医療のPDF: 診療記録と患者のプライバシー

患者が古い退院サマリーをスキャンしたPDFをクリニックにメールします。受付係は、医師が見る前にそれを他の二つの報告書と結合する必要があります。そこで最初に出てきた無料のPDFツールを開き、診断名や投薬リスト、国民健康番号でいっぱいの三つのファイルをドラッグして放り込み、結合をクリックします。

何も問題には見えません。結合したファイルがダウンロードされ、医師が読み、一日は進んでいきます。けれどその三つの書類はたった今クリニックを離れ、見知らぬ人のサーバーに着地しました。しかもそれは、ありふれた書類ではなかったのです。

これは法的助言でも医学的助言でもありません。私はあなたのデータ保護責任者ではなく、どのクリニックにも従うべき独自の規則があります。それでも健康データはGDPRのもとで、別の、より厳格な箱に収まっており、それがそれを運ぶすべてのPDFをどう扱うべきかを変えます。

健康データが別扱いされる理由

GDPRのもとでは、ほとんどの個人データがすでに保護されています。健康データには、さらにもう一層が加わります。規則はそれを特別カテゴリーと呼び、宗教的信条や性的指向、生体データといったものと並びます。特別カテゴリーのデータに関する基本ルールは、短い具体的条件のリストのいずれか、たとえば患者の明示的な同意や医療従事者によるケアの提供などを満たさない限り、その処理は禁止されるというものです。

その「処理」という言葉は広いものです。ファイルを読むこと、保存すること、変更すること、共有することを含みます。二つの報告書を結合するのも該当します。記録を分割して一ページを送るのも該当します。スキャンを圧縮してメールするのも該当します。つまり健康に関するPDFが関わった瞬間、あなたは法が認める最も機微なクラスのデータを扱っており、不注意に行うことのハードルはずっと高くなります。

診療記録はまた、診断名以上のものを運ぶ傾向があります。たいてい氏名、生年月日、住所、患者ID、ときには保険番号があります。そのどれもが、それ単体で個人を特定しうるものです。病状と束ねられれば、最もプライベートな瞬間にいるその人の全体像を描き出してしまいます。

アップロードサイトが実際にファイルにすること

そのPDFをオンラインツールへ送ると、ファイルはあなたの管理を離れます。あなたが運営していないサーバーへ移動し、そこで処理され、何かが返ってくる前にキャッシュされたり、キューに入れられたり、コピーされたりするかもしれません。GDPRのもとでは、その会社はあなたの代わりに動く処理者となり、あなた、つまりクリニックや医療従事者は、データに責任を負う管理者のままです。

処理者が関わった瞬間、管理者は実際の義務を背負います。その会社との間に、データで何ができるのか、いつ削除するのかを明記した書面の契約が必要です。特別カテゴリーの健康データについては、その仕組み全体が適切な保護措置を備えていることも確認しなければなりません。検索で見つけた無料ツールが、こうしたものを与えてくれることはまずありません。彼らとの契約はなく、サーバーがどこにあるかも知らず、他に誰がファイルに触れうるかも言えません。

健康データにはもっと鋭い縁もあります。サーバーがEUの外にあれば、特別カテゴリーのデータの国際移転をしたことになり、これはGDPRが最も摩擦を設けている類のものです。旅行の写真ならどうでもいいことです。けれど患者の腫瘍科の報告書については、文書化できない問題を静かに作り出してしまったのです。

報告しなければならない侵害

診療記録は、まさに攻撃者やデータブローカーが欲しがるものです。漏れた病歴はパスワードのようにリセットできません。あなたが保証できなかったサービスを通じて機微な患者データがさらされてしまえば、それは個人データ侵害になりうるもので、健康データが関わる侵害は規制当局が最も深刻に受け止めるものです。報告義務、患者への通知、クリニックの評判への打撃は、たった一度の不注意なアップロードから続いてきます。

もどかしいのは、作業そのもの、つまり二つのファイルを結合したり圧縮したりすることは、そもそも建物を出る必要が一度もなかったということです。

ファイルを自分のマシンにとどめる

ここに解決策があります。それは問題よりも軽いものです。PDFが一度もデバイスを離れなければ、外部の処理者は一切それに触れません。追いかける契約も、正当化する移転も、漏らしうる第三者もありません。あなたは依然として管理者であり、いつもどおりのケアを患者に負ってはいますが、リスクの一層丸ごとが単純に存在しなくなります。データがあった場所にとどまったからです。

これが、完全にブラウザの中で動くツールの背後にある考え方です。コードはローカルに、あなたのコンピューターのメモリの中で作業をし、ファイルはその場にとどまります。それが私たちがreader.meを作った方法です。診療PDFを結合・分割・圧縮するとき、それはあなたのブラウザの中で処理され、私たちのサーバーには決して届きません。証拠が欲しければ、ブラウザのDevToolsを開き、作業しながらNetworkタブを見てください。あなたの書類が出ていくものは何も見えないはずです。

健康に関するファイルでは、二つの日常作業が最も重要です。

• 記録がパスワード付きで届き、それを知っているなら、何もどこかへ送ることなく、そのパスワードを解除してローカルでファイルを扱いやすくできます。
• 記録を送る必要があり、まず厳重にロックしておきたいなら、あなたのマシン上でPDFを暗号化してパスワードをかけ、それから患者が想定する経路で共有できます。

クリニック、医師、患者のための習慣

いくつかのシンプルなルールが、健康に関するPDFをトラブルから遠ざけます。

• すべての診療書類を特別カテゴリーのデータとして扱う。 退院サマリー、検査結果、処方箋、紹介状、同意書はすべて該当します。たった一枚のスキャンページでも。
• 患者の記録を適当なオンラインツールに決してドラッグしない。 契約がなく、サーバーの所在もはっきりしないなら、それは患者のデータを受け取るに値しません。それで終わりです。
• 結合・分割・圧縮のような日常作業には、ブラウザの中で動くツールを既定にする。 ローカルで動くなら、精査すべき処理者もなく、国境を越えるものもありません。
• 送る前にファイルをロックする。 PDFのパスワードと分別ある配信経路は、開いたままの添付ファイルに勝ります。
• あなたが患者なら、クリニックがファイルをどう扱っているか尋ねる。 そうしてよいのです。

健康データをめぐるルールは重く聞こえますし、実際に重いものです。データがそうだからです。けれど日々の対処は小さなものです。ファイルを自分のマシンにとどめ、アップロードしないツールを使えば、問題の最も重い部分はあなたのところまで決して届きません。アップロードがこうした義務をどう引き起こすかの長い版が読みたければ、GDPRとPDFのアップロードについて別に書きました。