医療データ漏洩で刑事罰！ICO調査終結が示すGDPRの厳格な執行

医療データの不正取得・開示で刑事捜査終結

2024年3月、ロンドンクリニックで発生した医療情報漏洩事件。英国情報コミッショナー事務局（ICO）は、同意なく医療情報を取得・開示した行為について刑事捜査を終結したと発表しました。このニュースは、GDPR違反が民事制裁だけでなく刑事罰の対象となることを改めて示しています。

Featured Snippet: ICOの刑事捜査終結は何を意味する？

ICOは、医療情報の不正取得・開示について刑事捜査を終結。これは、GDPR第5条（個人データの適法性）や第9条（機微データの処理）に違反する行為が、英国データ保護法2018に基づき刑事罰の対象となり得ることを示しています。

事件の概要とICOの対応

ロンドンクリニックは2024年3月、患者の医療情報が不正にアクセスされ、第三者に開示された可能性があると報告。ICOは直ちに調査を開始し、刑事捜査に発展させました。今回の終結発表では、具体的な制裁内容は明らかにされていませんが、刑事罰の可能性が示唆されています。

医療データはGDPR上「特別なカテゴリーの個人データ」に該当し、厳格な保護が求められます。同意なしの処理は原則禁止されており、違反には最大2000万ユーロまたは全世界年間売上高の4%の制裁金、さらに刑事罰が科される可能性があります。

GDPR刑事罰の実効性

GDPRは加盟国に刑事罰の導入を義務付けていませんが、英国はデータ保護法2018で刑事罰を規定。故意または無謀なデータ取得・開示は、罰金または懲役（最大2年）の対象となります。ICOの刑事捜査権限は強力で、今回のケースはその実効性を示す好例です。

「GDPR違反は民事制裁だけで済む」という認識は危険です。特に医療データのような機微情報の取り扱いには、刑事罰リスクを常に意識する必要があります。

企業が取るべき対策

この事件から学ぶべきは、データ保護コンプライアンスの徹底です。具体的には、アクセス制御の強化、従業員教育、インシデント対応計画の策定が重要です。また、データ保護影響評価（DPIA）を定期的に実施し、リスクを特定・軽減することが求められます。

ICOのガイダンスでは、医療データの処理には明示的な同意または法的義務の遵守が必要とされています。同意取得のプロセスを見直し、透明性を高めることが刑事罰回避の鍵です。

FAQ