オンコールの労務管理で990万円の支払い命令。スタッフの交通事故で事業所が負う賠償責任。これまで2回にわたり、訪問看護が見落としがちな経営リスクを論じてきた。今回はその第3のピースである。個人情報の管理だ。

訪問看護は、個人情報を持って外を歩く事業である。タブレット、スマートフォン、紙の訪問記録。利用者の氏名と病歴が詰まったそれらを携えて、スタッフは毎日、車や自転車で地域を回る。病院のように情報が建物の中にとどまる業態ではない。持ち出しが業務の前提なのだ。

その前提の重さを、法律と判例から確認していきたい。

訪問看護の情報は「要配慮個人情報」である

はじめに押さえるべきは、扱っている情報の格だ。

個人情報保護法は、病歴や診療の記録など、不当な差別や偏見につながりうる情報を「要配慮個人情報」として、最も厳格な区分に置いている。訪問看護の記録は、氏名と病名、心身の状態、家族の状況までを含む。つまり事業所が日々扱う情報のほぼすべてが、この最上位の区分にあたる。

ここから重大な帰結が生じる。2022年4月施行の改正個人情報保護法により、個人データの漏えい等で個人の権利利益を害するおそれが大きい場合、個人情報保護委員会への報告と本人への通知が義務化された。そして要配慮個人情報の漏えいは、件数を問わず報告の対象になる。1,000人分の流出でなくてよい。利用者1人分の記録が入ったタブレット1台の紛失でも、報告義務が生じうるのだ。

法が事業所と個人に課すもの

義務の構造も確認しておく。個人情報保護法は事業者に対し、個人データの安全管理のために必要かつ適切な措置を講じること、そして従業者に個人データを扱わせる際に必要かつ適切な監督を行うことを求めている。漏えいが起きれば、事業所はこの義務への違反を問われうる。

個人の責任も軽くない。従業者やその立場にあった者が、業務で扱った個人情報データベースを自己や第三者の不正な利益を図る目的で提供・盗用した場合、1年以下の拘禁刑または50万円以下の罰金という刑事罰の対象になる。退職者が利用者名簿を持ち出して転職先で使う。あってはならないが、想定すべき事態である。

判例が示す現実 ── 車上荒らしと、事業所の過失

抽象論ではない。実際の裁判を見てみよう。

ある病院の医師が、患者の個人情報をパソコンに複製し、院内の規定に従わずに外へ持ち出した。そのパソコンを自動車に置いたまま離れたところ、車上荒らしに遭い、情報ごと盗まれた。裁判所は、患者の個人情報を適切に管理しなかった病院の過失を認め、慰謝料の支払いを命じた。解説した弁護士は、持ち出した医師本人が訴えられていれば、病院と連帯して賠償責任を負った可能性が高いとも指摘している。