第9章 医療データと規制

HIPAA（米国）

GDPR（EU）

3省2ガイドライン（日本）

9.1 医療情報の機密性

医療情報が特別扱いされる理由

医療情報は、一般的な個人情報よりもさらに高い機密性が求められる情報として、各国の法令で特別に保護されている。

医療情報の特殊性

• 不可逆性: 一度漏洩した病歴は取り消せない
• 差別につながる可能性: 特定の疾患情報が漏洩すると、社会的差別を受ける恐れがある
• 生涯にわたる影響: 病歴情報は個人の生涯にわたって影響を持つ
• 本人の同意なく取得されることがある: 救急搬送時など、本人の同意を得ずに検査が行われることもある

Smart Assistエンジニアへの示唆

日本等での運用では、Smart Assistが扱うのは顕微鏡画像と匿名化された検体IDであり、直接的な個人識別情報は含まれない。しかし、医療データを扱うシステムに関わるエンジニアとして、医療情報の機密性に対する意識を持つことは必須である。

注（米国版）: 米国ではCLIA要件を満たすため、検体ID（バーコードID）・生年月日・性別のPHI（Protected Health Information）が送信データに含まれる。このため、米国版Smart Assistのエンジニアは、PHIの取り扱いに関するHIPAA規制への理解が不可欠である。（第2章 2.2参照）

9.2 PHIとは何か

PHIの定義

PHI（Protected Health Information：保護対象医療情報）は、個人を識別可能な医療情報のことを指す。米国のHIPAA法で定義された概念だが、医療ITの国際的な共通用語として広く使われている。

PHIに該当する情報の例

PHIの識別子（18項目）

HIPAAでは、以下の18項目のいずれかを含む医療情報をPHIと定義している。

1. 氏名
2. 住所（州より詳細な地理情報）
3. 日付（生年月日、入院日、退院日など）
4. 電話番号
5. FAX番号
6. メールアドレス
7. 社会保障番号（SSN）
8. 医療記録番号
9. 保険者番号
10. 口座番号
11. 免許証番号
12. 車両識別番号
13. 機器識別番号
14. WebのURL
15. IPアドレス
16. 生体識別子（指紋、声紋など）
17. 顔写真
18. その他の一意の識別番号

Smart Assistとの関係

日本等での運用では、Smart Assistの送信データに上記18項目の識別子が含まれていないことを確認・説明できることが、規制対応の第一歩である。

注（米国版）: 米国版では、CLIA要件により検体ID（バーコードID）、生年月日（3. 日付）、性別が送信データに含まれる。これはPHIに該当するため、HIPAA Security Ruleに基づく保護措置が必要となる。

9.3 HIPAA（US）

HIPAAとは

HIPAA（Health Insurance Portability and Accountability Act：医療保険の相互運用性と説明責任に関する法律）は、1996年に制定された米国連邦法である。医療情報の電子的な取り扱いに関するセキュリティとプライバシーの基準を定めている。

HIPAAの主要ルール

Security Ruleの3つの保護措置

BAA（Business Associate Agreement）

HIPAAでは、PHIを取り扱う外部事業者（Business Associate）との間で、BAA（業務委託契約）を締結することが義務付けられている。AWSはBAA締結に対応しており、HIPAA準拠の環境構築が可能である。

9.4 GDPR（EU）

GDPRとは

GDPR（General Data Protection Regulation：一般データ保護規則）は、2018年に施行されたEU全域に適用されるデータ保護法である。個人データの取り扱いに関する包括的な規制であり、医療データは「特別カテゴリの個人データ」としてさらに厳格な保護が求められる。

GDPRの主要原則

医療データに関する主要要件

GDPRの違反時の罰則

関連するEU規制

9.5 3省2ガイドライン（日本）

3省2ガイドラインとは

日本における医療情報の取り扱いに関するガイドラインの通称である。以下の2つのガイドラインを指す。

主な要件

クラウドサービス利用に関する要件

3省2ガイドラインでは、医療情報をクラウドに保存する場合の要件が定められている。

Smart Assistの準拠状況

Smart Assistのエンジニアは、導入先の地域に応じて以下の点を病院に説明できる必要がある。

共通事項（全地域）:

• 通信はTLS 1.2以上で暗号化されている
• アクセス制御と監査ログが適切に実装されている
• 責任分界が文書化されている

地域別の説明事項:

9.6 規制比較サマリー

各国の規制を比較したサマリーを以下に示す。

9.7 データ保持と責任分界

データのライフサイクル

Smart Assistで扱うデータには、保存期間と削除に関するルールが必要である。

データ保持に関する考慮事項

責任分界点

Smart Assistの運用において、病院と事業者の責任範囲を明確にする必要がある。

責任分界を文書化する際のポイント

各国における責任分界の法的フレームワーク

9.6 資料の読み方：HIPAA Risk Assessment Report

資料の概要

「ARKRAY 2025 HIPAA Risk Assessment Report」 は、独立した第三者監査機関（ecfirst社）がARKRAYのHIPAA準拠状況を評価した報告書である。2025年4月に実施され、HIPAA Security Rule、Privacy Rule、Breach Notification Ruleの全項目を網羅的に評価している。

対応するファイル: ARKRAY 2025 HIPAA Risk Assessment Report

HIPAA Risk Assessmentとは

HIPAA Security Rule §164.308(a)(1)(ii)(A) は、Covered EntityおよびBusiness Associateに対して 定期的なリスクアセスメントの実施 を義務付けている。このリスクアセスメントは「ePHI（電子保護医療情報）の機密性・完全性・可用性に対する潜在的リスクと脆弱性を特定し、評価するプロセス」である。

ARKRAYはSmart Assistの運営においてBusiness Associateの立場であり、このリスクアセスメントは法的義務として実施している。

レポートの構成

HIPAA Security Ruleの3つのセーフガード

HIPAA Security Ruleは以下の3つのカテゴリに分かれている。リスクアセスメントはこれらすべてを評価する。

病院IT担当者への説明方法

9.7 資料の読み方：ISO/IEC 27001認証書

資料の概要

「MSA-IS-718 正登録証」 は、Smart Assistの開発・運用を行うUHW（Universal Healthware, Inc.）がISO/IEC 27001:2022認証を取得していることを証明する認証書である。

対応するファイル: MSA-IS-718_正登録証-英文

ISO/IEC 27001とは

ISO/IEC 27001は、情報セキュリティマネジメントシステム（ISMS）の国際規格である。組織が情報セキュリティに関するリスクを体系的に管理し、継続的に改善するための要求事項を定めている。

認証の詳細

なぜISO 27001認証が重要か

病院IT担当者への説明方法

セキュリティ認証・評価の全体像

Smart Assistに関連する認証・評価の全体像を以下に整理する。

この3層構造（インフラ → アプリ → 規制準拠）により、Smart Assistのセキュリティは多角的に評価・保証されている。

次章では、Smart Assistの導入・運用で発生する障害のトラブルシューティング手法を実践的に学ぶ。