クリニックは、診療録（カルテ）・検査結果・処方情報など、要配慮個人情報を数多く取り扱います。個人情報保護法では要配慮個人情報の取得・利用に慎重な取扱いが求められ、医療機関には個人情報保護委員会の「医療・介護関係事業者向けガイダンス」や厚生労働省のガイドラインに沿った対応が求められます（出典: 医療・介護関係事業者向けガイダンス｜個人情報保護委員会）。この記事では、クリニックが押さえるべき個人情報保護の基本と、漏洩対策の実務を整理します。
医療機関の個人情報漏洩は、患者の信頼を大きく損なうだけでなく、報告義務や行政の注意喚起の対象になります。院内のルールと研修を整備することが、最初の防御線です。
医療情報は「要配慮個人情報」：基本の考え方
個人情報保護法では、病歴・診療情報などは要配慮個人情報に分類され、取得時の本人同意や目的外利用の禁止など、慎重な取扱いが求められます。クリニックで取り扱う主な情報は次のとおりです。
- 診療録（カルテ）・検査結果・画像・処方情報
- 患者の氏名・住所・生年月日・連絡先・保険者情報
- 家族構成・職業・生活状況など診療に関連して知り得た情報
- スタッフの個人情報（給与・健康診断結果など）
「診療に必要な範囲」での利用を徹底し、それ以外の目的（業務上の口外・SNSへの投稿など）は原則として行わない運用が基本です。
院内で整備すべきこと：規定・責任者・研修
個人情報保護は、書類の整備だけでなく運用で担保されます。クリニックで最低限整備したい項目を整理します。
- 個人情報保護規定・方針 — 取得・利用・保存・廃棄のルール、苦情相談窓口の設置（規模に応じた簡易な規程でも可）
- 責任者・担当者の明確化 — 個人情報保護管理者・担当者を定め、漏洩時の報告経路を決める
- スタッフ研修 — 入職時研修と定期研修（年1回以上）で、取扱いルール・SNSの扱い・外部委託時の注意を教育（スタッフ研修の記事参照）
- 取扱いマニュアル — 紙カルテ・電子カルテ・USB・メール・FAXそれぞれの取扱い手順（業務マニュアルの記事参照）
ガイダンスの詳細（安全管理措置・委託先の監督など）は、個人情報保護委員会の医療・介護関係事業者向けガイダンスを確認してください。
漏洩防止の実務：起こりやすい事例と対策
医療機関で実際に多い漏洩の経路と対策を整理します。
- PC・端末の紛失・盗難 — 暗号化・パスワード・遠隔消去の設定、外部持ち出しの禁止（原則院内のみ）
- メール・FAXの誤送信 — 送信先の二重確認、宛先リストの管理、個人情報を含むFAXの送信ルール
- 紙カルテ・書類の管理 — 施錠管理、診察室・受付の書類の置きっぱなし防止、廃棄時のシュレッダー利用
- SNS・私的端末 — 患者情報のSNS投稿禁止（写真・エピソード含む）、私的端末での業務データ保持の禁止
- 外部委託先 — レセコン保守・清掃・アーカイブ保管などの委託先との秘密保持契約、委託先の管理状況の確認
- 退職スタッフ — 退職時のデータ削除・返却、アカウントの無効化
院内のルールだけでなく、なぜ守る必要があるのかをスタッフが理解できる研修が効果的です（医療機関の個人情報漏洩事例は、行政の注意喚起資料でも確認できます）。
外部委託先の監督：クラウド・保守・保管
電子カルテのクラウド化、レセコンの保守、カルテのアーカイブ保管など、外部事業者に個人情報の取扱いを委託する場面が増えています。個人情報保護法では、委託先の適切な監督が求められます。
- 秘密保持契約 — 委託契約書に、目的外利用の禁止・再委託の制限・事故時の報告義務・契約終了時のデータ削除を明記する
- 委託先の確認 — セキュリティ対策（アクセス管理・暗号化・バックアップ）の実施状況を確認する（サイバーセキュリティ対策の記事参照）
- 取扱い範囲の限定 — 委託先に渡すデータは業務に必要な範囲に限定する
- 定期的な見直し — 委託先の変更・サービス統合時に、契約と運用を見直す
委託先の事故（データ漏洩・システム障害）が自院の責任として問われる可能性があるため、契約と運用を定期的に点検しましょう。医療機関向けのサイバー保険（開業医が入る保険の記事）の加入検討もリスク対策の一つです。
患者からの開示請求への対応
患者から診療録（カルテ）や検査結果の開示を求められることがあります。医療機関は、診療情報の提供等に関する指針（厚生労働省）に沿って、患者本人からの開示請求に対応する必要があります。
- 開示の範囲と手続き — 診療録・検査結果・画像など。開示請求の手順・書式・費用の扱いは厚労省の指針と各施設の運用による（カルテ開示の実務はカルテ開示請求への対応記事を参照）
- 個人情報との関係 — 開示は患者本人の情報提供であり、個人情報保護法上の開示請求の考え方とも関連する
- 対応体制 — 開示請求の受付窓口・担当者・対応期限を決め、スタッフに周知する
開示請求はクレームの前段階であることも多いため、誠実で迅速な対応が患者との信頼につながります。対応マニュアル（業務マニュアルの記事）に手順を入れておきましょう。
漏洩が起きたときの対応
個人情報の漏洩（漏えい）が起きた場合は、迅速かつ誠実な対応が求められます。個人情報保護法に基づく報告・通知のルールに従い、次の流れで対応します。
- ① 事実の把握 — 漏洩した情報の範囲・原因・影響を速やかに特定する
- ② 被害拡大の防止 — 端末の遠隔ロック・アクセス停止・関連アカウントの無効化
- ③ 報告・通知 — 個人情報保護委員会への報告と、本人への通知が必要なケース（要配慮個人情報を含む一定の漏洩は報告義務の対象）の確認・実施
- ④ 再発防止策 — 原因の分析と再発防止策（研修・システム改修・運用見直し）の実施
報告義務の対象・期限は制度改正で変わることがあるため、漏洩時の対応は事前に弁護士・個人情報保護の専門家に確認しておきましょう。対応手順をマニュアル化（業務マニュアルの記事）しておくと、慌てずに対応できます。
よくある質問
個人情報保護の研修はどのくらいの頻度で行うべきですか？
入職時研修に加えて、年1回以上の定期研修を実施する医院が多いです。医療情報の取扱いは制度改正や事例の蓄積で変わるため、定期的な更新が重要です。
紙カルテの保存はどうすればよいですか？
診療録の保存は医療法で一定期間が定められています。保存期間の管理と、施錠・アクセス制限・廃棄時のシュレッダー処理など、物理的な安全管理措置を整えましょう（診療情報の取扱いは法定調書・マイナンバー管理の記事も参照）。
個人情報保護の責任者は誰にすべきですか？
規模にかかわらず、個人情報保護の責任者（管理者）と担当者を明文化するのが基本です。クリニックでは院長または事務長が管理者を務め、担当者が日常の運用（研修・委託先管理・漏洩対応）を取りまとめる体制が一般的です。責任者が明確でないと、漏洩時の初動が遅れるため、就業規則や規定に明記しましょう。
まとめ
クリニックの個人情報保護は、要配慮個人情報の取扱いルール、院内規定・責任者・研修、漏洩時の報告対応の3層で整備します。漏洩の多くは「うっかり」から起こるため、日頃の研修と運用ルールが最大の防御です。個人情報保護委員会のガイダンスと厚労省の案内を確認し、自院の規模に合った体制を整えましょう。