医療情報大規模データベースとプライバシーの保護

資 料 1

日医総研シンポジウム 抄録集

講 演 Ⅰ

医療情報大規模データベースと プライバシーの保護

東京大学大学院医学系研究科 医療経営政策学講座特任准教授

山本 隆一

医療情報大規模データベースとプライバシー保護 東京大学大学院医学系研究科 山本 隆一

我が国は医療の情報化自体は先進的であったが、情報を公益目的に利用する二次利用の 面においては遅れていたと言わざるを得ない。最近になって、我が国にも大規模な医療情 報データベースが構築されるようになり、それに伴い、公益利用とプライバシー保護の対 立的な問題が顕在化してきた。高齢者の医療確保に関する法律に基づいて作成されたレセ プトおよび特定健診・保健指導のデータベースは一般的な公益利用に関して根拠法には記 載がないために、手探り克つ慎重に利活用が進められている状況である。大規模病院の診 療情報を大量に収集する PMDA および厚生労働省の進めている医療情報データベース整備 事業では包括的同意で運用が始められようとしているが、匿名性に問題が生じた場合、同 意の有効性には疑問が生じる可能性がある。公益目的の研究を行う研究者がプライバシー の侵害を意図的に行う可能性は低いが、法的な要求自体が曖昧であるために、患者に不信 感を与える可能性もありうる。医学は診療情報の公益利用なしには発展はあり得ないので、

明確で研究者にとっても患者にとってもわかりやすい法制度の整備が強く望まれる。個人

情報保護法制の改正が進められているが、本来プライバシーは法だけで守れるものではな

く、指針や自主規制など様々なソフトローが必要になる。法改正の動向を紹介し、情報の

利活用の時代に現場感覚を持って適切に対応するための基本について論じたい。

Copy Right: Ryuichi Yamamoto, Graduate School of Medicine, The University of Tokyo, 2015

日本における医療ビッグデータの現状と未来 平成26年度日医総研シンポジウム

2015年2月12日 東京大学医学系研究科医療経営政策学講座 一般財団法人医療情報システム開発センター

山本 隆一

2

agenda

> データ指向時代概観

> 医療情報データベースの整備

> 必要な法整備 – ID 、プライバシー 保護

> さらに進めるべき情報学的対策

3

1947年の日本：

平均余命（0歳） 男50.0年 女54.0年 【2010年 男79.64年 女86.39】

死因 結核、肺炎、胃腸炎、脳卒中、老衰

血液検査はわずか数項目でいずれも用手検査、X線撮影は単純撮影だけ

4

4 4

ライフサイクル

医療機関X

▲出生 ▲入学 ▲成人 ▲就職 ▲40歳 ▲65歳 ▲死亡

自治体

（母子健康主管課）

本人 学校・

教育委員会

企業・共済・組合など健保 自治体（地域包括

支援センター）

介護事業者 民間健診機関 フィットネスクラブ

母子手帳 乳幼児健診情報 乳幼児予防接種 出生時記録

児童生徒健康診断票

各種健診結果

要介護認定 ケアプラン 後期高齢者健診 診療レセプト

健診記録

運動記録

調剤薬局Ａ 調剤レセプト

人間ドック 就学時健診記録

調剤情報 カルテ 処方箋 診療画像

複数医療機関・薬局に 点在、数年後に廃棄

医療機関請求書 診療情報提供書

調剤情報提供書 予防接種記録

自己測定 5年後には 廃棄

別個の紙、冊子による情報の提 供・保管であるため散逸しがち

▲卒業 乳幼児期

０～５

児童・生徒・学生期 ６～１５，１８，２２・・・

社会人・成人期 １６，１９．２２・・・～６０・・・

リタイア期 ６０・・・～

医療機関Ａ

・・・・・・・・・・・・

診療画像 診療情報提供書

診療レセプト カルテ 処方箋 診療画像 診療情報提供書

診療レセプト カルテ 処方箋 診療画像 診療情報提供書 調剤レセプト

調剤情報

・・・・・・

・・・・・・

調剤薬局X

・・・

t

健康保険

国保

〈扶養〉

企業・共済・組合など健保 国保

国保

各保険者加入者がリタイア期に入り、多くが国保に移行する

自治体（国保） 健診記録

健診記録

特定健診記録 特定健診記録 診療レセプト

調剤レセプト

転居・転職により継続保管 が困難に

調剤レセプト 診療レセプト 企業など健保

周産期 妊娠管理 指導票・経過票

新生児経過票 分娩経過票

保健調査票

健康観察簿

介護サービ スレセプト 自治体（障害者担当）

障害者サービス記録

障害者サービス、介護保 険給付の適用の判断・整 理が難しい

▲妊娠

5

Jeopardy! で勝利した IBM Watson 2011 Jan.

13

自然言語による膨大なデータの分析と知識発見によ る。 クラウドサービス化して医療分野での応用を進めて

いる

6

7

イ）「高解像」（対象者の個性に応じたデータを抽出できること）で、

ロ）「高頻度生成」（ほぼリアルタイムで解析可能であること）、しかも ハ）「多様・非構造」（さまざまな種類のデータを関連づけられること）

従来であれば発生と同時に捨ててきたか、あるいは蓄積はしてい ても、活用せずに一定期間経過後に破棄してきたデータの中に価 値が眠っている。

8

データ指向の時代

> National Insurance Claim and Health Check-up DB (NDB)

> Mid-Net プロジェクト （ PMDA & MHLW)

> KDB

> 介護認定データベース

> 全国がん登録

> 心臓カテーテル DB

> 心不全症例 DB

> National Clinical DB

> ・・・・・・・

9

Big Data と自然言語解析を含む新たな IT 技術を用いることで・・

・新たな医学知識の発見

・在宅患者等の高度な見守り

・オーダーメイドサービス

・新たなサービス産業の創出・・・・

・持続性のある日本型社会保障・・・・

使えるものであれば使いたい、あるいは近い将来使われるように なるだろう・・

解決すべき課題は・・・・

目的の異なるデータベースの結合（共通 ID ） データ指向時代のプライバシー保護

価値の再配分

10

agenda

> データ指向時代概観

> 医療情報データベースの整備

> 必要な法整備 – ID 、プライバシー 保護

> さらに進めるべき情報学的対策

11

Major Health databases

Database Nation Scale

(millilon )

data memo

GPRD UK 6.57 Medical Records MHRA’ DB

Derived from 488 general clinics

THIN UK 5 Medical Records with Pt.

identifier

EPIC’ DB for replacement with GPRD Derived form 300 GPs

PHARMO Netherland 2 Medical Records DB of Utrecht Univ. and Rotterdam Univ.

IMS Disease Analyzer

UK, German, France, Australia

15.7 Medical Records DB 0f IMS Health inc.

Derived from 3600 GPs

i3 Aperio US 39 Claim data, Laboratory test

result

DB of i3, a member of United Health Grouup

Kaiser Permanente

US 8.6 Claim data, Laboratory exam

result

DB of NPO Kaiser Permanente,

Keiser Permanente has seven research centers and each center has own DB

HMO research network

US 40 Claim data DB of 14 health plans including Keiser

Permanente M di Medicare,

Medicaid

US 42.3 + 49.3 Claim data

EHR data in planning

DB of CMS

Health Services Databases in Saskatchewan

Canada 1 Claim data DB of local health department of Saskatchewan

state of Canada

HIRA Korea 45

(beneficiaries)

Claim data Since July 2000

NHI Research DB Taiwan 23

(beneficiaries)

Claim data Since January 1996

12

MHLW

National Claims and specific screening

information database system of Japan (NDB)

Health plan Medical institutes

Health insurance claims review and reimbursement service

1

Pseudonymization

Sending data (Claim data: 1/month, Check-up data: 1/year)

Federation of National Health Insurance organizations

1

Pseudonymization

Sending data (Claim data: 1/month, Check-up data: 1/year)

Health plan Check-up data

Medical Institutes Claim data Check-up data Claim data

2

Pseudonymization and store to NDB

Prefixed Analysis

On demand Analysing System

NDB is defined in “Elderly Persons’

Health Care Act” for creating

adequate health care insurance

policy.

13

Usage of NDB

Usage under “Elderly Person’s

Health Care Act” Usage for other purposes (without any legislation support)

Health Insurance

bureau of MHLW Prefectural Governments Other bureaus of MHLW, Other

Ministries, local basic governments Research Institutes

Analysis for creating adequate health insurance policy

Analysis by MHLW

Publication

To evaluate the health insurance policy of MHLW

Analysis by Prefectural Governments

Evidence based policy for improvement of medical or other health services

Researches for making adequate policy

Researches for public good

Survey for infectious diseases Survey for the balanced medical care and nursing care

Judgment by Assessment Committee

evaluating the necessity of using NDB data evaluating the public goodness of the survey

Decision by Minister of MHLW Advise to Minister of MHLW

14

Insurance Claim data

Date of birth (only month and year values) Diagnosis

Data of beginning of care and number of days for care Health institute ID

Kind of visit

Existence of educational guidance

Prescriptions with drug code, Injections with drug code Codes of medical procedures, Codes of Surgical Operations

Codes of laboratory, physiological and radiological examination (without results) Codes of Imaging diagnosis

Total costs

Double hashed value of Insurance claim ID, birth date and gender Double hashed value of Name, birth date and gender

Health check-up data for life style related diseases

Date of check-up or educational guidance Code of Health plan

Code of examination institute Gender and postal code

Results of examinations and educational guidance Level of educational guidance

Double hashed value of Insurance claim ID, birth date and gender

Double hashed value of Name, birth date and gender

15

Korean HIRA DB, Taiwan’s NHI Research DB, Japanese NDB

Korea Taiwan Japan

Name of DB HIRA DB NHI Research DB Claims and specific

screening information DB

General description

Nationwide insurance claims database (nearly 100% coverage) (Japanese NDB incudes health check-up for LRD data) Other linkable

data sources

Not allowed Partially allowed if patient consent was provided

Not allowed

Data starting Since July 2000 Since January 1996 Since April 2009 Number of

beneficiaries

48 million 23 million 128 million

Data availability /application for research

Open to restricted researchers who are performing national projects (HIRA Claims Data Providing Review Committee) approval is needed)

Open to academic researchers through application, review for purpose and size of population

Open to researchers through application, review for purpose

16

Korean HIRA DB, Taiwan’s NHI Research DB, Japanese NDB

Korea Taiwan Japan

Timing of data update

Monthly Annually Monthly for claims,

annually for health checkup

Latest data Last month Previous year 2 months ago for claims Birth

year/month/date

Yes/yes/yes Yes/yes/yes Yes/yes/no

Body height /weight

No/no No/no Limited to health check

data and/or DPC data Prescriptions

Prescription month /day

Yes/yes No/no Yes/yes

Dispensing month/day

Yes/yes Yes/yes Yes/yes

Dose / strength /quantity

Yes/yes/yes Yes/yes/yes Yes/yes/yes

Vaccine No Yes Limited to officially

reimbursed vaccines

17

Korean HIRA DB, Taiwan’s NHI Research DB, Japanese NDB

Korea Taiwan Japan

Procedures, surgical operations codes

Korea Ministry of Health and Welfare standardized reimbursement coding system

ICD-9 procedure codes Japan original standardized reimbursement coding system

Hospitalization

Admission date Yes Yes Yes

Medication while hospitalized

Yes Yes Yes

Discharge diagnosis

Yes No Yes

Diagnosis code ICD-10 ICD-9 ICD-10

Laboratory test order/result

Yes/no Yes/no Limited to annual health

check data

18

Present Status of NDB

> Over 8 billion claim data and 100 millions health check up data.

> “Sampling dataset” was released and provided to some researchers.

1% of out patients, 10% of in patients One month (Oct. of every year)

Rare disease name and name of medial procedure was replaced to dummy one up to 0.1% of all claim data.

> “Basic datasets” were added in 2014.

(Sampling data but linked by hash vales.)

> On-site research centers will be available on Apr. 2015. (Tokyo and Kyoto)

> Considering to introduce the PPDM system for

rare diseases.

19

松田晋也ら 模擬提供による調査2010

20 松田晋也ら 模擬提供による調査 2010

21

agenda

> データ指向時代概観

> 医療情報データベースの整備

> 必要な法整備 – ID 、プライバシー 保護

> さらに進めるべき情報学的対策

22

地方公共団体システム機構

【住基ネット】

情報提供ネットワーク（コアシステム）

個⼈

利⽤機関Ａ 利⽤機関Ｂ 利⽤機関Ｃ 情報の照会に対し提供を許可し 符号同⼠を紐づける仕組み 符号Ａ

番号制度のインフラによる情報連携の仕組み

符号Ｂ

利⽤機関Ｄ

符号Ｃ 符号Ｄ

マイナンバー 市町村が付番 マイナンバー 住民票コード

マイナンバー

符号Ａ 符号Ｂ 符号Ｃ 符号Ｄ

マイナンバー マイナンバー マイナンバー

個人情報 個人情報 個人情報 個人情報

○ 番号制度のインフラでは、番号の利用機関同士の情報連携（情報照会と情報提供）を行う場合、マイナン バーを直接用いず、各機関ごとにマイナンバーに対応して振り出された機関別符号を利用する。これにより

、マインナンバーで芋づる式に情報が漏えいすることを防止する仕組みとしている。

申請等

各利用機関は、住基ネットに接続し

、利用する各マイナンバーに対応し た、利用機関ごとに異なる符号を取 得

○ 保険医療機関・保険薬局（約23.3万施設）が それぞれ住基ネットに接続して機関別符号を取 得し、情報提供ネットワークに接続するのは、

各医療機関の負担や制度全体でも大きなコスト がかかり、実務上の課題がある。

例：Ａ市 例：Ｂ町 例：日本年金機構 例：Ｄ健保組合

病院 約8,600ヵ所 診療所 約10万ヵ所 歯科診療所 約6.8万ヵ所 薬局 約5.6万ヵ所 各保険医療機関、保険薬局（約23.3万施設）

資格確認のための保険者との情報連携

（資格情報の照会と取得）

23

医療等分野における番号制度の活用等に関する研究会 中間まとめ

○ 医療等分野の個人情報は、患者と医療・介護従事者が信頼関係に基づき共有しており、病歴や服薬の履歴、健診の結果 など、第三者には知られたくない情報がある。利用について本人同意を得るとともに、患者個人の特定や目的外で使用さ れないよう、機微性に配慮した個人情報保護の措置を講じる必要がある。

○ 医療等分野の情報連携のあり方については、以下のような意見があった。

・ 本人の同意のもとで希望する患者が番号を持つ仕組みとし、共有する病歴の範囲について患者の選択を認め、患者が 共有して欲しくない病歴は共有させない仕組みを検討する必要がある

・ 患者に必要なサービスを提供する際の同意のあり方など、本人同意やプライバシールールのあり方の検討が必要 １．医療等分野での番号（電磁的符号を含む）による情報連携のあり方

○ 番号法では、目的規定（第１条）で、行政機関等が行政運営の効率化等のためマイナンバーを用いるとしており、医療 機関等でマイナンバーを用いることは想定していない。他方、行政機関や保険者はマイナンバーと紐づけて資格情報等を 管理するので、安全で効率的な情報連携を行うため、行政機関や保険者ではマイナンバーを用いる必要がある。

○ 医療等分野で用いる番号（電磁的符号を含む）は、重複しない番号を交付するため、住民票コード又はマイナンバーか ら変換する方法等により生成し、利用を希望する者が使う仕組みとする必要がある。

○ マイナンバーとは別に「見える番号」を発行するのはコストがかかる。「見えない番号（電磁的な符号）」のほうが、

安全性を確保しつつ二重投資を避ける観点から、望ましい。

２．番号制度のインフラとの関係

○ 「医療機関・介護事業者等の連携」や「健康・医療の研究分野」等で、医療等分野での番号（電磁的符号を含む）を用 いた情報連携の仕組みが必要。行政機関と保険者は資格情報等をマイナンバーで管理するので、「保険者間の資格異動時 の健診データの連携」と「予防接種歴の自治体間の連携」で、これらの情報の連携にマイナンバーを用いることを検討。

○ 医療保険のオンライン資格確認は、既存のインフラも活用しつつ、資格情報とマイナンバーを紐づける番号制度のイン フラを活用し、できるだけコストがかからない安全で効率的な仕組みについて、保険者・保険医療機関等の関係者との協 議を通じて検討する。個人番号カードを用いる場合、ＩＣチップをカードリーダーで読み取る、表面のみが見えるカード ケースの利用など、マイナンバーが視認されない仕組みを検討する。

○ 医療等分野の情報連携に用いる番号のあり方については、オンライン資格確認で実現されるインフラの活用を含め、個 人情報保護を含めた安全性と効率性・利便性の両面が確保された仕組みを検討する。

３．医療等分野の情報連携の具体的な利用場面等

24

番号制度のインフラを活用した医療等ID（案）

地方公共団体システム機構

【住基ネット】

情報提供ネットワーク（コアシステム）

個⼈

利⽤機関Ｃ 利⽤機関Ｂ

情報の照会に対し提供を許可し 符号同⼠を紐づける仕組み 医療等ID 符号Ｂ

利⽤機関Ｄ

符号Ｃ 符号Ｄ

マイナンバー 市町村が付番 マイナンバー 住民票コード

符号Ｂ 符号Ｃ 符号Ｄ

マイナンバー マイナンバー マイナンバー

個人情報 個人情報 個人情報

申請等

例：日本年金機構

例：Ｂ町 例：Ｄ健保組合

医療・医学情報提供ネットワーク 情報の照会に対し医療医学分野

の符号同⼠を紐づける仕組み 符号MA 符号MB 符号MC

医療等IＤ

符号MA 符号MB 符号MC NDB

Data

全国がん登録 Data

NCDB Data

かかりつけ医

介護事業所

在宅療養担当医 薬局

訪問看護ST 病院

情報連携のネットワーク

・・・

25

26

医学知識は過去の経験の集積

無数のプライバシーセンシティブな情報から精製されたもの

27

28

29

個人情報保護法制の課題

> 保護は追求されているが、活用しないことに対する対 策はほとんどされていない。

> 個人情報保護法は情報取得主体によって異なるルール で運用されている。

> 情報保護だけではなく、不正利用に関して実効性のあ る悪用防止の手立てが必要ではないか。

> 個人情報の定義が曖昧、つまり匿名化が定義できない

。

> 医療・介護分野で安心して利用できる共通 ID が必要

。

30

刑法で規定する には情報種別は 方法の限定が難 しい。

「不正競争防止法」では情報の不正入手を罰する規則はある。

産業スパイは罰することができる。それ以外は？？

情報の価値はプライバシーだけで判断可能か？

健康情報・医療情報（遺伝子を含む）による差別は抑止できるか？

身体・健康情報による差別禁止法が必要ではないか。

31

政府

制度改正の方向性

新産業・サービスの創出と国民の安全・安心の向上等のための利活用を実現する環境整備

事業者 消費者

提供

パーソナル データ

新サービス 新商品

・・・・ 提供可能な

データ

現状

パーソナル 提供

データ

新サービス 新商品 新産業

安心。

新産業

提供

安心。

「利活用の壁」によりパーソナルデータの利活用が十分に行われてきているとは言い難い

事業者 消費者

不安。

データが 手に 入ら ない

①本人の同意がなくとも データを利活用可能とす

る枠組みの導入 利活用促進

利活用の壁

経済活性化

③第三者機関の体制整備 等による実効性のある制

②基本的な制度の枠組み を補完する民間の自主的

な取組の活用

2

第 三 者 提 供

安心。

不安。

提供

33

個人に由来する情報

> 非個人情報

•

外部情報を参照しても「容易」に個人を識別出来ない情報

•

定義の上では従来の連結不可能匿名化情報および対応表のない 状態での連結可能匿名化情報にあたるが「容易」の意味が曖昧

。

> 個人情報

個人識別情報

•

「容易」に個人を識別できる情報

匿名化処理情報 （特定性低減情報）

•

個人を識別できないとは言えないが、一定程度リスクを下げた 情報

•

一定の条件下で同意なく使用可能

> 安全管理 → オンサイトセンタ

> 再特定しない

> 下流でも再特定しない

34

agenda

> データ指向時代概観

> 医療情報データベースの整備

> 必要な法整備 - プライバシー保 護

> さらに進めるべき情報学的対策

35

スイッチ

クライアント

（ R 利用者）

秘密計算 サーバ１

秘密計算 サーバ２

秘密計算 サーバ３ 図 1: 秘密計算システム構成図

36

ID 主病名 薬品 投与量

hzooIPRQkPV8 7fwfemDwM8SV 0RvLoIqGkp18 6MSN7dPjegwN 2Xy3c5DKEHm3 bSGBJfoeE3tU LnorPSgnWUwW qj2G6Bgy6kvH 7h4H7Fi8S4Kx w8c9x9jfYIaV csPBimLEDW8W IodpTXoJq3s7

・・・

ID 主病名 薬品 投与量

1256 サルコイドーシス性虹彩毛様体炎 酸化マグネシウム錠２５０ｍｇ「ＴＸ」 84 1257 原発性全身性アミロイドーシス パセトシン錠２５０ ２５０ｍｇ 42 1258 ギラン・バレー症候群 アピスタンディン注射用５００μｇ 1

・・・ ・・・

図 2: 秘密分散された値

ID 主病名 薬品 投与量

FQhdVbf1wRH6 VOYwHwqqWfyV UWfbTujuvaeq O6T6IitToOkT UxsLIaPxmbgj zxhw2aIRHb9h uAF0OTW2fH2K tbwXLvxIV3yn Nx9UAvcXOhFs ouMqUwKhXPra EcAeQUARSdvX 0EffBxYpKSet

ID 主病名 薬品 投与量 ・・・

DpjHOVHpztQp wLGLNprXK84w G27S7lPXQXtC gyftuytir6TI 6ias1wFBassd V88xY8nTTNSx mCyUeAhjR6de QjfRqDivgKOF PxPoTgBilFpS kTFCC7xe5bQO oa7yDLUekBGz 297AywjoViPG

・・・ ・・・ ・・・ ・・・

37

関数名 説明

sec.mean 平均

sec.var 不偏分散

sec.median 中央値

sec.max 最大値

sec.min 最小値

sec.subset.eq 条件式によるフィルタリング（= 一致）

sec.subset.gt 条件式によるフィルタリング（> より大きい）

sec.subset.ge 条件式によるフィルタリング（>= 以上）

sec.subset.lt 条件式によるフィルタリング（< より小さい）

sec.subset.le 条件式によるフィルタリング（<= 以下）

sec.subset.ne 条件式によるフィルタリング（!= 不一致）

sec.shuffle レコードの順序をランダムに置換 sec.xtabs 集計

表 1: 秘密計算による各種統計演算関数

38

計算時間 （計算時間内訳）

[sec] 秘密計算 その他

平均 6.14 5.71 0.43

中央値 82.30 81.88 0.43

条件フィルタ (投与量1) = 10 7.76 5.56 2.20

(投与量1) > 10 38.41 36.20 2.20

集計 主病名 86.74 86.15 0.59

主病名, 性別 172.66 171.81 0.85

対象データのレコード数 : 50,001 件

表 2: 秘密計算による各種統計演算処理時間の測定結果

39

40

41

ご清聴ありがとうございました。