health-data-dpia

健康データ処理の評価

概要

健康データは GDPR 第 9 条第 1 項に基づき特別な種類のデータに分類されるため、処理には第 6 条第 1 項に基づく適法な根拠と、第 9 条第 2 項に基づく適用除外の両方が必要です。健康データを大規模に処理する場合、第 35 条第 3 項（b）に基づき DPIA が必須となります。このスキルでは、電子健康記録、臨床試験、健康研究、遠隔医療、健康アプリケーション、医療機器、遺伝データ分析などの健康データ処理シナリオに対応する DPIA の方法を提供します。

法的枠組み

第 9 条第 1 項 — 健康データの定義

GDPR 第 4 条第 15 項では、健康に関するデータを「自然人の身体的または精神的な健康に関する個人データ（健康状態に関する情報を明らかにする、医療サービスの提供に関するデータを含む）」と定義しています。

これには以下が含まれます。

• 医療記録および診断
• 処方箋および投薬データ
• 検査結果および画像データ
• メンタルヘルス評価
• 障害に関する情報
• 遺伝データ（第 4 条第 13 項）
• 健康目的で処理される生体データ
• 健康保険請求データ
• 健康状態を明らかにするフィットネスおよびウェルネスデータ
• 健康状態を明らかにする、健康関連以外のデータから推測されたデータ

健康データに関する第 9 条第 2 項の適用除外

適用除外	参照条文	適用
明示的な同意	第 9 条第 2 項（a）	特定の健康関連処理に対する患者の同意です。治療への同意とは別に取得する必要があります。
雇用上の義務	第 9 条第 2 項（b）	雇用法で義務付けられている産業保健評価です。
重大な利益	第 9 条第 2 項（c）	患者が同意できない場合の緊急医療処置です。
医療の提供	第 9 条第 2 項（h）	予防医学または産業医学、医学的診断、医療もしくは社会福祉の提供、または医療制度の管理に必要な処理です。医療上の守秘義務を負う専門家によって、またはその責任の下で処理する必要があります。
公衆衛生	第 9 条第 2 項（i）	深刻な越境脅威からの保護、医療、医薬品または医療機器の品質および安全性の高水準の確保など、公衆衛生上の目的に必要な処理です。
科学研究	第 9 条第 2 項（j）	第 89 条第 1 項の保護措置（データ最小化、可能な場合の仮名化など）を条件とする、科学研究目的（臨床試験を含む）に必要な処理です。

EU 臨床試験規則 536/2014

• 第 28 条：被験者の保護とインフォームド・コンセント。
• 第 28 条第 2 項：インフォームド・コンセントは、GDPR に基づくデータ処理への同意とは別に取得する必要があります。
• 第 56 条：EU 臨床試験情報システムを通じた透明性。
• 第 61 条：臨床試験資料へのアクセス管理を含む施設要件。

健康データ DPIA の方法

フェーズ 1：健康データの分類（第 1 週）

1. 処理対象となる健康データ要素をすべて棚卸しします。
2. 各要素を分類します。
   • 直接的な健康データ（診断、検査結果、処方箋）
   • 間接的な健康データ（保険請求、予約記録）
   • 推測された健康データ（ウェルネスアプリのデータ、遺伝的リスクスコア）
   • 遺伝データ（DNA 配列、遺伝子型データ、ファーマコゲノミクスデータ）
3. 各処理活動に適用される第 9 条第 2 項の適用除外を特定します。
4. 処理が、職業上の守秘義務を負う医療専門家の責任の下で行われていることを確認します（第 9 条第 2 項（h）および第 9 条第 3 項）。

フェーズ 2：適法性の根拠と適用除外の分析（第 2 週）

各健康データ処理活動について、以下を文書化します。

要件	文書化する内容
第 6 条第 1 項の適法性の根拠	第 6 条第 1 項（a）～（f）のどの根拠が適用されるか
第 9 条第 2 項の適用除外	第 9 条第 2 項（a）～（j）のどの適用除外が適用されるか
加盟国による適用除外	国内法に追加条件が定められているか（第 9 条第 4 項）
職業上の守秘義務	処理が守秘義務を負う専門職の下で行われるか（第 9 条第 3 項）
データ主体の同意	第 9 条第 2 項（a）に依拠する場合、治療への同意とは別に明示的な同意を得た証拠

フェーズ 3：臨床試験固有の評価（該当する場合）

評価領域	要件
インフォームド・コンセント	CTR 第 28 条に基づく同意は GDPR に基づく同意とは別に取得すること。平易な言葉を使用すること。治療に影響を及ぼさずに撤回できる権利を設けること
仮名化	臨床試験データは仮名化し、鍵は主任研究者が保管すること。スポンサーは再識別用の鍵を保有しないこと
データ最小化	臨床試験プロトコルに指定されたデータのみを収集すること。推測に基づくデータ収集は行わないこと
国際移転	多施設共同試験ではデータ移転が発生するため、各移転に第 V 章の仕組みが必要です
保存期間	CTR 第 58 条：スポンサーは治験マスターファイルを 25 年間保存します。GDPR の保存期間の制限との整合性を図ること
二次利用	臨床試験データを将来の研究に再利用するには、追加の倫理審査承認と GDPR 上の適法性の根拠が必要です

フェーズ 4：HIPAA との対照表（大西洋横断業務向け）

HIPAA の規定	GDPR における相当規定	ギャップ評価
HIPAA プライバシールール（45 CFR 164.500-534）	GDPR 第 5 条の原則＋第 9 条の特別カテゴリー	GDPR の方がより厳格です。健康データの定義がより広く、明示的な同意の基準がより高く、治療・支払い・医療業務（TPO）の例外がありません
HIPAA セキュリティルール（45 CFR 164.302-318）	GDPR 第 32 条の処理の安全性	おおむね整合しています。どちらもリスク評価、暗号化、アクセス制御、監査ログを求めています
HIPAA の侵害通知（45 CFR 164.400-414）	GDPR 第 33～34 条	GDPR の方が厳格です。監督機関への 72 時間以内の通知が必要ですが、HIPAA は 60 日を認めています
HIPAA の必要最小限の原則	GDPR 第 5 条第 1 項（c）のデータ最小化	原則として整合しています。GDPR の方がより広範に適用されます
HIPAA の業務委託先契約	GDPR 第 28 条の DPA	どちらも処理者との書面による契約を求めています。GDPR の DPA の方がより詳細に規定されています
HIPAA の患者の権利	GDPR 第 15～22 条	GDPR はより幅広い権利（データポータビリティ、消去、処理の制限、異議申し立て）を定めています
HIPAA の非識別化（セーフハーバー／専門家方式）	GDPR 前文 26 の匿名化	基準が異なります。HIPAA のセーフハーバーでは 18 の特定の識別子を定めていますが、GDPR では不可逆性の評価が求められます

フェーズ 5：リスク評価（第 3～4 週）

リスク	説明	一般的なレベル
HD-R1	機微な診断、病状、または遺伝情報が漏えいする健康データ侵害	非常に高い
HD-R2	他のデータセットとの照合による仮名化済み健康データの再識別	高い
HD-R3	遺伝データの差別的利用（保険加入の拒否、雇用差別）	高い
HD-R4	医療従事者が臨床上知る必要のある範囲を超えて行う不正アクセス	高い
HD-R5	参加者に知らせずに臨床試験データを二次利用すること	中程度
HD-R6	保護水準の低い法域への健康データの越境移転	高い
HD-R7	フィットネス／ウェルネスアプリのデータ集約による患者の再識別	中程度

フェーズ 6：遺伝データに関する固有の事項

遺伝データには、プライバシーに関する次のような固有の特性があります。

• 永続的な機微性：遺伝情報は生涯を通じて変化せず、生物学的な親族に関する情報も明らかにします。
• 家族への影響：個人の遺伝データから、データ処理に同意していない親、兄弟姉妹、子どもに関する情報も明らかになります。
• 予測能力：遺伝データは将来の健康状態を予測できるため、保険や雇用における差別のリスクが生じます。
• 不可逆性：遺伝データが一度開示されると、「忘れる」こともリセットすることもできません。

遺伝データに関する追加要件：

• 第 9 条第 4 項では、加盟国が遺伝データの処理に関して追加条件を課すことが認められています。
• ドイツ：Gendiagnostikgesetz（GenDG）により、雇用および保険の場面における遺伝子検査に厳しい制限が課されています。
• フランス：Code de la sante publique 第 L1131-1 条により、遺伝子検査は医療および科学目的に制限されています。

執行事例

• フィンランドのデータ保護機関対 Pihlajalinna（2021 年）：臨床上の正当な理由がないにもかかわらず従業員が患者記録にアクセスしていた医療サービス会社に、608,000 ユーロの罰金。アクセス制御とログ記録が不十分でした。
• ポルトガルのデータ保護機関対 Hospital do Barreiro（2018 年）：役割ベースのアクセス制御を実装できていなかったため、非臨床スタッフが患者記録にアクセスできていた病院に、400,000 ユーロの罰金。
• オランダのデータ保護機関対 OLVG Hospital（2021 年）：電子患者記録のアクセス制御が不十分だったとして、440,000 ユーロの罰金。二要素認証とアクセスログの記録が不十分でした。
• スウェーデンのデータ保護機関対 Capio St. Goran（2020 年）：患者記録システムについて DPIA を実施せず、適切なアクセス制御も導入しなかった病院に、3,000 万 SEK の罰金。
• ICO 対 Pharmacy2U（2015 年）：同意を得ずに患者データをマーケティング会社に販売したとして、130,000 GBP の罰金。