さいたま市民医療センター、患者ID含む手術画像約200枚を保存した電子記録媒体を紛失―パスワード保護なし

社会医療法人さいたま市民医療センターは2026年10月6日、患者の個人情報を含む電子記録媒体を紛失したと公表しました。

紛失した媒体には、同センターで実施した外科手術の手術部位（術野）や、採取した組織などの検体を撮影した画像が約200枚保存されていました。検体画像の一部には、患者との照合に使用する患者IDを記載した紙片が写り込んでいます。

媒体にはパスワードが設定されておらず、第三者が入手した場合には保存画像を閲覧できる状態でした。10月1日時点で発見には至っておらず、院外への持ち出し・流出は確認されていないものの、その可能性を否定できないとしています。

さいたま市民医療センターの電子記録媒体紛失のサマリー

• さいたま市民医療センターが2026年10月6日、個人情報を含む電子記録媒体の紛失を公表
• 媒体には外科手術の術野や検体を撮影した画像を保存
• 漏えいのおそれがある画像は約200枚
• 検体画像には患者IDを記載した紙片が写り込んでいるものがある
• 顔写真など、画像だけで患者を容易に特定できるものは含まれていない
• 電子記録媒体にはパスワード保護が設定されていなかった
• 第三者が入手した場合、保存画像を閲覧できる状態
• 2026年10月1日時点で媒体は未発見
• 院外への持ち出し・流出は確認されていないが、可能性を否定できない
• 公表時点で情報漏えいによる被害は確認されていない
• 対象患者には個別に説明と謝罪を実施
• センターは個人情報の管理体制を強化し再発防止を進める方針

外科手術の術野・検体画像約200枚を保存

紛失した電子記録媒体には、さいたま市民医療センターで行われた外科手術について、手術中・手術後に撮影した術野や採取した組織等の検体画像が保存されていました。

漏えいのおそれがある情報として公表されたのは、

• 外科手術の術野画像
• 検体画像
• 患者IDが写り込んだ画像

を含む約200枚です。

検体画像には患者との照合を目的として、患者IDを記載した紙片が写り込んでいるものがあります。

一方、顔写真など、画像そのものから患者を容易に特定できる情報は含まれていないとしています。

今回の発表では、電子記録媒体の種類は明らかにされていません。そのため、USBメモリ、SDカード、外付けストレージなど特定の媒体だったとは断定できません。

パスワード保護なし、第三者が取得すれば閲覧可能な状態

今回の事案で大きな問題となるのが、紛失した電子記録媒体にパスワードによる保護が設定されていなかった点です。

さいたま市民医療センターは、第三者が媒体を入手した場合、保存された画像を閲覧できる状態だったと説明しています。

10月1日時点では媒体は発見されておらず、院外へ持ち出された、またはデータが外部へ流出した事実は確認されていません。

一方、所在を確認できていないため、外部流出の可能性を否定できないとして公表しています。

現時点では情報の不正利用などの被害は確認されていません。

同時期インシデント：さいたま市民医療センター、患者写真など個人情報漏えいのおそれ　職員専用ページの添付ファイルが第三者から閲覧可能な状態に

手術画像などの診療情報は慎重な管理が必要

個人情報保護委員会は、医療機関で診療や調剤の過程において医療従事者が知り得た患者の身体状況、病状、治療状況などを「要配慮個人情報」の具体例として示しています。

今回紛失した媒体には、患者IDとともに外科手術の術野や検体を撮影した診療関連画像が保存されていました。

医療機関では氏名や住所だけでなく、

• 診断内容
• 治療内容
• 手術情報
• 検査結果
• 診療画像

なども、漏えい時に患者のプライバシーへ影響を与える情報として管理する必要があります。

個人情報保護委員会と厚生労働省の医療・介護分野向けガイダンスでも、医療・介護関係事業者は個人データの性質に応じ、組織的・人的・物理的・技術的な安全管理措置を講じるよう示しています。

厚労省ガイドラインも「可搬媒体の盗難・紛失」をリスクとして明記

厚生労働省の「医療情報システムの安全管理に関するガイドライン」では、医療情報を格納した可搬媒体に関するリスクとして、

• 持ち出し
• コピー
• 不適切な廃棄
• 盗難
• 紛失
• 可搬媒体を介したマルウェア感染

などを挙げています。

医療情報を電子媒体へ保存する場合、サイバー攻撃への対策だけでなく、媒体そのものの所在管理や持ち出し管理も情報セキュリティ対策の対象になります。

今回の事案では、さらに媒体へパスワードが設定されていなかったため、紛失後に第三者が取得した場合の閲覧防止策が機能しない状態でした。

2026年も医療機関で記録媒体の紛失が相次ぐ

医療機関では2026年にも、患者情報を保存した電子記録媒体の紛失が複数公表されています。

関西医科大学附属病院では、脳神経内科の医師が患者約1,800人分の氏名、患者ID、病名、入退院日などを保存したUSBメモリを一時紛失しました。媒体は後に回収されています。

詳細は関西医科大学附属病院、患者約1,800人の個人情報入りUSBメモリを一時紛失で整理しています。

また、多根総合病院では、委託先事業者の従業員が患者379人分の氏名、病名、術式、診療科などを含むUSBメモリを紛失しています。

多根総合病院のUSBメモリ紛失事案では、院内で使用する前提だった記録媒体が所在不明となりました。

今回のさいたま市民医療センターの事案も、サイバー攻撃ではなく、物理的な記録媒体の管理を起点とする情報漏えいリスクです。

医療機関が確認したい電子記録媒体の管理

医療機関で患者情報を可搬媒体へ保存する運用がある場合、次の点を確認できます。

• 患者情報を保存できる媒体を組織が承認したものに限定しているか
• 私物のUSBメモリやSDカードなどを使用できない設定にしているか
• 媒体ごとに管理番号を付与し、貸出・返却・保管状況を記録しているか
• 患者情報を保存する媒体に暗号化やパスワード保護を設定しているか
• 保存する情報を業務上必要な最小限に絞っているか
• 撮影画像に患者IDや氏名を写し込む必要性を見直しているか
• 使用後に速やかに安全な院内システムへ移し、媒体上のデータを削除しているか
• 紛失時の捜索、報告、対象患者の特定、関係機関への報告手順を定めているか

記録媒体の紛失はセキュリティインシデントの一つです。

媒体を紛失しない運用に加え、紛失しても第三者がデータを容易に閲覧できない状態にしておくことで、事故発生後の情報漏えいリスクを抑えられます。

出典

• 個人情報を含む電子記録媒体の紛失に関するお知らせとお詫び – 社会医療法人さいたま市民医療センター
• 医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス – 個人情報保護委員会・厚生労働省
• 医療・介護関係事業者において取り扱う「要配慮個人情報」には、具体的にどのようなものがありますか – 個人情報保護委員会
• 医療情報システムの安全管理に関するガイドライン 第6.0版 – 厚生労働省