配付資料はこちら

○井上哲士君　日本共産党の井上哲士です。
　次世代医療基盤法、いわゆる医療ビッグデータ法は二〇一八年に施行されました。個人情報保護法で規定されている個人情報の利活用を規制するルールの例外をつくる特例法となっております。本改正案は、匿名加工医療情報より更に生データに近い患者の医療情報の利活用を可能とする民間、仮名加工医療情報や連結可能匿名加工医療情報を導入をするものとなっております。
　法制定の際に、我が党は、医療機関等が持っている患者の医療情報を本人通知のみで匿名加工する民間事業者へ提供することが可能になり、医療情報というセンシティブな情報が重大なプライバシー侵害の危険にさらされるおそれがあるとして反対をいたしました。
　実際、今日も朝から挙げられておりますけれども、昨年九月には、匿名加工の認定事業者であるライフデータイニシアティブ、ＬＤＩとＮＴＴデータが本人への通知を行わずに九万四千五百七十九人分の医療情報を提供した問題が発覚をいたしました。
　まず内閣府お聞きしますが、この事案の概要及びどういう法律違反があったんでしょうか。
○政府参考人（西辻浩君）　お答え申し上げます。
　昨年、医療機関から次世代医療基盤法の認定事業者に対しまして医療情報を提供する際に、プログラムの誤りによりまして本人通知の手続が取られずに情報が提供されていた不適切な取扱いがございました。
　認定事業者が収集した医療情報それ自体が外部に漏えいしたり、匿名加工が不十分な情報が利用者に提供された事実が確認されているわけではございませんが、認定事業者に対しましては、医療機関からデータを取得した際の当該データが適切に提供されたものであることについての認定匿名加工医療情報作成事業者であるＬＤＩによる法第三十三条に基づく医療情報の取得の経緯の確認、それから、当該データを認定事業で利用していたことの認識の遅れや発見後の初動の遅れについての認定医療情報等取扱受託事業者であるＮＴＴデータの法第二十条で求められる安全管理措置、それから、ＬＤＩによるＮＴＴデータに対する法第二十四条で求められる委託先の監督がそれぞれ不十分であったということで、法律に基づき指導を行ったものでございます。
　その上で、徹底した原因究明と医療情報取得の際の確認機能の強化、あるいは役職員に対する教育や報告の迅速化等の再発防止策を講じさせたところでございます。またあわせて、他の認定事業者に対しても同様の事案が発生するおそれがないかなど確認を行わせ、制度の信頼性の再確認を図ったところでございます。
○井上哲士君　不適切取得事案と言われましたけど、今述べられましたように様々な法律違反が行われたわけですね。極めて重大であります。
　この問題について、個人情報保護委員会は、昨年十一月に取扱業者に対する指導を行っておられます。個人情報保護委員会として、この事案の医療情報の漏えいについてどのように考えているんでしょうか。
○政府参考人（松元照仁君）　患者が医療機関に提供する医療情報につきましては、自己の生命、身体に関する極めて機微な情報であるという性質及びその量からいたしますと、漏えい等が発生した場合のリスクが特に高く、医療機関におきましては、これを常に意識し、当該個人データの取扱いに関して個人情報保護法を厳に遵守すること、とりわけ高い水準の安全管理措置等を講じることが求められているものと考えております。
　本件につきましては、医療情報が多数漏えいした事案であり、また次世代医療基盤法に基づく患者の権利行使の機会を奪うというものでありますので、各当事者において、とりわけ高い水準の安全管理措置等を講じることが求められるものと考えております。
○井上哲士君　今、最後ありましたように、各当事者がとりわけ高い水準の安全管理措置が求められると、これが医療情報のわけでありますし、特にこの匿名加工医療情報に関わる問題なわけですね。そういう問題であるにもかかわらず、なぜこのような重大事案が発生をしたのか。しかも、ＮＴＴデータがこれを、異常を検知したのが六月三十日ですが、内閣府への報告は九月になっております。なぜこのような遅れが生じたのか。内閣府、いかがでしょうか。
○政府参考人（西辻浩君）　昨年の事案でございますが、認定事業者が収集した医療情報それ自体が認定事業者の外に漏えいしたり、あるいは匿名加工が不十分であったりした事実が確認されているわけではございませんが、医療情報を医療機関から認定事業者に対して提供する際に、本来には、本来的には医療機関の業務である本人通知の有無に係るプログラムの誤りによりまして、法令が求める手続が取られずに医療情報の提供が行われていたことにより発生したものでございます。
　認定医療情報取扱事業者から徴収をいたしましたところ、未通知の患者情報が混入している可能性を認識いたしました現場の作業チームにおいては、まずは事象を把握することが必要と判断し、調査を優先したということ、それから、次世代医療基盤法上の問題を認識した後も組織の危機管理のルールにおける報告事項において当該事案が速やかに報告すべき重大事案であるとの明確な定めがなかったこと、これらのことによりまして報告の遅れにつながったという報告があったところでございます。
　認定医療情報取扱事業者として法令違反のおそれを認識した段階で速やかに報告する必要があることは、これは言うまでもなく、当該事業者に対しましては、社内の事案検知体制、それから報告体制の見直し等の再発防止策を講じさせたところでございます。
○井上哲士君　重大事案としてのやっぱり認識や体制が欠いていたという、本当にひどい問題だと思うんですね。
　内閣府の公表文書では、各医療機関からＬＤＩに対して医療情報の提供を行う業務を受託していたＮＴＴデータとしております。まるでＮＴＴデータが直接医療機関から受託をしていたかのような書きぶりでありますが、実際は、認定受託事業者であるＬＤＩが医療機関から医療情報管理等の業務の委託を受けて、このＬＤＩが今度ＮＴＴデータに再委託しているんですね。そういう点でいうと、ＬＤＩの責任って、私、非常に重いと思います。一方、個人情報保護委員会の公表資料では、ＮＴＴデータだけではなくて、本件では、各事業者においていずれもその責任に見合った高い水準の安全管理措置等が講じられていたとは言い難く、本件漏えいが事業開始当初から長期間発見されなかったことに鑑みると、改めて根本的な意識改革を促す必要があると厳しく指摘をしております。
　この中で、この指導の原因となる事実について、ＬＤＩについてはどのように指摘をしているでしょうか。
○政府参考人（松元照仁君）　お答え申し上げます。
　今回の、ＬＤＩは、医療機関の委託先となりますけれども、再委託先でありますＮＴＴデータに個人データの取扱いに関するシステム開発を全面的に委託していたにもかかわらず、その漏えい等防止措置の妥当性に関する検討を自ら行わず、再委託先であるＮＴＴデータが提示した方策の確認あるいは事後の検証を行っていないなど、再委託先であるＮＴＴデータの個人データの取扱状況に関する委託先の監督が不十分であること等の指摘を行ってございます。
○井上哲士君　この認定事業者であるＬＤＩについて、今ありましたように、委託先の監督が不十分だと指摘をして、そしてＬＤＩを含む各事業者に根本的意識改革が必要だと述べているんですね。極めて重い指摘だと思います。
　そこで、大臣、お聞きしますが、この法制定時の国会審議で政府は、この事業は国による厳格な認定制度と監督により信頼できる認定事業者が行う、そして、患者に対して丁寧なオプトアウトを行うので、適正に事業が進められると繰り返し答弁をしておりました。法案審議の際の我が党の衆議院議員への答弁では、認定後も、監督官庁としましては、常に頻繁にやり取りをして状況を確認し、チェックというか、恒常的な動きをウオッチしていきたいと思っておりますとも答弁をしております。
　実際はどうか。今お手元に資料を配っておりますように、法制定時から五年、これまで匿名加工医療情報が利活用された実績は、朝からありますように、二十一件なんですね。そのうち、十八件がＬＤＩとＮＴＴのデータグループ、これが取り扱ったものであります。しかも、この十八件全てに本人への通知が行われていない患者情報が違法に利用されていたということなわけですね。つまり、もう適法な利活用実績がごく、むしろまれなんですよ。
　私は、こういう漏えい事案を引き起こして、個人情報保護委員会から根本的意識改革が必要だとされるような事業者を認定事業者に認めたという点でも、国の恒常的な監督という点でも、国の対応に不十分さ、不適切な面があったと考えますが、大臣、いかがでしょうか。
○国務大臣（高市早苗君）　昨年の事案については私も非常に残念に思っておりますし、内閣府への報告が大変遅れたことについても強く怒りを覚え、これはもう徹底的な改善措置をとらせるようにということで対応してまいりました。
　これまでのことでございますけれども、ＬＤＩに対しましては、そしてまたＮＴＴデータに対しましては、二〇一九年十二月の認定からこれまで、事業者を訪問しての実地確認、これを有識者とともに実施するということも行っており、認定事業者として適切な安全管理措置が講じられていることは確認をしてきております。
　昨年の事案自体は、この認定作成事業者、つまりＬＤＩ、認定取扱事業者、つまりＮＴＴデータ及び医療機関との間での取決めに基づくプログラムの誤りに起因する問題でございます。しかしながら、当該事案を踏まえまして、ガイドラインで、取得する医療情報が適切であるかについての確認体制や問題事案が発生した場合の報告体制の整備などについて更に明確に規定するなどの見直しを行うとともに、国としてしっかりと監督を行っていくということにいたしております。
○井上哲士君　国の監督に不適切さがあったり、問題があったということは述べられませんでした。
　適切に事業者を認定し監督をしているのに、こういう重大な事案が、問題が起きたということであれば、もうそもそも制度に問題があるんじゃないかということにもなると思うんですね。にもかかわらず、今度の法改正案で措置をする仮名加工医療情報は、希少な症例や薬剤使用などの特異な記述も残すので、これまでより容易に個人が特定可能になり得ます。そして、連結可能匿名加工医療情報は、公的データベースとの結合で個人の医療情報が時系列で把握できるようになると。そうしますと、個人情報保護法で要配慮情報とされる医療情報とプライバシーの侵害の危険性が一層高まることになると思うんですよ。
　現実にこうした漏えい問題が起きている中で、これらは、より慎重に取り扱うべき患者の医療情報の第三者提供を個人情報保護法で禁じられているオプトアウト手続の例外として認めるということでいいのかと問われると思うんですね。法改正に当たって明確な本人同意の手続を取るべきだと思いますけれども、いかがでしょうか。
○国務大臣（高市早苗君）　今委員から漏えいというお言葉がございましたが、昨年の事案に関しては、認定事業者が収集した個人情報が外部に漏えいしたとか匿名加工が不十分な情報が利用者に提供されたといった事実が確認されたわけではございません。
　現行の次世代医療基盤法でございますが、これは個人情報保護法の特例法として、主務大臣の認定を受けた事業者に対する場合に限り、同意ではなくオプトアウト手続によってこの医療機関等から医療情報を提供することを認めるものでございます。これは、患者の方々への丁寧な通知が行われることにより自分の医療情報の提供を拒否する機会が付与されること、認定作成事業者は、十分な安全管理措置等が確保されていること等について主務大臣から認定を受けるとともに、その監督下に置かれることにより医療情報の慎重な取扱いが確保されること、また、医療機関等から提供された医療情報は、認定作成事業者によって特定の個人が識別されることがないよう匿名加工が施された形で利用されることなどによって、個人の権利利益が侵害されることを防ぐ仕組みとなっていることによるものでございます。
　ですから、新たに創設する仮名加工医療情報につきましても、仮名加工医療情報作成事業者については匿名加工医療情報と同様の仕組みとするほか、また、この仮名加工医療情報が他の情報と照合することにより個人を特定することが可能な場合もあることから、仮名加工医療情報を利用する側、利用事業者についても主務大臣が安全管理措置などを審査し認定を行うということを規定するとともに、本人を特定しようとする行為は禁止すること、また、不正な行為を行った際の罰則を設けることとしております。
　ですから、患者様御本人の権利利益が適切に守られる仕組みとしておりますので、同意ではなくオプトアウトの手続によって医療機関から認定事業者への医療情報の提供を認めるものでございます。
○井上哲士君　これまではそういう説明で行われてきたけれども、現にこういう事態が起きたわけですね。漏えいではないと言われましたけど、医療機関からは明らかに漏えいをしたということはこの個人情報保護委員会も明確に指摘しておりますし、それを委託したのはＬＤＩなんですよ。これ、一体の流れの中で見る必要がある。この患者の医療情報という非常に機微な情報を取り扱う業者としての資格、責任が問われている問題だと思うんですね。
　オプトアウト方式はやめてオプトインにするべきだと思いますが、その上で、じゃ、この本人に対する通知をどうするのかということをお聞きしますが、今回のような仮名加工医療情報等を導入するんであれば、この事前に本人通知すべき内容項目もレベルアップさせて当然だと思うんです。仮名加工医療情報は、匿名加工よりも生データに近いわけでありますから情報漏えいした場合のリスクが格段に高くなること、利活用の目的や利用者が多種多様となること、利活用の機会や関係者が増えることで情報漏えい等のリスクも高くなること、それから、情報セキュリティーの世界では絶対安全ということは常になくてリスクが伴うこと、こういうことを通知内容にも加えて、ポスターやパンフレットにも情報提供するなどする必要があると考えますけれども、今回の改正に伴って、今後、患者への通知内容はどのように見直しをされるんでしょうか。
○国務大臣（高市早苗君）　改正法で新たに創設する仮名加工医療情報制度につきましては、匿名加工医療情報に係る本人への通知と同様に、提供された医療情報が仮名加工されて医療分野の研究開発に利用されること、認定仮名加工医療情報作成事業者に提供される医療情報の項目、取得の方法、求めに応じて提供を停止すること、停止の求めの受付方法といった事項について、匿名加工医療情報に係る通知とは別途、あらかじめ本人に通知するということにしております。
　また、現行法では、医療情報取扱事業者は、患者への通知事項の内容について国に届け出ることとされております。国において、届出された各医療情報取扱事業者の通知事項の内容を内閣府ホームページで公表するなど、事後的に確認できるようにしております。さらに、国において、次世代医療基盤法コールセンターを設置して、患者様本人からの通知に関する御相談についても受け付けております。
　今般、この法制度改正をお認めいただきましたら、御家族も患者様も理解しやすい通知のひな形、それからリーフレットの作成などを行い、その内容を理解した上で参画していただけるように準備を進めてまいります。
○井上哲士君　別途と言われましたけども、従来出していた通知と別に出すという趣旨でよろしいですか。
○政府参考人（西辻浩君）　はい。今回の改正法案がお認めいただいて施行されるまでの間に、先ほど午前中もいろいろ御質問をいただきましたけれども、施行までの間、いろいろな安全基準等のガイドラインについて検討していく形になると思いますが、今委員から御指摘があったものにつきましても、これまでの従来の匿名加工の医療情報と比べてどういったものを新たに付け加える必要があるのかないのか、あるいはその内容についてはといったことも含めて専門家に御議論をいただいた上で、必要なものがあればガイドライン等で出していくというふうな形になろうかと思っております。
○委員長（古賀友一郎君）　時間ですので、まとめてください。
○井上哲士君　終わりますが、提供した自分の情報が、誰がどのような利用目的で利用しているのか知らなければ、適切に判断もできません。是非、事前の本人同意すべき内容項目の見直しとともに、何に同意を与えたか事後的に確認できる仕組みも検討していただきたいと思います。
　以上で終わります。