事故から学ぶ

USBメモリを紛失 島根大学医学部附属病院

事故概要

業種 島根大学医学部附属病院
発生時期 2019/07/27
漏えい人数 未発表
事故概要

島根大学医学部附属病院(以下「当院」という。)の医科医員が,令和元年7月27日(土)開催の研究会の際に使用したUSBメモリを紛失した事案が発生しました。
なお,当該USBメモリは第三者に拾得され,9月14日に当院に返却されており,拾得者からはデータの複写や外部への情報拡散は行っていない旨を確認した書面もいただいております。また,現時点において,漏えいした個人情報に関しての不正流用等の事実も確認されておりません。
島根大学では,事実把握後,個人情報漏えい対策本部(以下「対策本部」という。)を設置し,事実関係の調査,患者対応,再発防止策等についての検討を行い,この度,公表することになりました。

1.事実関係
当院の医科医員(以下「医師A」という。)が,令和元年7月27日(土)開催の研究会での発表を行う際に,当院の同僚の医科医員(以下「医師B」という。)に,研究会会場で,14時から行われる発表スライドの試写を医師Bに依頼し,スライドの入ったUSBメモリを手渡した。
医師Bは前日の26日に医師Aから発表スライドの入ったUSBメモリを受け取り,それを使
い試写を行った。
当該USBメモリは,医師Aの個人所有のものであり,その中には発表スライドデータのほか,患者の個人情報が保存されていた。
また,このUSBメモリは個人情報の匿名化やパスワードによるロックをかける対策を講じていなかった。
医師Bは,研究会終了後USBメモリの所在について記憶しておらず,翌週に医師AからUSB
メモリの返却を求められるまで,医師Aに返却したものと思っていた。自宅等を捜したが見つからず,8月2日に紛失したものと認識した。
しかし,両名とも「いずれ見つかる」との意識から,警察への紛失届も提出せず,そのままになっていた。
9月5日に,医師A宛てに,このUSBメモリを拾得した者(以下「拾得者」という。)から連絡があり,これにより,両名の上司である教授(以下「担当教授」という。)に,この事実を報告し,本件が発覚したものである。
2.発生原因等について
患者データの持出しは原則禁止しており,やむを得ず持出す場合は,保護実務担当者に申請し,承認を得ることとされている。また,院内で電子カルテ上から個人情報をダウンロードする必要がある場合は,当院が貸与するパスワード機能付きの認証型USBメモリのみ使用できるようにシステム上の制限がかかっており,個人所有のUSBメモリにダウンロードすることはできない。
2
本件は医師Aが電子カルテ上の個人情報データを目視の上,自分でエクセル上の表に入力し作成したものをUSBメモリに取り込んだものである。
発生原因としては,
①勝手に個人所有のUSBメモリに患者データの保管を行ったこと。
②院外持出しは原則禁止されているにも関わらず,院外の研究会会場へ許可なく持出したこと。
③個人情報が格納されたUSBメモリを所有しているにも関わらず,その所在を亡失したこと。
その背景には,電子保存診療情報の取扱いについてのルール,特に患者の個人情報は病院貸与のUSBメモリに保存する必要があることを熟知しておらず,取扱いについて細心の注意・配慮を行なわなかったことで,今回の個人情報漏えいに至ったものである。
さらに,個人情報が格納されたUSBメモリの紛失を認識していたにも関わらず,保護実務担当者への報告を行わなかったことも義務違反である。
3.本件に係る島根大学の対応
9月7日(土)医師A及びBから,担当教授にUSBメモリを紛失し,拾得者から連絡があった旨を報告され,その報告を受け,担当教授より当院病院長に報告。
病院長が緊急病院執行部会議を設置し,直ちに緊急病院執行部会議を開催し,情報漏えいが発生した旨の報告と,事実確認を行った。
9月8日(日)緊急病院執行部会議を開催。医師A(発表者)及び医師B(試写者)から状況の聴き取りが行われ,病院長から,両名に対し厳重に注意が行われると共に,大学本部及びPマーク事務局への報告,警察への遺失物届け出,再発防止策の検討,USBメモリの早期回収のために拾得者との調整を進める等の指示。当院より,大学本部へ第一報報告。
警察署へ紛失届の提出。
9月9日(月)大学内に個人情報漏えい対策本部を設置。対策本部より緊急病院執行部会議に,早期のUSBメモリの回収,事実関係・原因・問題点の把握及び再発防止策等の策定の指示
9月14日(土)拾得者と面会しUSBメモリを回収
9月18日(水)この問題について全学で対応するため,調査委員会を設置することを決定した。
9月26日(木)第1回調査委員会を開催。(経緯説明,事情聴取日程,調査項目の洗い
出し)
10月10日(木)第2回調査委員会を開催。(事情聴取日程,調査項目の決定)
10月21日(月)医師A,医師Bから調査委員会が事情聴取。
10月29日(火)第3回調査委員会を開催。(調査結果,再発防止策について審議,今後
のスケジュールについて報告)
11月11日(月)対策本部会議に調査結果等を報告。
3
4.患者の皆様への対応
当該患者の皆様及びご家族の皆様へお詫びの手紙を令和元年11月14日に郵送した。
5.個人情報保護に関するこれまでの取り組み
島根大学は,松江,出雲両キャンパスの全職員に対し,情報セキリュティや個人情報保護に関する研修を,外部講師による集合研修及びeラーニングを利用して実施しており,受講を義務付けている。
当院はプライバシーマーク認証取得病院であり,プライバシーマークの継続教育の観点からも,個人情報保護に関する研修会を,複数日程設定し,医療従事者にも受講しやすくする等の措置を講じ,個人情報保護教育に注力してきた。
昨年11月に電子カルテの不正閲覧問題が発生し,再発防止策として,電子カルテ閲覧時にカルテ閲覧履歴を自動表示し,閲覧者を明らかにすることにより,不必要な閲覧を防止する対策を講じた。
本年2月の先進医療B(マルチプレックス遺伝子パネル検査)に係る個人情報の取扱いに関する不適切事案が発生した際には,出雲キャンパス教職員に対し,不適切事案に対する研修会を3回開催し,個人情報保護意識の徹底を図ってきた。しかしながら,今回このような事案が発生してしまい,これまでの取り組みが十分だったとは言えず,大変遺憾である。
6.再発防止策について
今回の案件は,個人情報保護の重要性についての意識の希薄さから発生した問題であり,再発防止に向け,厳格に意識づけるために,以下のとおりの対策を講じる。
(1)データの暗号化に関しては,「医学部附属病院情報セキュリティ管理規定」14-1において,患者の個人情報を記録する可搬型電子媒体は,病院貸与の暗号化機能付及びパスワード機能付の認証型USBメモリとしている。このことについて,今後,遵守徹底させる。
(2)データの持ち出しに関しては,「医学部附属病院情報セキュリティ管理規定」14-3において,個人情報を記録した電子媒体の持出しは原則禁止であり,業務上持出す必要が生じた場合は,保護実務担当者の承認を得ること,また,データは,匿名化を行いパスワードによるロックをかけることとしている。このことについても,今後,遵守徹底させる。(3)学内規定,要項の整備はされているものの,その取扱に関する教育,徹底がなされていなかったため,講習会やeラーニング研修においても,患者の個人情報を記録する可搬型電子媒体は,病院貸与の暗号化機能付及びパスワード機能付の認証USBメモリを使用し,私物のUSBメモリは原則使用禁止とすることや,患者の個人情報を記録した電子媒体の
持出しは,原則禁止とし,業務上を持出す必要が生じた場合は,PC等院外持出し申請書(許可書)により,保護実務担当者の承認を得たうえ,匿名化,パスワードによるロックを付すことについて,周知徹底していく。
(4)附属病院に限らず全学的に個人情報を含むデータをシステムから出力する際に自動的に暗号化する,また,USBメモリにデータを複写する場合は匿名化を条件とする等,利用者ではなく,システム側又はシステム管理者側で個人情報を含むデータの移動管理ができる
4
ような技術的対策を,今後,学内での個人情報を含むデータ管理の運用方法やシステム環境整備の中で合わせて検討していく。
「遵守徹底」,「周知徹底」の具体的な方策としては,以下の措置を講じる。
①個人情報保護に関する禁止事項を電子カルテシステム起動の際に画面上に表示させる機能を付加し,より一層の個人情報保護への意識を高める。
②個人情報保護研修会の未受講者を各所属部署に通知し,構成員全員に受講させることを徹底する。

引用元 島根大学

■ 事故原因

事故の原因はチェックリストの下記項目が該当すると推察します。

チェックリストコード:
20-17(第20条)安全管理措置(第21条)従業者の監督 作業ルールの徹底 (電子データの紛失防止)

チェックリストにある要求ルール:

USBメモリのように小さなものは、首からかけるストラップのような大きな印をつけて目立たせるなど紛失や置き忘れ防止策を講じていますか?
パソコンや業務携帯などの紛失防止教育を徹底していますか。
重要情報やPC,USB等が入ったカバンを持ち歩く必要がある場合は、肌身離さず持ち歩ることを身につくまで、徹底教育していますか?

■ 推奨対策

対策:

USBは小さく便利であるが、紛失のリスクも高く、実際紛失事故が後を絶たない。使用後のデータ消去や暗号化、収納場所への返却時に返却確認を受けること、さらに、誤廃棄や犯罪により紛失盗難に可能性を意識しなければならない。注意喚起を行う教育をしつこく徹底すべきである。

具体例:

個人情報入りUSBの紛失事故がなくならない。便利であるから「使わない」という選択は難しいが、USBの存在を目立たせる方法は工夫次第。出し入れ時の管理台帳記載、収納時のダブルチェックなど、無くさない対策をしないなら使わない、使わせない、ことを徹底教育すべきである。紛失によるリカバリーコストは莫大なものになる。

ご入会のお手続きはこちら

会費のお支払い方法は、クレジットカード払いと口座振替の2種類お選びいただけます。 (会費のお支払方法により、入会手続きが異なります。) 詳しくは、「ご入会の流れについて」をご確認ください。