佐賀県医療センター好生館、職員が会合で患者の入院・病状を示唆する発言 — 停職30日の懲戒処分

項目	内容
発生日	2026年3月（発言があった時期） / 2026年4月中旬（判明）
対象組織・業界	地方独立行政法人佐賀県医療センター好生館（医療）
攻撃手法	攻撃なし・システム経由でもない（職員による口頭での患者情報の開示）
情報源	Security NEXT（2026年7月3日）

概要

地方独立行政法人佐賀県医療センター好生館は、2026年7月3日、職員が外部関係者の参加する会合において、業務上知り得た患者の入院の事実や病状を示唆する内容の発言を行っていたことを公表しました。

対象となったのは患者1人分の情報で、漏えいした内容は入院の事実と病状に関する情報です。同館は外部からの指摘を受けて調査を実施し、発言の事実を確認。対象患者へ経緯を説明して謝罪するとともに、当該職員を2026年6月26日付で停職30日の懲戒処分としました。

経緯

• 2026年3月: 職員が外部関係者が参加する会合で、患者の入院の事実・病状を示唆する発言を行う
• 2026年4月中旬: 外部からの指摘を受けて事案が判明。調査を実施し発言の事実を確認
• 2026年6月26日: 当該職員を停職30日の懲戒処分
• 2026年7月3日: 公表。対象患者への経緯説明と謝罪を実施

原因

原因は、職員が業務上知り得た患者情報について、守秘義務の対象であることを踏まえた行動が取れていなかったことにあります。システムの脆弱性やメール誤送信のような技術的経路は一切関与していません。

考えられる背景（推測）: 会合の場での発言は、多くの場合「患者名を明言した」という形ではなく、特定の人物と結びつく話題の中で入院の事実に触れる、症状を示唆する言い方をするという形で成立します。同館の公表が「示唆する内容の発言」という表現を用いているのも、そうした間接的な言及であった可能性を示します。地域の医療機関では患者と職員が地域社会で接点を持つことが多く、業務上の情報と私的な会話の境界が曖昧になりやすい構造的な事情が背景にあると考えられます。ただし、本件で会合の性質や発言の具体的経緯は公表されていません。

対策

組織が学ぶべきこと

1. 「1件」の重みは件数では測れない

本件で漏えいしたのは患者1人分の情報です。しかし内容は入院の事実と病状——個人情報保護法上の要配慮個人情報に該当し、本人にとっては数万件の氏名リスト漏えいよりも重大な影響を及ぼし得る種類の情報です。停職30日という処分の重さは、件数ではなく情報の性質に対する評価と読み取れます。件数ベースのリスク評価だけを運用している組織は、この観点を評価軸に組み込む必要があります。

2. 技術的統制の外側にある漏えい経路

アクセス権限の最小化、監査ログ、電子カルテの持ち出し制限——医療機関が積み上げてきた技術的統制は、いずれも「システムを通じた情報の移動」を対象にしています。本件はそのすべてを迂回します。職員の頭の中にある情報が口頭で外部に出る経路に対しては、技術的な検知手段が存在せず、外部からの指摘でしか発覚しないという点が本件の本質です。

3. 「外部指摘で判明」までの1か月

発言は3月、判明は4月中旬です。外部からの指摘がなければ、この事案は発覚していなかった可能性が高い。組織として設計すべきは、患者・地域住民からの申し出を受け付け、確実に調査に乗せる窓口です。苦情処理と情報漏えい調査が別ルートになっている組織では、「気になる話を聞いた」という申し出が調査に到達しません。

ヤグラの視点 — 役職別・部門別のリアリティ：画一的な情報セキュリティ研修では届かない領域

ログ監視もメールフィルタも権限管理も、会合の場で人が話した内容には届きません。この類型に対して有効なのは、教育設計の見直しだけです。

多くの組織の情報セキュリティ研修は、フィッシングメール、USBメモリ、パスワード管理といった「情報システム利用者としての振る舞い」を中心に構成されています。しかし医療従事者にとって最も現実的な漏えいリスクは、そこではなく「地域社会の中で患者と接点を持ちながら働く」という職務環境そのものに埋め込まれているのです。同じことは、顧客の与信情報を扱う金融の現場、生徒の家庭事情を扱う教育の現場にも当てはまります。

つまり、研修は職種・部門ごとにその現場でこそ起きる形のシナリオで設計されなければ機能しません。「懇親会で患者の話題が出たときにどう言葉を切るか」「取引先との会食で顧客名を出さずに事例を語るにはどうするか」——こうした具体的な分岐が扱われて初めて、守秘義務は知識から行動になります。ヤグラの アウェアネス が重視しているのも、画一的な訓練シナリオではなく組織・立場ごとのリアリティに沿った設計という点です。本件のような口頭での漏えいまで製品が捕捉できるわけではありませんが、「自分の現場では何が漏えいなのか」を職員が具体的に想像できる状態をつくることが、この類型に対する唯一の実効的な備えです。

今後の対応

同館は対象患者への説明と謝罪を完了し、当該職員への懲戒処分も実施済みです。再発防止策としてどのような研修・運用の見直しを行うかは公表されておらず、続報を注視します。

更新履歴

日時	内容
2026-08-03	過去アーカイブとして記事化（キュレーション）