済生会宇都宮病院、患者196名の情報を他医療機関の開業案内DMに目的外利用調査結果と再発防止策を公表|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月05日更新日時: 2026年08月05日

栃木県済生会宇都宮病院は2026年8月3日、同院職員による患者情報の目的外利用事案について、調査結果と再発防止策を公表しました。公表内容によれば、当院職員により、他医療機関の新規開業案内のダイレクトメールが患者196名宛てに送付されていたことが確定しました。

同院は、外部の印刷会社、発送代行会社、開業先スタッフ等の第三者への患者データ提供や外部流出は認められず、現時点で患者情報の悪用や二次被害も確認されていないと説明しています。一方で、医療機関における患者情報の目的外利用は、外部からのサイバー攻撃とは別の形で信頼を損なう事案です。データ抽出権限、記録媒体管理、持ち出し制御、ログ確認、職員教育の実効性が改めて問われます。

済生会宇都宮病院の患者情報目的外利用事案のサマリー

済生会宇都宮病院は2026年8月3日、患者情報の目的外利用事案について調査結果と再発防止策を公表しました。
調査の結果、当院職員により、他医療機関の新規開業案内DMが合計196名の患者宛てに送付されていたことが確定しました。
目的は新規開院したクリニックの集客とされ、同院在職医師を含む関係者への直接的な金銭的利益の受領はないと確認されています。
USBメモリ本体1本と紙資料は全て回収・保全され、対象端末内の保存フォルダや一時保存領域にデータが残存していないことも確認したとしています。
外部の印刷会社、発送代行会社、開業先スタッフ等への患者データ提供や外部漏洩は認められず、患者情報の悪用や二次被害も現時点で確認されていません。
再発防止策として、全職員向け個人情報保護研修、データ抽出・提供ルールの刷新、関与職員への就業規則等に基づく厳正な対応が示されています。

整理表

項目	内容
公表日	2026年8月3日
初回公表日	2026年6月30日
公表組織	栃木県済生会宇都宮病院
事案の種別	患者情報の目的外利用、内部者による不適切な情報利用
対象者	患者196名
利用された情報	公表資料では、患者の氏名・住所等と説明
利用目的	他医療機関の新規開業案内DMの送付
目的と利益	新規開院したクリニックの集客が目的。直接的な金銭的利益の受領はなしと確認
第三者提供・外部漏洩	外部の印刷会社、発送代行会社、開業先スタッフ等への患者データ提供や外部流出は認められないと説明
二次被害	不審な着信、金銭要求、詐欺、外部拡散等は現時点で確認されていないと説明
回収・削除対応	USBメモリ本体1本と紙資料を回収・保全。対象端末内のデータ残存がないことを確認
個人情報保護委員会への報告状況	2026年8月3日の公表資料上、個人情報保護委員会への報告有無は明記されていません。初回公表では、必要に応じて関係機関への報告・相談を行うとしています
再発防止策	全職員研修、データ抽出・提供ルールの刷新、関与職員への厳正な対応
問い合わせ窓口	本件調査担当、電話 028-626-5500、受付時間平日9時から17時

何が起きたか

済生会宇都宮病院は2026年6月30日、同院職員が患者の氏名・住所等を利用し、同院以外の医療機関の開業案内DMを患者宛てに郵送していたことが判明したと公表しました。初回公表時点では、当該職員から、患者の住所・氏名等を開業案内DMの郵送に使用したのみであると聞いているとされ、患者本人以外の第三者への提供または漏洩は確認されていないと説明していました。

その後、同院は調査委員会を設置し、顧問弁護士の指導・助言のもとで追加ヒアリング、実地調査、資料照合を進めました。8月3日の続報では、繰り返しのヒアリングと各種資料の突合により、DMの送付対象が合計196名であったことが確定したとしています。

今回の事案は、不正アクセスやランサムウェアのように外部攻撃者が病院ネットワークへ侵入したものではありません。職員が職務上接することができた患者情報を、本来の診療・医療提供等の目的とは異なる用途に利用した疑いが中心です。情報漏洩対策を考える際、外部攻撃への備えだけでなく、内部者による目的外利用をどう防ぐかが重要になります。

調査で確定した事実

済生会宇都宮病院の調査結果では、DM送付の規模は患者196名とされています。DMは他医療機関の新規開業案内であり、同院は新規開院したクリニックの集客を目的としたものと説明しています。

同院は、当院在職医師を含む関係者への直接的な金銭的利益の受領はなしと確認したとしています。ここは重要な点です。金銭の授受が確認されていないとしても、患者情報を本来の利用目的から外れて使った場合、医療機関に対する患者の信頼は大きく損なわれます。特に医療機関の患者情報は、氏名や住所だけでなく、通院の事実そのものがセンシティブに扱われるべき場面があります。

患者データの回収については、当院医師側からUSBメモリ本体1本と紙資料を全て回収・保全したとされています。さらに、同院担当者の立ち会いのもとで対象端末の実地調査を実施し、パソコン内の保存フォルダや一時保存領域にデータが残存していないこと、復元不可能な状態で完全消去されていることを目視で確認・検証したと説明しています。

第三者提供や二次被害の確認状況

8月3日の公表では、当事者へのヒアリング、システムログ確認、現場照合の結果として、外部の印刷会社、発送代行会社、開業先スタッフ等の第三者への患者データ提供や外部への漏洩は認められないと説明されています。

二次被害についても、同院は本件公表後を含め、患者情報の悪用、不審な着信、金銭要求、詐欺、外部への拡散等の事実は確認されていないとしています。とはいえ、患者情報が目的外に利用された事実が確定している以上、二次被害が現時点で確認されていないことと、内部統制上の問題が小さいことは別です。

医療機関では、診療録、診療情報、健康診断結果、保健指導内容など、個人情報保護法上も特に慎重な扱いが求められる情報を扱います。今回の公表資料で明示されている情報は氏名・住所等ですが、病院の患者宛てに他医療機関の開業案内が届くという事実は、患者側から見ると、なぜ自分の情報が使われたのかという不安につながります。目的外利用のリスクは、漏洩件数の大小だけで評価できません。

個人情報保護委員会への報告状況

インシデント記事では、個人情報保護委員会への報告状況を確認する必要があります。済生会宇都宮病院の8月3日公表資料では、個人情報保護委員会への報告有無は明記されていません。6月30日の初回公表では、必要に応じて関係機関への報告・相談を行うと説明されていますが、個人情報保護委員会への報告を完了したかどうかまでは、公表資料上では確認できませんでした。

個人情報保護委員会は、要配慮個人情報が含まれる個人データの漏洩等が発生し、または発生したおそれがある場合などについて、報告や本人通知の対象になることを整理しています。医療・介護関係事業者についても、病歴、診療情報、健康診断結果、保健指導内容などが要配慮個人情報に該当し得るとされています。

今回の事案では、同院が外部漏洩や第三者提供は認められないと説明している一方、患者情報の目的外利用は確定しています。報告義務の有無は、実際に扱われたデータの内容、個人データ該当性、漏洩等またはそのおそれの評価、本人通知の必要性によって判断されるため、外部から断定することはできません。公開情報として確認できるのは、報告完了の明記がないという点にとどまります。

内部統制上の問題として見るべきポイント

今回の公表資料から読み取れる内部統制上の論点は、患者情報を誰が、どの目的で、どの範囲まで抽出できるのかという管理です。医療機関では、診療、会計、地域連携、紹介、広報、研究、採用、健診など、多くの部門が患者に関する情報に接します。業務上必要なアクセスと、目的外利用につながる過剰なアクセスの境界を明確にしなければ、内部者による不適切利用を検知しにくくなります。

一つ目の論点は、データ抽出権限です。閲覧権限と抽出権限を同じように扱うと、業務上画面で確認するだけの担当者が、一覧形式のデータを外部媒体や紙へ持ち出せてしまいます。特にCSV出力、帳票出力、宛名ラベル出力、USBメモリ保存、印刷といった機能は、閲覧よりも厳格な承認と記録が必要です。

二つ目の論点は、ログの見方です。システムログは、単に取得しているだけでは抑止になりません。患者情報を大量に検索した、通常業務と異なる患者群を抽出した、勤務時間外に一覧出力した、異動・退職・開業準備などのタイミングでアクセスが増えた、といった振る舞いを確認できる運用が必要です。今回、同院はシステムログ確認を行ったとしていますが、再発防止の観点では、事後確認だけでなく、平時のモニタリングにどうつなげるかが問われます。

三つ目の論点は、紙とUSBメモリの扱いです。今回の調査ではUSBメモリ本体1本と紙資料を回収・保全したとされています。データ漏洩というとネットワーク経由の外部送信に目が向きがちですが、医療機関では紙の一覧、宛名ラベル、USBメモリ、私物端末、持ち帰り資料が依然として重要なリスクになります。紙資料の印刷枚数、保管場所、廃棄記録、USBメモリの利用申請と暗号化、外部媒体の接続制御は、内部不正対策として軽視できません。

四つ目の論点は、関係者間の利害関係です。公表資料では、直接的な金銭的利益の受領はなしとされています。ただし、金銭授受がなくても、退職後・転職後・開業支援・紹介関係・地域医療連携など、医療機関ならではの人間関係の中で情報利用の境界が曖昧になることがあります。個人情報保護研修では、悪意ある持ち出しだけでなく、善意や応援のつもりであっても目的外利用になり得る具体例を扱う必要があります。

過去の医療機関インシデントとの共通点

医療機関の情報漏洩というと、ランサムウェアや電子カルテ停止のような外部攻撃が注目されがちです。セキュリティ対策Labでも、医療機関を標的にしたサイバー攻撃や情報漏洩事例をまとめた2025年病院・クリニックへのサイバー攻撃やインシデントによる情報漏洩事例と対策で、病院・クリニックにおける多様なインシデントを整理しています。

一方、今回の済生会宇都宮病院の事案は、外部攻撃ではなく、内部者による患者情報の不適切な取扱いです。この点では、医療従事者が患者情報を本来伝えるべきでない第三者に伝えた福島県立医科大学附属病院、医療従事者が患者情報を第三者に共有し情報漏洩や、職員による患者情報の外部発信が問題となった桜十字病院（熊本）、職員による患者の個人情報流出—SNSへの投稿が背景かと同じく、内部者リスクとして捉えるべきです。

記録媒体や端末管理という観点では、患者約1,800人の個人情報入りUSBメモリを一時紛失した関西医科大学附属病院、患者約1,800人の個人情報入りUSBメモリを一時紛失や、医師の私物PC紛失を公表した順天堂大学医学部附属練馬病院、医師の私物PCを院内で紛失、個人情報の外部流出は無しとも共通する部分があります。いずれも、情報が外部へ流出したかどうかだけでなく、持ち出し可能な状態をどこまで制御していたかが問われます。

内部不正全般の観点では、セキュリティ対策Labの内部不正や内部要因による情報漏洩の事例とセキュリティ対策でも扱っているように、技術的なアクセス制御だけでは足りません。目的外利用を防ぐには、権限設計、職務分掌、承認、ログ監査、教育、通報しやすい環境を組み合わせる必要があります。

再発防止策の内容

済生会宇都宮病院は、再発防止策として全職員向け研修、データ抽出・提供ルールの刷新、関与職員への法的な事後措置を示しました。

全職員向け研修については、集合形式の個人情報保護研修を開催し、不参加者にもeラーニング受講を義務付けたとしています。医療機関では、医師、看護師、技師、事務職、委託先、非常勤職員など、立場の異なる関係者が患者情報に触れます。研修は全員一律の法令説明で終わらせるのではなく、診療部門、事務部門、地域連携部門、広報・採用部門など、部門ごとに起こりやすい目的外利用の具体例に落とし込むことが重要です。

データ抽出・提供ルールの刷新については、同院が管理体制を見直し、院内への周知と運用の徹底・定着を進めていると説明しています。ここで重要なのは、ルールを作るだけでなく、抽出申請、承認、出力、保管、利用後の廃棄、ログ確認までを一連の手順として記録することです。患者情報の一覧出力を必要とする業務は存在しますが、目的、対象範囲、利用期間、保管場所、持ち出し有無が記録されなければ、後から妥当性を検証できません。

関与職員への対応については、同院が就業規則および院内規定に基づき厳正に対処するとしています。具体的な処分内容は公表されていません。内部不正対策では、処分そのものよりも、なぜその行為が起きたのか、どの統制が機能しなかったのか、同じ抜け道が他部門にも存在しないかを検証することが重要です。

医療機関が確認すべき実務上の対策

今回の事案から医療機関が確認すべき対策は、アクセス権限の棚卸しから始まります。患者情報を閲覧できる権限、検索できる権限、一覧出力できる権限、外部媒体へ保存できる権限、印刷できる権限を分けて確認し、業務上必要な範囲に限定する必要があります。特に、退職予定者、異動者、非常勤職員、委託先職員については、権限変更と停止のタイミングが遅れやすい部分です。

データ抽出の申請・承認フローも見直しが必要です。患者一覧や宛名データを出力する場合、利用目的、対象者の抽出条件、件数、出力形式、保存先、利用後の削除・廃棄方法を記録する運用が望まれます。医師や管理職だから自由に抽出できるという設計は、内部不正や目的外利用のリスクを高めます。

ログ監査では、大量検索や大量出力だけを検知するのでは足りません。少人数でも目的外利用になり得るため、特定診療科、特定医師の患者、退職・転職・開業と関連しそうな期間、通常業務と関係が薄い患者群へのアクセスなど、業務文脈と組み合わせた確認が必要です。ログはシステム担当者だけでなく、個人情報保護責任者、医療情報部門、内部監査部門、人事・コンプライアンス部門が連携して確認する体制が求められます。

USBメモリや紙資料の管理も実務上の盲点になりやすい領域です。USBメモリを原則禁止にするだけでなく、例外利用時の申請、貸出、暗号化、返却、消去証跡を残す必要があります。紙資料についても、印刷制限、透かし印刷、回収箱、シュレッダー処理、保管庫管理、持ち出し申請を徹底しなければ、電子的なアクセス制御だけでは目的外利用を防ぎきれません。

教育面では、患者情報を売却しない、SNSに投稿しないといった分かりやすい禁止事項だけでは不足します。患者の住所を使って案内状を送る、知人の受診状況を確認する、退職後の業務に役立ちそうな一覧を残す、地域の関係者に善意で共有する、といった身近な場面が目的外利用になり得ることを具体的に伝える必要があります。

情報システム部門への示唆

情報システム部門は、今回のような内部者による目的外利用を、単なるコンプライアンス研修の問題として扱わない方がよいです。患者情報を扱うシステムの設計と運用に、目的外利用を起こしにくくする仕組みを組み込む必要があります。

具体的には、患者情報の一覧出力機能を棚卸しし、どの画面・帳票・管理ツールから氏名、住所、連絡先、診療関連情報を抽出できるかを確認してください。そのうえで、抽出件数が一定数を超える場合の承認、USBメモリやローカル保存の制限、印刷時の利用者名・日時・端末名の付与、出力ログの定期レビューを設計する必要があります。

電子カルテや部門システムだけでなく、地域医療連携システム、予約システム、健診システム、CRM、広報・イベント管理用のリスト、Excelで管理される台帳も対象です。正規システムのアクセス制御が厳格でも、二次利用のためにエクスポートされたCSVやExcelが共有フォルダ、個人端末、USBメモリ、紙で残っていれば、統制は抜け落ちます。

二次被害対策としては、患者に対して不審な電話、郵便物、SMS、メールへの注意を促す文面を準備しておくべきです。今回の公表では二次被害は確認されていませんが、医療機関名や通院の事実を連想させる情報が悪用されれば、医療費、紹介状、保険、検査、予約変更を装った不審連絡につながる可能性があります。患者向け案内では、病院が電話で口座情報や認証番号を求めないこと、不審な連絡があった場合の連絡先を明確にすることが重要です。

内部不正対策では、検知だけでなく相談・通報の導線も必要です。患者情報の不適切利用を見聞きした職員が、上司の顔色をうかがわずに相談できる窓口を整備し、匿名相談や不利益取扱い禁止を周知することが、早期発見につながります。医療機関は職種間の上下関係が強くなりやすいため、情報システム部門だけで完結させず、個人情報保護、医療安全、内部監査、人事、法務が連携する体制が望まれます。

今回の事案は、外部流出が認められていないという点では被害拡大が限定的だった可能性があります。しかし、医療機関の信頼は、患者が自分の情報を安心して預けられるという前提に支えられています。患者情報を扱う組織は、漏洩したかどうかだけでなく、目的外に使えない設計になっているか、使った場合に発見できるか、発見後に説明できるかを点検すべきです。