# 医療記録プライバシー ## 定義 医療記録プライバシーとは、患者の安全性(safety)とプライバシーが不可分に絡み合う医療情報システムにおいて、誰が患者記録にアクセスできるかを規律する政策・技術・規制の総体を指す。プライバシーへの不信は患者が治療を遅らせる、あるいは受けないという直接の安全性リスクになる——著者が引く米国HHSの推計では、プライバシー懸念により58.6万人ががん治療を、200万人以上が精神医療を、100万人以上が性感染症治療を先延ばしまたは断念した。主な脅威は内部者由来で、(1) 特定個人を狙う標的型攻撃(有名人の記録閲覧、元交際相手のストーキング)、(2) 数百万件規模を製薬会社等へ売却するバルク攻撃、(3) ノートPCの車内放置や設定ミスのクラウドサーバーのような事故、の3類型に分かれる。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 10 Boundaries]] §10.4.1) 英国医師会(BMA)は1995年、政府による医療記録の中央集権化構想に対抗し、著者Ross Anderson自身にセキュリティポリシー策定を依頼した。中心的発想は、**record を「同一の人々がアクセスできる事実の最大集合」として定義し直す**ことで、単一電子患者記録(EPR)という発想そのものを退けることにある。この結果、患者は生涯にわたり複数のrecordを持つことになる。ポリシーは9原則からなり、核は同意(consent)の原則化——(1) 各記録にアクセス制御リストを持たせる、(2) 責任ある臨床医が記録を開ける、(3) 責任者のみがACLを変更できる、(4) 患者への通知と同意取得、(5) 一定期間の削除禁止、(6) アクセスの記名記録、(7) 情報流制御(記録Aから導出された情報が記録Bへ追記できるのは、BのACLがAのそれに包含される場合に限る)、(8) 集約統制(多数の患者情報に既にアクセスできる者を追加する際は特別通知)、(9) 有効な信頼計算基盤の独立評価——にある。原則7により、コンパートメント数が患者数を上回るという意味で、コンパートメント化を論理的極限まで推し進めている。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 10 Boundaries]] §10.4.2) しかし政策の存在は実装の成功を保証しない。英国のNPfIT(国家医療IT計画、2004-2010年、最終的に総額約100億ポンド)は、RBACと「正当な関係」という2機構のみで運用され、患者が記録の一部を特定ケアチームに封印する機能は実装されず、単一のセキュリティコンテキストという教義そのものが実務と衝突して破綻した。欧州では2010年の欧州人権裁判所判決(*I v Finland*、HIV陽性の看護師の記録が同僚に閲覧された事件)が、「治療に関与しない医療スタッフはその患者の電子医療記録にアクセスできてはならない」という実効的保護を要求する判例法を確立した。米国のHIPAA(1996年)はより緩やかで、被保護医療情報(PHI)の保有者による集約・仲介を事実上許容しており、欧米の規制格差が拡大し続けている。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 10 Boundaries]] §10.4.4, §10.4.4.1) ## 横断的知見 - **『Security Engineering』が「安全性とプライバシーは不可分」と論じる医療記録の脅威モデルは、[[データのプライバシーと同意]] が集約する「サーベイランス基盤への権力移転」という一般的な同意理論に、具体的な法的救済(欧州人権裁判所の判例)と定量的な安全性コスト(治療忌避者数)を付け加える**: [[データのプライバシーと同意]] は DDIA第14章に依拠し、プライバシーを「秘密にすること」ではなく「何を明かすかを選ぶ自由(決定権)」と定義し、この決定権がサーベイランス基盤を通じて個人から企業・組織へ移転すると論じるが、この移転がもたらす具体的な被害の定量化には立ち入らない。本概念が集約する Security Engineering 第10章は、この同じ「決定権の喪失」が医療分野では治療忌避という測定可能な安全性コスト(58.6万人のがん治療忌避等)に転化することを具体的な統計で示し、さらに *I v Finland* という司法判断によって「治療に関与しない者はアクセスできてはならない」という実効的な決定権回復の法的手段が(少なくとも欧州では)存在することを示す。DDIA第14章の議論が主に民間の広告駆動型ビジネスモデルを対象にするのに対し、本章は医療という公共性の高い領域での同じ構造的問題――「同意」だけでは決定権の喪失を防げず、実効的な技術的・法的保護が必要だという結論――を独立に導いている。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 10 Boundaries]] §10.4.1, §10.4.4.1, [[@2026__OReilly__Designing Data-Intensive Applications 2E - Chapter 14 Doing the Right Thing]] "Privacy and Use of Data") - **英国のHES/care.dataスキャンダルが示す「匿名化を謳っての大量販売」という失敗パターンは、DDIA第14章が一般論として警告する「サーベイランスストリームの収集・格納・分析」という語彙をそのまま医療分野で具体化したものである**: DDIA第14章は「データ」を「サーベイランス」に置き換える思考実験を通じ、大規模データ収集組織の実態を批判するが、これは抽象的な言い換えにとどまる。Security Engineering第10章が報告するHES(1998年以降の英国全病院受診記録、約10億件)は、まさにこの「サーベイランスウェアハウス」が実在し、1000社超の製薬会社・大学へ「匿名化済み」という名目でDVD販売されていたという、具体的な産業規模の実例を提供する。DDIAの警句が誇張ではなく医療分野で文字通り実現していたことを、本章の一次資料が裏付ける。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 10 Boundaries]] §10.4.4.3, [[@2026__OReilly__Designing Data-Intensive Applications 2E - Chapter 14 Doing the Right Thing]] "Surveillance") - **第10章が報告するHESデータベースの組織的失敗(care.dataスキャンダル)と、第11章が報告する同一データベースの技術的な脱識別化失敗は、同じ問いの異なる層への答えである**: 本ページはこれまで第10章に依拠し、HES(1998年以降の英国全病院受診記録、約10億件)が「匿名化済み」の名目で1000社超へDVD販売された組織的・法的な失敗を集約してきた。同じ書籍の第11章は、HESが患者の氏名・住所を暗号化IDに置換する仕組みそのものの技術的な限界を報告する——元英首相Tony Blairがハマースミス病院で不整脈治療を受けた日付をウェブ検索で特定すれば暗号化IDが判明すること、多くのシステムで平文の郵便番号と生年月日が残り、この組み合わせだけで英国居住者の約98%を特定できることを示す。「なぜ組織はHESの二次利用を許したか」(第10章、本ページの主題)と「なぜHESの匿名化技術は実際に破られるか」(第11章、[[匿名化の失敗と再識別]]の主題)は、同一データベースについての相補的な問いであり、組織的統制が仮に完璧であっても、技術的な脱識別化が破られれば同じ再識別リスクが残ることを示す。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 10 Boundaries]] §10.4.4.3, [[@2020__Wiley__Security Engineering 3e - Chapter 11 Inference Control]] §11.2.4) ## 未解決の問い - BMAの9原則は1995年当時、既存の医療慣行を「コード化」しただけだと著者は述べるが、25年後のNPfIT・care.data・DeepMind事件を経てもなお同じ問題(単一記録という発想の危険性、二次利用の統制困難)が繰り返されているのはなぜか。本章は歴史を詳述するが、原則が実装レベルで守られなかった構造的要因(インセンティブの欠如、規制の実効性不足)の一般化は今後の突き合わせ課題として残る。 - 米国HIPAAと欧州GDPR/*I v Finland*判例の規制格差は今後どちらの方向に収斂するか、あるいは収斂しないのか。本章は「ますます乖離している」と述べるにとどまる。 - FHIR標準やApple Health Recordsのような「患者がサードパーティアプリへ記録を渡す」新しい情報共有モデルは、HIPAAの保護範囲外に出るとされる。この規制の空白は [[データのプライバシーと同意]] が扱う「同意の実効性」の議論とどう接続するか、今後の ingest で検証したい。 - Nuffield生命倫理協議会の4原則(尊重・人権・参加・ガバナンス)は、著者が「倫理ウォッシング(ethics washing)」の危険を明示的に警告する対象でもある。企業の責任あるAI原則における同種の「倫理ウォッシング」との異同は、[[プライバシーエンジニアリング]] や関連の責任あるAI concept との突き合わせが必要。 ## 関連 - ソース: [[@2020__Wiley__Security Engineering 3e - Chapter 10 Boundaries]](§10.4.1-§10.4.8) / [[@2026__OReilly__Designing Data-Intensive Applications 2E - Chapter 14 Doing the Right Thing]]("Privacy and Use of Data", "Surveillance") / [[@2020__Wiley__Security Engineering 3e - Chapter 11 Inference Control]](§11.2.4) - 概念: [[データのプライバシーと同意]](一般的な同意理論との対比) / [[認可モデル]](ACL/RBACの理論的背景) / [[プライバシーエンジニアリング]](倫理ウォッシングの懸念) / [[マルチラテラルセキュリティ]](BMAポリシーが実現する極限的コンパートメント化) / [[匿名化の失敗と再識別]](同一HESデータベースの技術的な脱識別化失敗) - 実体: [[wiki/entities/British Medical Association|British Medical Association]] ## 出典 - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 10, §10.4.1-§10.4.8. - Martin Kleppmann, *Designing Data-Intensive Applications*, 2nd Edition, O'Reilly, 2026, Chapter 14 "Doing the Right Thing", "Privacy and Use of Data", "Surveillance" 節。 - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 11, §11.2.4(HESデータベースの技術的な脱識別化失敗)。