薬剤師と社労士として活動してる私ですが・・・
実は先日、個人情報保護士という資格を取得しました。
その名のとおり個人情報保護法に関する内容の試験に合格すれば取得できる資格です。
薬局や薬剤師は個人情報を扱う仕事であり、個人情報の管理に関する知識は欠かせません。
実際に個人情報保護法について学ぶなかで、これは薬剤師も知っておくべき内容だな～と思うことも多くあったので、記事にしようと思います。
今回は、お薬手帳や薬情を違う患者さんに誤って渡してしまったときの対応についてです。
薬局で扱う患者情報は要配慮個人情報
いきなり難しい単語の登場ですが、お薬手帳や薬情は要配慮個人情報にあたります。
要配慮個人情報とは、本人に対する不当な差別、偏見などの不利益が生じないよう、取扱いに特に配慮を要する個人情報のことをいいます。
具体的には、
- 人種
- 信条
- 社会的身分
- 病歴
- 犯罪の経歴
などが挙げられます。
また、個人情報の保護に関する法律についてのガイドラインでは、他にも
健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと
が要配慮個人情報であるとされており、さらには、
調剤の過程で患者の身体の状況、病状、治療状況等について、薬剤師（医師又は歯科医師が自己の処方箋により自ら調剤する場合を含む。）が知り得た情報全てを指し、調剤録、薬剤服用歴、お薬手帳に記載された情報等が該当する。また、薬局等で調剤を受けたという事実も該当する。
といった記載もあります。
簡単にいってしまえば、
薬剤師業務を通して知った患者の情報はほぼ全てが要配慮個人情報
ということです。
要配慮個人情報の漏洩は個人情報保護委員会への報告と本人への通知
要配慮個人情報には、普通の個人情報とは扱いの異なる点がいくつかあるのですが、その1つが、
漏えい等が発生した場合には、個人情報保護委員会への報告及び本人への通知の義務がある
ということです。
もう少し詳しく説明すると、
- 要配慮個人情報の漏えい等
- 財産的被害のおそれがある漏えい等（クレジットカード番号等）
- 不正の目的によるおそれがある漏えい等（不正アクセス等）
- 1,000件を超える漏えい等
これらに該当する場合には、個人情報保護委員会への報告と本人への通知の義務があります。
つまり要配慮個人情報については、これが1件であろうと報告と通知の義務が生じるのです。
薬局における要配慮個人情報の漏洩の具体例
日本保険薬局協会のコンプライアンス委員会では、薬局における要配慮個人情報の漏洩として以下のような例を挙げています。
- お薬手帳：処方内容、副作用歴等、薬局で調剤を受けたという事実
- お薬手帳貼付用シール：処方内容、薬局で調剤を受けたという事実
- 薬剤情報提供文書：処方内容
- 領収証：薬局で調剤を受けたという事実
- 明細書：処方内容、薬局で調剤を受けたという事実
この中で、お薬手帳や手帳のシールについては、違う患者さんに渡し間違えたという経験がある方もいるのではないでしょうか。
そのような場合、2022年4月からは、個人情報保護委員会への報告と本人への通知が義務となっています。
個人情報保護委員会への報告と本人への通知の方法
では、実際に要配慮個人情報の漏洩があった場合の対応についてまとめます。
個人情報保護委員会への報告の方法
個人情報保護委員会への報告については、速報と確報の二段階で行う必要があるとされています。
- 速報：事態を知った時から概ね3～5日以内
- 確報：30日以内
実際の報告は、個人情報保護委員会のホームページにある入力フォームから報告をします。
入力フォームに入力する内容については
- 報告者の名称、法人番号、住所など
- 発生日と発覚日
- 漏洩事実の経過概要
- 本人への対応状況
など様々ですので、興味あれば直接入力フォームを見てみてください。
本人への通知の方法
本人への通知は「速やかに」行うこととされています。
しかし「速やかに」というのはなかなか抽象的な言葉です。
薬歴は「速やかに」記載すべし！みたいで嫌ですね（笑）
これに関して個人情報保護委員会では、
漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で本人に通知したとしても本人が必要な措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合には、その時点で通知を行う必要があるとはいえない
としています。
つまり、漏洩が発覚したからといってすぐに慌てて本人へ通知する必要はなく、ある程度全体像が判明してからの通知で良いということです。
ただ「漏洩しちゃいました！」とだけ教えられても困っちゃいますもんね（笑）
ただし、個人情報保護委員会への報告の確報には本人への対応状況も報告する必要があるため、遅くとも30日以内には本人への通知を行った方が良いでしょう。（通知をしないならば、しないことを決定する）
まとめ
以上、今回は、薬局で扱う患者情報を漏洩してしまった場合には、個人情報保護委員会への報告と本人への通知が必要という内容の記事でした。
薬局って、個人情報だらけの職場環境なわけですが、意外と個人情報の管理にたいする意識は低い気がします。
個人情報だらけの環境に慣れ過ぎてしまっているというか（笑）
そういう意味で、今回、個人情報保護法の勉強をしたことは、あらためて薬局の個人情報管理を考えるという意味でとても良かったと思っています。
今回は個人情報保護委員会への報告と本人への通知を記事にしましたが、他にも薬局で働いていくうえで知っておいた方が良いことがいくつかありますので、そのうち記事にしようと思います。
