遠隔画像診断の個人情報保護

遠隔画像診断では、患者の画像や診療情報を院外の読影事業者に渡して読影を依頼します。このとき、患者の同意は必要なのか、院内掲示で足りるのか、委託先に何を求めればよいのかは、医療機関から多く寄せられる疑問です。ここでは、遠隔画像診断を委託する医療機関が押さえておきたい個人情報保護法の考え方を、現行法の実務の観点から整理します。個人情報保護委員会と厚生労働省が示す「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」を中心に解説します。

遠隔画像診断で扱う情報と、個人情報保護法上の位置づけ

遠隔画像診断で医療機関が事業者に渡す情報は、画像データだけではありません。患者の氏名やIDなどの付随情報、依頼内容に添えられる病歴や臨床情報が含まれることもあります。

個人情報保護委員会のFAQでは、診療録等に記載された病歴や、診療や調剤の過程で医療従事者が知り得た患者の身体状況・病状・治療などの診療情報、健康診断の結果などが、医療・介護関係事業者が取り扱う「要配慮個人情報」の例として挙げられています。要配慮個人情報は、取得や個人データの第三者提供にあたって、原則としてあらかじめ本人の同意が必要とされています。

なお、公立病院など、公的部門の規律の全部または一部が適用される医療機関は、このガイダンスのほかに公的部門向けのガイドラインも確認する必要があります。ここでは民間の医療機関を前提にしています。

取得の場面については、ガイダンスで、書面や口頭などで本人から適正に直接取得する場合は、本人が情報を提供したことをもって取得への同意があったものと解されると示されています。患者が診察や検査を受けるために自ら情報を提供する通常の診療では、取得の同意は問題になりにくい一方、院外の事業者へ渡す場面は、取得とは別に整理が必要になります。

遠隔画像診断サービスの
診療情報管理についての詳細

読影を外部に委託するとき、患者の同意は必要か

ガイダンスでは、個人データを外部に渡す場面のうち、遠隔画像診断に関わりの深いものとして、次の3つが整理されています。

遠隔画像診断で画像を読影事業者に渡す行為が、このうちどれに当たるかは、契約の形態や事業者の関わり方によって整理が分かれる場合があります。ガイダンスの全文を確認しましたが、「画像診断」「読影」を例として直接示した記述は見当たりませんでした。利用目的の例を示す別表では、「外部の医師等の意見・助言を求める場合」「検体検査業務の委託その他の業務委託」などが並んで挙げられています。

日本放射線科専門医会・医会と日本医学放射線学会が作成した「遠隔画像診断に関するガイドライン」（2018年）は、他の医療機関等との連携を図ることを院内提示等で公表することが望ましく、患者から明示的な留保の意思表示がなければ、患者の黙示による同意があったものと考えられるとしています。どの整理を採る場合でも、院内での周知は共通して求められる運用です。自院と事業者の契約がどのような位置づけになるのか、判断に迷う場合は、事業者や顧問の専門家に確認しておくことをおすすめします。

院内掲示で周知しておきたいこと

ガイダンスは、利用目的の公表方法として、院内への掲示に加えて、可能な場合はホームページへの掲載など、なるべく広く公表することを求めています。掲示にあたっては、受付の近くに内容を説明した表示を行い、初回の患者には受付時などに注意を促すこととされています。

黙示の同意を前提にする場合は、掲示にあわせて、患者が同意しがたい利用目的については、あらかじめ明確な同意を求めることができること、申し出がなければ公表された利用目的に同意したものとすること、同意や留保は後から患者の申し出でいつでも変更できることを示すものとされています。

また、第三者提供に当たらない情報提供の場合でも、掲示やホームページなどで情報提供先をできるだけ明らかにし、患者からの問合せに回答できる体制を確保することが求められています。業務委託の場合は、委託している業務の内容、委託先の事業者、取扱いに関する取り決めの内容などを公開することが考えられる、とされています。

これらを踏まえ、遠隔画像診断を利用する医療機関が、掲示に含めておくことが考えられる項目は次のとおりです。実際の文言は、自院の規程に合わせて整えてください。

「オプトアウト」という言葉の整理

遠隔画像診断の話題では、「オプトアウト」という言葉が使われることがありますが、文脈によって意味が異なるため注意が必要です。

1つ目は、遠隔画像診断の学会ガイドラインでいう「opt out」です。これは、院内提示などで公表したうえで、患者から明示的な留保の意思表示がなければ、黙示の同意があったものと考える、という運用上の考え方を指します。

2つ目は、個人情報保護法第27条第2項に定められた、オプトアウトによる第三者提供の制度です。第三者への提供を利用目的とすること、提供する個人データの項目、本人の求めに応じて提供を停止することなどを、あらかじめ本人に通知するか本人が容易に知り得る状態に置き、個人情報保護委員会に届け出たうえで、本人の同意を得ずに個人データを第三者に提供できる仕組みです。ただし、要配慮個人情報である個人データについては、この方式による第三者提供は認められていません。診療情報は要配慮個人情報にあたるため、法律上のオプトアウト方式で患者の画像や診療情報を第三者に提供することはできないということになります。

つまり、学会ガイドラインの「opt out」を、法律上のオプトアウトで足りるという意味に読み替えないことが大切です。周知の手続きについては、別の記事でも触れています。

安全管理ガイドラインに準拠した
遠隔読影の導入ポイントについての詳細

委託先の監督で確認すること

個人データの取扱いを委託する場合、医療機関には委託先を監督する義務があります（個人情報保護法第25条）。ガイダンスは、必要かつ適切な監督に、委託契約で委託元が定める安全管理措置の内容を契約に盛り込んで受託者の義務とすることや、業務が適切に行われていることを定期的に確認することなどが含まれるとしています。また、再委託先が不適切な取扱いをして問題が生じた場合は、医療機関や再委託した事業者が責任を問われることもあり得るとされています。

個人情報保護委員会は、不正アクセス対策を委託先に任せきりにせず、委託元も取り組む必要があるとしています。契約と運用の両面で確認を続けることが大切です。契約書の確認項目は、別の記事で詳しく解説しています。

遠隔画像診断サービスの
委託契約チェックポイントについての詳細

漏えい等が起きたときと、法改正への備え

診療情報などの要配慮個人情報が含まれる個人データの漏えい等（またはそのおそれ）が生じた場合は、個人情報保護委員会への報告とあわせて、本人への通知が求められます。委託先で起きた場合の報告義務や、報告の期限などは、別の記事で整理しています。

遠隔画像診断の
インシデント対応についての詳細

2026年に成立した改正個人情報保護法のうち、委託契約に関わる部分は、委託契約のチェックポイントの記事で解説しています。ここで整理した内容は現行法に基づくものです。改正法の施行時期や、ガイダンスなどの改正状況は、個人情報保護委員会のページで確認してください。

まとめ

遠隔画像診断で扱う診療情報は要配慮個人情報にあたり、外部へ渡す際は、委託なのか、他の医療機関等との連携や外部の医師への意見聴取なのか、契約の位置づけを整理したうえで、院内掲示による周知と委託先の監督をセットで行うことが基本になります。「オプトアウト」の意味を取り違えないことも重要です。事業者を選ぶ際は、サービス内容だけでなく、個人情報の取扱いに関する契約や運用の説明が具体的かどうかも、確認の観点としておきたいところです。

遠隔画像診断サービス
おすすめ3選を見る

読影の見落としを防ぐためには？
患者に正しい診断結果を届ける
読影専門メディアを見る

※外部サイトに飛びます。