security
開設の通知は前日、動揺した相談者への対応や保護判断も担当、2週間の予定だったプロジェクトは11週間に延長
同僚の健康データがオンラインで公開された問題を受け、ヘルプラインに動員されたNHS職員が、動揺した相談者への対応や安全保護（セーフガーディング）上の懸念に直面し、「深刻な精神的影響」を受けていたことが、レビューで明らかになりました。
この報告書［PDF］が公表されたのは、Royal Cornwall Hospitals NHS Trustが、現職・元職員およびトラスト外の従事者を含む8,003人に影響するデータ漏えいを公表してからほぼ1年後です。
この公開状態は、2025年11月に一般市民が発見しました。2023年2月に情報公開請求への回答として公開されたExcelブックには、病気欠勤に関する基礎記録が残っており、ピボットテーブルを操作すれば閲覧できる状態でした。
ヘルプラインに配置された職員は、怒鳴り声や怒り、動揺を伴う困難な電話があったと証言しています。
特に対応が難しかったのは、公開された情報の機微さに動揺していた人や、家庭内暴力による危険が及ぶ可能性のある人からの電話でした。電話対応者は、訓練も確立された手順もないまま、保護に関する判断を迫られたといいます。
レビューは次のように指摘しています。「怒りや動揺を伴う電話は珍しくなく、漏えいによって相談者が程度の差こそあれ強い感情や苦痛を抱えていたことの表れでした」
「コンタクトセンターで働く個人に重い精神的負担がかかりましたが、こうした状況への対処法について、事前の準備も支援も提供されていませんでした」
トラストの臨床ガバナンスチームのメンバーは、ヘルプラインを担当すると、わずか前日に告げられました。患者のトラウマへの対応経験は豊富でしたが、その後の電話に備える準備はほとんどありませんでした。
レビューによると、「コールセンターの職員が受けた研修は短時間のみで、チームの立ち上げから数分で電話が入り始めました。センター開設のわずか30分前に届いた事前作成の対応スクリプトを、読み終えていない職員もいました」
電話対応者の大半は、ヘルプラインでの勤務中に、初めて自分自身のデータも流出していたことを知りました。ほかの被害者を支援する数分前に知らされたケースもあります。
電話対応者は、この業務を引き受けるかどうかについてほとんど選択の余地がなく、通常業務も並行して続けることを求められたとも述べています。
レビューによると、両方の役割の要求に応えるため、週末を返上したり、予定の勤務時間を大幅に超えて働いたりした職員もいました。
報告書をまとめたチームに対し、ある職員は「いかにもNHSらしく、善意で成り立っています」と語りました。
コールセンターは当初、2025年12月の2週間だけ運営される予定でしたが、電話の件数が多かったため、最終的に11週間後の2026年2月まで続き、その後閉鎖されました。
木曜日に開かれたトラスト理事会で、幹部は、レビューとその結果を職員に周知し、オンラインでも公開したと述べました。
スプレッドシートはどうすり抜けたのか
Royal Cornwall Hospitals NHS Trustは、NHSのストレスに関する記事を調べているジャーナリストからと思われる情報公開法（FOIA）に基づく請求に回答する際、2023年2月に、公開用のFOI開示ログへスプレッドシートをアップロードしました。
このファイルには個人データが含まれており、職員7,715人、トラスト外の従事者288人、および身元不明の少数の記録について、病気欠勤情報や機微な健康データが意図せず公開されていました。
決定的だったのは、このスプレッドシートが、一部のデータの元になったピボットテーブルにアクセスできる形式でアップロードされたことです。こうしたピボットテーブル内のデータは、通常であれば機微性が高すぎてFOIAへの回答に含められないものでした。
最初の不備は、複雑なデータセットを伴うFOIA請求への回答に専門知識を持つPeople Information Unitではなく、トラストのe-Rosteringチームが請求を処理したことです。
e-Rosteringチームは自チームのデータを使って回答を作成しましたが、のちに公開される機微なデータをスプレッドシートから取り除いたと誤って思い込んでいました。
標準手順では、文書を公開する前に機微なデータを確実に除去するため、請求担当者が複数のステップを踏むことになっていましたが、一部は省略されました。
まず、回答を担当したFOI担当者の1人は、通常手順に含まれるExcelの「ドキュメント検査」を実行しなかったか、その推奨事項に対応しませんでした。
この機能はピボットテーブルや隠れたキャッシュデータを検出できる場合がありますが、そのデータが機微かどうかは判断できず、キャッシュを自動で削除することもできません。
職員は、スプレッドシートをPDFに変換するという指示にも従っていませんでした。調査官によると、PDF化すれば基礎記録へのクリックスルーは防げたものの、隠れたデータが技術的にアクセス可能な状態で残らないという保証まではできないとのことです。
当時の社内ガイダンスでは、ブックのピボットテーブル機能と埋め込みキャッシュを除去できるCSVへの変換は求められていませんでした。
トラストの承認プロセスも、請求の質問に答えることと広報上の責務を果たすことに重点が置かれ、最終レビューの前にデータが適切に無害化されているものと誤って想定していました。
このスプレッドシートは33か月間にわたって閲覧可能な状態でしたが、その間に何回閲覧されたのか、トラストも把握していません。
ログが残っていたのは、一般市民からピボットテーブルの問題を指摘される前の12か月分だけでした。それによると340回アクセスされていましたが、レビューは、そのうち何件でピボットテーブルが閲覧されたのか、そもそも人間による閲覧だったのかを知る手段はないと指摘しています。ウェブクローラーもアクセス数に含まれているためです。
トラストはその後、再発防止のためにさまざまな対策を導入しました。たとえば、FOIAへの回答として提出するExcelブックには、パスワード保護を必須としています。
現在は、スプレッドシートによる回答は、経営陣の承認の前に、情報ガバナンス担当の上級職員が承認しなければなりません。2025年11月に周知された改訂ガイダンスでもCSVへの変換が求められましたが、調査官はこの要件が正式な業務手順に反映されていないことを確認し、手順の更新を勧告しています。
レビューによると、トラストが勧告を実施したことを受け、英国情報コミッショナーオフィス（ICO）は本件の調査を終了しました。
Royal Cornwall Hospitalsの広報担当者は次のように述べました。「2025年11月に報告した病気欠勤データの誤った共有について、また、データが流出した同僚の皆さんに与えた苦痛と不安について、深くおわび申し上げます」
「独立調査はすでに完了し、透明性と説明責任の観点から、報告書の全文を当院のウェブサイトで公開しました」
「この調査により、何が起きたのかを理解し、改善が必要な領域を特定することができました。特に情報公開請求とその回答の管理を中心に、プロセスを強化するための対策をすでに複数実施しています」
「個人情報の保護は私たちにとって最重要事項です。今回の事案から学び、同様の事態を二度と起こさないよう取り組み続けます」
「影響を受けた同僚への支援は、今後も継続します」®
