4・25「保険証を残そう!」署名提出集会でのごあいさつ

正午から、衆議院第一議員会館・大会議室で開催された表記の集会(主催 医団連・中央社保協・マイナ連絡会)で、以下のご挨拶をしました。

1 はじめに
 私は、福岡県弁護士会情報問題対策委員会委員長として、プライバシーや個人情報の保護の活動に携わっています。
 福岡県弁護士会は、2013年から、マイナンバー制度に対して、病気や障害などのセンシティブな情報の収集・蓄積と名寄せの手段となり、プライバシー権を侵害するとして反対してきました(2013年5月10日「共通番号法」制定に反対する声明など)。
 2021年5月6日には、デジタル関連法案の参議院での審議中に、「マイナンバーカードの義務化とデジタル関連法案に反対する会長声明」を出しています。
 そこで指摘している問題は2つあり、1つめは、本来「権利」であったはずのマイナ保険証の取得が、全く逆の「義務」に変えられてしまうことであり、2つめは顔認証システムが使用されることです。
2 権利が義務にさせられる問題点
 マイナンバーカードが任意取得とされている趣旨は,利便性よりもプライバシー権を重視する市民に「カードを持たない自由」を保障することによってプライバシー保護の選択肢を保障することにあります。利便性をプライバシーよりも優先したい人だけが取得する仕組みだからこそ、カードの取得は「権利」といえます。ところが、保険診療を受ける手段がマイナ保険証だけになってしまうのであれば、自分の生命・健康を守りたいすべての人は有無を言わさずにマイナ保険証を申請するしかなくなってしまいます。事実上の義務化は,利便性よりもプライバシー保護を優先したい人の権利を一方的に奪い去る、有無を言わさない人権侵害であって許されるはずがありません。
 しかも任意取得の原則という条文や建前は変えないと政府は言い張っていますから、実際の運用と口先の説明が明らかに矛盾していて、子供だましの詐欺レベルであり、国際的に見て恥ずかしい制度になっています。
3 顔認証システムの問題点
 また,マイナンバーカードのICチップには顔画像データが登載されていて,医療機関の窓口では,カードリーダーによって顔認証データを生成して本人確認を行っています。
 しかしながら,顔認証データは,指紋の1000倍の本人確認の精度があるため,その収集・利用が強制である場合,必要性・相当性が欠ければ違法なプライバシー侵害として損害賠償請求の対象となります。診察時に、患者の指紋を提出させるのと同じことだからです。
 EUでは,GDPR(一般データ保護規則)9条1項で顔認証データのような生体情報を原則として収集禁止し、個別の法律の制定を求めています。
 日本でも,民間・行政を問わず顔認証データによる本人確認が利用できる条件等についてのルールを法律で決めずに運用すべきではありません(2021年9月16日付日本弁護士連合会「行政及び民間等で利用される顔認証システムに対する法的規制に関する意見書」)。
  中国では、公共空間に6億台の顔認証カメラがあります。BBCの実験では、対象者を屋外で歩かせた後、警察がその顔認証データをもとに街頭の監視カメラで検索し、居場所を割り出してそこに到着するまでの時間はわずか7分でした(2021.9.18福岡県弁護士会シンポジウムにおける倉澤治雄氏講演など)。
  マイナンバーカードの前提となる顔画像データは、J-LISが管理しています。ところが、デジタル関連法の成立により、国が強く関与することになりました。現時点では、中国のように政府が市民の顔認証データを濫用することを具体的に防止する法律がありません。人権尊重主義を基調とする欧米であればとうてい考えられない状況です。
4 レセプト情報とのひも付けの強制
  保険証をデジタル化するだけなら、マイナ保険証は、どの健康保険が有効かまたは無効かという情報とだけ連携させれば十分なはずです。ところが、マイナンバーカードに健康保険証機能を付与する手続きにおいては、このような資格確認のためのデータベースのみを選択して情報連携することは許されず、レセプト情報や、特定健診情報との情報連携を同時に選択するしかない仕組みになっています。医療機関ではこれらの情報の提供について個別に不同意ができることからも分かるように、診療情報は、患者の同意なく利用してはならない、秘密にすべき必要性の高い情報です。カードとパスワードで閲覧できる対象となる情報は、事故や犯罪の恐れを考えれば、最初から限定する選択肢が与えられるべきであり、レセプト情報等のデータベースとの情報連携を、マイナ保険証の取得時に強制することはプライバシー侵害と言わざるをえません(2023年11月14日付け日本弁護士連合会「マイナ保険証への原則一本化方針を撤回し、現行保険証の発行存続を求める意見書」6(1))。
  ただの風邪で医療機関にかかり、よく分からずにうっかり同意した患者は、必要性も不明なまま、かかりつけ医に隠していた他院での精神科など知られたくなかった診療履歴を見られるかもしれません。利用者全員が、このような情報提供の現状を正しく理解しているでしょうか。そこにプライバシー侵害による訴訟リスクはないでしょうか。
5 ブレーキ(プライバシー保護)あってこそのアクセル(データの利活用)
 現在、マイナ保険証の利用は数パーセントであり、それは公務員でも変わらないと報道されています。ほとんど誰もが利便性を評価しておらず、医療機関での診療データの共有を積極的に望んでいないことは明らかです。
 国は、データ利活用によって、行政効率化と、「新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現」(個人情報保護法1条)を図ろうとしています。
 しかし、支出される税金の節約を意味する行政効率化は本当に図られているでしょうか。住民基本台帳カードの時は、市民の50%が保有する前提で節約が図れると試算されたものの実現しませんでした。マイナカードは、多額のポイントが支出され、さらには第2弾のマイナカードの交付すら予定されていますが、莫大な税金の支出に見合う税金の節約は試算すらされていないのではないでしょうか。
 たとえば、スマートフォンは、誰も強制しませんでしたが、便利なので、自然と普及しています。本当に市民が望む仕組みが構築されたら、無駄なポイントなど1円たりともいらないはずです。
 本当のデジタル化は、スマートフォンで完結する仕組みで達成できるので、そもそも形のあるカードを持たせようというのは、20年以上古い、浦島太郎のような発想です。マイナカードは時代錯誤で、本当に無駄な公共事業です。
 市民が、自分の行動を国から捕捉されないというプライバシー保障のためのしっかりした法律が存在し、政府への信頼がなければ、デジタル政策は成功しません。ブレーキが存在し、心から信頼できる場合にしか、自分の情報を他人にゆだねることはできません。
 公的個人認証の認証業務を政府が行えるように変更し、マイナカードで利用された確認履歴(電子証明書の発行番号)が、デジタル庁に蓄積される見込みとなっています。しかも、無料で使えるようにして、民業を圧迫する手段を、国会で議論することもなく、規則の改正で強行しようとしています。このままでは、いずれすべての市民の移動履歴、購入履歴等の一挙手一投足を、政府が効率よくデータベース化して一覧できる仕組みになってしまいかねません。世界中で批判されているデジタルプラットフォーマーによるプロファイリングを目指すかのような政府の姿は異常です。
 マイナカードの保有を自由から義務に変えてしまうのに、申請主義の原則という建前は変わらないという政府の説明はまるで「権利とは義務である。義務とは権利である。」というかのようです。これでは、「戦争とは平和である。自由とは隷従である。」というジョージ=オーウェルの「1984」の世界となんら変わらないのではないでしょうか。
 国は、プライバシー保護というブレーキを作らないことによって、ビッグブラザーのような監視のための情報収集の強力な権力を手に入れたいのでしょうか。
 弁護士会は、市民のデータは市民のものというデータ主権を奪われないよう、政府から監視の客体にされてしまわないよう、主権者側から政府をこそ監視し、チェックをかけることにより、プライバシーを守っていくことこそが専門家の務めであると信じて、これからも活動していきます。多くの市民やメディアの皆様が、この緊急事態を理解して行動されることを強く望みます。がんばりましょう。

「日本のデジタル社会と法規制-プライバシーと民主主義を守るために-」の出版

 2022年の日弁連人権擁護大会「デジタル社会の光と陰-便利さに隠されたプライバシー・民主主義の危機-」の報告書と、現場で行われた研究者、ジャーナリスト、もと政策担当者を招いて行われたパネルディスカッションを収録した本が出版されました。

 デジタルプラットフォーマーが、過剰にプライバシー情報を収集・結合して収益を上げているプロファイリングの問題、その現状をどう克服するかが問題であるのに、政府が自らプラットフォームを作ろうとしている問題。

 デジタルのことはよく分からないから、といって他人に将来をゆだねると、マイナ保険証を通じて、一生分の診療履歴がどこからでも見られるいびつな医療データベースが今後作成されるおそれすらあります。

 他人事と考えずに、自分の問題として考える方が増えてほしいと思います。

 日本弁護士会連合会編「日本のデジタル社会と法規制-プライバシーと民主主義を守るために-」花伝社をぜひお読みください。

医療情報のデータベース化とプライバシーの危機 ③

けんりほうnews 277号(2023.10.20発行)に掲載されました。

(なお、本稿は、筆者が「月刊保団連 1389号 2023.2」に投稿した文章をもとに加筆して再構成したものです。これが最後です。)

1 海外の医療データベース事情
 2022年5月に、EUで欧州ヘルスデータスペース(EHDS)法案が提案された。
  これを紹介する際に、まるで、日本で医療データの匿名化しないままの積極的利活用を行うことに根拠が付与されたかのような議論がみられる。しかし、果たしてそうだろうか。
  欧州委員会が2020年2月に発表した「欧州データ戦略」は、個人データ保護などの欧州の価値観と基本的権利を重視し、人間中心であり続けることを理念として掲げている。医療分野の取り組みとして、「EU市民の医療データへのアクセスとデータのポータビリティを強化する措置を実施し、国境をまたいでデジタル医療サービスと製品を提供する際の障壁を取り除く。」「欧州医療データ空間のためのデータ・インフラ、ツール、演算処理能力を整備し、特に国家電子医療記録(EHRs)の開発と、電子医療記録の互換フォーマットを通じた医療データの相互運用性を支援する。」などとされる。
 主語は「EU市民」であり、データを誰が使ってよいのか、誰が使ってはならないのか、それを決定する権限は、あくまで主権者である市民であることをゆるぎのない大前提として、それを「人間中心主義」と標榜していると捉えるのが素直だと思われる。
 2020年11月の欧州委員会「データガバナンス規則案」は、公的機関が保有する特定のデータを、個人データ、知的財産権、企業の機密情報などの保護を条件に、民間による再利用を可能にするためのメカニズムを規定するが、データの再利用を許可する公的機関は、個人データの匿名化や安全な処理環境、企業秘密の削除、データの再利用者からの承諾取得などといった技術的措置を講じてデータの権利者の権利と利益を保護しなければならない。
 冒頭で紹介した欧州ヘルスデータスペース法案だが、患者の診療に関連するデータの1次利用では、データは「通常の居住する加盟国だけではなく、そのようなデータは、患者が通常の加盟国の居住国以外の加盟国で治療を受けている場合には、EU域内で共有する必要がある」とされており、患者自身の治療という情報主体の選択と具体的な必要性から離れた文脈でのデータ利用が促進されているものではない。
 2次利用(診療目的を超えた再利用)では、上記の通り匿名化等のデータ権利者の利益保護が求められているから、世界最高水準とされる、プライバシー保護に手厚いGDPRによる個人データ保護の水準は維持されるものと思われる。
  EUのデータ保護関連法、ことにGDPRはドイツ法の影響が強いが、ドイツでは、がん登録法においても、患者は異議申立権があり、行使されたら登録は中止・抹消が義務となる(2013年時点)。統計上の誤差を少なくすることよりも、患者のプライバシー権、自己情報決定権を尊重している点で、日本の法制度と全く異なっている。
 そもそも、GDPR5条1項c号は、データ最小限化を求め、欧州基本権憲章52条1項は個人データ保護の権利への制約は、必要性の比例性を考慮に入れる必要があるとする。データ管理者は、個人データを収集し保有する必要性について明確に説明し、証明できる必要がある。GDPR9条1項は、遺伝データ、健康に関するデータはいずれもセンシティブ情報であるとして、その処理を原則として禁止している。
 従って、患者の自己決定権から離れた1次利用や、匿名化、患者の同意またはそれに変わるデータ保護機関の承認等の慎重な手続きなしの2次利用が容認されるとは考え難い。
 現状でも、アメリカやスウェーデンは1次利用中心にとどまっており、2次利用を指向するシンガポールは大量情報漏洩事故が生じて停滞している。イギリスでは幅広い情報の連携・集約が目指されたがコンセンサスが得られず、項目を絞り、オプトアウト(本人が求めたときは個人データの第三者提供をやめる)も導入して慎重に運用されている(「諸外国における医療情報の標準化動向調査」厚生労働省2019.3)。
  翻ってみると、日本のがん登録も、2015年までは医療機関都道府県から中央へのデータ提供においては匿名化されており、プライバシーへの配慮が行き届いていた。都道府県を越えた移動等の統計上の誤差を生み出さないことに、全てのがん患者の顕名化を要求しても釣り合うほどの医療上の有益性が存在するのか疑問である。必要があるというのなら、それを市民に説明すべきであろう。説明できないのであれば、プライバシー侵害の不法行為が成立すると考えられるから、もとの制度に戻すべきだろう。
2  レセプト情報・特定健診等情報データベースと同意
  私は、2016年からマイナンバー違憲訴訟に取り組んできた。マイナンバーについては、市民の個人情報が名寄せされるのは、少し先の将来の問題だと考えていた。
 マイナンバーカードが任意取得であり、嫌なら取得する必要がなかった点、自分は反対の立場であり将来にわたって取得しない予定だったことから、マイナンバーカードやこれに連動するデータベースの問題については、それほど深く意識してこなかった。
  健康保険証の廃止等で、実質的にはマイナンバー法の改正に等しい、マイナンバーカードの取得強制(取得しなければ診療報酬における制裁としか考えられない、反対利益が皆無の不合理な加算による負担増加がなされるという政策も含め)が進められている。
 そして、既に指摘したように、マイナ保険証によるオンライン資格確認等の機能をオンにすると、レセプト情報・特定健診等情報のデータベースとも結合することに強制同意が迫られ、これを拒否する選択肢が与えられていない。
 この点は、とても単純であるが、明らかなプライバシー侵害である。
 健康保険証機能のデジタル化は、窓口にきた患者の保険証が現在有効かどうか、示された保険証と、保険者が変更していないか、などが確認されればとりあえずそれで十分役割を果たしている。これに対し、レセプト情報・特定健診等情報へのアクセスは、患者自身が医療機関の受付で提供を拒否してよい選択肢が与えられているとおり、これを絶対に有効にしなければ制度が立ちゆかなくなるものではない。プライバシー権が保護される日本では、当然に不同意が認められるべきものである。
 現場で、患者自身に情報提供に関する自由意志による拒否権が保障されているにもかかわらず、マイナ保険証機能をオンにする場合、資格確認等の機能だけでなく、レセプト情報・特定健診等情報データベースへのアクセスを100%強制される合理的根拠はない。「選択しない自由」を保障しない選択は、日本以外の民主主義国家では、「強制」に他ならず、「同意」によるプライバシー侵害の正当化はできない。また、システム全体に対して十分理解できる内容の説明が与えられないままのこのような同意の取得方法には、そもそもデータの主権者である市民への敬意がかけらも感じられない。「黙って同意しろ」といわんばかりであり、21世紀の現代に、このような強制同意取得システムを公然と運営している国は、中国や北朝鮮のような権威主義国家しかない。民主主義や人権尊重主義を掲げる国連憲章の価値観を尊重する先進国のグループでは、決して尊敬されず、軽蔑されることを覚悟すべき状況であることを自覚した方がよい。国連が問題としている人権問題は、決してジャニーズ事務所の事件だけではない。わずか30年程度で、日本の人権保障レベルは地に落ちてしまっている。知らぬは日本人ばかりなり、という状況である。
3 日本の医療と同意の強制
  そもそも、日本の医療では、国際水準では問題とされる同意取得がなされてきた。
 全国のハンセン病療養所をめぐり、らい予防法の廃止を説得して回った元厚生省医務局長の故大谷藤郎氏は、1980年代当時の精神衛生法における同意入院(同居の家族が本人の代わりに同意を付与する精神科への入院)は「強制入院ではないと理解していたが、外国の人権関係者から同意入院は強制入院であり、人権侵害的であると指摘されてびっくりした。私たち日本人は障害者の人権について考えが甘いどころか全く分かっていなかったのだ。」とされる(「らい予防法廃止の歴史」p279)。
 精神疾患と診断された瞬間にその主体性と同意能力が否定され、第三者が人身の自由を制限できるというしくみは、患者の同意に基づくしくみでないことはもちろん、明白な人権侵害である。現在は、「精神保健福祉法」と名を変え、医療保護入院という制度に変更されているが、そもそも国際水準とかけ離れて、医療的には不要な「社会的入院」が多すぎるとの批判が強い。
  現在も、当事者以外があまり認識していないと思われる、不合理な同意は散見される。
 抗精神病薬や、睡眠時無呼吸症候群患者に対し使用される医療器具等の使用に対し、患者情報や、診療情報等を製薬メーカー、医療器具開発メーカーに対して提供することに同意しない限り、投薬や医療器具の使用が許されない運用があり、問題ではないかと指摘されつつある。
 もちろん、治験段階など、利益不利益を問わないその薬剤の効果を収集することそれ自体が目的で投与される場合には、その旨の説明と同意を踏まえて包括的な診療情報の提供に同意が取得されることに合理性があるだろう。しかし、保険適用の承認後の抗精神病薬に対し、患者を特定する個人情報や、投薬後の薬効を評価するのに有益な診療情報を得ることは、製薬メーカーの利益である反面、患者にとってはプライバシー制限という不利益以外の何物でもない。そのため、自分が当該精神疾患の患者であるという事実や診療情報の提供を拒否した状態で投薬治療を受けられなければ人権侵害である。特に、疾患という身体的あるいは精神的な弱点を持ち、改善を願うのであれば医療者の助力を得るほかないという構造上の上下関係がある場合、EUでは同意の有効性は厳格に審査される。自分の病気に対して有効で必要な投薬を受けるに際し、これらのセンシティブ情報提供の同意を強制されるというのは、国際水準でいうと、重大な人権侵害としか評価されえない。
 日本では、医療DX(デジタルトランスフォーメーション)で、医療データの利活用を最優先にして、産業の発展を図ろうとしているように見える。個人情報保護法も、2015年改正で、1条の法の目的がデータの利活用に重視をおくかのように改訂された。国際的にはプライバシー保護に専念する機関であるはずの個人情報保護委員会には、「利活用班」が設置され、日弁連が反対しているJR東日本による顔認証システムの運用に問題なしと回答したとされ、プライバシー保護はそっちのけでデータの利活用に前のめりである。
 「同意しない」=「拒否する」という選択肢を与えないまま、強制的に市民の「同意」を取得しながら得られた医療データベースは、そもそも人権侵害データベースである。このデータベースを分析し、活用して得られた成果物は、国際的な取引の対象から外されるリスクを伴う。日本の企業は鈍感だと指摘されているが、例えばウイグルの材料をもとに生産された衣料品が、国際社会では取引の対象とされないのと同じである。最も要保護性が高い「センシティブ情報」の究極である医療情報について、正当な同意すらなく強制収集されたデータベースの成果がまるごと排除されるのは、人権デューディリジェンスが求められる国際社会においては、容易に想定される近未来図である。
  もちろん、人権を重視しない権威主義国家向けで産業を発展させればいいではないかという考え方もあるかもしれない。しかし、それでは、世界全体の標準とはなり得ない、落ちこぼれの落ち穂拾いにしかならないだろう。これからの世界では、人権を尊重し、人間中心主義という核心的ルールをゆるがせにしないもとでしか、世界で堂々と通用する、普遍的な価値を体現するイノベーションは起こすことができない。人権を中心におかない日本の考え方は国際標準とかけ離れていて参考にならないため、AI規制など、国際的なルールメークの場面では、今後はますます相手にされなくなるだろう。もちろん、国際社会において名誉ある地位を占めることができなくなるだろう。
4 市民の幸福に資するデジタル化のために
  2018年の時点で、アメリカでは特定の分野に関する医療画像の読影について、AIの診断が、読影する医師の上位2%の成績を収めたと報道されていた。もちろん、膨大な画像データの集積・解析が前提となるが、画像診断の正確性の向上が、患者の利益であることに異論はない。
 画像データも、匿名化された形で、画像診断の正確性の向上の研究などの正当な目的のために集約され、分析されることは促進されるべきだと考える。
 ところが、日本では、匿名化なしで利活用できないかという、人権を尊重する民主主義国家ではご法度レベルの主張が堂々と出され始めている。
 EUが厳格なデータ保護を行うのは、効率的なユダヤ人のあぶり出しを図ったナチズムへの徹底的な反省のためであり、差別の対象となり得る特性を持ったデータベースの作成は忌避するのが出発点である。ボタン操作ひとつで、感染症や遺伝病、精神疾患等の患者名が一覧できるようなデータベース、あるいは特定の患者名を基に、人生の全ての疾病歴が一覧できるようなデータベースは作成されるべきではない。中国や北朝鮮のような権威主義国家でも、公然と主張するのははばかられるのではないだろうか。
 誰もが他人に知られたくない、明治時代から守秘義務が刑法で課されている医療情報について、同意なく、匿名化も図らず、人権を無視した名寄せが許されてはならない。
 このような危険なデジタル化がなされないためには、医療情報に関するプライバシー保護のためのデータ結合禁止法や、差別禁止等の法整備こそがまず必要である。
 健康・医療等情報の結合についての国民的議論が全く不十分なまま、PHRをはじめとした医療のデジタル化が拙速に進められるべきではない。

医療情報のデータベース化とプライバシーの危機②

 

けんりほうnews 276号(2023.7.20発行)に掲載されました。

(なお、本稿は、筆者が「月刊保団連 1389号 2023.2」に投稿した文章をもとに加筆して再構成したものです。あと1回の投稿が予定されています。)

1 PHR・EHRで結合される医療情報
  健康・医療・介護分野は、日本におけるデジタル化政策の重点分野の一つとされている。
 厚生労働省から、「データヘルス改革に関する工程表」(2021年6月4日。以下、工程表)として、以下の情報のデータベース化が示された。
 ①自身の保健医療情報を閲覧できる仕組みの整備:健診・検診情報(乳幼児健診・妊婦健診、特定健診、事業主健診、自治体健診、学校検診、予防接種等)、レセプト・処方箋情報(薬剤情報、電子処方箋情報、医療機関名等、手術・透析情報等、医学管理等情報)、医療的ケア児等の医療情報、電子カルテ・介護情報等(検査結果情報・アレルギー情報、告知済傷病名、画像情報、介護情報)。
 ②医療・介護分野での情報利活用の推進:医療機関等で患者情報が閲覧できる仕組み、医療機関間における情報共有を可能にするための電子カルテ情報等の標準化、介護事業者間における介護情報の共有並びに介護・医療間の情報共有を可能にするための標準化、自立支援・重度化防止等につながる科学的介護の推進、公衆衛生と地域医療の有機的連携体制の構築等。
 ①の基盤となるのがPHR(Personal Health Record)である。「生まれてから学校、職場など生涯にわたる個人の健康等情報を、マイナポータル等を用いて電子記録として本人や家族が正確に把握するための仕組み」とされ、まずは、個人の日常生活習慣の改善等の健康的な行動の醸成のための利用を想定するとされた。
 ②の基盤となるのがEHR(Electronic Health Record)である。地域医療情報連携基盤と呼ばれ、生涯にわたる個人の健康や医療情報等を電子的に記録した上で、ネットワークの活用によって管理する電子健康記録である。政府は、2022年6月に「デジタル社会の実現に向けた重点計画」で、既に存在するこの地域版を、全国版の医療情報プラットフォームとする方針を明らかにした。
 PHR,EHR共通の基盤となるのが、医療・健康情報データベースとしてのオンライン資格確認等システムであり、ここに、国民がマイナンバーカードを使ってマイナポータルにログインすることを前提として情報を利活用するという仕組みが構築される。
2 PHRに必要性と相当性はあるか。
 同意のない、プライバシー情報、センシティブ情報の結合には、それを正当化できる、必要性と相当性(達成目的の価値に、プライバシー侵害の不利益が上回っていないこと)が必要である。これが欠ければ民法709条の不法行為が成立し、損害賠償請求権が発生する。
  そして、PHRにおける医療情報の結合については、「更なる健康寿命の延伸に向けた取組を進めることが重要である」として、その必要性が示されている(2019年9月、厚労省「国民の健康づくりに向けたPHRの推進に関する検討会」)。
  単に、自分で過去の健康データが見られたら便利だ、という利便性だけでは、データベースを作る理由にはならない。便利さはいらないとして同意をしない本人の意思に反して、無理にプライバシー情報の結合を強制することは許されないからである。
 医療機関によるデータの閲覧は患者の同意を前提としてなされている(薬剤情報は46%、レセプトの診療情報は14%台の同意しかないとされる)が、データベース化の同意は不適切である。マイナンバーカードに「保険証機能を付与する」を選択すると、レセプト情報等のデータベース化の同意を強制される建付けになっている。データベース化自体を拒否できる選択肢がなければ、GDPRでは同意は有効なものとなり得ない。
 同意しない市民の健康データを結合するためには、「個人では放棄できない」健康寿命の延伸を、プライバシー権を制限する目的と考えるほかない。「あなたの健康寿命を延伸できます」という個人の利益であれば、「自分の健康は自分で管理するから、同意なく健康データを結合するな」という市民の不同意には勝てないからである。そして、市民全体を前提として、健康寿命の延伸を図るという政策について検討すると、これは一応正当な目的となりうる。
 次に、医療情報の結合がその目的を達成するために関連性があり(有効で)、プライバシー制限の程度と比例性を満たしているかが問題となる。
 「自分の保健医療情報を閲覧できる制度という仕組み」について考えると、そもそも自分で閲覧するかどうかは本人次第であって、強制することは不可能なため、見るつもりのない市民との関係では有効性がなく、手段として関連性が欠け不相当である。
 その点をいったんおいて検討しても、健康寿命の延伸のためには、例えば現在の高齢者に対しては、EBM(Evidence Based Medicine:科学的根拠に基づく医療)の下、薬剤の多剤併用に対して再評価の機会を促したり、フレイル予防のためのタンパク質の積極的な摂取や適度な運動の勧奨などの情報を積極的に普及する方が有効と考えられる。薬剤の多剤併用については、日本医師会作成の「超高齢社会におけるかかりつけ医のための適正処方の手引き」で、「多剤併用の問題は、薬剤費の増大、服用の手間などを含むQOLの低下、そして、最も大きな問題は、薬物相互作用及び処方・調剤の誤りや飲み忘れ、飲み間違いの発生確率増加に関連した薬物有害事象の増加である。」とされている。
 これに対し、生涯にわたる過去の健診・検診情報を本人が見られるようにしたところで、高齢者の時点における健康状態の評価は、近い時期の血圧等の検査データとの比較であれば意味があっても(わざわざデータベース化する必要性はなく)、乳幼児健診や学校検診など若かりし頃の検査データを見たところで、医学的関連性に欠けると思われる。
 現に多くの高齢者が多剤併用されているとすれば、一定の基準を示して、総合診療が可能な医療機関で再評価してもらうべきであり、電子処方箋制度(データベース化とは関連性がないが)が運用されても、再評価の必要性を知る動機付けの機会がなければ何も変わらないと思われる。
 過去のデータを見られるようになったら健康寿命の延伸につなげられるという科学的根拠を、市民に説明できるのか。できないなら、いったん情報の結合をやめて、多額の税金を投入してプライバシーを侵害し続けていくことを正当化しうる具体的なメリットについて、科学的根拠に基づいて再検討し、市民に説明できるまで停止すべきだ。
3 EHRに必要性と相当性はあるか。
  他方、EHRは、「医療・介護分野での情報利活用の推進」という政策目的の手段と位置づけられている。
  まず、単に医療・介護分野で情報利活用を推進するだけであれば、プライバシー権に対する制限という意味しかないため、それ自体では正当な目的とはいえない。制約される人権の性質を検討し、その制約目的と手段の順で合憲性を審査する憲法(人権)の考え方からすると、人権制限自体を目的に掲げることは許されない。政策目的がずさんである。もっと高次な個人の幸福のための政策目的を設定しないと正当な目的とは評価されがたい。
 「複数の医療機関介護施設を利用する患者情報の共有」という手段を、患者自身の正確で適切な診療を受ける利益、医療機関介護施設側としても、正確な情報にアクセスし、適切な医療・介護サービスを提供する利益を確保するという目的に奉仕するものと考えれば、その政策目的自体は一応合理性があると思われる。
 EHRは、この目的に対する正当な手段として相当性があるかを検討する必要がある。工程表には、「全国的に電子カルテ情報を閲覧可能とするための基盤のあり方をIT室(デジタル庁)とともに調査検討し、結論を得る」「先を踏まえたシステムの課題整理・開発」という予定が書かれている。しかし、これも、なぜ全ての市民のカルテ情報を、全国の医療機関で閲覧可能にする必要性があるのか不明である。一人の国民当たり、一生の間に平均して数カ所程度の地域にしか居住しないのに、センシティブ情報を全国で閲覧できるようにするのは、過剰なプライバシー情報の結合、必要な程度を越えたプライバシー情報の利用であり、手段としての相当性を超え、違法なプライバシー侵害である。
 もちろん、市民が異なる医療機関を受診する場合に、既に受けた検査データ等を新たな医療機関に見てもらうことには患者にとっても医療機関にとっても不要な検査を避け、早く診療が開始されるから有利である。しかし、過剰な情報結合を避けるためには、患者本人が、異なる医療機関を受診する際にその都度医療情報を結合する方が望ましい。EUでは、GDPR(一般データ保護規則)20条のデータポータビリティー権に基づき、患者が、電子データを保有している医療機関に、その電子データのコピーを別の医療機関に送付するよう無償で求めることができる(中央大学・宮下紘教授の解説による)。
 介護施設についても同様であり、患者が現に診療を受けた医療機関と、介護サービスを受ける施設との間でだけデータを共有するという、必要最小限の情報の結合だけが、個別になされれば十分である。必要性を超えた結合をすることは正当性がないから許されない。
 結論として、患者の同意なく、これらの目的でデータベース化を行うことはプライバシー権を侵害し違法であり、許されない。実施するなら、患者の個別同意が大前提となる。
  工程表を見ると、行政機関や公的機関が現在保有している医療情報を、「つなげられるから、できるかぎりつなごう」という、目標の検討が希薄な、情報の結合それ自体を自己目的化した仕組みとしてPHR、EHRが走り出していると懸念される。
 市民が利用したい、有益な情報の結合は何か、という具体的ニーズを無視して制度を作っても無価値である。医療・介護の現場で必要性があり、患者との信頼関係が維持可能な最小限度の情報の結合はどのようなものか。患者や現場の医療者のニーズと、プライバシーに対する敬意から出発しないシステムが、成功することは考え難い。
 市民の幸福のためにしか存在してはならない行政機関は、自己の存在意義を考え直し、患者や現場の声にきちんと耳を傾け、ボトムアップでシステムの再構築を行うべきである。
4 高度化するデータベース
  現在、高齢者の医療の確保に関する法律に基づき、全国医療費適正化計画等のために、レセプトと特定健診の各データが、仮名化がなされた状態でデータベース(通称、ナショナルデータベース、NDB)化され、2011年から研究目的での利用が認められている。
 2016年には、日本でがんと診断された全ての人の顕名のデータベース(以下、単に「DB」)である全国がん登録DBの運用が開始された。
  2018年に施行された次世代医療基盤法により、カルテ等の個々人の医療情報を匿名加工してDB化し、医療分野の研究開発で活用することが促進されている。
 厚労省によると、2022年9月時点で、NDBは、介護DB,DPCDB(急性期入院医療情報DB)との連結解析が開始されている。今後、①他の保健医療分野の公的DB(障害福祉DB,予防接種DB,感染症DB、難病DB,小児慢性DB,全国がん登録DB)との連結、②民間の次世代医療基盤DBとの連結、③死亡情報との連結について検討するとされている(2022年9月8日「今後のNDBについて」厚労省保険局)。
  これらのDBの連結は、復元不可能な匿名化が図られておらず、むしろ2020年社会福祉法等改正により、転職等で被保険者番号が変わっても正確な名寄せが可能(2022年3月以降)とされている以上、連結行為のそれぞれについて、プライバシー侵害の必要性・相当性が厳密に検討されなければならない。何の目的(正当性)に基づき、どの範囲の医療情報をどのように連結させるのか、それが有効な手段であり、プライバシー侵害(名寄せ)と釣り合ったメリットがあるか。プライバシーを侵害される全ての患者に対し、事前にこれらが説明されるべきである。
 DBの結合に関しては、個別に必要性・相当性を国会で審議し、慎重に検討すべきである。むしろ法律なしに医療情報を結合することを禁止する法律が必要である。

医療情報のデータベース化とプライバシーの危機 ①

 けんりほうnews 275号(2023.5.20発行)に掲載されました。

(なお、本稿は、筆者が「月刊保団連 1389号 2023.2」に投稿した文章をもとに加筆して再構成したものです。あと1,2回の投稿が予定されています。)

 

1 医療情報のデータベース化(PHR)が進められている。

  健康・医療・介護分野は、日本におけるデジタル化政策の重点分野の一つとされ、その中心施策がPHR(Personal Health Record)の実現とされている。

  具体的には、健診・検診情報や、レセプト・処方箋情報、医療的ケア児等の医療情報、電子カルテ・介護情報等をデータベース化するという内容であり、これを本人が閲覧できるようにするとともに、医療機関での情報共有を図る。

「生まれてから学校、職場など生涯にわたる個人の健康等情報を、マイナポータル等を用いて電子記録として本人や家族が正確に把握するための仕組み」とされ、まずは、個人の日常生活習慣の改善等の健康的な行動の醸成のための利用を想定するとされた(2019年9月の「国民の健康づくりに向けたPHRの推進に関する検討会」)。

 このほかに、地域医療情報連携基盤と呼ばれるEHR(Electronic Health Record)という仕組みもある。これは、生涯にわたる個人の健康や医療情報等を電子的に記録した上で、ネットワークの活用によって管理する電子健康記録である。政府は、2022年6月に「デジタル社会の実現に向けた重点計画」で、既に存在するこの地域版を、全国版の医療情報プラットフォームとする方針を明らかにした。

 医療情報の結合はよいことであり、つなげられるものならどんどんつなげていった方がいい、という雰囲気の計画である。しかし、果たして本当にそういえるだろうか。

2 プライバシー侵害は何が問題か。

 日本では、情報のデジタル化を考察する場合、利便性と対比されるリスクについて「漏れる」ことだけを対置し、セキュリティだけを気にする報道や意見が多い。住民基本台帳ネットワークの際もこのような視点の報道が多かったが、市民が訴えていたのは全く別の問題であった。当時の狂牛病騒動をきっかけとして、肉牛の生育歴において、原因となる羊骨粉で養育された過去がないか、生育場所や環境をことごとく追跡することができるよう、ターゲットを「意図的に丸裸にするための」10桁の個体識別番号が付された。皮肉なことに、2002年、住民に11桁の住民基本台帳コードが通知されたのは、その直後のことだった。「なぜ私が番号をつけられてターゲットにされるのか。」国の事前説明が手薄だったこともあいまって、右も左もなく、社会が騒然となった。

 市民は、成績、非行歴、収入など行政機関が広く分散管理している個人情報が住民基本台帳コードという番号を使って結合され、丸裸にされる恐れはないかを懸念した。他人に知られたくない秘密を、必要性が今ひとつよく分からないまま結合されデータベース化されてしまうプロファイリングこそが、プライバシー侵害の最大の問題である。2005年には金沢地裁で、2006年には大阪高裁で、それぞれ住民基本台帳ネットワークは憲法13条が保障するプライバシー権を侵害するとして原告らの離脱を認める違憲判決が出された。その理由は、嫌がる市民に対し、参加を強制するだけの行政上の必要性・相当性に欠けるというものであった。全国のほとんどの新聞が違憲判決を歓迎した。2008年の最高裁判決は、共通番号がひも付ける行政事務が無限定に拡大することはプライバシー権侵害であることを前提としつつ、法律の制定、改正によってしか拡大しないことを重視して合憲とした(ちなみに、番号法改正により、マイナンバーは、税・社会保障・災害対策という当初設定されたの3分野の利用分野のみという限定を外し、かつ各省庁で省令を作って利用範囲を拡大できるようにされようとしている。日弁連は繰り返し反対しているが、メディアで報道されることはほとんどない。)。しかし、必要性・相当性を十分吟味することなく、無限定にプライバシー情報の利用範囲を拡大することが憲法違反になることは、最高裁判決においても当然の大前提である。

3 プライバシー情報は、分散管理が大原則である。

 「一般人の感覚で、他人から知られたくないと思う情報」(プライバシー情報)は、同意なく第三者提供・公表等を行ってはならないという考え方は、1964(昭和39)年の「宴のあと」事件判決で確立した。

 医療情報は、単なるプライバシー情報を超えた「誰が考えてもプライバシーであると思われる」センシティブ情報(機微情報)であり、その要保護性はプライバシー情報の中で最も高い。明治時代から刑法で秘密漏示罪として医療従事者により医療情報の第三者提供・公表を刑罰で禁止してきたのも、医療情報は強く保護しなければならないことが明治時代から市民の共通の理解だったことを示している。

 民間PHRサービス利用者へのアンケート調査では、生活保護や各種障害者手帳などの給付状況の情報や、うつ・統合失調症等といったセンシティブ情報はもとより、自分で記録した運動・食事・睡眠等の生活習慣データでさえ50%前後のユーザーが「全て連携したくない」と回答した。この回答こそが、秘密にしてほしいというプライバシー権の訴えそのものである。確かに、具体的な病名がつく前の単なる健康情報に過ぎなくても、自己規律により習慣的に一定時間以上運動を継続できているか、それともやった方がいいなあとは思いながらもやれていないのか、きちんと健康的な食事を規則正しくとっているのか、それとも不規則だったりジャンクフードが多ったりしないか、睡眠がまとまって長時間とれているのか、夜更かししていたり、深夜何回も中断していないか、などの情報は、家族や親しい友人、信頼できる医師には打ち明けられるとしても、不特定多数の人の目に触れる状態におかれるのはいやだ、と感じる人が多いのは当然であると思われる。もしそう感じる人が少数者であったとしても、多数決で否定することなく、その権利を可能な限り尊重しなければならない。それが人権尊重主義ということである。

 市区町村役場には、収入などのプライバシー情報のほか、生活保護や介護福祉の利用に関連する障害や疾病情報などのセンシティブ情報があるが、通常、担当する課ごとに住民情報は区分して、所掌する行政事務の範囲で必要な最小限度のプライバシー情報しか取り扱っていないはずである。名寄せして丸裸にしたら多少は行政効率化に資するかもしれないし、技術的には容易だが、必要性・相当性に欠ける情報の結合(主たる事務を取り扱う課から他の部門に対する第三者提供)はプライバシー侵害で違法だからである。つまり、単に「できるから」といって必要もなくデータベース化することは基本的には違法なプライバシー侵害である。そもそも、「他人に知られたくない」という市民の希望に沿うためには、情報を分散管理する方がよい。不便でも、必要最小限の取り扱いしかしなくなるからプライバシー保護のために最大限に有利である。

 また、プライバシー情報は、保存する必要性がなくなったらいずれ消去された方が安全である。これまで、レセプト情報は期間経過後消去され、カルテも診療が途絶えた後、保存期間を満了した適宜の時点で原則廃棄されてきたが、それは、プライバシーを保護する意味もあった。

4 医療情報のデータベース化は、市民の生命への危険すら招きかねない。

 医療情報、健康情報が出生時から全て結合され、誰かが自由にアクセスできるデータベースを作ることは、「漏れ」をイメージした将来のプライバシー侵害の「おそれ」ではなく、同意なく作られた瞬間から「現実の問題として発生した」重大なプライバシー侵害である。しかも、このような乱暴なプライバシー侵害は、市民の受診行為を萎縮させかねない。感染症、遺伝病、精神疾患その他社会で差別を受ける恐れの大きい分野であれば、さらにその悪影響は大きい。

 再就職時に、採用しようとする会社が「適法に」診断病名の履歴を閲覧することを恐れて、休職すべき状態に至っている市民がうつ病の受診を控える可能性も容易に想定される。人権に対する深い考察を欠いた無邪気な医療情報のデータベース化は市民を死にも追い込みかねない。一体誰のための、何のための医療情報のデジタル化なのか。それは憲法が目標としている、市民の幸福追求権の実現にかなっているのか。分散管理は、克服されるべき「非効率の」古ぼけた制度ではなく、人権尊重に最大限有利なものであり、AIやデジタル化による人間疎外を防止するために今後も不可欠の大原則でありつづける必要がある。世界は、AIに対する懸念も加え、人権尊重主義・人間中心主義という大原則を大事に守りながら、その大切な限定の中でどのようなデジタル化を最大限に図ることができるのか、イノベーションを競っている。人権や、可能な限り人の尊厳を損なわないように医療情報を大切に取り扱うという思想をないがしろにして、ただひたすら行政の効率化のみを目指して一直線にデジタル化を図ろうという考え方は、21世紀の、人に優しい考え方とは全く無縁の、時代錯誤の発想でしかない。「これからはデジタルで稼ぐんだ。経済発展の邪魔だから人権とかうるさく言うな。」という「1960年代の高度成長期の夢(ただし、今度はデジタル版)よ再び」というぐらいずれた発想である。欧米を中心とした民主主義国家に属するという自覚があるのであれば、あまり大きな声でいえない、かなり残念な主張になっている。しかし、この30年間、ジェンダー問題などを代表として、人権保障が着々と発展・進化してきた欧米と、昭和から停滞したままあまり進んでいない日本との絶望的な格差に、日本は気がついていないのではないか。

 プライバシー情報、センシティブ情報の結合(それを取り扱っている部門から、他の部門に対する第三者提供・公表)には、それを正当化できる、必要性と相当性(目的達成の価値に、プライバシー侵害の不利益が上回っていないこと)が必要である。これが欠ければ民法709条の不法行為が成立し、損害賠償請求権が発生し得ることは、宴のあと事件判決以後の数十年の裁判実務で定着している。誤解がないように述べると、同意は絶対ではない。必要性・相当性があれば、同意がなくても利用はできる。内心の自由以外の全ての人権は、ほかの人権とのバランスの中で認められる相対的な権利に過ぎない。

 2005年に施行された個人情報保護法では、一見すると、公衆衛生目的があれば医療情報も無条件に第三者提供してよいかのように見える。しかし、法の施行以前から、判例によるプライバシー侵害の判断基準は民法の解釈として確立されており、個人情報保護法の施行でこれが全部いらなくなったわけではない。個人情報保護法は、他人に知られたくないとまではいえないレベルの単純な識別情報(誰であるかが分かる情報)まで保護範囲を拡大する代わりに、個人情報の利用目的を通知・公表することを求めたものに過ぎない。

  秘密漏示罪があるから、業務上収集した医療情報は、同意なく第三者提供ができない。例外としては、それを許容する個別の法律がなければならないし、その法律は、医療情報の結合(第三者提供・公表)がプライバシー侵害の必要性・相当性を満たした内容を備えており、合憲な内容でなければならない。個人情報保護法により、公衆衛生目的で提供が可能な医療情報の範囲も、必要性・相当性の制限は守られなければならない。

 

救援新聞「監視・管理社会を考える」②顔認証カメラ

本日発行の救援新聞で、表記の記事が掲載されました。

 

 私は日弁連情報問題対策委員会で監視カメラのプライシー侵害の問題点を担当しています。まず、監視カメラと比較して顔認証カメラは何が違うのか、お話します。

高い精度で顔認証
個人を特定 
 
 顔認証は、① カメラで撮られたデジタル画像から、「顔」部分を抽出 、②これは誰の顔かという特徴点を捉えた、指紋のような識別データ(「顔認証データ」)を生成、 ③ 別の顔写真データから生成された「顔認証データ」と照合し、一致・不一致を判定する仕組みです。いわば、「顔指紋」のように、人の同一性が確認できます。
同一性の精度について、iPhoneⅩは、指紋の1000倍正確であると説明しています。
 顔認証カメラは大きく分けると2つあります。

知らないうちに
顔が指紋のように収集・検索

・1対1型 成田空港などにおける日本人向け入国ゲートで、カメラに顔を向けて読み取らせ、パスポートに保存されている写真データを読み取って照合し同一人物かをチェックする仕組みです。前は任意だったのが、今は原則この1対1型で出入国がおこなわれつつあります。個別の同意拒否が確保される限り、プライバシー侵害度は高くありません。しかし、日本の出入国管理では拒否が困難な運用で、問題です。 
・1対N型 もう一つは、不特定多数に対するカメラ(1対N)。例えば中国では、市民の顔認証データはデータベース化されているので、街頭に設置されたカメラで対象者に気づかれることなく、顔認証データを収集し照合できます。
 デジタルデータの特性として、照合・検索処理が極めて容易かつ簡便で、中国では、街頭を歩くターゲットを6億台の街頭カメラで特定し、わずか7分で臨場したという実験結果があります。データさえつなぎ合わせれば、過去・現在・未来、あらゆる場所の行動と検索照合が可能です。
 日本の警察が組織犯罪に限定して運用しているという顔認証システムでは、犯罪が発生した犯行現場付近から収集された顔画像データには、被疑者だけでなく、犯行時間帯に現場付近にたまたま居合わせた市民の顔画像があり、顔認証データが作成・照合されてしまいます。
 現場付近の顔認証データと、警察が保有している組織犯罪者の顔認証データベースを照合すれば被疑者がヒットするかどうか、すぐに分かるという仕組みです。しかし、最高裁違憲違法と判断したGPS捜査以上にプライバシーを侵害しうるので、日弁連では重大組織犯罪に運用を限定するよう法制定を求める意見書を出しています。捜査以外にも、違法な監視にも濫用されたら、よりプライバシー侵害の度合いは強くなっていきます 。
 「政府のやることに反対するよからぬ市民」だとされたなら、常時、過去から現在まで効率よく監視することさえが簡単にできるということです。

 

中国の「信用スコア」
内面まで制御される

 中国では、民間企業である芝麻信用社が、インターネットでの決済履歴などを企業から集めるほか、政府から公共料金支払い記録等の提供も受け、信用スコアをAIで算出しています。その結果が悪ければ、飛行機チケットが買えなかったりします。政府もこのデータを活用して、街頭の監視カメラの顔認証機能で個人を特定して、指名手配犯を逮捕したり、反体制派を監視したりしています。横断歩道を赤で渡っていると、見せしめの様に近くのビルにその人の名前と顔が映し出されて、信用スコアも削られていきます。街頭で少し善行を積むと、少しスコアが上がるという、人間の内面までコントロールが可能な仕組みになっています。

プライバシー守る
法的規制が必要

 暴力団などの組織犯罪にしか使わないと公言していた警察の顔認証システムですが、2019年10月、 渋谷でハロウィーンで興奮した若者が車を壊した事件で、週刊朝日は顔認証によって検挙されたものだと報道しました。重大ではない犯罪でも、高度なプライバシー侵害を手段とする捜査がなされていたことが判明しました。法律がないため、捜査側がどう活用するか自由自在です。
 2021年7月、JR東日本が、首都圏の一部の駅に、指名手配犯等を検知する顔認証カメラ導入を公表しました。そもそもJRは警察ではないので、捜査・監視をする権限はありません。しかも相談を受けた個人情報保護委員会が認めたというのは、とんでもないことです。日弁連で反対の会長声明を出しています。
 2021年10月、健康保険証機能付きマイナンバーカードによる、医療機関受け付けでの顔認証チェックが開始しました。市町村を介して、J-LISに、住民の顔認証データが集約されています。デジタル改革関連法で、その管理に国が関与しました。歯止めがなければ中国の一歩手前の状態です。 
 ドイツに視察に行きましたが、法律でルールが決まっていない監視カメラや顔認証による捜査のことを言うと、「日本は法治国家ではないのか」と驚かれます。
 警察等が人権制限をする場合、あらかじめ法律が必要だというのが「法治国家」原則で、その法律の内容が最小限の人権制約で合憲である必要があるというのが「法の支配」原則です。法律すらなく顔認証捜査ができる国は、民主主義国家ではありません。
 プライバシーという人権や民主主義を守る努力を市民やメディアが力を合わせて取り組まないと、日本は先進国から落ちこぼれつつあると感じます。

医療情報の結合とプライバシーの危機

    2023年2月1日発行の月間保団連に、依頼を受けて投稿しました。

(サマリー)

「医療情報は、プライバシー保護のため分散管理が原則である。医療情報の結合には、それを許容する個別の法律と、結合の必要性と相当性(プライバシー侵害の程度を超えないこと)を満たすという法律の合憲性が必要である。EUでも、患者の自己決定権を離れた、匿名化されない医療情報の結合・利活用が促進されているわけではない。日本でも、利活用を重視し過ぎることで患者との信頼関係を破壊しないよう、患者・現場からのボトムアップで、デジタル化を設計し直す必要がある。」

1.デジタル化の重点分野「PHR」
  健康・医療・介護分野は、日本におけるデジタル化政策の重点分野の一つとされ、その中心施策がPHR(Personal Health Record)の実現である。「生まれてから学校、職場など生涯にわたる個人の健康等情報を、マイナポータル等を用いて電子記録として本人や家族が正確に把握するための仕組み」とされ、まずは、個人の日常生活習慣の改善等の健康的な行動の醸成のための利用を想定するとされた。厚生労働省から、「データヘルス改革に関する工程表」(2021年6月4日。以下、工程表)として、以下の情報のデータベース化が示された。
 ①自身の保健医療情報を閲覧できる仕組みの整備:健診・検診情報(乳幼児健診・妊婦健診、特定健診、事業主健診、自治体健診、学校検診、予防接種等)、レセプト・処方箋情報(薬剤情報、電子処方箋情報、医療機関名等、手術・透析情報等、医学管理等情報)、医療的ケア児等の医療情報、電子カルテ・介護情報等(検査結果情報・アレルギー情報、告知済傷病名、画像情報、介護情報)。
 ②医療・介護分野での情報利活用の推進:医療機関等で患者情報が閲覧できる仕組み、医療機関間における情報共有を可能にするための電子カルテ情報等の標準化、介護事業者間における介護情報の共有並びに介護・医療間の情報共有を可能にするための標準化、自立支援・重度化防止等につながる科学的介護の推進、公衆衛生と地域医療の有機的連携体制の構築等。
 他に③ゲノム医療の推進、④基盤の整備が挙げられている。
 また、地域医療情報連携基盤と呼ばれるEHR(Electronic Health Record)は、生涯にわたる個人の健康や医療情報等を電子的に記録した上で、ネットワークの活用によって管理する電子健康記録である。政府は、2022年6月に「デジタル社会の実現に向けた重点計画」で、この地域版を、全国版の医療情報プラットフォームとする方針を明らかにした。
 医療情報の結合はよいことであり、技術的に可能な限りどんどん進めていった方がいい、という雰囲気の計画である。しかし、果たしてそうだろうか。
2.プライバシー保護を考えれば分散管理
 日本では、情報の電子化においては、利便性と対比されるリスクについて「漏れる」ことだけを対置し、セキュリティだけを気にする報道や意見が多い。住民基本台帳ネットワークの際もこのような視点の報道が多かったが、市民が訴えていたのは別の問題である。当時の狂牛病騒動から、肉牛の生育歴において、原因となる羊骨粉で養育された過去がないか、追跡可能性を確保するための10桁の個体識別番号が付された。住民に11桁の住民基本台帳コードが通知されたのは、その直後のことだった。成績、非行歴、収入など行政機関が広く分散管理している個人情報がこれを用いて結合され、丸裸にされる恐れはないかが懸念されたのである。必要性のない名寄せ、プロファイリングこそが、プライバシー侵害の最大の問題である。
 「一般人の感覚で、他人から知られたくないと思う情報」は、同意なく第三者提供・公表等を行ってはならないというプライバシー権は、1964(昭和39)年に「宴のあと」事件で裁判例が確立した。
 医療情報は、単なるプライバシー情報を超えた「誰が考えてもプライバシーであると思われる」センシティブ情報(機微情報)であり、その要保護性は最も高い。明治時代から刑法で秘密漏示罪の対象として高く保護されているゆえんである。
 民間PHRサービス利用者へのアンケート調査では、生活保護や各種障害者手帳などの給付状況の情報や、うつ・統合失調症等といったセンシティブ情報はもとより、自分で記録した運動・食事・睡眠等の生活習慣データでさえ50%前後のユーザーが「全て連携したくない」と回答した。
 市区町村役場には、収入のほか、生活保護や介護福祉の利用に関連する障害や疾病情報などのセンシティブ情報があるが、通常、担当する課ごとに住民情報は区分して、所掌する行政事務の範囲で必要な最小限度のプライバシー情報しか取り扱っていないはずである。名寄せして丸裸にしたら多少は行政効率化に資するかもしれないし、技術的には容易だが、必要性・相当性に欠ける情報の結合はプライバシー侵害で違法だからである。そもそも、「他人に知られたくない」という市民の希望に沿うためには、情報を分散管理する方がよい。不便でも、プライバシー保護に資する。
 また、私的情報は、一定の保存期間後は消去されていった方が安全である。これまで、レセプト情報は期間経過後消去され、カルテも保存期間経過後診療が途絶した適宜の時点で原則廃棄されてきたが、それは、プライバシーを保護する制度的保障の意味もあった。
 医療情報、健康情報が出生時から全て名寄せされ、誰かが自由にアクセスできる仕組みは、それ自体がプライバシーに対する重大な侵害であり、市民の受診行為を萎縮させかねない。感染症、遺伝病、精神疾患その他社会で差別を受ける恐れの大きい分野であれば、さらにその悪影響は大きい。再就職時の履歴閲覧を恐れてうつ病の受診を控える可能性もあることを考えると、無邪気なプロファイリングは市民を死にも追い込みかねない。一体誰のための、何のためのデジタル化なのか。分散管理は、遅れた制度ではなく、人権尊重で、サステナブルであり、SDGsの理念にもかなっている。
 プライバシー情報、センシティブ情報の結合には、それを正当化できる、必要性と相当性(達成目的の価値に、プライバシー侵害の不利益が上回っていないこと)が必要である。これが欠ければ民法709条の不法行為が成立し、損害賠償請求権が発生し得る。
 2005年に施行された個人情報保護法では、一見すると、公衆衛生目的があれば医療情報も第三者提供してよいかのように見える。しかし、法の施行以前から、判例によるプライバシー侵害の判断基準は民法の解釈として確立されており、法の施行でこれが不要になったわけではない。個人情報保護法は、他人に知られたくないとまではいえないレベルの単純な識別情報まで保護範囲を拡大する代わりに、利用目的を通知・公表することを求めたものに過ぎない。
  秘密漏示罪があるから、業務上収集した医療情報は、同意なく第三者提供ができない。例外としては、それを許容する個別法がなければならない(=法治国家)し、その法律は、プライバシー侵害の必要性・相当性を満たし、合憲でなければならない(=法の支配)。
3.医療情報の結合の必要性と相当性が欠如
  PHRにおける医療情報の結合について、「更なる健康寿命の延伸に向けた取組を進めることが重要である」として、その必要性が示されている(2019年9月、厚労省「国民の健康づくりに向けたPHRの推進に関する検討会」)。
 健康寿命の延伸自体は正当な目的だが、医療情報の結合がその目的を達成するために必要で、プライバシー制限の程度と比例性を満たしているかが問題となる。
 自分の保健医療情報を閲覧できる制度について考えると、健康寿命の延伸のためには、例えば現在の高齢者に対しては、EBM(根拠に基づく医療)の下、薬剤の多剤併用に対して再評価の機会を促したり、フレイル予防のためのタンパク質の積極的な摂取や適度な運動の勧奨などの情報を積極的に普及する方が有効と考えられる。しかし、生涯にわたる過去の健診・検診情報を本人が見られるようにしたところで、どうやって健康寿命の延伸につなげられるのか不明であるので、情報を結合する必要性に欠ける。また、過度に広範なので相当性もない。従って、違法なプライバシー侵害であり同意なく結合すべきではない。
  医療機関等での患者情報の閲覧について、工程表には、「全国的に電子カルテ情報を閲覧可能とするための基盤のあり方をIT室(デジタル庁)とともに調査検討し、結論を得る」「先を踏まえたシステムの課題整理・開発」という予定が書かれている。しかし、これも、なぜ全ての市民のカルテ情報を、全国の医療機関で閲覧可能にする必要性があるのか不明である。一人の国民当たり、一生の間に平均して数カ所程度の地域にしか居住しないのに、センシティブ情報を全国で閲覧できるのは、過剰なプライバシー侵害以外の何物でもない。
 患者本人が、異なる医療機関を受診する際にその都度医療情報を結合する方が望ましい。EUでは、GDPR(一般データ保護規則)20条のデータポータビリティー権に基づき、患者が、データを保有している医療機関に、その電子データのコピーを別の医療機関に送付するよう無償で求めることができる(中央大学・宮下紘教授の解説による)。
 介護施設についても同様であり、患者が現に診療を受けた医療機関と、介護サービスを受ける施設との間でだけデータを共有するという、必要最小限の情報の結合だけが許され、それを超えた結合をすることは、およそ正当性がないから許されない。
  行政機関や公的機関が現在保有している医療情報を、「つなげられるから、つなげられるだけつなごう」という、目標の設定や有効性の検討が希薄な、情報の結合それ自体を自己目的化した仕組みとしてPHRが走り出していると懸念される。
 市民が閲覧したい情報は何か、見たら有益な情報は何かという具体的ニーズを無視して制度を作っても無価値である。医療機関の現場で必要性があり、患者との信頼関係が維持可能な最小限度の情報の結合はどのようなものか。患者や診療現場の医師のニーズと、プライバシーに対する敬意から出発しないシステムが、成功することは考え難い。
 市民の幸福のためにしか存在してはならない行政機関は、自己の存在意義を考え直し、ボトムアップでシステムの再構築を行うことが不可欠である。
4.高度化するデータベース
  現在、高齢者の医療の確保に関する法律に基づき、全国医療費適正化計画等のために、レセプトと特定健診の各データが、仮名化がなされた状態でデータベース(通称、ナショナルデータベース、NDB)化され、2011年から研究目的での利用が認められている。
 2016年には、日本でがんと診断された全ての人の顕名のデータベース(以下、DB)である全国がん登録DBの運用が開始された。
  2018年に施行された次世代医療基盤法により、カルテ等の個々人の医療情報を匿名加工してDB化し、医療分野の研究開発で活用することが促進されている。
 厚労省によると、2022年9月時点で、NDBは、介護DB,DPCDB(急性期入院医療情報DB)との連結解析が開始されている。今後、①他の保健医療分野の公的DB(障害福祉DB,予防接種DB,感染症DB、難病DB,小児慢性DB,全国がん登録DB)との連結、②民間の次世代医療基盤DBとの連結、③死亡情報との連結について検討するとされている(2022年9月8日「今後のNDBについて」厚労省保険局)。
  これらのDBの連結は、復元不可能な匿名化が図られておらず、むしろ2020年社会福祉法等改正により、転職等で被保険者番号が変わっても正確な名寄せが可能(2022年3月以降)とされている以上、連結行為のそれぞれについて、プライバシー侵害の必要性・相当性が厳密に検討されなければならない。何の目的(正当性)に基づき、どの範囲の医療情報をどのように連結させるのか、それがプライバシー侵害(名寄せ)と釣り合っているか。プライバシーを侵害される全ての患者に対し、事前にこれらが説明されるべきである。
 DBの結合に関しては、個別に必要性・相当性を国会で審議し、慎重に検討すべきである。むしろ法律なしに医療情報を結合することを禁止する法律が必要である。
5.海外の医療データベース事情
 2022年5月には、EUで欧州ヘルスデータスペース(EHDS)法案が提案された。患者の診療に関連するデータの1次利用では、データは「通常の居住する加盟国だけではなく、そのようなデータは、患者が通常の加盟国の居住国以外の加盟国で治療を受けている場合には、EU域内で共有する必要がある」とされている。患者自身の治療という情報主体の選択と具体的な必要性から離れた文脈でのデータ利用が促進されているものではない。2次利用(再利用)では匿名化等が求められているから、プライバシー保護に手厚いGDPRによる個人データ保護の水準は維持されるものと思われる。
  EUの法制度、ことにGDPRはドイツ法の影響が強いが、ドイツでは、がん登録法においても、患者は異議申立権があり、行使されたら登録は中止・抹消が義務となる(2013年時点)。統計上の誤差を少なくすることよりも、患者のプライバシー権、自己情報決定権を尊重している点で、日本の法制度と全く異なっている。
 そもそも、GDPR5条1項c号は、データ最小限化を求め、欧州基本権憲章52条1項は個人データ保護の権利への制約は、必要性の比例性を考慮に入れる必要があるとする。データ管理者は、個人データを収集し保有する必要性について明確に説明し、証明できる必要がある。GDPR9条1項は、遺伝データ、健康に関するデータはいずれもセンシティブ情報であるとして、その処理を原則として禁止している。
 従って、患者の自己決定権から離れた1次利用や、匿名化、患者の同意またはそれに変わるデータ保護機関の承認等の慎重な手続きなしに2次利用が容認されるとは考え難い。
 現状でも、アメリカやスウェーデンは1次利用中心にとどまっており、2次利用を指向するシンガポールは大量情報漏洩事故が生じて停滞している。イギリスでは幅広い情報の連携・集約が目指されたがコンセンサスが得られず、項目を絞り、オプトアウト(本人が求めたときは個人データの第三者提供をやめる)も導入して慎重に運用されている。
  翻ってみると、日本のがん登録も、2015年までは医療機関都道府県から中央へのデータ提供においては匿名化されており、プライバシーへの配慮が行き届いていた。都道府県を越えた移動等の統計上の誤差を生み出さないことに、全てのがん患者の顕名化を要求しても釣り合うほどの医療上の有益性が存在するのか疑問である。必要があるというのなら、それを市民に説明すべきであろう。
6.市民の幸福に資するデジタル化のために
  2018年の時点で、アメリカでは特定の分野に関する医療画像の読影について、AIの診断が、読影する医師の上位2%の成績を収めたと報道されていた。もちろん、膨大な画像データの集積・解析が前提となるが、画像診断の正確性の向上が、患者の利益であることに異論はない。
 画像データも、匿名化された形で、画像診断の正確性の向上の研究などの正当な目的のために集約され、分析されることは促進されるべきだと考える。
 ところが、日本では、匿名化なしで利活用できないかという、人権を尊重する民主主義国家ではご法度レベルの主張が堂々と出され始めている。
 EUが厳格なデータ保護を行うのは、効率的なユダヤ人のあぶり出しを図ったナチズムへの徹底的な反省のためであり、差別の対象となり得る特性を持ったDBの作成は忌避するのが出発点である。ボタン操作ひとつで、感染症や遺伝病、精神疾患等の患者名が一覧できるようなDB、あるいは特定の患者名を基に、人生の全ての疾病歴が一覧できるようなDBは作成されるべきではない。中国や北朝鮮のような権威主義国家でも、公然と主張するのははばかられるのではないだろうか。
 誰もが他人に知られたくない、明治時代から守秘義務が刑法で課されている医療情報について、同意なく、匿名化も図らず、人権を無視した名寄せが許されてはならない。
 このような危険なデジタル化がなされないためには、医療情報に関するプライバシー保護のためのデータ結合禁止法や、差別禁止等の法整備こそがまず必要である。
 健康・医療等情報の結合についての国民的議論が全く不十分なまま、PHRをはじめとした医療のデジタル化が拙速に進められるべきではない。