2024年3月29日
弁護士　木舩恵

１　次世代医療基盤法の改正

2023年５月に「医療分野の研究開発に資するための匿名加工医療情報に関する法律」（以下、「次世代医療基盤法」といいます。）が改正され、「医療分野の研究開発に資するための匿名加工医療情報及び仮名加工医療情報に関する法律」（以下、「改正次世代医療基盤法」といいます。）が成立しました。改正次世代医療基盤法について、施行日は2024年４月１日を予定しています。なお、改正次世代医療基盤法の施行に先だち、「医療分野の研究開発に資するための匿名加工医療情報及び仮名加工医療情報に関する法律についてのガイドライン（次世代医療基盤法ガイドライン）（案）」（以下、「ガイドライン案」といいます。）、「医療分野の研究開発に資するための匿名加工医療情報に関する基本方針の変更について」も公表されています。ガイドライン案については、今後修正が入ることが考えられますが、大きな変更はないものと考えられるため、本稿では公表されているガイドライン案を前提として解説いたします。

　次世代医療基盤法は、医療分野の研究開発での医療情報の活用を促進する法律です。そのため、要配慮個人情報に該当するものが多い医療情報について、個人情報保護法上は、要配慮個人情報を第三者に提供する際には、本人の同意を得る必要がありますが（個人情報保護法第27条第2項）、次世代医療基盤法では、医療情報取扱事業者において、あらかじめ本人に通知することなどを条件に本人の同意を得ることなく、認定匿名加工医療情報作成事業者に対して医療情報を提供することが認められています。
　このような側面から、次世代医療基盤法は、個人情報保護法の特例法の役割を果たしているものといえます。
　なお、医療情報は要配慮個人情報にも該当しうる極めてプライバシーの高い情報であり、その取扱いには、個人の権利利益の保護に配慮する必要があるため、次世代医療基盤法では、高度な情報セキュリティを確保し、医療情報の加工を適正かつ確実に行うことができる者を認定する仕組みを設けています。認定を受けた事業者を認定匿名加工医療情報作成事業者（改正次世代医療基盤法第９条第１項）又は認定仮名加工医療情報作成事業者（改正次世代医療基盤法第33条）と呼びます。
　認定匿名加工医療情報作成事業者は、匿名加工医療情報を、認定仮名加工医療情報作成事業者は、仮名加工医療情報をそれぞれ作成することが認められています。匿名加工医療情報と仮名加工医療情報の差異については、以下のイメージがわかりやすくまとめられています。

以下、本稿では、改正次世代医療基盤法の改正内容のうち実務に大きな影響を与える点について、確認します。

２　仮名加工医療情報の利活用に係る仕組みの創設

　従来より次世代医療基盤法では、病院、診療所、市町村などから得られた医療情報を認定匿名加工医療情報作成事業者が匿名加工し、匿名加工医療情報を大学や製薬企業などに提供することを認めていました。

　改正次世代医療基盤法では、匿名加工医療情報だけでなく、認定仮名加工医療情報作成事業者において、医療情報に仮名加工を施した仮名加工医療情報を、認定仮名加工医療情報利用事業者に限って、提供できるようになりました。
　認定仮名加工医療情報作成事業者が認定仮名加工医療情報利用事業者に対して、仮名加工医療情報を提供する際には、「仮名加工医療情報の提供の契約において、認定仮名加工医療情報利用事業者による当該仮名加工医療情報の利用の態様及びこれに係る安全管理のための措置が当該仮名加工医療情報の利用の方法に応じて適正であることを確保していること。」（次世代医療基盤法施行規則第37条において読み替えて準用する第6条第5号ニ）が求められています。また、ガイドライン案Ⅱ-25-4-1-1では、同規則の取扱いが担保されるよう、認定仮名加工医療情報作成事業者と認定仮名加工医療情報利用事業者間の契約において、取り決める必要がある事項がまとめられています。
　
　そして、認定仮名加工医療情報利用事業者は、医療分野の研究開発という目的の範囲内でのみ、仮名加工医療情報の利用が認められています。なお、認定仮名加工医療情報利用事業者は、原則仮名加工医療情報の再識別及び第三者提供が禁止されていますが、例外的に、認定仮名加工医療情報利用事業者間の共同利用やPMDA（医薬品医療機器総合機構）等への提出は認められています。
　なお、認定仮名加工医療情報利用事業者については、国からの認定を受ける必要があるところ（改正次世代医療基盤法第41条）、具体的な認定基準として、①申請者に係る欠格事由に関する基準、②申請者の能力に関する基準、③安全管理措置に関する基準が挙げられています（改正次世代医療基盤法第44条において準用する第9条第3項、第21条）。認定基準①～③については、ガイドライン案Ⅳ-6、Ⅳ-14に詳細が記載されていることから、認定の申請を行うにあたって、参照する必要があります。とりわけ、認定仮名加工医療情報利用事業者においては、③安全管理に関する基準として、次の認定基準を満たす必要があるとされています。

　ガイドライン案Ⅳ-14の上記①～④の安全管理措置の内容については、ガイドライン案Ⅳ-14-1以降で更に細かく記載されています。たとえば①組織的安全管理措置として、提供仮名加工医療情報の安全管理に係る基本方針の策定や安全管理責任者の設置などが求められることになります。また、②人的安全管理措置としては、提供仮名加工医療情報を取り扱う者に対する教育及び訓練を行っていることなどが求められており、事業者においては、ガイドライン案に沿った教育及び訓練を実施する必要があります。
　なお、認定仮名加工医療情報利用事業者の認定には、「Ⅰ型認定」と「Ⅱ型認定」があります。「Ⅱ型認定」は、認定仮名加工医療情報事業者がビジティング環境のみで提供仮名加工医療情報を取り扱う場合をいい、それ以外を「Ⅰ型認定」といいます。ビジティング環境とは、認定仮名加工医療情報作成事業者が管理するオンサイトセンターやVDI接続基盤等によるリモートアクセス環境においてのみ認定仮名加工医療情報利用事業者が提供仮名加工医療情報を取り扱うような場合をいいます。他方で、「Ⅰ型認定」については、認定仮名加工医療情報利用事業者が契約するクラウドサービスなど、同利用事業者の管理下で仮名加工医療情報を取り扱う場合をいいます。「Ⅱ型認定」については、「Ⅰ型認定」に比較し、申請時の提出書類が一部不要になり、また標準処理期間が短くなるといったメリットがあります。

３　NDB等の公的データベースとの連結

　認定匿名加工医療情報作成事業者は、匿名医療保険等関連情報（高齢者の利用の確保に関する法律第16条の2第1項）の提供を受けることができる者その他の政令で定める者に限って、匿名加工医療情報について、匿名医療保険等関連情報その他の政令で定めるものと連結して利用することができる状態で提供することができる旨改正されました（改正次世代医療基盤法第31条）。

　この改正により、匿名加工医療情報とNBDや介護DB等の公的データベースとの連結解析が可能になり、例えば、認定匿名加工医療情報作成事業者がデータを保有する病院を受診する前後の、他の診療所等での受診内容（レセプト）や特定健診等情報と連結して匿名加工医療情報を解析することが可能になります。

４　医療情報の利活用促進に関する施策への協力

　改正次世代医療基盤法第４条では、医療情報取扱事業者の責務として、認定匿名加工医療情報作成事業者又は認定仮名加工医療情報作成事業者に対し医療情報を提供すること等により、国が実施する医療分野の研究開発に資するための匿名加工医療情報及び仮名加工医療情報の施策に協力するよう努めることを規定しています。令和５年９月末時点で、協力医療情報取扱事業者は、全国に１１３件と限られていることから、このような協力規定を設けることにより、各医療機関が保有する医療情報を利活用できる状態にし、国内の医療分野の研究開発を更に発展させていくことが期待されています。

５　おわりに

　改正次世代医療基盤法の大きな改正ポイントは上記２～４に挙げたとおりです。とりわけ、仮名加工医療情報の利活用に係る仕組みの創設は実務に大きな影響を与えるものであり、ガイドライン案においてもその利活用の方法について詳細に記載されていますが、膨大な分量となっています。

仮名加工医療情報の利活用をご検討している事業者様におかれましては、認定基準への対応を含め、改正次世代医療基盤法及びガイドライン案へのご対応をお願いいたします。