2023/10/15 医療法務
クリニックの法務と個人情報保護法その15：個人情報を取得・利用する際の義務⑪
みなさん、こんにちは。
10月も、もう半ば。ここ多摩センター周辺は、「秋深し～」とまではいきませんが、朝晩はだいぶ冷え込んできました。
2023年も残り２ヶ月と少しとなりましたが、来年のカレンダーや手帳を購入しましたか？
さて、前回は、個人情報の適切な取得・適切な利用について述べた後で、特に要配慮個人情報を取得する場合について解説しました（詳しくはこちら）。
今回は、要配慮個人情報を取得する場合の続きで、本来、本人の同意が必要な要配慮個人情報の取得を、本人の同意を得ずに取得することができる場合について、解説していきたいと思います。
７．法定除外事由（法20条２項各号）
・本人の同意を得ずに要配慮個人情報を取得できる例外（法定除外事由）として、法は８つの場合を規定しています（法20条２項１～８号）。実は、法20条２項のうち１～６号は、「個人情報」を本人の同意を得ずに「取り扱う」ことができる例外（法18条３項１～６号）と全く同じで、さらにそのうち１～４号は、後に出てくる「個人データ」を本人の同意を得ずに「第三者提供」できる例外（法27条１項１～４号）と全く同じです。５～８号は、要配慮個人情報を取得する場合に特有の事由として、５号・６号が令和３年の改正で法18条３項５号・６号とともに設けられ、７号・８号が平成27年の改正で設けられました。
ーそのため、１～６号に関しては、法18条３項各号とリンクさせながら見ると、理解が進むかと思います。
（1）法令に基づく場合（１号）
・例えば、事業者は、労働者に対し、厚生労働省令に定めるところにより、医師による健康診断を行い、その結果を記録しておかなければなりません（労働安全衛生法66条１項、同法66条の３）。事業者が健康診断実施機関に健康診断を依頼した場合、その結果の報告を受けなければ、結果の記録をすることはできませんので、法令上、健診結果の取得は間接的な義務ということになります。
ーしたがって、医療機関等（＝事業者）が、本人の同意を得ずに、健康診断実施機関から健康診断の結果（従業員の身体状況、病状、治療等が含まれる要配慮個人情報）を取得しても、個人情報保護法に違反しないことになります。
（2）人の生命、身体又は財産の保護のために必要がある場合で、本人の同意を得ることが困難なとき（２号）
・例えば、急病その他の事態が生じたときに、本人の病歴等を医師や看護師などの医療従事者が家族から聴取する場合が考えられます。
ー医療機関が意識不明の患者さんの家族から病歴等を取得する場合は本号の適用があり、逆に医療機関から家族に病状を伝える場合は、法18条３項２号（または法27条１項２号）の適用がある、という関係になります（こちらも参照）。
（3）公衆衛生の向上又は児童の健全育成の推進のために特に必要がある場合で、本人の同意を得ることが困難であるとき（３号）
＜具体例＞
・医療機関等が、他の医療機関等から、当該他の医療機関等において以前治療を行った患者の臨床症例に係る個人データを観察研究のために取得し、当該医療機関等を受診する不特定多数の患者に対してより優れた医療サービスを提供できるようになること等により、公衆衛生の向上に特に資する場合であって、本人からの同意取得が困難な場合
ー医療機関等が他の医療機関等から上記のような要配慮個人情報を含む個人データを取得する場合は本号の適用があり、逆に他の医療機関等から当該医療機関等に上記個人データを提供する場合は、個人データの第三者提供の例外について定める法27条１項３号の適用がある、という関係になります。
・児童生徒の不登校や不良行為等について、児童相談所、学校、医療機関等の関係機関が連携して対応するために、医療機関等において、他の関係機関から当該児童生徒の保護事件に関する手続が行われた場合
ー児童生徒が未成年の場合、法定代理人（親権者）の同意を得ることで足りるため、親権者の同意を得ることが望ましいように思います。しかし、児童生徒の不登校や不良行為等の背景に親権者による児童虐待もあり得るため、親権者の同意が必ず得られるとも限りません。医療・介護関係事象者における個人情報の適切な取扱いのためのガイダンスでは、本事例を本人の同意が不要な例外として取り扱っておりますが、このような理由からだと考えられます。
・児童虐待のおそれのある家庭情報のうち被害を被った事実に係る情報を、児童相談所、警察、学校、病院等の関係機関が、他の関係機関から取得する場合。
ー患者さんが児童（未成年者）の場合、法定代理人（親権者）の同意を得ることで足りますが、児童虐待事例では、虐待を行っている親権者の同意を得ることが困難です。「児童健全育成の推進」にまさに該当するといえるでしょう。
ー医療機関等が他の関係機関から上記要配慮個人情報を取得する場合は本号の適用があり、逆に他の関係機関等に上記要配慮個人情報を提供する場合は、「個人情報」に関する法18条３項３号（または「個人データ」に関する法27条１項３号）の適用がある、という関係になります（詳しくはこちら）。
（4）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（４号）
・例えば、医療機関等や介護関係事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合が挙げられます。
ーこれだけではいまいちピンとこないので具体例を考えてみましょう。警察官Aは、精神錯乱のため自己に危害を及ぼす虞があり、かつ、応急の救護を要するに足る相当の理由があるXを、取りあえず警察署で保護しました（警察官職務執行法３条１項１号）。保護する過程で、XにB病院への通院歴があることが分かりました。AはB病院に電話をします。「現在、Aさんを保護しているが、Aさんをこれから受診させてもよいですか」。電話を受けたB病院のC医師は、Aに協力するに当たり、Xの現在の病状を知りたいと考えるでしょう。病状は要配慮個人情報なので、病状の取得には本来Xの同意が必要です。しかしXの上記状態からすると、Xの同意を得ることは困難だし、Xに病識がないことから受診を拒むかもしれません。このような場合、本号によれば、CはXの同意を得ることなく、AからXの病状を取得することが可能となります。
（5）当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（５号）
・令和３年の改正（現時点で一番新しい改正）により、原則と例外が入れかわりました。すなわち、それまで学術研究目的ならば原則として個人情報保護法の適用が除外されたのが、令和３年改正により、学術研究目的であっても原則として個人情報保護法の規制下に置かれることになり、それにともない５号と後述の６号が定められました（法18条３項５号・６号の場合と同様です）。
・例えば、大学の医局に所属する研究者が、その大学附属病院において医師として診察した患者さんに関する検査結果を、症例報告の論文を作成するにあたり取得するような場合が考えられます。
（6）学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く）（当該個人情報取扱事業者とご当該学術研究機関等が共同して学術研究を行う場合に限る）（６号）
・例えば、医局を辞めて開業したクリニックの院長（個人情報取扱事業者）と、医局の研究者（大学附属病院にも勤務）が共同して、ある薬剤の治験を進める場合に、その医局の研究者が大学附属病院で診察をする患者さんに関する病歴等を取得する必要があるときが考えられます。逆に、クリニックの院長から医局の研究者に要配慮個人情報を提供する場合は、法18条３項６号の適用がある、ということになります（詳しくはこちら）。
（7）当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第57条第１項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合
（個人情報保護委員会規則６条）
法第20条第２項第７号の個人情報保護委員会規制で定める者は、次の各号のいずれかに該当する者とする。
一 外国政府、外国の政府機関、外国の地方公共団体又は国際機関
二 外国において法第16条８号に規定する学術研究機関等に相当する者
三 外国において法第57条第１項各号に掲げる者に相当する者
＜具体例＞
・本人が、マスメディアのインタビュー記事で（要配慮個人情報について）答えた場合
・自分のTwitterやブログなどで自ら公開している場合
ー当該要配慮個人情報が、本人により公開されている場合に該当します。
・国や自治体の職員が不祥事を起こして記者発表する場合
ー当該要配慮個人情報が、国の機関や地方公共団体により公開されている場合に該当します。
・フランス政府により日本で行方不明になったフランス人の病歴がマスコミに公開される場合
ー当該要配慮個人情報が、外国政府により公開されている場合に該当します。
（8）その他前各号に掲げる場合に準ずるものとして政令で定める場合
（個人情報保護法施行令９条）
法第20条第２項第８号の政令で定める場合は、次に掲げる場合とする。
一 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合
二 法第27条第５項各号（法第41条第６項の規定により読み替えて適用する場合及び法第42条第２項において読み替えて準用する場合を含む。）に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。
＜具体例＞
・車椅子に乗った患者さんが来院し、対応した職員がその旨をお客様対応記録等に記録した場合
ー目視による要配慮個人情報の取得の場合です。
・車椅子に乗った患者さんの様子が医療機関に設置された防犯カメラに映り込んだ場合
ー撮影による要配慮個人情報の取得の場合です。
いかがでしたか。法20条２項５号～８号はクリニック等の医療機関にとってはなじみが薄く、適用される場面も少ないと思いますが、頭の片隅に置いていただけけたらと思います。
少し長くなってきたので、今回はここまで。次回は、要配慮個人情報の取得に関する注意事項の残りを説明しようと思います。
お楽しみに！