災害や感染症流行などの緊急時、医療機関は患者の安全を守るために迅速な連絡が求められます。一方で、その「急ぐ連絡」がメール運用の小さなミスを引き金に個人情報漏洩へ直結することがあります。静岡県の磐田市立総合病院で、台風接近に伴う注意喚起メールの送信をきっかけに患者の個人情報が漏洩したと報じられました。本稿では、何がリスクだったのか、医療機関が取り得る実務的な対策は何かを、個人情報保護と医療現場の運用の両面から整理します。
事案の概要：注意喚起メールが「情報流出」になる瞬間
報道によれば、台風6号の接近に伴い、特定の患者に対して注意喚起のメールが送られた際、患者32人分の個人情報が漏洩したとされています。発覚の経緯は「受信した患者からの指摘」であり、送信側が事前に誤送信を検知できなかった点も重要です。
緊急連絡の文脈では、患者に対する通知が増え、担当者も平時より負荷が高くなります。その結果、宛先欄の取り扱い（To/Cc/Bcc）や名簿のコピー＆ペーストといった単純作業でのミスが起きやすく、影響範囲も一斉送信で一気に拡大します。
なぜ起きる：医療機関のメール運用に潜む典型的な落とし穴
To/Cc/Bccの誤用によるアドレス露出
一斉メールで最も多い事故類型が、Bccで送るべき宛先をToやCcに入れてしまい、受信者同士にメールアドレスが見えてしまうケースです。メールアドレスは単体でも個人情報になり得ますが、医療機関からの連絡である以上、「その病院の患者である可能性」や「特定の診療科・治療に関係する可能性」といった機微情報の推認につながり得ます。
本文・件名の表現が機微情報を含む
宛先が正しくBccでも、件名や本文に病名、治療内容、予約情報、患者識別子などが含まれていれば、誤送信時の被害は深刻化します。また、メールが端末の通知画面に表示されることで、第三者の目に触れるリスクもあります。
緊急対応で「手順の簡略化」が発生する
台風接近などの局面では、複数部署が同時に動き、平時の二重チェックが省略されがちです。名簿の最新版がどれか分からない、担当者が交代する、テンプレートが統一されていない、といった運用上のほころびが事故の誘因になります。
個人情報の最小化が不十分
「連絡すること」自体が目的化し、連絡先リストに必要以上の情報（患者番号、メモ、受診理由など）を含めたまま扱ってしまうことがあります。漏洩が起きた場合、流出する情報の粒度が上がるほど、影響評価や説明・謝罪、再発防止策の重みも増します。
法令・ガイドライン観点：医療情報は“推認”でも重くなる
個人情報保護の実務では、漏洩したのが「氏名や住所」だけでなく、医療に関する情報（受診の事実、診療科、治療内容等）に結びつき得るかが重要な評価軸になります。仮に本文に診療内容がなくても、医療機関からの連絡そのものが受診の事実を推認させる場合があり、影響評価・本人対応・監督当局への報告要否の判断をより慎重に行う必要があります。
また、今回のように患者からの指摘で発覚するケースでは、内部検知の仕組みが弱い可能性が示唆されます。事故は「ミスをゼロにする」よりも「ミスが起きても拡大しない・早期に検知する」設計が現実的です。
再発防止の実務：医療現場で効く具体策
一斉送信を“メールソフト任せ”にしない
個別のメーラーからの一斉送信は、ヒューマンエラーが必ず残ります。患者連絡は、可能な限り以下の仕組みに寄せるのが有効です。
- 患者ポータル/アプリ通知：ログイン後にメッセージを表示し、宛先露出を構造的に排除
- 配信専用システム：Bcc固定、宛先欄の入力を禁止、テンプレート化、送信前プレビューを必須化
- SMSの活用：短文で要点のみを通知し、詳細はポータル誘導（ただし誤送信対策と番号管理が前提）
「緊急時テンプレート」を平時に整備する
台風・地震・感染症・停電など、想定されるシナリオごとにテンプレートを用意し、件名・本文の表現を最小化します。例えば、メール本文には医療内容を記載せず「ご確認ください。詳細は院内ポータルまたは代表番号へ」とするなど、漏洩時の機微性を下げる設計が重要です。
二重チェックを“人”ではなく“工程”に埋め込む
「上長が確認する」だけでは、繁忙時に抜けます。工程として抜けない仕組みが必要です。
- 送信前の宛先検証（Bcc以外は送信不可、外部ドメイン一斉送信は警告）
- 差し戻し必須の承認フロー（起案者と承認者を分離）
- テスト送信（院内検証グループへの送信を経ないと本送信できない）
名簿管理のガバナンス：誰が、どこで、最新版を持つのか
連絡先リストを個人のPCや共有フォルダに分散させると、誤更新・誤利用が起きます。台帳管理者を明確にし、アクセス権限、持ち出し制限、更新履歴、利用目的の記録を整備します。連絡先は「必要最小限」にし、利用後は速やかに削除・回収する運用も効果的です。
発覚後対応の標準化：初動で二次被害を抑える
漏洩は発生後の対応品質で、信頼の毀損度合いが大きく変わります。医療機関では次を標準手順として整備しておくべきです。
- 事実関係の確定（送信ログ、宛先、本文、添付、送信時刻、影響範囲）
- 受信者への迅速な連絡（削除依頼、二次拡散防止の依頼、問い合わせ窓口）
- 再発防止の暫定措置（同種配信の停止、配信権限の一時制限）
- 記録化と説明責任（経緯、判断、是正措置を監査可能な形で残す）
医療機関に求められる姿勢：迅速性と機密性の両立
災害時の注意喚起は患者の安全確保に直結し、連絡を止めること自体がリスクになる場合もあります。重要なのは「送らない」ではなく、「安全に送れる手段を平時から用意し、緊急時ほど手順が自動的に安全側へ倒れる」ことです。今回のような事案は、メールという日常的ツールの運用設計が、医療情報の保護水準に追いついていない現実を示しています。
医療機関は、患者コミュニケーションのデジタル化を進めるほど、通知・連絡の仕組みを“セキュリティ設計されたチャネル”へ移行する必要があります。小さな送信ミスを重大事故にしないために、技術・手順・教育をセットで見直すことが、信頼回復と再発防止への最短ルートです。
参照: 【情報流出】磐田市立総合病院で患者32人の個人情報漏洩 台風6号の接近に伴い特定の患者に注意喚起のメールを送り患者からの指摘で発覚（静岡） – 日テレNEWS NNN