医療法 第69条の5

解説

クリニックや病院を運営する医療法人は、毎年、決算の数字や職員の給与データを国に報告している。国はそれを集めて「医療法人の経営情報データベース（MCDB）」を作っている。前条（69条の4）により、このデータは大学や研究機関などの第三者にも提供できる。本条は、データを受け取った側に一つの義務を課す。漏えい（外に漏れること）、滅失（なくなること）、毀損（壊れて使えなくなること）を防ぐため、厚生労働省令が定める安全管理措置（データを守るための組織・人・技術面の具体的な対策）を講じる義務である。ここで押さえておくべきは、受け取った側の研究者やコンサル会社は「お客さん」ではなく、法律上の義務を負う管理者になるという点だ。研究室の共有フォルダに置いたまま、院生の私物 PC にコピーしたまま、という大学でよくある扱い方は、それ自体が法律上の義務違反になりうる。一方、報告する医療法人側から見れば、自院の経営の手の内が研究者の手に渡っても、その安全は法律で担保されている。この一条が、医療経営データを公共の研究に回すための前提条件になっている。

法的な位置づけ

医療法第69条の5は、医療法人情報の第三者提供を受けた者の安全管理義務を定める規定である。同法第69条の4第1項に基づき提供を受けた者は、当該情報の漏えい、滅失又は毀損の防止その他の安全管理のため、必要かつ適切なものとして厚生労働省令で定める措置を講じなければならない。

こんなときに使う

• 大学の医療経済学ゼミで MCDB の個票データを受け取った。指導教員は「解析はノート PC でやっていいよ」と言う。その PC をカフェに置き忘れたら、誰が何の責任を負うのか。受領者として申請した教員と所属機関は、省令が定める措置を講じていたかをまず問われる
• あなたは病院コンサル会社のアナリストだ。受託研究の名目で提供された医療法人情報を、営業資料の作成に流用しようとする上司がいる。安全管理の外側にデータを持ち出した時点で、会社ぐるみの管理体制が問われる
• 自院の財務データが研究用に第三者へ提供されていると、理事長が地域の医師会の会合で知った。本当に漏れていないと、誰がどう保証しているのか？ その答えの一つが本条である
• 提供を受けたデータの利用期間が終わるまであと2週間。消去の手順も記録も決めていない。「使い終わったら消せばいい」という感覚で期限を迎えると、廃棄の証跡が残らない

取るべき行動

被害を受けた側：1. 自院の情報が第三者提供の対象になっているか、提供の仕組みと範囲を厚生労働省の公表資料で確認する2. 自院の経営情報が外部に出回っている兆候（取引先や競合が知るはずのない数字を知っている等）があれば、日時と内容を記録する3. 厚生労働省の担当窓口に照会し、提供先と管理状況の調査を求める4. 損害が具体化していれば、弁護士と相談のうえ民法709条による損害賠償を検討する

訴えられた側：1. 漏えい等に気付いたら、まず拡散を止める（共有リンク停止、端末の遮断、アクセス権の剥奪） 2. 何が、いつ、誰に、どの範囲で漏れたかを時系列で記録し、隠さない3. 提供条件に従い速やかに厚生労働省へ報告する（報告義務の具体的内容は省令・提供条件で確認） 4. 省令が定める措置を事前に講じていた証拠（規程、アクセスログ、誓約書）を揃える。義務を果たしていたかどうかが責任判断の分かれ目になる

時効（請求できる期限）：本条自体に特定の時効はない。漏えい等で生じた損害の賠償請求には、不法行為として損害及び加害者を知った時から3年、行為時から20年（民法724条）、契約違反として構成する場合は一般消滅時効（民法166条、知った時から5年または権利を行使できる時から10年）が適用される。違反時の行政上の措置・罰則の有無は最新の改正状況をご確認ください