介護サービスと個人情報保護

法令上の取り扱い

個人情報とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日、その他の記述等により特定の個人を識別することができる次のものが該当します。

上記に該当するものを介護サービスで取り扱われる情報に当てはめると、介護現場で使用している記録等は殆どすべてが個人情報になります。

これらの個人情報をコンピュータを用いて検索することができるように体系的に構成した情報の集合体や、コンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則(例えば、五十音順、生年月日順など)に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態においているものは「個人情報データベース等」と言い、これを構成している個々の個人情報を「個人データ」と言います。したがって、介護関係記録については、通常、媒体の如何にかかわらず、体系的に整理され、特定の個人情報を容易に検索できる状態で保有していることから、「個人データ」に該当します。

記録類の中では、“こんなものも”と思われるものもあり、ちょっとした取扱い上の不注意で個人情報漏えいにつながるケースも少なくありません。例えば、デイサービスの送迎バスに置いておいた「送迎表」や配食サービスの「配食サービス利用者リスト」が送迎中や配食中に紛失したり、ヘルパーが訪問先に「訪問介護予定表」を置き忘れ、他のサービス利用者情報が漏れたりすることがあります。

2.の「個人の身体等に関わる事実、判断、評価を表す情報」では代表的なものとして「利用者基本情報」や「ケアプラン」「ケース記録」「アセスメントシート」「介護サービス計画書」や「リハビリ評価表」等、多くのものが存在します。

3.に該当するものとして、『施設だより』などに載る写真、廊下に掲示してある行事の際に撮った写真、利用者や家族、職員同士でやり取りした携帯電話の留守電録音内容などがあります。

このように、介護サービスは他の事業と異なり特定の範囲だけで個人情報を扱うのではなく、事業の殆どの場面で個人情報を使用してサービスを行っているので、対象は広範にわたるというのが特徴です。

なお、介護サービスにおける個人情報の範囲として、利用者自体の個人情報ばかりでなく、利用者の家族に関する情報、介護職員等従業者の情報、さらには取引業者の従業者の情報も含まれます。前述の個人情報保護法の対象となるか否かの件数カウントでは、これら家族や従業者数がカウントされます。

従業者の情報については、「雇用管理に関する個人情報の適正な取扱いを確保するために事業者が講ずべき措置に関する指針」(平成16年7月1日厚生労働省告示第259号)、「雇用管理に関する個人情報のうち健康情報を取り扱うに当たっての留意事項について」(平成16年10月29日通達)にその内容が示されています。

情報の一般的な性質として、

等がありますが、この情報が個人情報ということになると要注意であり、更に介護サービスにおける個人情報ということになると更に注意が必要です。

介護サービスの中で取り扱われる情報の特徴と重ね合わせますと、前項でも述べましたように、

などがあります。

介護サービスにおける個人情報は、金融・信用や電気通信の分野と比較して、情報管理ライフサイクルが長く、センシティブな個人情報を取り扱う割に、投資に回せる予算にも限度がある。かといって、個人情報がいったん漏えいしたら、悪用されて二次被害が発生する可能性が高い。よって、一般的に情報が持つ上記1.～5.の特徴が個人情報管理の難しさと対応の重要さにつながっています。

例えば、ケアプランやケース記録は、継続性のある情報を積み重ねていくことで利用者の現状に即したサービス提供や今後必要なケアの方向につなげていくことができるものであるため、一定の期間使い続け、保管する必要があります。このことは、累積された情報としての価値が高まる一方で、漏出した際の影響の大きさを高めることにもなります。

また、安全で良質な介護サービスを提供するためには、取扱いに注意を要する機微な情報を関わりのある多くの人が使わなければならないという状況があります。例えば、利用者の転倒防止のために、ふらつきや覚醒状態が原因になる転倒事故を防ぐために、向精神薬を服用している利用者であることを把握して介護や見守りをしなければならない場合があります。この情報は利用者に関わる全ての職員が共有していなければなりません。そこには雇用形態を問わず、新入職員を含めた全階層、全職種の職員の個人情報保護の強い認識が求められます。

情報の形態についても、情報を使用する場面が広いため様々なかたちをとります。サービス担当者会議で使用される個人情報は複写された紙媒体と口頭で伝え合う情報、事業所に直接戻らない訪問介護のヘルパーがFAXや電話もしくはメールなどで報告する利用者情報、理美容や調理を外部委託する場合に業者に提供する利用者情報、ボランティアが使用する利用者情報等、管理が難しいものが多々あります。

以上の、情報が持つ特性と介護サービスで使用する情報の特徴を十分に踏まえた個人情報保護対策が必要です。

1. 第三者提供をする場合の同意取り付け方法

2. 第三者提供以外の利用時の同意の取り付け

3. 個人情報の利用目的の通知

4. 業務委託をする場合

情報管理のマネジメントシステムには国際規格『ISO27001(JISQ27001)』、財団法人日本情報処理開発協会(JIPDEC)が経済産業省の個人情報保護ガイドラインに準拠した『プライバシーマーク制度』があり、他にも同じく経済産業省が認定した一般社団法人日本個人情報管理協会(JAPICO)による『JAPICOロゴマーク付与制度』があります。

いずれも、組織のマネジメントとして、組織が情報の取り扱いを適切に行うための仕組みを構築し、運用するための内容を示し、認証するもので、リスクアセスメント、セキュリティレベル決定、プラン作成、資源配分、システムを運用するということではほゞ同様です。『プライバシーマーク制度』と『JAPICOロゴマーク付与制度』は個人情報の取り扱いを対象にしています。

個人情報の取り扱いは法律の正しい理解やガイドラインの遵守はもちろんですが、状況が変化する中で様々な場面に則して問題のない行動がとれるかどうかは、組織の中にマネジメントシステムとして個人情報保護の方針が徹底し、教育が継続的に行われ、物理的管理も維持されているか否かに関わってきます。「介護サービスにおける個人情報の特徴」の項でも述べましたように、介護サービスの現場では、接するもの、取り扱う書類の殆どすべてが個人情報です。それを多数の多様な雇用形態の職員が取り扱っているといった実態があります。一部の職員が法令やガイドラインを知っていても実際の取り扱い上のリスクは軽減しません。組織の中に根差した仕組みとしての個人情報保護体制が必要です。

上述しました個人情報マネジメントシステムでは次の様な大きな枠組みでシステム化を図ります。

情報管理のマネジメントシステム

これらの枠組みに沿った管理システムを構築し、運用することで個人情報の適正な取扱いをトータルに継続的に維持管理することが可能になります。中でもPDCAのCにあたる「V.監査」とAにあたる「VI.経営者による見直し」はこのシステムの継続的改善に欠かせない重要な機能です。特に、監査は、監査による不適合を明らかにするだけでなく、その不適合に対する是正処置や潜在している不適合に対する予防処置を講ずることに大きな意味があり、大きな個人情報漏えいや関係者とのトラブル発生の未然防止に機能します。

介護サービス事業に関わる個人情報漏えい

介護サービスにおけるリスク