１.個人情報漏洩の現状
IT環境の進化に対し、環境の整備やスタッフへの周知徹底が図られていないために、ＰＣやUSBの紛失、不正アクセスによる情報漏洩が発生しています。
また、スタッフがツイッターで診療所の悪口を書き込むなど、今までとは異なった新たな媒体に対する防止策が必要となっています。
今回は、情報漏えいの現状と、医療従事者に課せられる守秘義務及び個人情報保護法について考えます。
１.パソコン、USB 等からの情報漏洩の現状
今年、ベネッサや東京電力等での情報漏洩事件・事故が騒がれました。
これらの事件は、毎年増加しており、医療機関及び関連業者においても情報漏洩事件が多発しています。
これらのほかにも、多数の病院、診療所、歯科診療所において盗難や紛失による情報漏洩につながる事件事故が起きています。
多くがＰＣやUSBメモリの紛失や盗難によるものです。
また、この他にコンピュータウイルス（サイバー攻撃）によってＰＣから情報を送信させるといった手口の事件も起こっています。
２.インターネット上での歯科医院内部の情報漏洩
個人情報だけでなく、院内で発生した出来事（事故やクレーム等）を、スタッフがブログやツイッター等で掲示することがあります。
個人から発せられる情報がインターネット上に出てしまい、悪評になって広がったり、実際は違うのに風評として受け取られたりしています。
当人には悪口のつもりがなくとも、受け取り側の感覚・判断で悪評は出来上がってしまいます。
ツイッターやブログ、２チャンネル、ライン等での情報交換は、当人には広げるという意識が無くとも、見る側には伝わりません。
また、当人が特定の相手だけに行ったとしても、その相手がまた別の人へ伝えることを防げません。
当人のモラルの向上や高い意識を持たせることを医院側から行う必要があります。
３.情報漏洩の原因
（１）情報漏洩の原因と経路
情報漏洩の原因は、管理ミスや誤操作、紛失置き忘れ等のうっかりミスが全体の約93％を占めています。
盗難や外部からの不正アクセス等による漏洩は、6.7％と少ない数値ですが、これらの漏洩は大きな被害を招くことが多く、対策を行うことが重要です。
経路別の件数は、紙媒体による漏洩が58.7％と全体の約6割を占めています。
漏洩の個人情報の人数は、USBなど可搬記録媒体による漏洩が最も多く、2012年では約760万人に及び全体の約75％になっています。
（JNSA2012セキュリティインシデントに関する調査報告書より）
（２）情報漏洩の影響は多大
情報漏洩が起こると、医院は大きな損害を被ります。
個別に、情報漏洩してしまった当人への損害賠償費用（謝罪費用も含む）、調査費用といった金額の他、医院としての信頼やイメージの低下等による影響は多大になります。
医院経営が安定するまでの労力・努力が、あっという間に消え去ります。
その原因が内部に多く存在しています。
内部要因による情報漏洩を防止するために、院長からスタッフ全員まで、医院全体をあげて対策を講じる必要があります。
２.個人情報漏洩対策
医院内には多数の重要な情報があります。
保険証や問診票や患者アンケートといった情報の他、カルテという最重要な情報が存在しています。
適切な管理・保管を行う必要があります。
情報漏洩対策はセキュリティ製品による制御だけでなく、ルールの明確化やスタッフへの徹底をしなければいけません。
また、雇用形態の変化やIT環境の変化によって、定期的にルールや製品の見直し、また定期的なスタッフ教育の実践とモラル向上の研修を行わなければいけません。
１.院内ルールの明確化
（１）コンプライアンスの考え方
コンプライアンスを『法令遵守』とだけとらえ、法律に違反していないから大丈夫だと考えることは非常に危険です。
医院の規模や問題の種類によっては、「法令に違反していない」と説明しても、それが必ずしも患者やその家族が納得できるものとは聞こえないことが多々あるからです。
コンプライアンスを原点として、『公正・適切な企業活動を通じ社会貢献を行なう』という思想があります。
医療機関には、他の模範となるべく、積極的に法令や条例以上の倫理・社会貢献を遵守し、『常識が法である』という行動が求められています。
（２）ガイドライン
厚生労働省からも医療機関に対し、個人情報寶語法としてのガイドラインが発表されています。
その趣旨や基本的な考え方に沿って、各医療機関でもガイドラインを作成し、遵守することが重要です。
（３）情報整理
医療機関では、患者さん及びその家族について個人情報を詳細に知りうる立場にあるため、適正な取り扱いが求められています。
知りえた情報を整理し、しっかりと管理する必要があります。
なんとなくではなく、情報収集方法、管理方法といった基準を作成し、取扱いにまで、制約を求めるべきです。
（４）個人情報保護法と守秘義務
個人情報保護法の中での「個人情報」とは、生存する個人に対する情報とされています。
医療関係の情報を対象としていますが、診療録等の形態に整理されていない場合でも個人情報に該当します。
なお、当該患者さんが死亡した後においても、医療機関で情報を保存している場合には、漏洩、滅失または毀損等の防止のため、個人情報と同等の安全管理措置を講ずるものとすると、規定されています。
また、医療法の第15条において、診療所の管理者は従業員に対する管理監督義務があり、と定められています。
歯科医師や歯科衛生士、他医療に関する資格者が守秘義務を負っていることを考えると、医療機関に従事する人は、管理者の監督の下、守秘義務も遵守しなければならないと解釈されています。
２.ツールによる対策
（１）デバイスコントロール
アクセスコントロールの設定によって、外部デバイスへのユーザアクセスを制御することが可能です。
制御可能なデバイスは、以下のとおりです。
（２）アーカイブ／ログ監査
アーカイブとは重要記録を保存・活用し、未来に伝達することをいいます。
一般的に書庫や保存記録と訳されますが、PC上のデータの世代管理を行う上でデータとメタデータを合わせて保管することをアーカイブファイルと呼びます。
他にウエブを収集したウエブアーカイブ、デジタル化して保存するデジタルアーカイブと呼ばれるものがあります。
ログ監査を行うことは、各種PCの捜査記録を監査証跡として取得することになります。
その上で、監査証跡を利用者に還元し、追跡できる環境を整備することで牽制効果が表れ、利用者に不正やルール違反をさせない事につながります。
（３）コンテンツフィルタリング
好ましくないウエブサイトなどが閲覧できないように、クライアントもしくは内部サーバで走るソフトウエアによって、閲覧内容に一定の規制を掛ける仕組みです。
教育・倫理上の問題や医院内での行動規範の問題を背景として、製品化されています。
（４）ＵＲＬフィルタリング
ネットワークやPCからアクセス・閲覧できるインターネット上のウエブサイトを制限する方式の一つで、閲覧を許可する（あるいは拒否する）URLを列挙する方式、又はそのような方式で閲覧制限を行うソフトウエアやソフトウエアの機能のことをいいます。
３.スタッフ教育の徹底
（１）スタッフのモラル、メディアリテラシーの向上
情報漏洩は、悪意の無いうっかりとか誤操作によるものと故意によるものがあります。
マニュアルによる行動管理やシステムによる制御も大事ですが、基本はスタッフ自身のモラルの向上が必要です。
また、メディアリテラシーという「情報を評価・識別する能力、情報を発信する能力」を向上させ、本来の目的を認識したうえで活用することが重要となります。
（２）定期的なスタッフ教育
歯科医院において、個人情報保護に対する体制・諸規定を整備し、スタッフに対する研修を実施し、教育を行うことが重要なポイントです。
医療安全対策や院内感染防止対策の研修会に関しては年2 回以上の研修会の開催と規定されています。
併せて行うことが望ましいでしょう。
３.就業規則・労働契約書の整備による事前防止策
スタッフが10名未満の歯科医院では就業規則の作成は義務化されていませんが、個人情報漏洩では監督者である院長が法律によって罰せられることも有るため、就業規則・その内部の服務規程、労働契約書等に、個人情報漏洩に関する基準や考え方を明記し、スタッフへ通達することが必要です。
勤務歯科医師や歯科衛生士は資格取得する際に、守秘義務として研修していますが、受付、歯科助手、歯科医療事務といった無資格者（民間の認定資格者）は守秘義務を知らないことが多く、その認識の甘さから漏洩につながることが少なくありません。
１.医療法による個人情報保護法のガイドライン
（１）歯科医院における個人情報の種類と医療法によるガイドライン
歯科医院においては、保険証を預かり、カルテを作成し、問診表にまで記入してもらいます。
院内ではＸ線装置で口腔内の撮影をし、フィルムもしくはデータにて保管しています。
また、診療報酬請求に際しては、審査支払機関へのレセプトの提出があり、他の事業者へも常時情報提供をしています。
健康診断を行えば、勤務先（事業者）へ従業員の健康診断結果を通知します。
技工所への技工指示書等によっても個人情報の提供があります。
このように、色々な状況で個人情報に触れ、他に提供しているのが歯科医院です。
当然歯科医院側に、個人情報保護・管理の取り組みが必要となります。
２.就業規則（服務規程）や労働契約書への明記
個人情報保護に関し、「モラルの向上を」といいますが、これだけ情報にあふれている現状において、実際に何をどうしたら良いかまで具体的に指示指導しなければ、スタッフに浸透しません。
何故個人情報保護をしなければいけないのかという目的と、どうしなければいけないか、といった項目の具体化が必要です。
３.情報漏洩したスタッフへの対処
スタッフがブログやツイッターなどで、医院の社会的信用が失われる書き込みが発覚したら当然に解雇理由になります。
裁判所では、能力不足や協調性不足については、医院に対して比較的厳しい見方をしますが、対外的に影響のあるネット上での問題に関しては、多大な影響を及ぼすと考え、解雇へのハードルは緩いといえるようです。
誰でも言ってしまうような愚痴やボヤキでは単なる注意をとされるようですが、特定した患者さんや院内の事情が含まれているものであれば、厳しく対処できるようです。
ただし、注意しなければいけないのは、この事情で裁判となると患者さんの証言などが要求される場合があります。
（１）指導と改善
情報漏洩が発覚した後、「指導して、改善に機会を与える」ことが重要です。
いきなり解雇は、その内容の重要度が相当高い必要があります。
逆に内容の重要度が低くても、改善のチャンスを何回与えたかによって解雇と出来ることがあります。
（２）話し合いによる解決：退職勧奨
問題スタッフに退職して欲しい時には、誠意をもって、話し合いによる退職勧奨で解決を目指すことが基本です。
話し合いで合意に至れば、お互いの感情的なしこりが少々あってもスムーズに退職となります。
解雇であれば不当解雇ということで問題化することも有ります。
退職勧奨に関しては、退職に至る理由や当人が置かれている状況、雇用契約や就業規則（服務規程）にどのような記載となっているか等、事前準備が必要です。
問題スタッフへの退職勧奨は、過去に注意や指導をどれだけ行ってきたか、という経過と就業規則や労働契約書に退職勧奨の基準が明記されていることがスムーズに進むポイントです。
退職勧奨は、あくまでも話し合いであって、一方的な通達ではないこと、相手側が行ったことをなじる場でないことを認識し、望まなければいけません。
４.個人情報漏洩保険への加入
各保険会社では、個人情報漏えい事故に対し、保険を整備しています。
業務過誤賠償責任保険普通保険約款、個人情報漏洩特約、危機管理コンサルティング費用特約、危機管理実行費用特約などを付加し、個人情報が漏えいした場合の賠償リスクを補償しています。
