セキュリティ
監視機関は、職員が閲覧する正当な理由のない患者ファイルをのぞき見していないか、200人の幹部に確約を求めています
英国のプライバシー監視機関は、今年に入って職員による医療記録ののぞき見に関する報告を300件以上受けたことから、医療機関の幹部に警告を発しました。幹部自らが、患者ファイルへの不正な閲覧を防ぐ対策を十分に講じていると確約するよう求めています。
英国情報コミッショナーオフィス（ICO）は木曜日、英国全土の医療分野の幹部200人以上に書簡を送ったと発表しました。正当な理由なく職員が記録にアクセスすれば、患者のプライバシーと国民の信頼が脅かされると警告しています。
ICOは2026年1月から10月中旬までに、医療記録のぞき見に関する報告を300件以上受け付け、評価しました。職員が知人を検索したり、単なる好奇心から患者ファイルをのぞいたり、閲覧する資格のない相手に個人情報を共有したりしていました。
この件数は、医療機関から提出された報告の数であり、確認済みの情報漏えいではありません。評価待ちの案件も含まれていません。
ICOのポール・アーノルド最高経営責任者（CEO）は、閲覧を許されていない記録を職員がのぞき見しないよう、各組織が safeguards を整えていることを、医療機関の幹部が自ら確約するよう求めています。
アーノルド氏は「正当な理由なく他人の医療記録にアクセスすることは、無害な好奇心では済まされません。患者に多大な苦痛を与え、国民が医療サービスに寄せる重要な信頼を損ないかねません」と述べています。
アーノルド氏は、最高経営責任者宛ての 3ページの書簡で、職員の良識に任せるだけでは不十分だと明確にしています。誰が患者記録にアクセスできるのか、閲覧内容を誰かが確認しているのか、のぞき見が発覚したときにどう対処するのかを知りたいとしています。
医療機関の幹部には、不正が疑われる事案を遅滞なく調査し、患者に通知する必要があるかを判断し、閲覧してはならない記録にアクセスした職員に対して措置を講じることも求められています。
幹部の回答期限は11月27日です。過去6か月以内に対策を見直していない場合や、見直しの結果に満足できない場合には、体制を整えるためにさらに3か月の猶予が与えられています。
問題の本質は、医療従事者がシステムに不正侵入していることではありません。多くの職員は、業務の一環として患者記録に正当にアクセスできる立場にあります。問題が生じるのは、その権限を使って、担当していない人物を検索する場合です。隣人や元パートナー、ニュースで名前が報じられた人物などが対象になります。
医療当局が問題の根絶に乗り出したのは、今回が初めてではありません。7月にはイングランド国民保健サービス（NHSイングランド）が、正当な理由なく記録にアクセスすれば職を失い、刑務所に送られる可能性もあると、職員に 警告しました。
この取り締まりの背景には、ノッティンガムでの襲撃事件など、世間の注目を集めた犯罪の被害者の医療記録に職員がアクセスしていた事案があります。NHSイングランドは、アクセス制御や監査システムを活用し、不適切な閲覧を見つけ出すよう組織に促すガイダンスも公表しました。
新しい電子カルテシステムの中には、不審なアクセスをリアルタイムで検知できるものもあります。ただしNHSは、監視機能は組織が導入している技術によって異なると認めています。
この問題は、何年も前から規制当局を悩ませてきました。7月に英国政府は、2019年から2025年の間に1,445件の不適切なアクセスがICOに報告されたと 議会に説明しました 。
結果は解雇にとどまりません。ICOは過去10年間に、患者記録をのぞき見した医療従事者16人を訴追しました。個人情報への不正アクセスは、2018年データ保護法の下で刑事犯罪に当たる可能性があります。
アーノルド氏は、保護措置が不十分な医療機関に対し、規制当局が執行措置を取る可能性もあると警告しました。
「私は英国全土の最高経営責任者に書簡を送り、対策が実際に機能していることを自ら確約するよう求めました。機能していない場合は、各組織に是正を求めます」と同氏は述べています。
今年はすでに数百件の報告が監視機関に寄せられています。医療機関の幹部は今後2週間で、職員が閲覧する資格のない記録に近づかないようにする方法を説明しなければなりません。®
