また、電子化された医療情報が医療機関等の施設内にとどまって存在するのではなく、
ネットワークを用いた交換、共有、委託等が考えられる状況下では、その管理責任は、医
療機関等だけでなく、医療情報システム・サービス事業者等にもまたがるようになりま
す。

経１．１．２章
経Ｑ－２ 医療情報の取扱いに際し、令和２年改正・令和３年改正個人情報保護法も含
めて、医療機関等にはどのような責任が生じるか。
Ａ

医療情報の取扱いにおいては、まず医師法、医療法等において適正な管理が求められ
ており、例えば医療法では診療記録を適切に備えることが求められています（第 21 条
第 1 項第 9 号等）。
また医療情報は患者に関する個人情報であることから、個人情報保護法の適用対象に
なることは言うまでもありません。令和２年改正個人情報保護法では個人情報取扱事業
者（医療機関等も含む）が医療情報のような要配慮個人情報を流出させた場合には、個人
情報保護委員会に報告し、本人にも通知することが義務づけられました（法第 26 条、
規則第 6 条の２、第 6 条の３）。
そのような報告義務・通知義務や、その前提である個人情報の安全管理のための措置
を講じる義務（法第 23 条）等に違反しており、個人の権利利益を保護するため必要が
あると認められた場合には、個人情報保護委員会から当該医療機関等に対して是正勧告
がなされることになります（法第 145 条第 1 項）。さらに是正勧告に正当な理由なく対
応しない、違反行為がなされる等により、個人の重大な権利利益の侵害が切迫している
と認められた場合には、個人情報保護委員会から違反行為の中止や是正措置実施の命令
がなされます。（法第 145 条第 2 項、第 3 項）
令和 2 年改正個人情報保護法では、個人情報保護法に対する重大な違反行為に対する
罰則も強化されています。例えば、上記の個人情報保護委員会から医療機関等に対する
命令違反が生じた場合、命令違反をした場合の代表者や従業員が属する法人に対する罰
金刑は従来の 30 万円以下から 1 億円以下に大きく強化されています。医療情報などの
個人情報データベースを、不正に提供等を行った場合も同様の罰金刑となっています（法
179 条第 1 項）。
このように個人情報保護法では医療情報が漏洩した場合の報告義務等や、これに関連
して必要な対応を行わずに命令違反を行った場合の医療機関等に対する罰則などが強化
されていることを十分理解する必要があります。
なお、令和３年改正法では、医療機関等における責任に直接関係する内容の改正はあ
りませんが、国公立の病院、大学等には原則として民間の病院、大学等と同等の規律を適
用することとしています。

18