個人情報を利用する製品開発時に留意すべき法規制
医療・健康情報を活用した製品・サービス開発には、複数の法規制が重複して適用されます。これらの法律・ガイドラインは定期的に改正されるため、各省庁・委員会の公式サイトで常に最新版を確認することが不可欠です。以下の主要な規制・ガイドラインを把握した上で、医療分野の個人情報規制に詳しい弁護士に早めに相談しながら進めましょう。
- 個人情報保護法
参照先：法令・ガイドライン等、個人情報保護委員会、https://www.ppc.go.jp/personalinfo/legal/
個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とした基本法です。医療・健康情報は「要配慮個人情報」に該当し、通常の個人情報よりも厳格な取り扱いが義務付けられています。
主な留意点- 要配慮個人情報（医療情報等）を取得・利用する際は、原則として**本人の明示的な同意（オプトイン）**が必要です。
- 診療目的で収集したデータを医療機器開発等の営利目的で二次利用する場合は、利用目的を改めて具体的に特定した上で、本人から別途同意を取得することが原則です。
- Webサイト等で同意を取得する場合、本人が能動的に意思表示できる仕組み（チェックボックス等）と、同意記録の適切な保存が必須です。
- 収集した個人データの漏えい・滅失・毀損を防ぐため、「組織的」「人的」「物理的」「技術的」の4分野にわたる安全管理措置を講じる義務があります。
- 医療情報システムの安全管理に関するガイドライン（3省2ガイドライン）
参照先：医療情報システムの安全管理に関するガイドライン、厚生労働省、https://www.mhlw.go.jp/general/seido/kouseidoran/jigyou/0000186144.html
医療機関だけでなく、医療情報システム・サービスを開発・提供するITベンダーやスタートアップも対象となる重要なガイドラインです。
主な留意点- 「組織的」「人的」「物理的」「技術的」の4つの安全管理措置について、網羅的な対策が求められます。
- 契約に基づき医療情報を取り扱う場合、委託元の医療機関に対して遵守状況を説明する責任を負います。
- 事実上の業界標準（デファクトスタンダード）であり、医療機関・取引先からの信頼を得るために本ガイドラインへの準拠は不可欠です。
- 人を対象とする生命科学・医学系研究に関する倫理指針
参照先：人を対象とする生命科学・医学系研究に関する倫理指針、文部科学省、https://www.mext.go.jp/a_menu/shingi/shotou/shotou/070622/004/002.htm
大学・研究機関が実施する学術研究を主な対象とした倫理指針です。
主な留意点- 営利目的の医療機器・医薬品開発には直接適用されませんが、大学との共同研究を伴う場合など、適用範囲の判断には注意が必要です。
- 研究開始前に、研究計画書について倫理審査委員会（IRB）の承認を得ることが必要です。
- 既存の診療情報を学術研究に利用する場合、研究内容を通知・公開し被験者が拒否できる機会を保障するオプトアウト方式により、個別同意の取得を省略できる場合があります。
- 次世代医療基盤法（2023年改正）
参照先：次世代医療基盤法、厚生労働省、https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/0000185119_00001.html
要配慮個人情報である医療情報を、営利目的で医療機関から合法的に収集・活用するための仕組みを定めた法律です。2023年の改正により活用範囲が拡大されました。
主な留意点- 国の認定を受けた「認定医療情報等取扱受託事業者（認定事業者）」を介してデータを収集します。
- 医療機関が患者に事前通知し拒否（オプトアウト）の機会を設けることで、患者個別の同意なしにデータ提供が可能になります。
- 2023年改正により、匿名加工に加えて仮名加工医療情報の取り扱いも可能となり、より実用的なデータ活用の選択肢が広がりました。
- 薬機法（医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律）
参照先：医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律、厚生労働省、https://www.mhlw.go.jp/seisakunitsuite/bunya/kenkou_iryou/iyakuhin/index.html
医療機器・医薬品の開発・製造・販売を規律する法律であり、個人情報の取り扱いとも密接に関係します。
主な留意点- ソフトウェアを搭載またはネットワークに接続する医療機器は、薬機法の基本要件基準によりサイバーセキュリティ対策が義務付けられており、個人情報保護と一体で対応することが必要です。
- 治験・製造販売後調査で取り扱う個人情報は、GCP・GVP等の各種基準に基づき厳格に保護し、データの信頼性を確保する義務があります。
- 薬事申請時に提出する臨床データは被験者のプライバシー保護とデータの正確性が大前提であり、不適切な情報管理は申請資料の信頼性を損なうリスクがあります。