患者情報にはさまざまなものがあり、その保護のあり方も法律によって多様である。

　①医師は診療をしたときは遅滞なく診療に関する事項を診療録に記載しなければならず、これは5年間の保存義務がある（医師法24条）。これ以外の情報についても保存義務があるものがある［病院について、過去2年間の病院日誌、各科診療日誌、処方せん、手術記録、看護記録、検査所見記録、エックス線写真、入院患者及び外来患者の数を明らかにする帳簿並びに入院診療計画書（医療法21条1項9号および医療法施行規則20条10号）］。

　②医師は業務上取り扱ったことについて知り得た人の秘密を漏らしてはならない（刑法134条。自分が話したことを医師が他人に漏らさないだろうという信頼がなければ、患者は医師に診療上必要な情報を話さなくなり、あるいはそもそも医師にかからなくなり、どちらにしても結局は患者にとって不利益になってしまうため、古くから医師の倫理として認識されてきたものである）。

　③そして、新たに、自分の情報についてコントロールすることを権利として認める個人情報保護の流れがここに加わった。わが国においては2003年に個人情報保護法が制定され、2015年に改正が行われた。

　同改正では、i)これまで認められていた適用除外、すなわち取り扱う個人情報の数が少ない事業者（5,000件以下）に関する規定がなくなり（ただし、厚生労働省ガイドラインはこれら事業者にも努力義務を課していたから１）、実態はあまり変わらない可能性がある）、すべての事業者が法律上の義務を負うことになった（ただし付則11条は後述する個人情報保護委員会が指針を策定するに際して小規模の事業者の事業活動が円滑に行われるよう配慮することとしている）。

　ii)これまでの主務大臣制（医療介護分野においては厚生労働大臣）が廃され、新しく設置される個人情報保護委員会がその任に当たることとなった。

　iii)これまで法文上明確でなかった開示、訂正、利用停止等の請求権があることが明示された（28条～30条）。

　ⅳ)新たに要配慮個人情報というカテゴリができ、この取得については原則として本人の同意が必要なほか（同法17条2項。一般の個人情報は「偽りその他不正の方法により」取得しないことだけが要件）、その第三者開示についても原則として本人同意が必要であるとした（23条2項。一般の個人情報はオプトアウトで足りる）。本改正に従って新たなガイダンスが出されている２）。

　医療現場においては、とりわけ、（要配慮個人情報として病歴が挙げられているから、ほぼすべての医療情報が該当することになる）要配慮個人情報の扱いについて特に気をつける必要がある。救命のために必要な場合には、取得にしても第三者開示（家族への説明も含まれる）にしても上述ⅳ)の例外として本人同意なく行うことができようが（「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」に該当するから）、たとえば、仮に通常の病状説明がこれに当たらずできなくなると解釈すれば医療現場に大きな影響を与える。

　法案の審議の際に法律が適用された場合のことをどの程度シミュレートしたのかははっきりしないが、問題が発生するごとにガイダンスが改定されたりQ&Aが出されたりすることが考えられるため、現場では最新の情報を入手しておくことが必要となる。

　また、2017年4月にはいわゆる「次世代医療基盤法」が成立した。これは個人情報保護法の「匿名加工情報」の医療版とでもいえる「匿名加工医療情報」につき、本人のオプトアウトがなければ医療機関が認定事業者に情報を提供することを認めるもので、いわゆるビッグデータの研究利用を容易にするものである。

　因みに、最近の論説として、診療録の保存期間が短すぎる、あるいはその改ざんを行政処分の対象とすべきだ、というものがある３）。どちらも、個人情報保護法にいう正確性の確保（19条。一方で、利用する必要がなくなったときの消去も努力義務とされているが、医療情報が電子化され、地域の医療者や患者自身もアクセスできるようになりつつある点をどう考えたらよいだろうか）の点から、今後、議論の深まりと共に、医療の特質と実態に合わせた運用が期待される。