福島県立医科大学附属病院、職員が業務で知り得た患者情報を第三者に告知 — 対象は患者1人

項目	内容
公表日	2026年5月19日
対象組織・業界	福島県立医科大学附属病院（医療機関）
事象	職員が業務上知り得た患者情報を第三者へ告知
影響件数	患者1人分
発生日・発覚日	非公表
情報源	Security NEXT（2026年5月19日）

概要

福島県立医科大学附属病院は2026年5月19日、院内の職員が業務で知り得た患者情報を第三者へ告知していたことを公表しました。

対象は患者1人分の情報です。どの情報項目が伝えられたか、いつ発生していつ発覚したかについては公表されていません。

病院は患者および家族への謝罪を行うとともに、事実関係の詳細な調査、関係法令および学内規定に基づく厳正な処分、患者情報管理体制全般の点検と改善を実施するとしています。

経緯

• 職員が業務上知り得た患者情報を第三者へ告知（時期は非公表）
• 患者および家族への謝罪を実施
• 2026年5月19日: 福島県立医科大学附属病院が公表。事実関係の詳細調査と、関係法令・学内規定に基づく厳正な処分、患者情報管理体制全般の点検・改善を表明

原因

病院は事実関係の詳細調査を継続中としており、原因や経緯の詳細は公表されていません。件数は患者1人分にとどまり、システムへの不正アクセスや大量のデータ持ち出しを示す情報はありません。

考えられる原因（推測）: 公表内容は「業務で知り得た患者情報を第三者へ告知」であり、システムを介した漏えいではなく、職員が正規の業務のなかで得た情報を、口頭または個人的なやりとりで外部に伝えた類型と読めます。医療機関では、診療、検査、看護、会計、搬送といった多くの業務が患者情報への正規アクセスを前提に成り立っており、権限の範囲内で知り得た情報が、権限の外へ持ち出される場面はシステムの記録に残りません。厳正な処分に言及していることからは、単なる取り扱いの不注意ではなく、告知が意図的に行われた可能性も否定できませんが、公表内容からは判断できません。いずれも推測であり、確定した経緯は病院の調査結果を待つ必要があります。

対策

組織が学ぶべきこと

1. 件数1件の事案を、規模で軽く扱わない

影響を受けたのは患者1人です。データ件数で見れば最小規模ですが、医療機関における患者情報は、その1件が本人の生活・就労・人間関係に直接影響しうる要配慮個人情報です。件数を基準にした重大性判定は、この種の事案を過小評価します。病院が公表に踏み切り、処分と体制点検にまで言及しているのは、規模ではなく性質で判断した結果と読めます。

2. 「知り得た情報を話さない」を、抽象的な誓約で終わらせない

医療従事者の守秘義務は、資格教育の段階から繰り返し扱われるテーマです。にもかかわらず口外の事案が繰り返されるのは、規範として理解されていても、日常の具体的な場面に翻訳されていないからです。院外の知人から患者について尋ねられたとき。家族に今日の出来事を話すとき。SNSに勤務中の出来事を書くとき。どこからが違反にあたるかは、抽象的な守秘義務の説明からは導けません。具体的な場面をいくつも並べて判断させる形式でなければ、行動は変わりません。

3. 発生から公表までの経緯を、可能な範囲で明らかにする

本件では発生日・発覚日ともに公表されていません。患者1人という規模と、本人・家族が既に特定されていることを踏まえれば、時期の非開示には配慮上の理由が考えられます。ただし一般論として、発生から発覚までの期間は、その組織の検知能力を示す最も基本的な指標です。内部で把握できているのであれば、体制点検の出発点として扱われるべき情報です。

ヤグラの視点 — 説明責任のログ：権限の内側で起きたことを、後から辿れるか

職員が正規の権限で閲覧した情報を、口頭で外部に伝える行為に、遮断できる通信経路は存在しないためです。

そのうえで、この事案は情報セキュリティの設計における最も難しい領域を突いています。外部からの侵入は「入れないようにする」ことで防げますが、権限の内側にいる人が権限の範囲内で得た情報については、防ぐ手段がほとんどありません。

だからこそ、この領域で組織が持てる数少ない備えが、「誰が、いつ、どの患者の、どの情報にアクセスしたか」を後から辿れる状態です。これは口外そのものを止める仕組みではありません。しかし本件のように事後に事実関係の調査が必要になったとき、閲覧の記録が残っていなければ、調査は関係者の記憶と証言だけを頼りに進むことになります。

医療機関では、電子カルテへのアクセスログが取得されていること自体は一般的です。問題は、取得されているログが、実際に問い合わせに答えられる形で保管・検索できるかです。保存期間が短ければ過去の事案は追えません。診療科・職種を横断した検索ができなければ、「この患者の情報に触れられたのは誰か」という問いに答えられません。ログは事故が起きてから整備しても、その事故には間に合わない種類の備えです。

同時に、記録の存在は職員側にとっても意味を持ちます。閲覧が記録されていることが周知されている環境では、権限の範囲を超えた「必要のない閲覧」自体が抑制されます。 監視のためではなく、互いの行動を説明可能にするための記録として位置づけることが、医療現場での受け入れやすさを左右します。

今後の対応

福島県立医科大学附属病院は事実関係の詳細調査を継続しており、関係法令および学内規定に基づく処分と、患者情報管理体制全般の点検・改善を進めるとしています。調査結果に応じた続報が想定されます。

更新履歴

日時	内容
2026-05-19	初稿公開（公表日時点）