていたが、それを具体化する動きはみられない。この法律は今国会で成立すれば２００３年春施行予定であるが、与党の一部にも反対があり成立が危ぶまれているとの報道もある。
誤った医療情報の訂正を求める権利（訂正請求権）について「個人情報の保護に関する法律案」は、個人情報取扱事業者はその保有する個人情報に関してその利用の目的の達成に必要な範囲内で正確かつ最新の内容に保つ義務、および本人又は代理人が当該個人データの内容の訂正、追加又は削除を求めた場合に利用目的達成に必要な範囲内で必要な調査を行って、内容の訂正などを行う義務を定めている。
情報の開示の範囲などを決定する権利について「個人情報の保護に関する法律案」は、個人情報取扱事業者が予め情報の利用目的を特定し、本人の同意なしに利用目的を超えた利用を行うことを禁止するとともに、特別の理由（公衆衛生向上のために必要な場合、第三者への提供が利用目的に指定されている場合、など）が無い限り本人の同意を得ずに個人データを第三者に提供することを禁じており、本人が自己の情報が開示される範囲を決定する権利が部分的ではあるが認められている。
■２ 医療機関およびそこで診療に従事する医師には、医療情報を適切に管理することによって、患者のプライバシーを保護する責務がある。
医療分野における個人情報保護を図る上で、重要な役割を果たしてきたのは刑法、公務員法および医療関連法規の守秘義務規定であるが、医療機関の職員等の一部については守秘義務規定が未整備である。厚生労働省は平成１２年２月に出した「医療分野における個人情報保護について」の中で、保健婦、看護婦、准看護婦、歯科技工士、個人医療情報を扱う事務職員、資格を有さない研究者・その他の補助者、などを対象とした守秘義務規定整備のための関連法規の改正の方針を示した。個人医療情報保護のためにはこうした法令による罰則を伴った守秘義務規定の整備とならんで、施設内の倫理委員会などが患者の個人情報の収集・利用・保存について十分な検討と監視を行うことが重要であろう。最近は倫理委員会を持つ医療機関が増えてきているが、倫理委員会の設置義務、構成、役割などを規定した法律はみあたらない。米国では、平成１２年１２月に「個人特定可能医療情報のプライバシー基準」が保健福祉省規則として公布され、平成１ ３年４月に発効したが、保健福祉省（HHS)や食品医薬品局（FDA)が定めた法的拘束力を持つ規則に従って設置・運営される施設内倫理委員会（IRB)がこのプライバシー基準の運用にあたって果たすべき役割が示されている。わが国では最近作成された「遺伝子解析研究に付随する倫理問題などに対応するための指針（２０００年（平成１２年）４月作成）」、「ヒトゲノム研究に関する基本原則（２０００年（平成１２年）６月作成）」、「ヒトゲノム・遺伝子解析研究に関する倫理指針（２００１年（平成１３年）３月作成）」などで倫理委員会の果たすべき役割が示されているが、これらは直接的な法的拘束力を持つものではない。
■３ 医療機関は、患者の診療のために必要であって患者（付添者等を含む。）から任意の提供がある場合に、患者の個人情報を収集することができる。診療を理由に個人情報の開示を強要してはならない。
米国においてプライバシー保護の議論がなされた時によくいわれたことは、患者の情報が適切に保護されるという安心感がないと、治療に必要な情報を患者が医師に提供することをためらうことになり、結果として適切な治療が行いにくくなるというものであった。緊急の必要性のある場合（例えば意識喪失患者）などにおいて、患者の生命を守るために本人の同意なしに情報を収集することはあろうが、一般的には患者が治療に必要な情報を安心して医師に提供できるような環境を整備することが肝要であろう。「個人情報の保護に関する法律案」はこの問題について「個人情報は、適法かつ適正な方法で取得されなければならない」、「個人情報取り扱い事業者は、偽りその他不正の手段により個人情報を取得してはならない」と一般的な表現で言及している。もしこの法律成立後に医療情報に関する個別法が作成されるのであれば、もっと踏み込んだ規定が望まれる。
診療を理由とした個人情報開示強要のおそれが特に懸念されるのは、職場での健康診断であろう。労働省（現厚生労働省）の｢労働者の健康情報に係るプライバシーの保護に関する検討会」が２０００年７月に発表した中間取りまとめでは、職場での健康診断において「法定項目ではない家族歴や生活習慣に関する情報などの収集にあたっては、医学的な必要性を十分吟味、判断した上で収集すべきであるとともに、受診者の意思で情報の提供を拒否することも出来るように配慮が求められる」と指摘されている。なお、労働者の健康・医療情報については、１９９１年６月に職業安定法及び労働者派遣法の一部が改正され、有料職業紹介事業者、派遣元事業主等に対する求職者、派遣労働者等の個人情報の適正管理、秘密の厳守の義務について明文の規定が設けられた。国際的には、１９９６年に国際労働機関（International
Ｌabour Organization：ILO）から各国の法令、規則、労働協約等を策定する際に参考とすることができる「労働者の個人情報の保護に関する行動準則（Code
of practice on the protection of worker's personal data)」（ILO行動準則）が公表されている。
■４ 患者個人を特定できる情報は、患者自身の利益を直接の目的とし患者の承諾がある場合以外は、他者に開示してはならない。
米国の「個人特定可能医療情報のプライバシー基準」は医療情報の使用・開示について非常に厳密な規定を設けた。その文章は非常に複雑であり、米国人にとっても理解は必ずしも容易ではないようで、「これでは治療行為のたびに情報の使用についていちいち患者の同意を得なければならなくなる」などの誤解や拡張解釈にもとづくと思われる懸念も医療業界から出ている。規則を作成したHHSはHHS
Fact Sheetと題する説明書を最近（４月に）発表しているので、それを参考にしながら医療情報の一次利用（医療機関での利用）についての規定を読んでみると、対象事業者(covered
entity; 医療機関、医療保険組織・団体、など）は原則として本人の同意なしに保護対象情報を使用することは出来ない。ただし、治療・治療費請求・医療関連業務のための使用は治療開始時に一度同意を取っておけばその延長としてなされる治療の期間中はその都度同意を得なくても行うことが出来る(最初の同意が得られない場合は治療を拒否できる）。患者と直接あるいは間接的に治療関係を結んでいない他の医療機関などへの情報の移転は患者の同意を必要とする（緊急時などの例外もある）。なお対象事業者は保護対象情報がどのように使用・開示されるか、およびそうした情報に関する患者の権利を記載した文書(notice
of privacy practices)を患者に提供する義務を有する。
わが国の「個人情報の保護に関する法律案」では、「個人情報は、その利用の目的が明確にされるとともに、当該目的の達成に必要な範囲内で取り扱われなければならない」と目的外使用禁止の原則を示している。第三者への情報提供について同法案は、一定の場合（法令に基づく場合、公衆衛生の向上などのため必要な場合、など）を除いて、本人の事前の同意なしに個人データを第三者に提供することを禁止している。この法案が作成される前の２０００年２月に厚生省が個人情報保護法制化専門委員会に提出した「医療分野における個人情報保護について」と題する文書では、保健・医療・福祉の下に総合的なサービスを提供する場合における各サービス提供主体間の情報交換は、本人の利益を図ることが明らかであることを理由として、制限すべきでないことを指摘している。こうした情報交換をどの程度、どのような形で認めるべきかは、個別法制定時の問題点となろう。
■５ 患者個人を特定できる医療情報は、患者自身の利益を直接の目的としない場合は、公益目的があり、患者の個別の承諾があるかそれに代わる法律の規定がある場合にのみ他者に開示することができる。
医療機関以外での医療情報の使用（二次利用）についても、「個人特定可能医療情報のプライバシー基準」は細かく規定している。個人特定可能医療情報の二次利用には本人の同意を必要とする場合と不要な場合がある。同意不要の例としては対象事業者が法令にしたがって公的機関に情報に開示する場合、公衆衛生活動のための使用、研究のための利用、などがある。こうした本人の同意を得ないでなされる公共目的での使用・開示の範囲が広すぎるという批判が米国の市民団体などから上がっている。なお、本人の同意を得ずに開示・使用する場合には、原則として事前に患者に説明を行い、拒否の機会(opt-out権）を与える必要があるが、公衆衛生活動のための開示・使用については事前説明・拒否の機会を与える必要はない。また、研究のための使用・開示については、施設内倫理委員会（IRB)あるいはプライバシーボードの承認を条件として本人の同意が不要である。なお、治療目的以外での個人特定可能医療情報の使用・開示は必要最小限(minimum
necessary)の情報に留めるべきとの原則が示されている。その他、兼務者（企業の保険担当者など）の守秘義務、被用者の人事管理への利用禁止、などの保護規定も示されている。
わが国の「個人情報の保護に関する法律案」では、利用目的や第三者提供についての制限規定が公衆衛生の向上のため等に必要な場合には適用されず、また、医療情報を学術研究に用いる場合には、当該機関・団体・研究者の自主規制に任されることになっている。
■６ 患者は、個人を特定できる自らの医療情報について、その開示の目的、範囲、経過、責任者、苦情処理の方法などについての医療機関に説明を求めることができる。
「個人情報の保護に関する法律案」では個人情報取扱事業者に対して、個人データの安全管理義務、従業者や委託先の監督義務、苦情に対して適切・迅速に処理を行う義務、などを課している。国は地方公共団体と協力して、個人情報の保護に関する施策を講じ、苦情処理のあっせん、報告聴取、助言、勧告、命令などを行う、とされている。更に、個人情報の適正な取り扱いの確保のために個人情報取扱事業者が団体（認定個人情報保護団体）を設立し、個人情報の利用目的特定、安全管理措置、苦情などの手続を定めた個人情報保護指針を作成することを推奨している。
「個人特定可能医療情報のプライバシー基準」にはわが国の「個人情報の保護に関する法律案」にはみられない規定として、対象事業者が過去６年間におこなった保護対象個人情報の開示の履歴を本人の申し出にしたがって説明する義務を定めている。これにより、患者は自分の情報がいつ、誰に開示されたかを知ることが出来る。なおこの規定は、治療・治療費請求・医療関連業務、更には、国家の安全上の目的での開示には適用されないが、対象事業者が患者の同意なしに行うことが特例として認められている個人情報開示のケースについて患者はその実態をかなりの程度把握することが可能になる（これは医療機関には多大な負担ともなり、反対の声もある）。
■７ 医療機関は、精神衛生および遺伝子に関する情報等については、他の情報よりも厳格な管理（収集制限・利用制限等）を行うものとする。
医療に関連する情報のうち、精神衛生（メンタルヘルス）に関する情報の取り扱いが問題となりやすいのは職場の安全確保との関連においてであろう。わが国では労働安全衛生法およびじん肺法に基づき、事業者には健康診断の実施、その結果の記録の作成・保管、その結果に基づく措置の実施などが義務付けられている。更に、事業者には民事責任を十分に果たす上で、労働者本人から提出された診断書などによる健康情報も含め、幅広く労働者の健康情報を把握することが求められている場合もある。｢労働者の健康情報に係るプライバシーの保護に関する検討会」が２０００年７月に発表した中間取りまとめでは、「メンタルヘルスに関する健康情報の収集、保管については、産業医等や衛生管理者等がその健康情報の内容を判断し、その処理を協議することが重要である。軽いストレス等の精神的負荷の程度が軽く、本人に現状の判断能力がある場合、産業医等やその他の産業保健スタッフ（保健婦（士）、衛生管理者等）は、情報を共有する範囲（内容や人）を最小限にするよう努めなければならない。一方、メンタルヘルスに関し病状が重篤な場合、本人が適正な判断を行うことが困難であること
も考えられる。このような際には、産業医等や衛生管理者等は、本人の同意とは関係なく、本人の主治医から適切な情報の提供を受ける必要がある場合もある。しかしながら、本人の利益を考えることが出来る家族等の同意を得るよう最大限努める必要はある。また、職場では上司や同僚の理解と協力が必要であるため、産業医等や衛生管理者等は、上司やその職場に適切な範囲で情報を提供し、その職場の協力を要請することも重要であると考えられる。」と述べている。
「個人情報の保護に関する法律案」には精神衛生についての情報に特に言及した部分はないが、第２０および２１条に示された目的外利用禁止の原則に基づき、労働者の精神衛生情報が、事業者の職場安全確保義務に必要な範囲を超えて人事管理などに不当に利用されることを防ぐための具体的な規則等の作成が今後求められよう。
「個人特定可能医療情報のプライバシー基準」では、保護対象医療情報の中でも精神科治療メモ（psychotherapy
notes)を特別扱いしている（遺伝子情報は他の保護対象情報と特に区別していない）。psychotherapy
notesは精神衛生の専門家が患者本人あるいはその家族の面談内容を記録したメモで、薬剤処方、カウンセリング日時、治療手段、臨床検査データ、診断名、治療計画、症状、予後、転帰、などの記録は含まず、患者や家族の生の声を記録したメモである。このメモの使用・開示については、特に限定された場合（メモ作成者本人が使用する場合、当該事業者が厳重な監視下で学生・訓練生の教育に用いる場合、患者が提起した訴訟に事業者が対応する場合、メモ作成者の監視・評価に必要な場合）を除いては、治療・治療費請求・医療関連業務に使用する場合でも本人の同意を必要とする。このような特別扱いが定められた背景としては、これまで医療保険組織（保険会社など）がこの種のメモの提出を診療報酬支払いの条件とする場合があったため、患者がカウンセリング時に正直に語ることを避ける傾向がままみられ、それが精神科での適切な治療を阻害していたとの指摘がなされていたことがある。
遺伝子に関する情報について、わが国では研究目的での情報収集・保管・利用などあり方についての基本原則や倫理指針が最近相次いで作成された（遺伝子解析研究に付随する倫理問題などに対応するための指針、ヒトゲノム研究に関する基本原則、ヒトゲノム・遺伝子解析研究に関する倫理指針）。しかし､診断や治療の場における遺伝子情報の取り扱いについてはまだ指針などは出来ておらず、今後この方面での作業の進展を期待したい。
結び
わが国では医療におけるプライバシー保護の必要性に関する認識は各方面で高まっており、この機運を正しい方向に導いて、包括的で実効性のあるルール作りの進展を図るために、ＭＩネットを始めとする市民団体が積極的に行動していくことが望まれよう。
（２００１年５月３０日脱稿、同年７月７日一部加筆）