D to P with Nでなぜセキュリティ対策が重要なのか

D to P with Nは、患者の自宅に看護師が同席し、医師がオンラインで診療を行う形態です。通常のオンライン診療と異なり、看護師が通信機器の操作や患者の身体情報の伝達を担うため、取り扱う個人情報の経路が増えます。タブレットやスマートフォンの画面には患者の顔や身体の状態が映り、音声には病状や家族関係といった機微な情報が含まれます。これらが第三者に漏えいした場合、患者の不利益だけでなくステーションの信用問題にも直結します。

訪問看護ステーションがD to P with Nを導入する際は、通信システムそのもののセキュリティ要件と、現場の看護師が日々の実務で守るべき運用ルールの両方を押さえる必要があります。

根拠となる3つのガイドラインを確認する

D to P with Nのセキュリティ対策を検討する際に参照すべき一次資料は主に次の3つです。

オンライン診療の適切な実施に関する指針

厚生労働省が定めるこの指針には、オンライン診療を行う際の本人確認の方法、情報セキュリティに関する最低限の遵守事項が示されています。D to P with Nについても、看護師が同席する場合の役割分担やなりすまし防止の考え方が記載されています。

医療情報システムの安全管理に関するガイドライン

厚生労働省が策定するこのガイドラインは、電子カルテやオンライン診療システムを含む医療情報システム全般の安全管理について定めたものです。真正性、見読性、保存性という診療記録の3原則、外部事業者へ委託する際の確認事項などが詳しく記載されています。

医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス

厚生労働省が公表するこのガイダンスは、個人情報保護法に基づき医療・介護事業者が守るべき実務上の指針です。利用目的の特定、第三者提供の制限、安全管理措置の具体例が示されています。

システム選定時に確認すべきチェックリスト

D to P with Nで使用するオンライン診療システムを選定、または既存システムを運用する際に確認すべき項目は次のとおりです。

  • 通信が暗号化されているか（SSL/TLS等の採用有無）
  • 患者本人確認の手段が用意されているか
  • 録画・録音データの保存先とアクセス権限が管理されているか
  • システム提供事業者が医療情報システムの安全管理に関するガイドラインに準拠しているか
  • データセンターの所在地や委託先が契約書で明示されているか
  • 障害発生時のバックアップ体制が整っているか
  • ログイン認証に二要素認証等の仕組みがあるか

これらはシステム導入前の契約段階で、提供事業者に文書での確認を求めることが望ましい項目です。口頭説明のみで導入を決めると、後から安全管理措置が不十分であったことが判明するケースがあります。

訪問看護師が現場で守るべき実務チェックリスト

システムが要件を満たしていても、現場での運用が不適切であれば情報漏えいのリスクは残ります。訪問時に看護師が確認すべき項目を整理します。

通信環境の確認

  • 患者宅のWi-Fiではなく、事業所が用意した回線やポケットWi-Fiを使用しているか
  • 公衆無線LANなど暗号化方式が不明な回線を利用していないか
  • 通信が不安定な場合の代替手段（電話連絡等）をあらかじめ決めているか

端末の管理

  • 業務専用の端末を使用し、私物端末との併用を避けているか
  • 端末に画面ロックとパスワードを設定しているか
  • 離席時に画面を自動ロックする設定になっているか
  • 端末の紛失・盗難時の報告手順が周知されているか

患者・家族への説明と同意

  • D to P with Nの実施にあたり、録画・録音の有無を事前に説明しているか
  • 個人情報の利用目的を説明し、同意を得た記録を残しているか
  • 家族など第三者が同席する場合の取り扱いについて説明しているか

記録の取り扱い

  • 診療時のやり取りを記録する場合、保存場所と保存期間を定めているか
  • 記録へのアクセス権限を必要最小限の職員に限定しているか
  • 記録を印刷する場合の管理ルール（シュレッダー処分等）を定めているか

インシデント発生時の対応を事前に決めておく

情報漏えいや端末紛失などのインシデントが発生した場合、初動対応が遅れるほど被害が拡大します。あらかじめ次の点を整理しておくことが重要です。

  • インシデント発生時の第一報の連絡先（管理者、システム事業者)
  • 個人情報保護委員会や厚生労働省への報告が必要なケースの判断基準
  • 患者・家族への説明方法とタイミング
  • 再発防止策の検討と記録の残し方

個人情報保護法では、一定規模以上の漏えいが発生した場合に個人情報保護委員会への報告義務が課されています。該当するかどうかの判断に迷う場合は、事前に顧問弁護士や社会保険労務士など専門家に相談できる体制を整えておくと安心です。

委託先管理の盲点に注意する

オンライン診療システムの提供事業者、クラウドストレージの運営会社など、外部事業者に患者情報の取り扱いを委託する場合は、委託先が適切な安全管理措置を講じているかを確認し、委託契約書にその内容を明記する必要があります。委託先が再委託を行う場合は、再委託先についても同様の確認が求められます。システム導入時にこの確認を怠ると、委託先で発生した漏えい事故についても委託元であるステーションが責任を問われる可能性があります。

職員教育を定期的に実施する

システムや運用ルールを整えても、現場の職員が内容を理解していなければ機能しません。次のような教育を定期的に行うことが望まれます。

  • 入職時のオリエンテーションでの個人情報保護研修
  • D to P with N運用開始時のシステム操作研修
  • 年1回程度の見直し研修とインシデント事例の共有
  • 研修実施記録の保管

研修記録を残しておくことは、実地指導等で安全管理体制を説明する際の根拠資料にもなります。

まとめ

D to P with Nのセキュリティ対策は、システムの技術要件と現場の運用ルールの両輪で成り立ちます。オンライン診療の適切な実施に関する指針、医療情報システムの安全管理に関するガイドライン、医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンスという3つの一次資料を基準に、システム選定時と現場運用時の両方でチェックリストを整備することが重要です。インシデント発生時の対応手順や委託先管理、定期的な職員教育もあわせて準備することで、D to P with Nを安全に継続できる体制が整います。

出典