承継時のカルテ引き継ぎについて

承継時のカルテ引き継ぎ(情報の取り扱いと留意点)について

承継/M＆Aを行う場合には、必然的に患者の個人情報が入った「カルテ」の引き継ぎが必要になります。
この点について法的にどのような判断になるのか、情報の取り扱いについてご説明致します。

法的問題について

まず、1番気になる点としては個人情報保護法違反^※1にならないかという点かと思いますが、結論からいうと、承継やM&Aにおいて譲渡者から譲受者に引き継がれるカルテ情報は個人情報保護法違反には該当しません。

その例外根拠は以下のとおりです。

＜個人情報保護法第23条5項2号＞

５　次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
一　個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
二　合併その他の事由による事業の承継に伴って個人データが提供される場合
三　特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

上記の「合併その他の事由による事業の承継に伴って個人データが提供される場合」において、当該個人データの提供を受ける者（譲受者）は、前各項の規定の適用については第三者に該当しないものとしています。

また、カルテの管理責任は医院の管理者になりますが、厚労省のガイドラインでの説明においても、事業承継をした場合はカルテを引き継ぐことが可能であり、引き継いだ新しい管理者にそのカルテ管理の義務が発生するとされています。

よって、承継した場合は自動的にカルテも引き継がれその管理責任も移行するという形となりますが、法律的に譲渡者がカルテ情報・患者の個人情報を譲受者に譲り渡すことは問題はない（患者の同意がなくても引き継げる）ということになります。

※1 個人情報保護法とは、個人情報の適切な取扱いについて定めた法律で、企業の大きさ問わずNPOや町内会・自治会などの団体も含め、個人情報を事業に利用するすべての事業者・団体が守らなければならない法律です。
個人情報保護法では、原則として「あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。」などの義務が課されています。

留意点

個人情報の提供を受けた譲受側は留意すべき点があります。それは、譲渡側が患者から個人情報を取得した際、どのような利用目的で取得しているかということを確認して、その利用目的の範囲内で患者のカルテ情報を利用することが必要になるということです。

＜個人情報保護法第 16 条2項＞

２　個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

カルテを譲り受けた譲受者が、利用目的の範囲外でカルテ情報を利用してしまうと、患者から情報の利用を停止または訴訟などの問題に発展する可能性があります。
もし元々の利用目的の範囲を超えてそれらの情報等を扱う場合には、予め患者の同意が必要とされていますので、カルテ情報の取り扱いには充分注意が必要です。

また、承継時に通院していない患者についても、カルテの保管期間^※2のルール上カルテ情報を引き継いで保管する必要がありますので、医業承継時は全ての情報を引き継ぎ適切に保管するように留意する必要があります。

※2 カルテの保管期間ですが、医師法上は5年間（法定保存期間）が義務付けられており、その起算日は治療が完了した日（最終診療日）とされています。
ただし、5年を超えたら破棄しても問題ないのですが、万一医療事故による損害賠償請求をされた時にはカルテが重要な資料となりますので、その損害賠償請求の消滅時効期間（請求ができなくなる期間）までは保管する方が良いとされています。
なお、2021年現在の消滅時効期間は、被害者が損害賠償請求できることを知った時（医療側の過失と損害を知った時）から5年間、医療行為の時から20年間となっています。