ITをめぐる法律問題について考える

弁護士水町雅子のIT情報法ブログ

「人を対象とする医学系研究に関する倫理指針」と個人情報保護法の関係

情報法

医学系研究で個人情報を取り扱っています。個人情報保護法のほかに、「人を対象とする医学系研究に関する倫理指針」でも、個人情報に関する規定があり、インフォームド・コンセントやオプトアウト等が認められています。要配慮個人情報は、オプトアウトが禁止ではなかったでしょうか。個人情報保護法上、適用対象外の研究機関が、自主規制等として、同指針に基づきオプトアウトするならわかりますが、個人情報保護法の適用対象の研究機関は、同指針に基づきオプトアウトしたら、個人情報保護法違反になりませんか？インフォームド・コンセントと個人情報保護法上の同意が違うという話も聞きましたが、よくわかりません。どうすればいいですか。

個人情報保護法は、個人情報の目的外利用や、個人データの第三者提供の制限等を定めています。
医学研究の場面で、個人情報を他の組織に提供したりするときはどうしたらいいでしょうか。


１．最初に確認→研究機関が研究目的で取り扱う場合、個人情報保護法は適用除外になる

まず初めに確認しておきたいことがあります。
個人情報保護法は、個人情報を取り扱っている人に原則としてすべて適用されます。一般個人であれば適用されませんが、個人事業主でも町内会等の組織でも、大学にも適用されます*1。

しかし、個人情報保護法が適用除外される人というのがいます*2。以下の人たちです。
一　 放送機関、新聞社、通信社その他の報道機関（報道を業として行う個人を含む。）が個人情報等*3を報道の用に供する目的で取り扱う場合　
二　 著述を業として行う者が著述の用に供する目的で取り扱う場合　
三　 大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者が学術研究の用に供する目的で取り扱う場合　
四　 宗教団体が宗教活動（これに付随する活動を含む。）の用に供する目的で取り扱う場合　
五　 政治団体が政治活動（これに付随する活動を含む。）の用に供する目的で取り扱う場合

つまり、大学やその他の学術研究を目的とする機関等が学術研究目的で個人情報等を取り扱うときは、個人情報保護法の適用対象外となります。
個人情報保護法が適用対象外なら、個人情報保護法の各種義務はかからず、「人を対象とする医学系研究に関する倫理指針」の各種義務を果たしていけばよいということになります。

なお、私立大学、研究所、学会等に限らず、「１つの主体とみなすことができる共同研究」が学術研究の用に供する目的で個人情報等を取り扱う場合にも、個人情報保護法の適用対象外となります（「個人情報の保護に関する法律についてのガイドライン」及び「個人データの漏えい等の事案が発生した場合等の対応について」Q8-4）。したがって、民間企業や私立病院等であっても、１つの主体とみなすことができる共同研究に属する者と認められる場合には、学術研究の目的に個人情報等を利用する限りにおいて、個人情報保護法の適用対象外となります。

そして、「人を対象とする医学系研究に関する倫理指針」が適用されるかどうかは、人（試料・情報を含む。）を対象として、傷病の成因（健康に関する様々な事象の頻度及び分布並びにそれらに影響を与える要因を含む。）及び病態の理解並びに傷病の予防方法並びに医療における診断方法及び治療方法の改善又は有効性の検証を通じて、国民の健康の保持増進又は患者の傷病からの回復若しくは生活の質の向上に資する知識を得ることを目的として実施される活動かどうかによります（同指針第２（１）、ガイダンスP3-4）*4。


２．「人を対象とする医学系研究に関する倫理指針」に基づき情報を提供できる場合

既存試料・情報を他の研究機関に提供する場合、「人を対象とする医学系研究に関する倫理指針」では、次のいずれかの方法をとらなければならないとしています（同指針第１２の１（３））。

又は

  • β）口頭によるIC+IC記録+提供記録

又は

  • γ）個人情報該当性を失わせる匿名化+機関の長の把握

又は

  • δ）匿名加工情報又は非識別加工情報+機関の長の把握

又は

  • ε）匿名化（どの研究対象者の情報かが直ちに判別できないよう加工又は管理する*0）+通知又は公開*1+機関の長の把握+提供記録+学術研究の用に供するときその他の当該既存資料・提供を提供することに特段の理由がある*3ときであること
    • *0
      • 氏名、顔画像、個人識別符号（ゲノムデータ、保険証番号等）が削除する。病名、検査データ等については、その記述等が比較的特異な場合であっても、基本的には「その記述単体で特定の研究対象者を直ちに判別できる記述等」には該当しないものとして取り扱ってよい。ガイダンスP103参照。
    • *1　以下の事項を研究対象者等に通知又は公開する
      • ① 試料・情報の利用目的及び利用方法（他の機関へ提供される場合はその方法を含む。）
      • ② 利用し、又は提供する試料・情報の項目
      • ③ 利用する者の範囲
      • ④ 試料・情報の管理について責任を有する者の氏名又は名称

又は

  • Ζ）拒否機会の保障（原則）+通知又は公開*2+倫理審査会への付議+機関の長の許可+提供記録+学術研究の用に供するときその他の当該既存資料・提供を提供することに特段の理由がある*3ときであること
    • *2　以下の事項を研究対象者等に通知又は公開する
      • ① 試料・情報の利用目的及び利用方法（他の機関へ提供される場合はその方法を含む。）
      • ② 利用し、又は提供する試料・情報の項目
      • ③ 利用する者の範囲
      • ④ 試料・情報の管理について責任を有する者の氏名又は名称
      • ⑤ 研究対象者又はその代理人の求めに応じて、研究対象者が識別される試料・情報の利用又は他の研究機関への提供を停止すること。
      • ⑥ ⑤の研究対象者又はその代理人の求めを受け付ける方法
    • *3　特段の理由は、個人情報保護法に根拠があれば認められ、例えば共同利用手続を経れば、特段の理由が認められる。

又は

  • η）社会的重要性がある場合+上記αからΖまでの方法によることができないこと（研究の実施が困難又は価値を著しく損ねる）+適切な措置*4+倫理審査会への付議+機関の長の許可+提供記録+軽微な侵襲以外の侵襲を行わないこと+上記αからΖまでの方法によらなくても研究対象者の不利益とならないこと
    • *4　以下のうちの適切な措置をいう
      • ① 研究対象者等が含まれる集団に対し、試料・情報の収集及び利用の目的及び内容（方法を含む。）について広報すること。
      • ② 研究対象者等に対し、速やかに、事後的説明（集団に対するものを含む。）を行うこと。
      • ③ 長期間にわたって継続的に試料・情報が収集され、又は利用される場合には、社会に対し、その実情を当該試料・情報の収集又は利用の目的及び方法を含めて広報し、社会に周知されるよう努めること。

なお、既存試料・情報とは、

  • 研究計画書が作成されるまでに既に存在する試料・情報
  • 研究計画書の作成以降に取得された試料・情報であって、取得の時点においては当該研究計画書の研究に用いられることを目的としていなかったもの

をいいます。

また、上記に基づく方法で試料・情報を取得した方も、一定の対応が必要です。試料・情報を提供する側の選択した方法によって、情報を取得する側が行う対応が異なってきます。以下のα、βなどの記号は提供側が行う手続と対応しています。
α）β）γ）手続確認（IC内容、病院名・住所・長の氏名、病院による当該資料・情報の取得の経緯）+提供記録
δ）手続確認（IC内容、病院名・住所・長の氏名、病院による当該資料・情報の取得の経緯）+提供記録+匿名加工情報/非識別加工情報に関する個人情報保護法制上の義務
ε）手続確認（確認内容は同上）+通知又は公開*1+提供記録
Ζ）手続確認（確認内容は同上）+拒否機会の保障（原則）+通知又は公開*2+提供記録
η）手続確認（確認内容は同上）+通知又は公開*3+適切な措置*4+提供記録

※このあたりは、ガイダンスP108の表が見やすいです。

既存試料・情報以外の試料・情報の新たな試料・情報の場合は、同指針第１２の１（１）に従います。同指針第１２の１（１）は新たに試料・情報を取得して内部利用する場合という表題になっていますが、他の機関に提供する場合も第１２の１（１）で良いとのことです（指針やガイダンスからはわからなかったので、文部科学省のご担当者に教えていただきました）。第１２の１（１）に基づき試料・情報を取得した方は、研究計画書が情報提供者と同じであれば、情報提供者が第１２の１（１）を行えば、その他のことを特段行う必要はない者の、研究計画が違うならば第１２の１（４）に基づいて手続をしなければならないとのことです（これも、文部科学省のご担当者に教えていただきました）。


３．「人を対象とする医学系研究に関する倫理指針」と個人情報保護法の関係

個人情報保護法が適用対象外なら、個人情報保護法の各種義務はかからず、「人を対象とする医学系研究に関する倫理指針」の各種義務を果たしていけばよいわけです。しかし必ずしも、そういう場合だけではありません。大学や学会と民間企業等が一緒に研究を行う場合、民間企業が「１つの主体とみなすことができる共同研究」を行っているとは言えない場合もあります。また、そもそも何をもって「１つの主体とみなすことができる」と判断するのかも曖昧過ぎます。コンプライアンスの観点から安全側に倒そうとすると、無理に「１つの主体とみなせる」と判断するよりも、普通に個人情報保護法を遵守して、さらに「人を対象とする医学系研究に関する倫理指針」の各種義務を果たしていくということが適切でしょう。

その場合に、例えば、大学が民間企業に患者の病歴（要配慮個人情報）を渡すとします。これを、個人情報保護法を遵守するためには、本人の同意を取るか、共同利用と構成するかが考えられます。要配慮個人情報なので、オプトアウトは認められません。

例えば、共同利用で構成した場合ですが、個人情報保護法上、共同利用の要件として、「特定の者との間で共同して利用される個人データが当該特定の者に提供される旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置」くことが必要になります（同法２３条５項３号）。

「人を対象とする医学系研究に関する倫理指針」に従うためには、これだけでは足りず、共同利用の手続を経たうえで、さらにこれに加えて、同指針で求められる方法、すなわち上記２でαからη（イータ）までに書いた方法のいずれかを行う必要があります。例えばΖ（ゼータ）にするとすれば、共同利用したうえでさらにオプトアウトを認め、一定事項の通知又は公開をし、倫理審査委員会へ付議し、機関の長の許可を得なければならないということになります。この際、ややこしいのは、このオプトアウトは個人情報保護法上のオプトアウトではなく、あくまで同指針上のオプトアウトというか拒否機会の保障であるということです。ややこしいですね。

そして、共同利用の手続を経たことは、同指針上、どこで読むのかというと、第１２の１（３）ア（ウ）や第１２の１（１）イ（イ）②（鄯）の「学術研究の用に供するときその他の当該既存試料・情報を提供することについて特段の理由があり」の「特段の理由」に読み込むそうです。「その他の当該既存試料・情報を提供することについて特段の理由があるとき」とは、法律・条例等に具体的な根拠がある場合を指しているので、個人情報保護法２３条を満たしていれば、これが「特段の理由」に当たるので、これをした上で、さらに第１２の１（３）ア（ウ）でそれ以上に求められている手続を履践する必要があるとのことです（指針やガイダンスからはわからなかったので、文部科学省のご担当者に教えていただきました）。

また、個人情報保護法を遵守するためには、本人の同意を取った場合を考えます。この場合も、さらに加えて、同指針で求められる方法、すなわち上記２でαからη（イータ）までに書いた方法のいずれかを行う必要があります。ここで、残念なお知らせですが、同意があるからといって、αβ）のICを受けたとみなしてもらえるわけではありません。なぜなら、同指針上、ICと個人情報保護法上の同意は分けて考えています（ガイダンスP93-94）。ICの方がより重厚なものというイメージです。


４．感想

これは、かなり複雑ですね。
医療ビッグデータ法（次世代医療基盤法）も施行になったら、これに加えてさらに同法も出てくるわけで、まじめに検討しようとすると、かなり混乱が生じるような気もします。
ただ、今回、人を対象とする…指針とガイダンスを読み込みましたが、なかなかわかりづらい点もあったので、文部科学省に問合せしましたが、大変丁寧にご対応いただきまして、誠にありがとうございました。本当に真剣に丁寧にいろいろと教えていただき、助かりました。心より御礼申し上げます。


５．資料リンク

]

*1:行政機関、独立行政法人等、地方公共団体、地方独立行政法人については他法令が適用になりますが、ここでは議論の簡略化のため、あえて触れません。

*2:厳密には基本法部分の第3章まで等は適用されるので、個人情報保護法全体が適用除外されるわけではなく、あくまで個別義務を定めた第4章が適用除外されるだけ。

*3:個人情報又は匿名加工情報

*4:人を対象とする医学系研究に該当する場合であっても、同指針の適用対象外となる場合もあります→同指針第３の１