デジタル・ヘルス・サービスを検討する上で考慮すべきデータコンプライアンス

医療データを取り扱うサービスは3省2ガイドラインの順守が不可欠

個人の医療・健康データは一般的に、医療機関などが患者の診療や治療の目的で作成および管理する診療録、処方箋、介護の計画および記録といった医療データ（EHR：Electronic Health Record）と、個人が主に日々の体調管理などの目的で記録する健康データ（PHR：Personal Health Record）の2種類に大別されます。

EHRを取り扱う場合は、医療機関などを対象とする厚生労働省の「医療情報システムの安全管理に関するガイドライン」^*1および、医療情報システム・サービスを提供する事業者を対象とする経済産業省・総務省の「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」^*2の、いわゆる「3省2ガイドライン」の順守がデータコンプライアンスとして求められます。これらのガイドラインは、医療等従事者が患者を診療する目的で作成し、その後も継続的に経過状況を確認し、治療方針を検討することなどに利用するEHRが適用対象です。このような目的から完全に切り離されたEHRは、当該ガイドラインの適用対象からは外れることになります。

そのため、医療機関などが管理する個人のEHRを利活用するデジタル・ヘルス・サービスの開発を検討する場合には、医療機関などが患者の診療などを目的としてEHRに継続的にアクセスしているかどうかが、3省2ガイドラインへの対応要否を判断するにあたっての重要な検討ポイントになります。

なお、医薬品治験に関連する診療録、または関連データ（検査伝票や同意説明文書など）は、いわゆる日本版ER／ES方針^*3・関連事務連絡^*4とともに、厚生労働省「医薬品・医薬部外品製造販売業者等におけるコンピュータ化システム適正管理ガイドライン」^*5に基づく管理が求められますが、これらのEHRを二次利用する場合にも、基本的には上記同様の検討が必要となります。

セルフ・ヘルス・マネジメントのみを目的としたサービスは個人情報保護法への対応が必要

個人がセルフ・ヘルス・マネジメントのみを目的として測定し、記録管理したPHR（日々のバイタルデータなど）は3省PHR指針の適用対象外となります。その代わり、こうしたサービスを提供する事業者は従来の個人情報保護法に基づく対応が引き続き求められます。

そのため、PHR関連のデジタル・ヘルス・サービスを新たに企画・設計する場合には、そのサービスは個人の健康管理支援を目的としたものとするか、あるいは将来的なビジネススケールの中で医療機関などへの連携までも視野に含めるのかといった、サービスのスコープを事前にしっかり検討し、適切なデータコンプライアンスへの対応を計画することが重要になります。

医療・健康データを二次利用するデジタル・ヘルス・サービスを検討する際のポイント

上述の通り、デジタル・ヘルス・サービスの分野においては、どのような医療・健康データをどのような目的・用途で取り扱うのかによって、検討すべきデータコンプライアンスが変化します。同一のデータであっても取り扱いの目的・用途によっては対応すべきコンプライアンス上の要件が変わる可能性があるため、サービスの目的・機能に照らして、適切なコンプライアンスを見極め、確実な対応を実施することが必要です。

加えて、サービスの提供機能によってはSaMDとしての取り扱いが求められる場合もあります。事前の検討が不十分なため、サービスリリース直前にSaMDとしての法令要件を満たす必要があることが発覚し、サービスの見直しや断念につながるケースも想定されます。

一般的に、データを利活用するサービスモデルは、データの収集度、蓄積度の高まりに応じてサービスの規模や範囲が拡大していくものです。そのため、設計段階での検討不足に伴いリカバリーをしなければならなくなった場合のネガティブなインパクトも、時間の経過とともに高まります。

特にこの種のデジタル・ヘルス・サービスは、要配慮個人情報など社会的にセキュアに管理することが求められる機微なデータを取り扱うものになります。そのため、他分野と比較しても、こうした検討不足が原因で仮に何らかのインシデントが発生した場合、企業としてのレピュテーションリスクに大きな影響を及ぼすリスクも想定されます。従って、こうしたデジタル・ヘルス・サービスの開発、導入を進めるにあたっては、取り扱うデータに求められる社会的な期待水準も踏まえ、設計段階で十分な検討を行うことが重要といえます。

本稿では国内でデジタル・ヘルス・サービスを展開する上で考慮すべきデータコンプライアンスについて述べましたが、海外への展開も視野に入れているデジタル・ヘルス・サービスの事例も多く見られます。データコンプライアンスに関する各国規制当局の関心は非常に高く、各国固有の規制が続々と整備されていることにも十分に留意した上で検討を進めることが、併せて推奨されます。