大阪公立大学医学部附属病院、取引業者が患者のX線画像13件をスマホ撮影し情報漏洩

大阪公立大学医学部附属病院は2026年8月12日、手術室内で取引業者の従業員が患者情報を含むX線画像をスマートフォンで撮影し、院外へ持ち出していた事案を公表しました。

同院によると、2025年10月、患者の同意を得ることなく、取引業者の従業員がX線画像を表示したモニター画面をスマートフォンで計13件撮影していました。このうち1件には患者の氏名が表示されていました。

調査の結果、撮影された画像は取引業者の社内で共有されていたことが判明しています。一方、現時点で取引業者の社外への提供や、それ以外の外部への流出は確認されていません。同院は対象患者へ事情を説明し、直接謝罪しています。

大阪公立大学医学部附属病院の画像持ち出し事案のサマリー

• 大阪公立大学医学部附属病院は2026年8月12日、患者情報を含むX線画像が不適切に撮影・院外へ持ち出された事案を公表しました。
• 2025年10月、取引業者の従業員が手術室内のモニターに表示されたX線画像をスマートフォンで撮影しました。
• 撮影された画像は計13件です。
• 13件のうち1件には患者の氏名が表示されていました。
• 患者から撮影についての同意は得ていませんでした。
• 取引業者は「病院関係者から口頭で撮影の許可を得ていた」と説明していますが、病院の調査では、そのような事実を確認できなかったとしています。
• 撮影画像は取引業者の社内で共有されていました。
• 現時点で取引業者の社外への提供や、それ以外の外部流出は確認されていません。
• 対象となる患者には病院が事情を説明し、直接謝罪しています。
• 病院は院内での写真・動画撮影を原則禁止としており、改めて全職員へ個人情報保護と撮影禁止ルールを周知しました。
• 当該取引業者に対しては厳正に対処するとしています。
• 個人情報保護委員会への報告状況は、公表資料では確認できませんでした。

項目	内容
公表日	2026年8月12日
対象組織	大阪公立大学医学部附属病院
発生時期	2025年10月
行為者	同院の取引業者の従業員
事案	手術室内のX線画像をスマートフォンで撮影し、院外へ持ち出し
漏えい情報の内容	患者情報を含むX線画像。計13件のうち1件には患者の氏名が表示
件数	撮影画像13件。氏名が表示されていた画像は1件
情報共有の範囲	撮影画像が取引業者の社内で共有されていたことを確認
外部流出の状況	取引業者の社外への提供や、それ以外の外部への流出は現時点で確認されていません
対応状況	対象患者へ説明・謝罪。全職員へ個人情報保護と撮影禁止ルールを再周知。当該取引業者に厳正に対処する方針
個人情報保護委員会への報告状況	公表資料では確認できませんでした

取引業者が手術室でX線画像13件をスマートフォン撮影

大阪公立大学医学部附属病院によると、事案が発生したのは2025年10月です。

同院の手術室内で、取引業者の従業員がX線画像を表示したモニター画面をスマートフォンで撮影し、計13件の画像を院外へ持ち出していました。

撮影は患者の同意を得ることなく行われていました。

取引業者からは「当院関係者より口頭で撮影の許可を得ていた」との説明があったとしています。一方、大阪公立大学医学部附属病院が調査した結果、そのような許可が行われた事実は確認できませんでした。

このため、仮に業務上の目的があったとしても、患者の同意や院内の正式な承認手続きが確認されない状態で、個人のスマートフォンを用いて患者情報を撮影・院外へ持ち出したことが問題となります。

なお、公表資料では、取引業者の会社名、撮影を行った具体的な業務目的、病院が本事案を把握した時期については確認できませんでした。

関連：SNS投稿による個人情報漏洩のまとめ 2025〜2026年の国内事例と組織が今すぐ取るべき対策

13件のうち1件に患者氏名、取引業者の社内で共有

撮影された画像は計13件で、このうち1件には患者の氏名が表示されていました。

さらに病院の調査により、撮影された画像が取引業者の社内で共有されていたことも判明しています。

一方、現時点では取引業者の社外への提供や、それ以外の外部への流出は確認されていません。

公表資料から確認できる氏名以外の具体的な個人情報については明らかにされておらず、13件の画像が何人の患者に関するものだったのかも確認できませんでした。このため、「13人分の個人情報が漏えいした」と読み替えることはできません。

また、SNSへの投稿やインターネット上への公開が行われたとの発表もありません。

「口頭で許可」と業者側が説明、病院は事実を確認できず

今回の事案で特徴的なのは、取引業者側と病院側で撮影許可をめぐる説明が一致していない点です。

取引業者は、病院関係者から口頭で撮影の許可を得ていたと説明しました。しかし、大阪公立大学医学部附属病院の調査では、そのような事実の確認には至っていません。

医療機関では、医療機器メーカーや保守事業者、システムベンダーなど外部の取引業者が診療区域に入る機会があります。業務上、機器や画面の状態を記録する必要が生じる場合でも、患者情報が表示されている状態での撮影を認めるのか、誰が許可できるのか、撮影したデータをどの端末で管理し、院外へ持ち出せるのかを明確にしておく必要があります。

口頭での許可に依存すると、後から承認の有無や範囲を確認できません。特に患者情報を含む可能性がある撮影については、事前申請や承認記録を残し、撮影範囲や保存先、削除時期まで管理することが重要です。

病院内のスマートフォン撮影はSNS投稿以外でも情報漏えいにつながる

セキュリティ対策Labでは、医療機関内で撮影した写真や動画から患者情報が漏えいした事案を複数取り上げています。

2026年4月に公表された武蔵野徳洲会病院、職員がSNSに投稿した動画に患者48名の氏名が含まれていたことが判明では、職員がSNSへ投稿した動画に患者48名の氏名が含まれていたことが判明しました。同院は再発防止策として、SNS利用ガイドラインの策定・周知や、院内における撮影機器の使用ルールの見直しなどを進めています。

今回の大阪公立大学医学部附属病院の事案はSNS投稿ではなく、取引業者による撮影と院外持ち出し、取引業者社内での共有という点で経路が異なります。

一方、両事案に共通するのは、スマートフォンなどの撮影機器によって、院内の患者情報が医療機関の管理領域外へ容易に移動できてしまう点です。

SNS利用だけを禁止・制限しても、私物スマートフォンでの撮影、クラウドへの自動バックアップ、メッセージアプリでの共有、委託先社内での転送などを十分に管理できなければ、患者情報が組織外へ移動するリスクは残ります。

撮影禁止ルールを全職員へ再周知、取引業者には厳正対処

大阪公立大学医学部附属病院では従来から、院内における写真・動画撮影を原則禁止としていました。

今回の事案を受け、改めて全職員に対して個人情報保護の重要性と撮影禁止ルールを周知徹底したとしています。

また、撮影を行った従業員が所属する取引業者については、厳正に対処する方針です。

対象となる患者には病院から事情を説明し、直接謝罪しています。

一方、公表資料では、取引業者に対して具体的にどのような措置を取るのか、撮影された画像の削除をどのように確認したのか、取引業者社内で何人が画像を閲覧・共有したのかについては確認できませんでした。

個人情報保護委員会への報告状況についても、公表資料では確認できませんでした。

フィッシングやなりすましなど二次被害の可能性

現時点で、撮影画像が取引業者の社外へ提供されたことや、インターネット上へ流出したことは確認されていません。

また、本事案を起点とするフィッシング、なりすまし、不審な電話などの二次被害についても、公式発表では確認できませんでした。

今回、具体的に公表されている識別情報は1件の画像に表示されていた患者氏名であり、メールアドレスや電話番号、住所などが含まれていたとの発表はありません。そのため、本事案の情報だけを用いて直接メールやSMSによるフィッシングを行えると断定することはできません。

ただし、患者氏名と医療機関への受診・治療に関連する画像が結び付くこと自体、プライバシー上の影響が大きい情報です。仮に他の情報と組み合わせて悪用された場合には、病院や医療関係者、取引業者を装った連絡などに利用される可能性があります。

対象者や関係者は、病院や取引業者を名乗る連絡であっても、身に覚えのない手続きや個人情報の追加提供、金銭の支払いなどを求められた場合には、公式の連絡先から確認することが重要です。

情報システム部門への示唆

今回の事案は、患者情報の管理対象を電子カルテや医療情報システムだけに限定してはいけないことを示しています。

モニター上に表示された情報は、スマートフォンで撮影されれば瞬時に病院の管理外へコピーできます。システム上でアクセス制御やログ管理を徹底していても、画面そのものを撮影する行為までは通常のシステムログで把握できません。

医療機関の情報システム部門やセキュリティ担当者は、院内の撮影ルールについて、職員だけでなく、医療機器メーカー、保守事業者、システムベンダー、委託スタッフなど患者情報に接触し得る外部関係者まで対象にする必要があります。

特に、撮影が業務上必要となるケースでは、「撮影禁止」だけで運用するのではなく、誰が撮影を承認できるのか、患者情報をマスキングするのか、病院管理端末を使用するのか、私物スマートフォンを禁止するのか、撮影データをどこへ保存するのか、業務完了後にどう削除・確認するのかまで手順化することが重要です。

また、取引業者との契約や秘密保持条項、個人情報取扱規程についても、院内での撮影、データ持ち出し、再共有、クラウド保存などを具体的に禁止・制限できているか確認する必要があります。

武蔵野徳洲会病院のSNS動画事案のように、職員による撮影・投稿だけでなく、今回のような取引業者による撮影・持ち出しも含めて考えると、医療機関では「誰が」「どの端末で」「何を撮影できるのか」を統一的に管理することが求められます。

出典

• 個人情報を含む画像の不適切な撮影ならびに持ち出しに関するお詫びとご報告 – 大阪公立大学医学部附属病院
• 武蔵野徳洲会病院、職員がSNSに投稿した動画に患者48名の氏名が含まれていたことが判明 – セキュリティ対策Lab