個人情報保護法はグループホームにどう関わるのか

認知症グループホームは入居者の氏名、既往歴、要介護度、家族構成、金銭管理の状況など、機微な情報を日常的に取り扱う事業所です。こうした情報の管理は、個人情報保護法のもとで規模にかかわらず事業者に課された義務です。

平成27年の法改正以前は、取り扱う個人情報が5000件以下の事業者には法の適用が除外されていましたが、この除外規定は廃止されています。現在は入居者が数名規模のグループホームであっても、個人情報取扱事業者として法の全面適用を受けます。経営者や管理者が、自施設の規模を理由に対応を後回しにできる状況ではありません。

介護分野における実務上の解釈は、個人情報保護委員会と厚生労働省が共同で公表している医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンスに具体的に示されています。このガイダンスは法律そのものではありませんが、監督官庁が示す実務上の指針として、運営指導や行政からの照会の際にも参照される資料です。

個人情報保護法の見直しはどこまで進んでいるのか

個人情報保護法は3年ごとに見直しを行う規定があり、個人情報保護委員会では継続的に検討が行われています。これまでに検討の中間整理が公表され、データの利活用と本人の権利保護のバランスをどう取るかといった論点が議論されていますが、本記事の時点で改正法案が成立し施行時期が確定した段階ではありません。

施設として押さえるべきは、未確定の改正予定に先回りして混乱することではなく、現行法と既存のガイダンスに基づいて自施設の情報管理体制を点検することです。見直しの動向は個人情報保護委員会の公表資料で随時確認し、施行が確定した段階で必要な対応を取る、という姿勢が現実的です。

入居者情報の漏えいが起きたらどう対応するのか

個人情報保護法では、一定の類型に該当する漏えい等が発生した場合、個人情報保護委員会への報告と本人への通知が義務付けられています。報告が必要となる主な類型は次の通りです。

類型内容
要配慮個人情報を含む漏えい等病歴、障害など要配慮個人情報が含まれる場合
財産的被害のおそれがある漏えい等クレジットカード番号など不正利用のおそれがある場合
不正の目的によるおそれがある漏えい等不正アクセスなど意図的な行為による場合
1000人を超える漏えい等対象人数が1000人を超える場合

介護記録には病歴や要介護状態といった要配慮個人情報がほぼ必ず含まれるため、利用者数が少ないグループホームであっても、記録の紛失や誤送信が発覚した時点で報告義務の対象になり得る点に注意が必要です。

報告には速報と確報の二段階があります。速報は事態を知った後概ね3日から5日以内、確報は30日以内、不正アクセス等による場合の確報は60日以内に行うことが施行規則で定められています。発生から報告までの時間が短いため、発覚時にすぐ動ける連絡体制をあらかじめ決めておくことが重要です。

入居者情報管理で押さえるべき実務ポイントは何か

安全管理措置の四つの柱

個人情報保護法は事業者に安全管理措置を講じる義務を課しています。介護現場で具体的に求められるのは次の四つの観点です。

  • 組織的安全管理措置 情報管理の責任者を明確にし、取扱い規程を文書化する
  • 人的安全管理措置 従業者への教育を定期的に実施し、誓約書等で守秘義務を確認する
  • 物理的安全管理措置 記録の保管場所を施錠管理し、閲覧できる職員を限定する
  • 技術的安全管理措置 パソコンやタブレットのアクセス権限を設定し、持ち出し端末を管理する

委託先の管理

訪問看護ステーション、医療機関、記録システムの提供事業者など、外部に業務を委託する場合は、委託先が適切に個人情報を扱っているかを監督する義務が委託元にあります。委託契約書に守秘義務条項を明記しているか、委託先の情報管理体制を確認しているかを定期的に点検してください。

第三者提供のルール

本人の同意を得ずに第三者へ情報を提供できるのは、法令に基づく場合や、本人の生命、身体または財産の保護に必要で本人の同意を得ることが困難な場合など、法律が定める限られた例外に限られます。家族への病状説明や、入院時に病院へ情報を引き継ぐ場面は現場で頻繁に発生するため、どのような場合に同意を省略できるのか、施設内であらかじめ方針を文書化しておくことが望まれます。

開示請求への対応

入居者本人やその代理人から、保有している個人データの開示を求められた場合、事業者は法律に基づき対応する義務があります。開示請求の受付窓口と対応手順を定め、職員が個別に判断するのではなく、組織として一貫した対応ができる体制を整えておくことが実務上のリスク回避につながります。

現場で使える入居者情報管理チェックリスト

  • 個人情報取扱規程を文書化し、全職員に周知しているか
  • 要配慮個人情報の取得時に本人または家族の同意を得る手順があるか
  • 記録の保管場所は施錠され、閲覧権限が職員ごとに整理されているか
  • 業務用端末の持ち出しルールとパスワード管理を定めているか
  • 委託先との契約に守秘義務条項が盛り込まれているか
  • 家族や医療機関への情報提供について、同意の要否を判断する基準を決めているか
  • 漏えい発覚時の第一報を誰にどの順番で連絡するか決めているか
  • 開示請求を受けた際の受付窓口と対応フローが明文化されているか
  • 職員向けの個人情報保護研修を年に一度以上実施しているか

まとめ

個人情報保護法は規模の大小を問わずグループホームにも全面的に適用されます。改正の議論は継続していますが、現時点で施設が取り組むべきことは、現行法とガイダンスに沿って安全管理措置、委託先管理、第三者提供の判断基準、漏えい時の報告体制を点検することです。漏えい発生時の報告には明確な期限が定められているため、発覚から報告までの連絡体制を事前に整えておくことが、いざという場面での対応の速さを左右します。

出典