東邦大学医療センター大森病院、委託業者がペースメーカプログラマを紛失 — 患者の設定・測定データや病名が保存

項目	内容
公表日	2026年5月28日
対象組織・業界	東邦大学医療センター大森病院／医療機関
事象	業務委託先におけるペースメーカプログラマ（患者データ保存機器）の紛失
委託先	エムシー
情報源	Security NEXT（2026年5月28日）

概要

東邦大学医療センター大森病院は2026年5月28日、業務委託先であるエムシーにおいて、患者情報を保存したペースメーカプログラマが所在不明になったと公表しました。

ペースメーカプログラマは、体内に植え込まれたペースメーカの設定変更や動作データの読み出しを行う専用機器です。同院によると、機器には以下の情報が保存されていた可能性があります。

• 氏名
• 生年月日
• 同院の診察券番号
• 外来時におけるペースメーカの設定および測定データ
• ペースメーカが必要となった病名

対象患者数は現時点で公表されておらず、同院はデータの保存期間を踏まえて対象となる患者を特定するとしています。

経緯

• 業務委託先において、患者情報を保存したペースメーカプログラマが所在不明であることが判明
• 同院は委託先に対し、紛失の経緯と管理状況の報告を求め、事実関係と原因の特定を進行
• 対象患者への順次連絡を実施
• 2026年5月28日: 公表

紛失した時期・判明した時期は公表されていません。

原因

紛失の経緯・原因は公表されておらず、同院が委託先に報告を求めている段階です。盗難であったか、移動・保管過程での置き忘れであったかも明らかになっていません。

考えられる原因（推測）

以下は公表された事実からの推測であり、同院が公表したものではありません。

1. 機器が施設間を移動する運用だった可能性: ペースメーカプログラマは、外来診療・病棟・手術室・場合によっては複数施設をまたいで持ち回られる機器です。委託業者が管理していたという点からは、機器そのものが病院の資産管理台帳の外側、あるいは持ち出し記録の対象外に置かれていた可能性が考えられます。
2. 「診断用機器」であって「情報端末」として扱われていなかった可能性: プログラマは医療機器として管理される一方、内部には患者データが蓄積されます。PC・タブレット・USBメモリであれば持ち出し申請・暗号化・棚卸しの対象になる組織でも、専用医療機器は情報資産の棚卸し対象から漏れやすいという構造があります。対象患者数を即座に言えず「データの保存期間を踏まえて特定する」としている点は、機器内に何件のデータが蓄積されていたかを台帳側から把握していなかったことを示唆します。
3. 機器内データの保持ポリシーが設定されていなかった可能性: 測定のたびにデータが機器内に残り続ける設定であれば、蓄積期間の長さがそのまま漏えい候補件数になります。

いずれも推測であり、公表された事実は機器が所在不明であることと、保存されていた可能性のある項目までです。

対策

組織が学ぶべきこと

1. 情報資産の棚卸しは、PC・スマホの外側にこそ穴がある

情報セキュリティの棚卸しは、PC・サーバ・スマートフォン・外部記憶媒体を対象に整備されている組織が多い一方、業務専用機器の内部ストレージは対象から外れがちです。医療分野のプログラマ・解析装置・ポータブル検査機器、製造業の測定器・検査装置、建設・物流の携帯端末——いずれも「機器」として管理され、「情報を持ち出す媒体」としては数えられていないケースがあります。台帳の列に「内部に個人情報を保持するか」「保持する場合の最大保持件数・期間」を追加するだけで、事故時に語れることが大きく変わります。

2. 委託先が持つ機器は、委託元の管理設計に含める

本件の機器は委託先が管理していました。委託契約において、個人データを保持する機器の保管場所・持ち出し記録・紛失時の報告期限が具体的に定められていたかどうかが、事後の対応速度を決めます。「個人情報を適切に管理すること」という抽象的な条項では、紛失が起きてから初めて管理状況の報告を求めることになり、事実確認そのものが委託先の記録水準に依存します。

3. 要配慮個人情報を含む機器は、紛失時の説明範囲があらかじめ決まる

本件で保存されていた可能性のある「ペースメーカが必要となった病名」は、要配慮個人情報に該当します。氏名・生年月日と組み合わさることで、特定の個人の医療状態が識別可能な形になります。この種のデータを保持する機器は、紛失した瞬間に説明責任の水準が上がることを前提に、暗号化・自動消去・保持期間の上限といった機器側の設定を先に決めておく必要があります。

ヤグラの視点 — 影響範囲の特定：「対象患者は何人か」に、いつ答えられるか

委託先が物理的な機器を紛失することを技術で止める手段はなく、ここで書けるのは資産管理と契約設計の話に限られます。

そのうえで、この事案が示している問題は、サイバー攻撃の事案とまったく同じ形をしています。失われた入れ物の中身を、事後にどこまで正確に言えるかです。

同院の公表には、対象患者数がありません。代わりに「データの保存期間を踏まえて対象となる患者について特定する」という記述があります。これは誠実な説明ですが、裏を返せば機器の中に何件・誰のデータが入っていたかを、機器を失った後に推定で組み立てているということです。プログラマを使った外来の記録から逆算し、保存期間の設定と突き合わせ、対象を絞り込む——この作業には時間がかかり、その間、患者への通知は始められません。

同じ構図は、サーバ侵害で「アクセスされた可能性のあるデータの範囲」を後から確定する作業と変わりません。差があるとすれば、サーバであればログという事後の手がかりが残るのに対し、持ち出された機器には手がかりが一切残らないという点です。だからこそ、機器側の情報は事前にしか作れません。「この機器には、直近◯カ月・最大◯件の患者データが保持される」という一行を、機器の導入時に台帳へ書いておく。それだけで、紛失時に最初の24時間で言えることが変わります。

影響範囲を語れるかどうかは、事故が起きてからの努力ではほとんど決まりません。 平時の台帳の解像度で、ほぼ決まっています。

今後の対応

同院は委託先に紛失の経緯と管理状況の報告を求め、事実関係と原因の特定を進めています。対象患者の特定と順次連絡が続いており、対象者数・紛失経緯・機器の発見有無に関する続報が注視されます。

更新履歴

日時	内容
2026-05-28	初稿公開（公表日時点）