電子カルテは無事だった。でも、1,365人分の医療情報は漏れていた。藤田医科大学病院の事案が突きつけた「出口の盲点」

個人PCに保存しただけ」が引き起こした1,365件の医療情報漏洩：基幹病院のセキュリティが守れなかった、たった一つの盲点

藤田医科大学病院で発生した個人情報漏洩の事案は、電子カルテが破られたわけでも、外部からのサイバー攻撃でシステムが停止したわけでもありません。「院内規程に反して、個人PCに保存されていた患者データ」が流出経路になりました。善意の職員、日常の持ち帰り作業、そしてサポート詐欺という、現場にありふれた三つの要素が重なっただけで、1,365人分の腎不全・透析患者の要配慮個人情報が外部に漏洩した可能性があります。この事案を起点に、基幹病院に求められるセキュリティ対策の現在地、行政の義務化の流れ、そして介護・障害福祉事業者にとっての教訓を、現場の視点から整理します。

何が起きたのか：事案の骨格

令和8年6月3日、藤田医科大学病院（愛知県豊明市）は、個人情報漏洩に関するご報告とお詫びを公表しました。

内容を整理します。

当院に勤務する看護師が、院内規程に反して患者情報を個人のノートパソコンに保存していました。5月25日、その看護師が自宅でウェブを閲覧していたところ、突然、警告音とともに画面が停止。表示された先に連絡し、送られたURLにアクセスしたことで、個人PCへの不正侵入と遠隔操作を許しました。さらに「ウイルス駆除費用」として金銭まで請求されています。

その後、5月28日から30日にかけて身に覚えのないクレジット請求やアカウント変更の通知が届き、30日に専門業者へ調査を依頼。情報漏洩の可能性を指摘されて、同日、病院へ報告しました。病院の情報システム管理部門が調査した結果、「電子カルテを含む病院本体のシステムへの影響はない」ことが確認されています。

対象件数は1,365件。対象となった患者は、2024〜2025年に末期腎不全の病名登録がある患者、2004〜2025年に腹膜透析を受けた患者、2021〜2024年に腎代替療法指導を受けた患者で、氏名・性別・生年月日・患者ID・病名・転帰・入退院日・検査データが含まれています。住所・電話番号・マイナンバー・クレジットカード情報は含まれていないとされています。

公表文の末尾には、病院側の対応として、対象患者への謝罪と経過報告、相談窓口の設置、全職員への個人情報保護研修、発生プロセスの検証と再発防止が明記されています。

藤田医科大学病院「個人情報漏洩に関するご報告とお詫び」（令和8年6月3日）

住所が入っていないから軽い、とはならない

「住所や電話番号が含まれていないので、被害は限定的では」と受け取る方もいるかもしれません。しかし、医療分野でその判断は通用しません。

個人情報保護委員会は、医療機関に対し、「要配慮個人情報」を含む個人データの漏洩等が発生した場合、または発生したおそれがある場合には、同委員会への報告と本人通知が義務であると明示しています。今回漏洩した可能性のある情報——末期腎不全、腹膜透析、腎代替療法指導、病名、検査データ——は、その「要配慮個人情報」に該当します。

さらに、今回は対象人数が1,365件であり、個人情報保護法上の報告・通知義務の対象となる「1,000人超の漏洩」にも該当します。病名・病歴の漏洩それ自体が1人でも義務の対象になる要件のうえ、件数でも義務要件を満たしています。二重の意味で、重大な事案です。

個人情報保護委員会「医療機関における個人情報の取扱いに関する注意喚起」

透析患者にとって、治療歴や検査データは就労や保険の場面でも影響を及ぼし得ます。「情報が何に使われたかわからない」という不安は、データの内容と切り離せません。

今回概要まとめ図