コラム

今回はクリニックを事業承継する際に行われるカルテの引継ぎについてです。まず前提として、カルテには患者の氏名、年齢、住所などの個人情報に加え、病歴や薬歴といった個人情報が多数記載されています。ですので、当然ながら個人情報に該当し、個人情報保護法の適用を受けることになります。では、クリニックの事業承継やM&A時におけるカルテの引継ぎは個人情報保護法違反に該当するのでしょうか。今回はそのあたりについてまとめてみたいと思います。

個人情報保護法とは、個人情報の適切な取扱いについて定めた法律で、大企業だけでなく、小規模事業者やNPO、町内会・自治会などの団体も含め、個人情報を事業に利用するすべての事業者・団体が守らなければならないルールです。ですので、クリニックの開設者である個人も医療法人も、当然ながら個人情報保護法における個人情報取扱業者となります。

個人情報保護法では、原則として「あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。」などの義務が課されています。

しかしクリニックの事業承継やM&Aにおいて、カルテを引き継ぐために患者さん全員の同意を得ることは現実的に不可能となります。

では、カルテ引継ぎは個人情報保護法違反に該当してしまうのでしょうか。結論からいうと、クリニックの事業承継やM&Aにおいて、譲渡側から譲受側に引き継がれるカルテ情報は個人情報保護法違反には該当しません。

その例外根拠は以下のとおりです。

＜個人情報保護法第23条5項2号＞

５　次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。

一　個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合

二　合併その他の事由による事業の承継に伴って個人データが提供される場合

三　特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

つまり「合併その他の事由による事業の承継に伴って個人データが提供される場合」において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとしています。

これにより、法律的に譲渡側がカルテ情報、患者の個人情報を譲受側に提供しても問題はないということになります。

義務は適用されませんが、個人情報の提供を受けた譲受側は留意すべき点があります。それは、譲渡側が患者から個人情報を取得した際、どのような利用目的で取得しているかということを確認して、その利用目的の範囲内で患者のカルテ情報を利用することが必要になるということです。

＜個人情報保護法第 16 条2項＞

２　個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

つまり、カルテを譲り受けた先生が、利用目的の範囲外でカルテ情報を利用してしまうと、患者さんから個人情報の利用を止めることを求められてしまうかもしれません。ですので、カルテ情報の取り扱いには十分留意が必要といえます。

【クリニック・診療所の事業承継の検討をはじめたい先生方へ】

当社では無料相談を実施しております。クリニックの事業承継・M&Aを成功させるためには、早い段階でのご相談が有効です。その方が選択肢の幅がグッと広がり、スムーズな事業承継・M&Aが可能となります。ぜひお気軽にお問い合わせください。