医療データの「同意なし二次利用」とAIサイバー脅威——医療機関が今備えるべきセキュリティと対応策

2026年秋、デジタル社会における個人情報の保護と利活用をめぐり、重大な動きが相次いでいます。大手企業で大規模なデータ漏洩事故が立て続けに報告される一方で、政府は医療情報を研究や創薬に有効活用するための新たな制度方針を発表しました。

特に話題を集めているのが、患者本人の個別の同意を得ずに医療データを二次利用できるようにする制度設計です。「データ連携の推進」と「情報セキュリティの強化」という、一見相反する課題に直面する医療現場は、どのような点に注目し、いかに備えるべきなのでしょうか。

本記事では、最新のセキュリティ情勢と医療データ利活用に関する動向を整理し、医療機関が講じるべき具体的なリスク管理について解説します。

高度化するサイバー攻撃と企業で相次ぐデータ漏洩

近頃、物流や小売、大手メディアなど、多様な業界で不正アクセスに伴う情報漏洩が表面化しています。

これらの事故に共通しているのは、攻撃者が外部から無理やり侵入するのではなく、窃取されたIDやパスワード等の認証情報を用いて「正規の利用者」になりすまして侵入している点です。システム内部へ静かに侵入し、目立たないように少しずつデータを抜き取るため、異常の検知が遅れやすいという深刻な問題を抱えています。

さらに懸念されているのが、サイバー攻撃におけるAIの悪用です。厚生労働省や総務省をはじめとする行政機関も、高度なAI技術が攻撃者の手口を巧妙化させている現状を重く受け止めており、クラウドサービスを含む外部委託先の管理強化や、セキュリティ対策の義務化に向けた議論を進めています。

内閣府「とりまとめ」に見る医療データ活用の将来像

内閣府の検討会が公表したとりまとめは、医療データを創薬や医療技術の研究開発に活用する「二次利用」の促進に向けた新たな方向性を示しています。報道等で大きな反響を呼んでいますが、実際の取り決めには詳細な条件や制限が設けられています。

主な変更点と制度の骨子は以下の通りです。

・本人同意とオプトアウトの扱い

国や公的機関が管理するデータベース（NDB等）は、従来のルール通り個別の同意は不要とされます。一方、民間事業者等へのデータ提供に関しては、事前通知を行わない形式の「オプトアウト（停止申請の権利）」を導入する方針です。

・医療機関へのデータ提供義務

特定機能病院などの大規模な医療機関に対しては、指定された事業者の求めに応じて保険診療のカルテ情報や画像データを提供する義務が課される見込みです。一般の医療機関については努力義務とされています。

・利用範囲の拡大と安全対策

所得や就労状況など、健康に関わる周辺データへの対象拡大が検討されています。データは匿名化や仮名化の加工が施され、漏洩や再識別に対する厳格なペナルティや外部監査が導入される計画です。

法改正は2027年の通常国会を目指して調整が進められており、現在は制度の基本方針が策定された段階です。

データ活用のメリットと懸念されるプライバシーリスク

制度の推進派と保護を重視する立場とでは、見解が分かれています。

推進側の立場では、個別同意に依存すると提供者に偏りが生じ、研究データの正確性が損なわれるという懸念が指摘されています。新薬の開発や最先端医療の進歩には多角的で膨大なデータが不可欠であり、入口での同意取得よりも出口での厳重な審査と監督に重点を置くべきだという考え方です。

一方で、懸念を示す側からは、事前の案内がなければ患者自身が情報の利用事実に気づけないという指摘があります。また、ゲノム情報や画像データは高度な加工を施しても個人の特定を完全に排除することが難しく、万が一流出した場合の取り返しがつかないリスクが危惧されています。

「データ集約」に伴うセキュリティリスクの増加

データ利活用の推進と情報セキュリティ対策は、密接に関わっています。データを一箇所に集約して活用度を高めようとするほど、攻撃者にとっての標的価値も高まるためです。

・標的としての価値の上昇

大規模な医療データが集積されるプラットフォームは、サイバー犯罪者にとって極めて魅力的なターゲットとなります。

・侵入経路の多様化

データの連携先や委託先が増加するにつれ、認証情報の漏洩などを狙う攻撃の「隙」が増えることになります。

・AIによるデータ再識別の脅威

仮名化・匿名化されたデータであっても、AIを用いて他の公然情報と突合させることで、個人の特定（再識別）が容易になる危険性が存在します。

医療機関が果たすべき責任と3つの信頼条件

医療データの活用が社会的な合意を得るためには、患者からの揺るぎない信頼が不可欠です。制度を機能させるためには、以下の3つの条件を満たす必要があります。

1. 攻撃を前提としたセキュリティ基盤の構築

外部委託先からの侵入やAIを悪用した攻撃を想定し、発覚後の対応や事故の公表までを含めた防御体制を最初から組み込むことが重要です。

2. 実効性のあるオプトアウト制度の提供

患者が自身のデータの使われ方を確認でき、希望に応じて簡易に利用停止を申請できる仕組みを周知徹底することが求められます。

3. 医療現場への運用・資金支援

患者から直接の問い合わせを受ける現場の医療機関に対し、明確な説明用マニュアルや、システム改修・安全管理にかかる費用面の支援を行うことが重要です。

医療機関が今から着手すべき事前準備

法案の成立・施行までに時間があるものの、医療機関が先行して取り組むべき対策が存在します。

【すべての医療機関で取り組むべき事項】

・データ利用に関する患者からの問い合わせに対応できるよう、受付やスタッフ間で回答方針を共有する。

・院内掲示やWebサイトにおける個人情報の利用目的の表記が、現在の実務と整合しているか確認する。

・クラウドサービスや委託先のID・パスワード管理を再点検し、多要素認証（MFA）を導入する。

・情報漏洩などの緊急事態が発生した場合の連絡体制や報告手順を整理・確認しておく。

【大病院・研究機関で取り組むべき事項】

・カルテや画像のデータ抽出・提供に必要なシステム環境や人的リソース、費用を見積もる。

・最新の安全管理ガイドラインに基づき、委託先との責任範囲や安全対策を明確化する。

まとめ：安全な保護と利活用の両立を目指して

医療DXの推進に伴い、医療データの利活用は急速に進展しようとしています。しかし、生成AIなどの最新技術によって攻撃手口も高度化しており、セキュリティ対策の重要性はかつてないほど高まっています。

制度のあり方を議論する際には、「推進か反対か」という対立ではなく、「いかに安全性を確保しながら社会へ還元するか」という視点が欠かせません。医療機関としては、患者の信頼に応えるべく、自院の情報管理体制を強固にし、丁寧な説明ができる環境を整えることが第一歩となります。

【用語解説】

・二次利用：本来の診療目的で取得したデータを、研究や新薬開発などの別目的で利用すること。

・オプトアウト：データ利用に対し、本人が拒否・停止の意思表示を行える仕組み。

・匿名加工・仮名加工：個人を特定できないよう氏名などを削除・置換する処理技術。

・再識別：加工済みのデータを別の情報と合致させ、特定の個人を再現すること。

・認証情報：システムアクセス時に本人確認を行うためのIDやパスワード等。

【免責事項】

本記事は2026年10月時点の公表情報や報道内容に基づき作成された一般的な情報提供目的のコンテンツです。内閣府のとりまとめは今後の法案審議等の過程で変更される可能性があります。記事内容の利用により生じた結果について、当方は責任を負いかねます。具体的な法務・セキュリティ対策については専門家にご相談ください。