なぜ今、利用者情報の取り扱いが問われるのか

訪問看護は利用者の自宅という私的な空間に入り、病状だけでなく家族関係や生活状況まで深く知る仕事です。扱う情報の多くは病歴や心身の状態に関する要配慮個人情報にあたり、漏えいした場合の本人への影響は大きくなります。ICT化が進み記録をタブレットやクラウドで共有する機会が増えたこと、オンライン診療の普及で画面越しに情報をやり取りする場面が増えたことも、取り扱いルールを改めて整理する必要性を高めています。

本記事では、個人情報保護法と厚生労働省・個人情報保護委員会のガイダンスに基づき、訪問看護師が現場で判断に迷いやすい場面を整理し、何がOKで何がNGかの基準を示します。

訪問看護ステーションは個人情報保護法上どう位置づけられるか

個人情報保護法では、個人情報データベース等を事業に利用している者は原則として個人情報取扱事業者に該当します。かつては取扱件数が少ない小規模事業者を適用除外とする規定がありましたが、現行法ではこの除外規定は廃止されており、訪問看護ステーションも規模にかかわらず法律上の義務を負います。

具体的に負う主な義務は次のとおりです。

  • 利用目的をできる限り特定し、本人に通知または公表すること
  • 利用目的の達成に必要な範囲を超えて個人データを取り扱わないこと
  • 安全管理のために必要かつ適切な措置を講じること
  • 従業者・委託先に対して必要な監督を行うこと
  • 本人の同意を得ずに個人データを第三者に提供しないこと

訪問看護記録、指示書、看護サマリー、利用者台帳はすべて個人データに該当するため、これらの義務が直接かかってきます。

医療・介護関係事業者ガイダンスが求める基本原則

個人情報保護委員会と厚生労働省が公表している医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンスは、医療・介護現場に即した取扱いの考え方を示しています。このガイダンスが強調しているのは次の点です。

  • 利用目的は診療・看護・介護サービスの提供、保険請求、関係機関との連携に限定して特定すること
  • 家族への病状説明であっても、本人の意思に反する開示は慎重に判断すること
  • 職員研修や事例検討で利用者情報を使う場合は、匿名化するか本人の同意を得ること
  • 委託先（記録システムの事業者など）とは安全管理に関する契約を結ぶこと

訪問看護では主治医、ケアマネジャー、薬剤師、他の医療機関など多職種との連携が前提になるため、どこまでが利用目的の範囲内で、どこからが第三者提供にあたるのかを整理しておくことが実務上の要点になります。

利用者情報の共有、どこまでがOKか

次の表は、現場で判断に迷いやすい情報共有の場面を整理したものです。

場面判断の基準実務上の対応
サービス担当者会議でケアマネに病状を伝える重要事項説明書等で事前に利用目的として明示し同意を得ているか契約時の同意書に連携先を明記しておく
主治医への状態報告診療・看護提供の目的内か指示書・報告書のやり取りは目的内として扱える
家族からの問い合わせへの回答本人が開示を望まない相手でないか事前に本人の意向を確認し記録に残す
他の訪問看護ステーションへの引継ぎ利用者の同意があるか引継ぎ前に同意を取得し書面化する
研修・事例検討での利用匿名化されているか個人が特定できないよう加工してから使用する

同意の取得は口頭だけでなく、契約時の重要事項説明書や個人情報使用同意書に連携先の職種・機関を具体的に記載しておくことで、後から第三者提供の有無をめぐるトラブルを防げます。

SNS投稿や私用端末、現場で迷いやすいケース

訪問看護の現場では次のような行為が問題になりやすく、事業所内でルールを明文化しておく必要があります。

  • 利用者宅での様子や処置の様子を私用スマートフォンで撮影すること
  • 業務連絡を私用のメッセージアプリで行うこと
  • SNSに「印象に残った利用者」のエピソードを匿名のつもりで投稿すること
  • 記録用タブレットを公共のWi-Fiに接続すること
  • 退職後も過去の利用者情報を個人のメモや記憶で保持し続けること

匿名化したつもりでも、訪問日や地域、疾患の特徴などの組み合わせから本人が特定できてしまう事例は少なくありません。写真や動画は業務用端末でのみ撮影し、アクセス権限を管理したうえで記録システムに保存する運用を徹底する必要があります。私用端末の業務利用は原則禁止とし、やむを得ず使用する場合はMDM(モバイルデバイス管理)などで遠隔ロック・遠隔消去ができる状態にしておくことが望まれます。

退職時には、業務用端末やアクセス権限を速やかに回収し、個人のメモやメールに利用者情報が残っていないか確認するプロセスを就業規則や誓約書に組み込んでおくと安心です。

漏えいが起きたときに報告義務が生じるケース

個人情報保護法施行規則第7条は、個人情報取扱事業者が個人情報保護委員会への報告を要する事態を定めています。訪問看護の現場に関係が深いものは次のとおりです。

  • 要配慮個人情報が含まれる個人データの漏えい、滅失、毀損が発生し、またはそのおそれがある場合
  • 不正に利用されることにより財産的被害が生じるおそれがある場合
  • 不正の目的をもって行われた、またはそのおそれがある漏えい等
  • 個人データに係る本人の数が千人を超える漏えい等が発生し、またはそのおそれがある場合

訪問看護記録には病歴や心身の状態といった要配慮個人情報がほぼ必ず含まれるため、対象者が一人であっても報告対象になり得る点に注意が必要です。報告義務が生じた場合は、個人情報保護委員会への速報、本人への通知、原因究明後の確報という流れで対応します。ノートパソコンの紛失やメールの誤送信など軽微に見える事案でも、要配慮個人情報が含まれていれば報告対象になり得るため、発生時点で管理者に即時報告する体制を整えておくことが重要です。

運営基準に定められた秘密保持義務

訪問看護の運営基準である指定居宅サービス等の事業の人員、設備及び運営に関する基準では、従業者は正当な理由がなく、その業務上知り得た利用者またはその家族の秘密を漏らしてはならないとされています。この義務は在職中だけでなく退職後も継続する点が明記されており、就業規則や雇用契約書に秘密保持条項を盛り込み、入職時に誓約書を取得しておくことが望まれます。あわせて、記録の保存期間や廃棄方法についても運営基準に沿った社内規程を整備しておく必要があります。

訪問看護師のための個人情報チェックリスト

  • 利用目的を重要事項説明書に具体的に明記しているか
  • 連携先（ケアマネ、主治医、他機関）ごとに同意を得ているか
  • 業務用端末と私用端末の利用範囲を就業規則で区分しているか
  • 記録システムのアクセス権限を職種・役割ごとに設定しているか
  • SNS利用に関するガイドラインを職員研修で周知しているか
  • 漏えい発生時の報告フローと連絡先を掲示しているか
  • 退職時の端末回収・アクセス権限削除の手順を定めているか
  • 記録の保存期間と廃棄方法を規程化しているか
  • 委託先（ICTベンダー等）と安全管理契約を締結しているか

まとめ

訪問看護師が日々扱う利用者情報は要配慮個人情報にあたり、個人情報保護法上の義務は事業規模にかかわらず発生します。情報共有の可否は利用目的の範囲内かどうかで判断し、連携先ごとの同意取得を契約時に明確にしておくことが基本です。SNSや私用端末の利用は漏えいリスクが高いため、事業所としての明確なルールと研修が欠かせません。万が一漏えいが起きた場合は、要配慮個人情報が含まれる限り報告対象になり得ることを前提に、初動対応のフローをあらかじめ整備しておくことが管理者の重要な役割です。

出典